Claudeへの個人データ入力は外国にある第三者への提供にあたるか

委託だから28条は関係ない、とは言えない

日本の会社がClaudeに顧客の個人データを入力すると、個人情報保護法28条(外国にある第三者への提供の制限)が問題になります。「業務委託なので第三者提供ではない」と考えて28条を飛ばしたくなりますが、条文の作りはそうなっていません。

委託先は第三者にあたらないと定めるのは27条5項1号で、対象は「前各項」、つまり27条の規制です。28条1項が同意義務の例外として挙げるのは、27条1項各号(法令に基づく場合など7つ)だけです。同等水準の国と体制整備は、同意義務の例外ではなく「外国」「第三者」の定義のカッコ書きにあり、別の入口として働きます。委員会の「外国にある第三者への提供編」ガイドラインも、外国の委託先に提供する場面を、28条の「体制整備」を満たす契約の例(4-1の事例1)として扱っています。委託の枠に収まっても、28条は別途の関門として残ります。

この記事は、Claudeへの入力が28条のどの関門にかかるのかを、条文・ガイドライン・Anthropicの契約文書(Commercial TermsとDPA)で確かめます。27条側(委託の条件)は個人情報を含むプロンプト入力は第三者提供にあたるかが扱っています。

契約相手は所在地で決まる

Commercial Termsの冒頭は、契約の相手方「Anthropic」を次のように定めています。EEA・スイス・英国の顧客にはAnthropic Ireland, Limited、それ以外の顧客にはAnthropic, PBC(公益重視の営利法人)です。準拠法も同じ区分で、前者はアイルランド法、後者はカリフォルニア州法です。日本の顧客は後者に入ります(他の提供経路との違いはClaudeを日本から使う提供経路を参照)。

契約主体は顧客の所在地で自動的に決まるので、日本の会社がアイルランド法人を選んで契約する、という回避はできません。米国は、法28条1項のカッコ書きが指す「同等水準の外国」に含まれません。ガイドライン3節は、該当するのはEUと英国だと説明しています。どちらも平成31年個人情報保護委員会告示第1号で定められています(ガイドラインは、告示の国から英国を除いたものをEUと呼んでいます)。

つまり出発点は、Anthropic, PBCへの個人データの提供が原則として28条1項の「外国にある第三者への提供」にあたる、というものです。ただし、後述の法人格の判定で例外になる余地があります。

28条1項を抜ける4つの関門

ガイドライン2節は、同意なしで提供できる場合を(1)から(3)に分けています。以下は、Anthropic, PBCへの提供にそれぞれがどう当てはまるかを並べ替えたものです。

判定順

Claudeへの提供が28条1項の同意義務に至るまで

1. 1

   「外国にある第三者」にあたるか

   第三者かどうかは法人格で決まります(ガイドライン2-2)。日本国内で個人情報データベース等を事業の用に供している外国法人は「外国にある第三者」ではありません。Anthropic, PBCがこれにあたるかは、契約文書からは判断できません。ガイドラインの例では、日本企業にとって外国の現地子会社は別法人格なので「外国にある第三者」、同一法人格内の支店への移動はそうではありません。

2. 2

   同等水準の国(EU・英国)にあるか

   米国はこれに含まれません。ここで抜けられるのは、提供先がEU・英国にある法人の場合だけです。

3. 3

   体制整備(規則16条)を満たしているか

   契約などで、提供先が法4章2節の趣旨に沿った措置を継続的に講じることを担保します。次節で扱います。

4. 4

   27条1項各号にあたるか

   法令に基づく提供、人の生命保護、公衆衛生の向上など7つの場合です。ここでいう法令に外国の法令は含まれません(ガイドライン2節)。該当するかは、入力するデータの提供目的ごとに個別に判断します。

どれにも当たらなければ、提供前に「外国にある第三者への提供を認める旨の本人の同意」が必要です。なお、(1)同等水準の国、(2)体制整備のいずれかで28条1項を抜けても、27条のルール(同意・27条1項各号・オプトアウト・委託などのいずれか)は別に満たす必要があります。ここで委託が27条側の手段として出てきます。

体制整備ルート — 契約は「法4章2節の趣旨」をどこまで担保するか

体制整備の基準は規則16条が2つ定めています。1号は、提供元と提供先の間で「適切かつ合理的な方法」により、法4章2節の趣旨に沿った措置の実施が確保されていること。2号は、提供先が国際的な枠組みに基づく認定(ガイドラインはCBPR認証を例示)を受けていることです。委員会への事前の届出は要りません。

1号の「適切かつ合理的な方法」の例として、ガイドライン4-1は「外国にある事業者に個人データの取扱いを委託する場合」の「提供元及び提供先間の契約、確認書、覚書等」を挙げています。AnthropicのDPAがこの契約にあたるかが、実務上の論点です。

DPAの文面で確かめた3点

DPAの公開文面(Standard Contractual Clausesの組み込み条項I)を読むと、次のことが分かります。

• SCCs(欧州委員会の標準契約条項)のModule TwoまたはModule Threeは「Applicable Data Protection Lawsが要求する範囲で」組み込まれます。SCCs上の準拠法はアイルランド法です
• 「Applicable Data Protection Laws」は「処理に関する適用されるあらゆるプライバシー・データ保護法」という一般的な定義で、日本の個人情報保護法を名指しした条項は、DPAの文面にはありません
• Anthropicは、顧客の越境移転の要件への対応を合理的に支援し、依頼があれば移転影響評価に必要な情報を提供するとしています(I.4)

