このページの要点
- GDPR3条2項は、EU域内の人に商品やサービスを提供する意図があるときなどに適用される。アクセスできるだけでは足りず（前文23）、言語、通貨、広告、域内の顧客への言及などを組み合わせて判断する。
- 適用されるなら、処理の法的根拠（6条）、告知事項（13条）、域内の代表者（27条）を整える。適用されないなら、海外法令の遵守を宣言しない。
- 日本法側では、外国にある第三者への提供（28条）を、サーバーの所在地ではなく提供先の法人の所在国で判断する。同意を取るなら、国名・制度・措置を示す。
- 英文版を置くなら、正文を日本語版とする条項と、準拠法・管轄の条項を置く。消費者契約では、準拠法も管轄も効力が限られる（通則法11条、民事訴訟法3条の7第5項）。
最初に結論：海外の利用者を受け入れても、GDPRがかかるかは「EU域内の人に向けて提供しているか」で決まる
結論
アトラス行政書士法人は、EU圏の利用も想定する個人運営のSNSアプリ、訪日旅行者を対象とするマッチングサービス（海外のサーバーを利用）、国内向けのプライバシーポリシーにGDPRやカリフォルニア州法を併記していた名刺管理のSaaS、英語の規約とプライバシーポリシーを備えたSaaS、海外在住の事業者が日本の消費者に提供するカウンセリングなどの規約とポリシーを作成・点検してきました。このページは、日本の運営者が海外の利用者を受け入れる方向に絞って、その論点を整理します。
反対方向、つまり日本の運営者が外国の事業者のクラウドやAIにデータを送る場面は個人情報の第三者提供と、海外のクラウド・SaaSの整理で説明しています。この二つは別の問題で、同じアプリに両方が同時にかかることもあります。ポリシー全体の組み立てはアプリのプライバシーポリシーの書き方を前提にしています。
GDPRがかかる場面、かからない場面
GDPR3条2項は、EU域内に設立されていない管理者についても、域内にいる人の個人データの処理が、次のいずれかに関連する場合にGDPRを適用すると定めています。(a)対価の支払いが要るかどうかにかかわらず、域内の人に商品またはサービスを提供すること。(b)域内で行われる行動を追跡（モニタリング）すること。無料のアプリも、(a)の対象になりえます。
(a)に当たるかは、事業者が域内の人にサービスを提供しようとしていることが明らかか、で判断します。前文23は、サイトに域内からアクセスできること、メールアドレスなどの連絡先が示されていること、運営者の国で通常使われる言語を使っていることだけでは、その意図を認めるのに足りないとし、域内の加盟国で通常使われる言語や通貨を使って注文できること、域内の顧客や利用者に言及していることなどが、意図を示す要素になりうるとしています。欧州データ保護会議（EDPB）のガイドライン3/2018（2019年11月12日採択、第2.1版）は、これに加えて、域内向けのドメイン名の使用や、域内の複数の国の顧客がいることを示す記述などを要素に挙げ、一つの要素だけで決まるのではなく、組み合わせで判断するとしています。
GDPR3条2項(a)の判断で見る要素
| 要素 | 適用を示す方向 | 適用を示さない方向 |
|---|---|---|
| 言語・通貨 | EU加盟国で通常使われる言語で提供し、その国の通貨で決済できる | 日本語と円だけで提供している |
| 提供の地域 | EU加盟国への提供や配送を明示している。域内向けのサービス説明がある | 利用規約やサイトで、日本国内向けの提供であることを示している |
| 利用者への言及 | 域内の顧客・利用者の声を載せている。域内の複数の国の利用者がいることを示している | 日本の利用者だけを想定した記載 |
| ドメイン・広告 | 域内の国のドメインを使う。域内の人に向けた広告を出す | 日本のドメインで、日本向けの広告だけ |
| 行動の追跡（(b)） | 域内の人の行動を追跡し、プロファイリングなどに使う | 追跡の仕組みを持たない、または対象が域内の人ではない |
