Anthropicのサブプロセッサー一覧を確認する方法
Anthropicの委託先(サブプロセッサー)一覧はtrust.anthropic.comで確認する。DPAが定める追加時の通知・異議申し立ての仕組みと、委託先の委託先まで確認する実務を整理する。
Anthropicのサブプロセッサー一覧はどこで確認できるか
Anthropicの委託先(サブプロセッサー)一覧は、Anthropic Trust Center(trust.anthropic.com)の /subprocessors に載っています。Data Processing Addendum(DPA)のSchedule 4は「Anthropicの委託先リストはhttps://www.anthropic.com/subprocessorsで参照できる」と定めています。このURLにアクセスすると、HTTP 307でhttps://trust.anthropic.com/subprocessorsへ転送されます。
DPAはサブプロセッサーを「Customer Personal Dataを処理するためにAnthropicが起用した事業者」と定義しています。つまり一覧に載るのは、顧客の個人データの処理に関わりうる委託先です。
DPAが一覧と手続きについて定めていること
一覧の参照先
Schedule 4
www.anthropic.com/subprocessors を指す
異議申立ての期限
15日
新規サブプロセッサーの通知日から。C.3(b)
SCCのClause 9
Option 2
一般的な書面による許可。Section A.2.a
一覧ページを開いても中身が出ないとき
curlでhttps://trust.anthropic.comを取得すると、返るのは約7.5KBのHTMLです。タイトルがAnthropic Trust Centerで、assets.vanta.comのスクリプトを読み込む記述が並ぶだけで、委託先の名前は含まれません。/subprocessorsを直接取得しても、HTML中に「subprocessor」という語は出てきません。一覧はブラウザがJavaScriptを実行して描画する仕組みです。
この構造から、運用の組み方が決まります。
- 単純なHTTP取得やスクレイピングで一覧の差分を取る監視は、そのままでは成立しません
- JavaScriptを実行できるブラウザで開き、担当者が目で見る運用が土台になります
- 自動化するなら、ブラウザ自動操作で描画後のページを取る形になり、ページ構造の変更に壊れやすくなります
一覧以外にTrust Centerで入手できるもの
DPAは、Trust Centerを一覧以外の目的でも参照先に指定しています。F.1は、Anthropicの現行の認証がTrust Centerで確認できると書いています。Schedule 2のD.3は、監査報告書や認証の入手を希望するときの申請先としてTrust Centerを挙げています。
SOC 2報告書のような監査報告書は、顧客からの書面による請求と、契約上の守秘義務を前提に提供されます(F.1)。つまり、サブプロセッサー一覧と監査報告書では入手の条件が違います。一覧は公開URLにありますが、報告書は請求の手続きを踏みます。
さらにF.2は、顧客が自費で監査を行う権利を定めています。第三者監査人を使う場合は秘密保持契約の締結が条件で、同じ範囲の監査を12か月以内に行っていないことも条件です(規制当局の要請や不遵守の兆候があるときを除く)。
新しいサブプロセッサーが追加されるとどうなるか
DPAのC.3は、追加の手続きを次の順で定めています。
新規サブプロセッサー追加の流れ
- 1
Anthropicが事前に通知する
新しいサブプロセッサーがCustomer Personal Dataにアクセスする前に、Anthropicが「合理的な事前通知」を行います。
- 2
Customerが15日以内に異議を述べる
データプライバシーまたはセキュリティ上の合理的な懸念があれば、通知日から15日以内にAnthropicへ書面で異議を申し立てます。
- 3
期間内に異議がなければ同意とみなされる
15日が過ぎると、Customerは新しいサブプロセッサーに同意したものとして扱われます。
- 4
異議があれば協議する
CustomerとAnthropicが誠実に協議し、双方が受け入れられる解決を探ります。