SCCsは、GDPR上の移転を想定した契約の型です。日本法の要件に当たるかどうかは、SCCsが載っていることでは決まらず、4-2が挙げる「法4章2節の趣旨に沿った措置」(利用目的の制限、安全管理措置、委託先の監督など)の各項目が、DPA全体でカバーされているかで判断することになります。DPA全体の中身はClaude DPAは何を定めるかにあります。

ガイドライン4-2は、契約にすべての項目を書き込む必要まではなく、提供された個人データに係る本人の権利利益の保護に必要な範囲で措置が確保されていれば足りる、としています。DPAを結ぶことが直ちに要件充足を意味するわけでも、条項が足りないから直ちに不足になるわけでもありません。また4-1は、この措置の対象を実際に提供した当該個人データに限っており、提供先が扱うほかの個人情報まで求めるものではないとしています。

締結後に残る28条3項の義務

体制整備を根拠にした場合、提供後の義務が続きます(28条3項、規則18条、ガイドライン6)。

継続義務

28条3項が求める提供後の措置

• 定期的な確認

  提供先による相当措置の実施状況と、それに影響しうる外国の制度の有無・内容を、適切かつ合理的な方法で定期的に確認します。

• 支障が出たとき

  実施に支障が生じたら必要かつ適切な措置を講じ、継続が困難になれば提供を停止します。

• 本人からの求め

  本人が求めたら、体制整備の方法、確認の頻度と方法、外国の名称、支障の有無などの7項目を遅滞なく情報提供します(規則18条3項)。業務の適正な実施に著しい支障を及ぼすおそれがあるときは、全部または一部を提供しないこともできます。その場合は本人に遅滞なく通知し、理由の説明に努めます(同条4項・5項)。

本人の同意を根拠に提供した場合は、提供先が基準適合体制を整えていても、この3項の措置は求められません(ガイドライン6)。同意ルートは提供前に情報提供が必要で、体制整備ルートは提供後の確認が続く、という違いです。

本人同意ルートで本人に示す情報

28条2項は、同意を得る前に、外国の個人情報の保護制度、提供先が講じる保護措置、そのほか参考となる情報を本人に示すよう求めています。ガイドライン5は、制度の情報を、日本法との「本質的な差異」を本人が合理的に認識できるものとし、OECDプライバシーガイドライン8原則に対応する義務や権利が外国の制度にない場合はその内容を示すこと、と述べています。8原則がすべて含まれる場合は、その旨を示せば足ります。さらに、越境移転で本人の権利利益に重大な影響を及ぼしうる制度があるなら、その存在の情報提供も求められます。

この情報は提供先の国ごとに用意することになり、同意を得るたびに提示する形になります(規則17条)。

2026年の法改正は28条1項に触れるか

令和8年7月10日に「個人情報の保護に関する法律等の一部を改正する法律」が成立し、7月17日に公布されました(個人情報保護委員会の改正法ページによる)。施行期日は、改正法の概要によると「原則として公布の日から起算して2年を超えない範囲内」です。委員会は政令・規則・ガイドラインの検討を続けています。

28条1項に関わるのは、統計作成等の新しい例外規定(新設の30条の2)です。新旧対照表の5項は、取り扱う目的の全部が統計作成等目的である場合に限り、18条と27条1項の規定にかかわらず、本人の同意を得ないで第三者に提供できるとしています。受け取った側は、10項が定める場合を除き、さらに第三者へ提供できません。概要資料によれば、AI開発等のうち統計作成等と整理できるものも対象です。

条件は、提供元と提供先の双方が一定の事項を公表することと、この項本文による提供である旨の書面による合意を結ぶことです(5項1号・2号)。外国にある第三者への提供は、5項のカッコ書きで、相当措置を継続的に講ずるために必要な基準に適合する体制(基準適合体制)を整備している者に限られます。つまり、外国への提供でも体制整備の要求は消えません。

基準適合体制を整えた外国の提供先に5項本文で提供した事業者は、規則に従い、相当措置の継続的な実施を確保する措置を講じ、その情報を公表します(13項)。この場合、28条3項は適用されません。提供後の義務が、公表を伴う別の措置に置き換わります。

対象になるのは、取り扱う目的の全部が統計作成等目的で、提供元・提供先の双方が公表し、書面でこの特例による提供と定めた場合に限られます。業務のためにプロンプトへ入力する通常の使い方は、この形をとらない限り対象になりません。公表の方法や基準の中身は、委員会規則で定めるとされています。統計作成等に限られない入力は、施行後も28条1項の関門を上の順に通ります。施行までは、条文とガイドラインの現行版に基づく整理が続きます。

よくある質問

AWS BedrockやGoogle Cloud経由なら、この整理は変わるか

契約の相手方がAWSやGoogleに変わるので、28条の関門は提供先の法人ごとに見直す必要があります。本記事はAnthropicと直接契約する場合の整理です。

まとめ

Anthropic, PBCへの個人データの入力は、原則として28条1項の「外国にある第三者への提供」にあたり、委託の枠で27条を満たしても関門は別に残ります。ただし、同社が国内で個人情報データベース等を事業の用に供する外国法人にあたる場合は、この前提が変わります。契約文書からは判断できないので、確認が必要な点です。

DPAのSCCsは「要求される範囲で」組み込まれる契約で、日本法を名指ししていません。体制整備ルートを選ぶなら、条項が法4章2節の趣旨に沿った措置を契約全体でカバーしているかの確認に加え、28条3項の定期確認を回す体制が要ります。その運用が重ければ、同意ルートという選択肢もあります。どちらが合うかは扱うデータと自社の体制によるため、必要に応じて専門家に確認してください。