要素は組み合わせで見ます。EDPBのガイドラインには、米国の事業者が米国の市場だけに向けて提供するニュースアプリを、欧州旅行中の米国人が使った場合は適用されない、という例があります。域内にいる人のデータを処理した事実だけでは、適用の理由になりません。
GDPRの適用を考えるときの確認
- サービスの紹介に、EU加盟国の言語（英語以外）や、ユーロなどの通貨を使っているか
- EU域内への提供・配送・出張を、規約やサイトで明示していないか
- 域内の利用者や顧客の声を、宣伝に使っていないか
- 域内の人を狙った広告の出稿や、域内向けのドメインがないか
- 域内の人の行動を追跡し、分析や広告に使っていないか
- 提供の対象を日本国内に限る旨を、規約と画面で示しているか（示しているなら、実態もそれに合わせられるか）
「日本国内向け」と書くだけでは足りません。言語、決済、広告、運営の実態がそれと一致している必要があります。
事務所の書類では、EU圏の利用も想定する個人運営のアプリについて、GDPRも意識した構成にしました。運営者がGDPR上の管理者に当たること、処理の目的ごとの法的根拠、利用者が持つ権利、監督機関への苦情申立ての権利、現時点で域内の代表者を選任していないこと、を正面から開示する構成です。反対に、日本国内の利用者だけを想定するサービスについては、ヒヤリングで「海外の利用者を想定しているか」を必ず確認し、想定しないなら海外法令の記載は入れない整理にしています。
GDPRが適用されるときに整える事項
GDPRが適用される場合に、プライバシーポリシーと運用で整える事項
| 事項 | 条 | プライバシーポリシーでの書き方 |
|---|---|---|
| 管理者の特定と連絡先 | 13条1項(a)(b) | 運営者の名称と連絡先。代表者を選任した場合はその連絡先、データ保護責任者を置く場合はその連絡先 |
| 処理の目的と法的根拠 | 6条1項(a)〜(f)、13条1項(c) | 目的ごとに根拠を対応させる。サービスの提供は契約の履行(b)、法令への対応は法的義務(c)、改善や不正対策は正当な利益(f)、任意の配信などは同意(a) |
| 受領者と第三国への移転 | 13条1項(e)(f) | 委託先や提供先の種類、移転の有無とその保護措置 |
| 保存期間 | 13条2項(a) | 期間、または期間を決める基準 |
| 利用者の権利 | 13条2項(b)、15条〜22条 | アクセス、訂正、消去、処理の制限、データポータビリティ、異議などの権利と、行使の窓口 |
| 権利行使への回答期限 | 12条3項 | 原則として受領から1か月以内。複雑さや件数に応じて、さらに2か月延長できる（延長するときは1か月以内に理由を通知） |
| 同意とその撤回 | 7条1項・3項、13条2項(c) | 同意に基づく処理では、同意を得たことを示せるようにし、撤回は付与と同じくらい容易にする |
| 監督機関への苦情の申立て | 13条2項(d)、77条 | 利用者が申し立てられる旨と、申立先 |
| 情報提供が必須か任意か | 13条2項(e) | 提供しない場合の結果 |
| 子どもの同意 | 8条 | 同意に基づく情報社会サービスは、16歳未満では親権者の同意等が要る。加盟国は13歳を下限に引き下げられる |
| 域内の代表者 | 27条 | 3条2項に当たる場合に書面で選任する。例外あり |
13条の告知は、明確で平易な言葉で、容易にアクセスできる形で行います（12条1項）。国内向けの記載と、域内の人向けの記載は、節を分けると分かりやすくなります。
域内の代表者の選任には例外があります。27条2項(a)は、処理が臨時的で、大規模な特別な種類の個人データ等の処理を含まず、権利や自由へのリスクが生じる可能性が低い場合に限り、選任を求めないとしています。EDPBは、「臨時的」とは、定期的に行われず、運営者の通常の業務の範囲の外で生じるものと解しています。継続して域内の利用者を受け入れるアプリは、通常の業務そのものであるため、この例外には当てはまりにくいと見られます。事業判断として選べるのは、次の三つです。