標準契約条項(SCC)の枠組みでは、Clause 9(サブプロセッサーの利用)にOption 2「一般的な書面による許可」が適用され、その期間はC.3に従うとされています。SCCのAnnex IIIが求めるサブプロセッサーの一覧は、Schedule 4またはC.3の手続きで定まります。担当者の氏名・役職・連絡先は、Anthropicが請求に応じて提供します。
個別の委託先ごとに事前承認を取るOption 1とは違い、一覧を公開したうえで異議がなければ包括的に許可される方式です。一覧のページは、確認して終わる静的なリストではありません。変更が通知され、異議を述べる権利が付いた手続きの入り口です。
SCCを組み込むだけで日本の個人情報保護法への対応が十分かどうかは別の論点で、ClaudeのDPAとSCC越境移転で扱っています。
通知の経路が決まっていないとき
DPAのC.3は「合理的な事前通知」と書くだけで、メール・Trust Centerの更新・その他のどれで届くかを指定していません。通知に気づかないまま15日が過ぎると、新しいサブプロセッサーに同意したものとして扱われます。
関連する公式の記述が、Anthropic Privacy Centerの記事「Where are your servers located?」にあります(2026年6月15日付)。Anthropicが処理のために複数のクラウド事業者を使っていることが書かれています。サブプロセッサーの所在地を先回りして知りたい場合は、Trust Centerのニュースフィード(trust.anthropic.com/updates)を購読するよう案内しています。このフィードがC.3の「通知」にあたるかどうかは、DPAにも同記事にも書かれていません。したがって契約時に、次の2点を担当者へ書面で確かめておくと安全です。
- 新規サブプロセッサーの通知をAnthropicがどの宛先・手段で送るか
- 通知日をどの時点で数えるか(15日の起算点)
同じ記事は、データが米国に保存されることと、トラフィックの経路が既定で米国・欧州・アジア・オーストラリアの一部の国になりうることも書いています。処理国の把握はClaude Data Residencyと外的環境の把握で扱っています。
委託先の委託先まで確認する理由
日本の個人情報保護法は、個人データの取扱いを委託する事業者に、委託先への「必要かつ適切な監督」を求めています(第25条)。個人情報保護委員会のガイドライン(通則編)は、再委託先への監督も求めています。委託先がさらに他社へ再委託する多段の構造でも、把握の必要は変わりません。誰にどこまで再委託されているかを把握していなければ、監督を果たしているとは言いにくくなります。
DPAには、この監督を後押しする条項があります。C.2は、Anthropicが各サブプロセッサーと、DPAに実質的に劣らない保護水準のデータ保護義務を契約で結ぶことを定めています。サブプロセッサーの作為・不作為については、Anthropicが顧客に責任を負います。ただし責任の範囲は、Anthropicが自らの行為で負う責任と同じ範囲で、契約本体の責任制限に従います。
契約が指し示す一覧のページを実際に開き、載っている企業・役務・扱われるデータの範囲を照合する作業が、契約文言の確認と対になります。個人情報保護委員会が生成AIサービス全般の利用に出した注意喚起への対応は、個人情報保護委員会の生成AI注意喚起への対応で扱っています。
一覧と照合する自社側の材料
一覧に載る企業を見ても、自社のデータがそこまで届くのかは分かりません。DPAのSchedule 1が、照合の手がかりを与えています。
- 対象となるデータ主体の区分と個人データの区分は、顧客が契約に従って決めます(B.1・B.2)
- 処理の期間と頻度は、契約期間中の継続的な処理で、顧客のサービス設定で決まります(B.4)
- 要配慮個人情報にあたる特別な区分(special categories)は「None」と記されています(B.3)
- サブプロセッサーは「必要に応じて」使われるもので、詳細はSchedule 4に委ねられています(B.8)
B.3は特別な区分を「None」としています。診療情報や信条など、日本法でいう要配慮個人情報を扱う予定があるなら、この記載と自社の扱いが合うかどうかを契約担当者と照らす必要があります。