域内の代表者についての三つの判断
代表者を選任する
域内の代理人を書面で指名する
- 3条2項に当たる事業を、継続して行う場合の本筋
- ポリシーに代表者の連絡先を載せる
- 費用と、窓口の運用が要る
域内向けの提供をしない
日本国内向けのサービスにとどめる
- 言語、通貨、広告、運営の実態を、国内向けに一致させる
- 規約に提供の対象を日本国内とする旨を書く
- 域内の人に向けた提供でないことが、実態から読み取れる状態にする
選任していない事実を開示する
現時点では選任していないと書く
- ある個人運営のアプリでは、現時点で選任しておらず、利用の規模に応じて検討する旨を開示した
- 開示しても、適用や義務がなくなるわけではない
- 規模が拡大したら見直す
個人運営の小さなアプリでも、継続して域内の利用者を受け入れるなら、どの判断をとるかを、意図して決めておくことが重要です。英国にも、EUとは別の制度（英国のGDPR）があるため、英国の利用者を受け入れる場合は別に確認します。
国内向けのプライバシーポリシーに、GDPRやCCPAを併記するか
名刺管理のSaaSのように、国内の法人を主な顧客とするサービスのポリシーに、GDPR、カリフォルニア州消費者プライバシー法（CCPA）、データ保護責任者、各国の監督機関の窓口が並ぶ例があります。併記すること自体は禁じられていませんが、並べる以上、その内容を実際に整える責任が生じます。
CCPAの対象となる事業者（カリフォルニア州司法長官・プライバシー保護庁の公表と民法典1798.140条(d)(1)、2026年10月18日に確認）
- 売上の基準年間の総売上が2,500万米ドル（物価調整後は2025年1月1日から2,662万5,000米ドル）を超える
- 個人情報の取扱いの基準カリフォルニア州の住民または世帯10万人以上の個人情報を、購入し、販売し、または共有する
- 売上の構成の基準年間の収益の50%以上を、カリフォルニア州の住民の個人情報の販売または共有から得ている
カリフォルニア州で事業を行う営利事業者が、三つのうちいずれかに当たると対象です。国内の中小の事業者は、通常は当たりません。売上の金額は物価に応じて2年ごとに調整されるため、最新の金額は州の公表で確認します。
併記の判断
併記しない
日本国内向けで、海外の利用者を想定しない
- 日本の個人情報保護法に沿って書く
- アクセスできることだけでは、適用の前提がない
- 海外の法令が適用されないとまでは断定しない
適用される部分だけ書く
域内の人に向けて提供している
- GDPRの告知事項を、日本法の記載とは別の節にまとめる
- CCPAは、基準に当たる場合に限って書く
包括的に「遵守します」と宣言する
最も多い不備
- 条番号を並べて遵守を宣言しても、責任者の選任、窓口、回答の期限などを整えていなければ、約束だけが残る
- 宣言した範囲と、実際に運用できる範囲を一致させる
海外の法令の書き方を改める例
遵守の宣言
適用の範囲を限り、適用の有無は実態で判断する。条番号の列挙より、権利と窓口を具体に書く
利用者の権利
「考慮し尊重する」では、回答の期限も窓口も分からない。権利ごとに、受け付ける方法と期限を示す
法令名の簡略化
一文に簡略化する方法は、適用がない場合の整理としては成り立つ。適用がある場合は告知事項を満たさない
改訂前の欄は、一般的なひな形によくある書きぶりです。事務所の書類では、同じ海外向けの条項でも、適用の見込みで書き分けました。
海外のサーバー・海外の事業者を使うとき（日本法の整理）
日本の個人情報保護法で、海外の利用者の情報を外国の事業者に渡す場合の規律は、利用者が海外にいるかどうかではなく、個人データを提供する先が外国にある第三者かどうかで決まります（28条）。提供先が外国にある第三者なら、次の三つのいずれかが必要です。