越境移転の評価を自社で行う場合は、I.4が使えます。顧客が求めれば、Anthropicは移転影響評価の作成に合理的に必要な情報を提供します。一覧に載る企業の所在国を調べる出発点として、この請求を組み合わせる形が考えられます。
契約が終わるときもサブプロセッサーが関わる
H.1は、契約の終了・満了から30日以内にAnthropicが行うことを定めています。顧客が求めれば、その期間内にデータの写しを返すか自己取得の機能を提供します。そのうえで、AnthropicまたはSubprocessorsが処理したCustomer Dataの全コピーを削除します。
ただし、法令上の保存義務、当事者間の紛争解決に必要な保持、有害な利用への対処に必要な保持は例外です。削除の対象にサブプロセッサー側のコピーが含まれる点は、委託先を切り替えるときや契約を終えるときの確認項目になります。
DPAが適用される契約と、されない契約
DPAは、Anthropic Commercial Terms of Service、またはDPAに言及する他の契約に組み込まれて効力を持ちます。Commercial Termsは、サービスが消費者向けでないと明記し、Claude.aiなどの消費者向け製品はConsumer Terms of Serviceに従うとしています。
契約の種類で変わる、サブプロセッサー確認の意味
Commercial Termsなど法人契約
DPAの通知・異議申立てが使えます。Privacy Centerは、この区分の例にClaude EnterpriseとAnthropic APIを挙げています。一覧の確認は、異議を述べる権利を行使できるかどうかに直結します。
個人アカウントのClaude.ai
Privacy CenterはClaude Free・Pro・Maxをconsumer製品に分類しています。DPAは法人契約(Commercial Termsなど)に組み込まれる文書で、Consumer Termsの利用者がこの通知・異議申立ての手続きを使えるとはDPAに書かれていません。
自社の利用がAPI経由の商用契約なのか、従業員が個人アカウントで使っているだけなのかで、確認の意味が変わります。組織として利用を統制するなら、まず契約形態を確かめます。
開示請求が来たときの初動
DPAのD.1は、データ主体(本人)からの開示・訂正・削除の請求をAnthropicが受けた場合、速やかに顧客へ転送すると定めています。Anthropicは、本人に顧客へ直接請求するよう案内することもできます。D.2は、顧客が法令上の義務を果たすための合理的で適時の支援を、Anthropicが行うと定めています。
請求が届いた時点で、どのサブプロセッサーがどのデータを扱うのかを顧客側が知らなければ、事実関係の整理に時間がかかります。一覧は契約管理の書類であり、開示請求対応の初動を早める資料にもなります。
確認を運用に落とす
15日という期間の短さは、一度確認して終わりにできない理由です。確認の頻度は、四半期ごとの定期チェックと、契約更新時の確認を組み合わせる形が回しやすい構成です。
| 確認タイミング | 確認する内容 | 主担当 |
|---|---|---|
| 契約締結・更新時 | 確認する内容一覧に載る全社の役務内容とデータ範囲、通知の経路と起算点 | 主担当法務 |
| 四半期ごとの定期確認 | 確認する内容前回確認時からの差分(追加・削除された企業) | 主担当法務(技術評価は情シスへ) |
| 通知受領時(随時) | 確認する内容新規サブプロセッサーの役務内容とデータアクセス範囲 | 主担当法務から情シスへ |
| 監査・第三者評価の対応時 | 確認する内容認証状況と、監査報告書の請求(F.1・Schedule 2 D.3) | 主担当情シス |
担当者が変わっても確認の質を保つには、URL・Trust Center内での探し方・15日の期限・通知経路の確認先の4点を社内のナレッジベースに残します。特に通知経路は、契約担当者の記憶に頼りやすい情報です。
まとめ
一覧はtrust.anthropic.com/subprocessorsにあり、JavaScriptで描画されるため目で見る運用が前提です。判断の分かれ目は、自社がDPAの対象かどうかと、新規追加の通知がどこに届くかです。この2点を契約時に書面で押さえておけば、15日の異議申立て期間を実際に使えます。