外国にある第三者に個人データを提供する三つの道（28条）
本人の同意を得る
28条1項、2項、施行規則17条
- 同意を得る前に、外国の名称、その国の制度に関する情報、提供先が講じる措置に関する情報を本人に提供する
- 国名が特定できないときや、措置の情報を提供できないときは、その旨と理由を伝える（17条3項・4項）
提供先が基準適合体制を整備している
28条1項、3項、施行規則16条
- 提供先との間で、法の趣旨に沿った措置の実施が確保されている、または国際的な枠組みの認定を受けている
- 提供後も、措置の継続的な実施を確保し、本人の求めに応じて情報を提供する
同等水準の国にある
28条1項、施行規則15条
- 個人情報保護委員会が告示（平成31年個人情報保護委員会告示第1号）で定める国。同委員会のQ&Aは、令和3年9月時点でEUと英国が該当するとしている。現在の指定は告示で確認する
- この場合、28条の外国提供の規律の対象外
判断の起点は、三つあります。一つ目は、外国かどうかを、サーバーの所在地ではなく、提供先の第三者が所在する国で判断すること（Q&A 12-11）。A国にサーバーを置く事業者がA国の法人なら、A国が「外国」です。二つ目は、外国の事業者のクラウドでも、契約で保存データを取り扱わないとされ、適切にアクセス制御されているなら、「提供」に当たらないこと（Q&A 7-53、12-3）。三つ目は、外国にある事業者に取扱いを委託するときは、委託先が所在する外国の制度を把握して安全管理措置を講じ、その国の名称と措置の内容を本人の知り得る状態に置く必要があること（Q&A 10-24）です。
海外の利用者と、海外のサーバーが関わる情報の流れ（例）
利用者・相手方 運営者 外部の事業者・行政 問題になりやすい点
利用者が海外にいることと、情報が外国の事業者に渡ることは別の事実です。流れを図にして、どの矢印にどの法律がかかるかを確かめます。
越境の同意の取り方を改める例
同意の取得
制度の説明と、明確な同意が要る（28条2項）。利用したことをもって同意とみなす書き方は、情報提供が欠けやすい
措置の説明
「提供先が講じる措置」は具体に書く。確認の方法として、提供先に確認する、契約を確認する、などが考えられる（Q&A 12-12）
改訂前の欄は、一般的なひな形によくある書きぶりです。事務所が点検した訪日旅行者向けのサービスでは、海外のサーバーの利用を明記していた点は評価されつつ、制度の説明と同意の強さが、修正の中心になりました。
日本語版と英文版：優先する言語、準拠法、管轄
英語の規約とポリシーを用意するのは、利用者の理解を助けるためです。ただし、二つの言語で意味がずれたときにどちらが正かが決まっていないと、紛争のたびに解釈が割れます。規約とポリシーには、言語の条項を置きます。事務所の書類では、正文を日本語版とし、翻訳との間に相違があるときは日本語版を優先する、という定めを置いています。
ただし、日本語版を優先する定めは、読めない言語の条項に拘束されると受け取られる危険があります。外国の消費者に対して、日本語の原文が正だと主張しても、その人が理解できる言語で説明が尽くされていなければ、同意の実質が疑われやすいと見られます。翻訳の質を保ち、重要な条項（料金、解約、免責、個人データの扱い）は、各言語版で漏れなく示します。
準拠法と管轄に関する法令
- 法の適用に関する通則法7条契約の成立と効力の準拠法は、当事者が選択した地の法による
- 同法11条1項消費者契約で、選択した法が消費者の常居所地法以外でも、消費者がその常居所地法中の特定の強行規定を適用すべき旨を事業者に表示したときは、その強行規定の定める事項については、その強行規定も適用される
- 同法11条2項準拠法の選択がないときは、消費者契約の成立と効力は、消費者の常居所地法による
- 民事訴訟法3条の7第5項将来の消費者契約の紛争を対象とする管轄の合意は、消費者が契約時に住所を有していた国の裁判所に訴えを提起できる旨の合意などに限って効力を持つ。その国の裁判所にのみ訴えを提起できる旨の合意は、他国の裁判所への提起を妨げない旨の合意とみなされる
- EUのローマI規則（Regulation (EC) No 593/2008）6条事業者が消費者の常居所のある国で事業を行い、またはその国に向けて事業を行うとき、準拠法を選択しても、その国の法の任意に変更できない規定による消費者の保護を奪えない
準拠法の条項がないと、消費者契約は消費者の常居所地法によることになります（通則法11条2項）。日本法を準拠法とする条項を置く意味は、そこにあります。ただし、消費者は居住国の強行規定の保護を主張できるため、「日本法に限る」と書いても、すべての保護を排除できるわけではありません。
言語・準拠法・管轄の条文例（日本の事業者が海外の利用者も受け入れる場合）
本規約の正文は日本語版とします。英語その他の言語による翻訳は参考のために提供するものであり、翻訳と日本語版との間に相違があるときは、日本語版が優先します。
本規約および本サービスの利用契約は、日本法に準拠します。ただし、利用者が消費者であり、その常居所地の法令の強行規定により保護される場合は、その強行規定の適用を妨げません。
本サービスに関して運営者と利用者との間に生じた紛争については、運営者の住所のある地域を管轄する地方裁判所を、第一審の専属的な合意管轄裁判所とします。ただし、法令により管轄が定められている場合は、この限りではありません。
専属の管轄を定めても、消費者契約では民事訴訟法3条の7第5項により、効力が限られます。第3項の但書は、その前提を条文に反映したものです。
多言語の規約と、同意の記録
言語が増えると、版の管理と同意の記録が複雑になります。日本語版を改訂して、英語版の更新が遅れれば、利用者は古い英語版を読んで同意し続けます。同意の記録に、どの言語のどの版に同意したかが残っていないと、後で「この条項は英語版にはなかった」という争いが生じたときに、反論の材料がありません。
多言語の規約・ポリシーを公開し、運用する順番
- 日本語版を確定する正文となる日本語版を先に確定します。翻訳は、確定版から行います。
- 用語を揃えて翻訳する個人データ、委託、第三者、権利行使などの用語対応表を作り、規約とポリシーで同じ訳語を使います。
- 言語の条項を各版に入れる正文は日本語版であることと、相違があるときの優先関係を、各言語版の冒頭近くに置きます。
- 取得の画面で言語と版を記録する同意の日時、同意の対象（規約、ポリシー、個別の同意）、言語、版の番号を保存します。GDPRの同意に基づく処理では、同意を得たことを示せることが求められます（7条1項）。
- 改訂は全言語で同時に行う効力発生日と周知期間を全言語で揃えます。手順は利用規約の変更で説明しています。
- 同意の方法を定める同意の取得と記録の考え方は利用規約の同意の取り方と定型約款のルールで整理しています。
海外の利用者を受け入れる前の問い
- EU加盟国の言語やユーロで、サービスを紹介していますか。EU向けの広告を出していますか。GDPR3条2項(a)の「域内の人への提供」に当たるかの判断材料になります。
- 国内向けのサービスだと決めているなら、規約・画面・運営の実態は一致していますか。「日本国内向け」の意図が実態で裏付けられているかを確かめます。
- サーバー、メール配信、決済、AIの事業者は、それぞれどの国の法人ですか。サーバーの所在地ではなく、提供先の法人の所在国で28条を判断します。
- 英語など翻訳版を出しますか。どの版を正としますか。言語の条項と、版の管理、同意の記録の方法を決めます。
- 契約の相手は消費者ですか、事業者ですか。消費者なら、準拠法と管轄の効力が制限される場面があります。
起きがちなこと
海外の利用者を受け入れるかどうかは、事業の方針の問題です。方針が決まれば、規約とポリシーは、その方針と実態が一致するように書けます。決めないまま「どちらにも対応できる」ように広く書くと、守れない約束と、書いていない義務の両方が残ります。国内向けにとどめるのか、域内を含めて受け入れるのか。最初に決める一点が、後の書類全体の形を決めます。
よくあるご質問
日本の個人運営のアプリでも、GDPRは適用されますか。
EU域内にいる人に、サービスを提供することを意図している場合は適用されえます（GDPR3条2項(a)）。無料でも対象です。サイトに域内からアクセスできるというだけでは足りず（前文23）、EU加盟国の言語や通貨での提供、域内への提供の明示、域内の利用者への言及などを組み合わせて判断します。適用される場合の代表者の選任には例外がありますが、継続的な処理には当てはまりにくいと見られます（27条2項(a)）。
国内向けのプライバシーポリシーに、GDPRやCCPAを書いておいたほうが安全ですか。
適用の見込みがなければ、書かないほうが正確です。条番号を並べて遵守を宣言しても、権利行使の窓口や回答の期限などを整えていなければ、約束だけが残ります。CCPAは、年間総売上2,500万米ドル超（物価調整後は2025年1月1日から2,662万5,000米ドル超）、10万人以上の個人情報の取扱い、売上の50%以上が個人情報の販売または共有、のいずれかに当たる事業者が対象です。適用があるなら、適用される部分を別の節に分けて具体に書きます。
サーバーが海外にあるだけで、外国にある第三者への提供になりますか。
外国かどうかは、サーバーの所在地ではなく、提供先の第三者が所在する国で判断します（個人情報保護委員会のQ&A 12-11）。外国の事業者のクラウドでも、契約で保存データを取り扱わないとされ、適切にアクセス制御されているなら、「提供」に当たりません（Q&A 7-53、12-3）。取扱いを委託するなら、28条と、外的環境の把握（Q&A 10-24）を検討します。
英語版の規約を作るとき、日本語版との関係はどう書けばよいですか。
正文を日本語版とし、翻訳は参考として、相違があるときは日本語版を優先する、という言語の条項を各版に置きます。ただし、利用者が理解できる言語で説明が尽くされていなければ、同意の実質が疑われるため、料金、解約、免責、個人データの扱いなどの重要な条項は、各言語版で漏れなく示します。同意の記録には、言語と版を残します。
準拠法を日本法とし、管轄を日本の裁判所と定めれば、海外の利用者との紛争も日本で解決できますか。
準拠法の選択は有効ですが、消費者が居住国の強行規定を適用すべき旨を表示したときは、その規定も適用されます（通則法11条1項）。EUでも、ローマI規則6条により、準拠法の選択で消費者の保護は奪えません。管轄の合意も、将来の消費者契約の紛争については、民事訴訟法3条の7第5項により、効力が限られます。条文は、その前提で書きます。
あわせて読みたい、関連する別のガイド
- 海外の会社が日本の消費者にネット販売するときネットショップ・EC販売の法務ガイド
- 外国人患者・医療ツーリズム・往診手配の契約医療・介護・ヘルスケアの契約書ガイド
- 委託先としての個人情報の扱いと、再委託先の承諾SaaS・クラウドサービスの契約書ガイド
- データの返還・エクスポート・削除SaaS・クラウドサービスの契約書ガイド
あわせて読みたいページ
本ページは一般的な情報提供です。個別のサービスに必要な対応は、提供する機能、取得するデータ、料金の受け取り方、利用者の範囲によって異なります。事務所の書類での扱いとして紹介している内容は、アトラス行政書士法人が作成・レビューしてきたアプリ・Webサービス・プラットフォーム・ホームページの利用規約、プライバシーポリシー、特定商取引法に基づく表記、業務委託契約書などを、個別の事業者が特定できない形に整理したものです。条文・ガイドラインは e-Gov法令検索と各官公庁の公表資料で確認しています（最終確認日：2026年10月18日）。参考: e-Gov法令検索 / 個人情報保護委員会 / 総務省 / 消費者庁 / 金融庁 / 観光庁
