Claude DPAの中身とSCC組み込みがAPPIに効かない理由

AnthropicのData Processing Addendum(DPA)は、個別に署名する契約書ではありません。Commercial Terms of Serviceに自動的に組み込まれており、Commercial Terms of Serviceに同意した時点でDPAにも同意したことになります。委託先管理の実務でまず確認すべきは「署名の有無」ではなく、DPAが定める役割分担・サブプロセッサー管理・データ削除義務の中身そのものです。

DPAは署名不要でCommercial Terms of Serviceに自動組み込み

AnthropicのDPAは、Standard Contractual Clauses(SCC)を組み込んだ状態でCommercial Terms of Serviceに自動的に組み込まれています。個別の署名フローは用意されておらず、Commercial Terms of Serviceに同意することがそのままDPAへの同意になります。DPA自体はanthropic.com/legal/data-processing-addendumで公開されており、現行版は2025年2月24日発効のものです。

この構造には注意点があります。サードパーティのプラットフォーム経由でClaudeを利用する場合(Amazon Bedrock、Google Cloudなど)、そこでの利用はそのプラットフォームの利用規約に従うため、Anthropic自身のDPAはそのまま適用されません。委託先管理台帳にAnthropicのDPAを記載する際は、どの経路でClaudeを利用しているかを明記しておく必要があります。

Controller/Processorの役割規定 — 顧客が管理者、Anthropicが処理者

DPAのSection Bは、役割分担を明確に定めています。Customer Personal Data(顧客が送信する個人データ)について、顧客が管理者(controller)、Anthropicが処理者(processor)です。Anthropicは法令上の要請がある場合を除き、顧客の文書化された指示(Agreement本体とDPAに記載された内容)に従ってのみ処理し、次を行わないとされています。

• 個人データを「販売」または「共有」すること(該当する法域の定義に従う)
• 直接の取引関係の範囲外、またはSchedule 1に定めるビジネス目的以外の目的でデータを保持・利用・開示すること
• 他の顧客や本人自身から収集した個人データと組み合わせること

Anthropicが処理義務を継続できないと判断した場合、顧客に速やかに通知する義務も定められています。顧客側の指示が適用法に違反すると判断した場合も同様に通知義務があります。この役割規定は、支援記事「Does Anthropic Act as a Data Processor or Controller?」でも同じ整理がされており、商用製品(Claude for Work、Anthropic API)では顧客が管理者、Anthropicが処理者という役割分担は一貫しています。

サブプロセッサーの取り扱いと15日間の異議申立て

Anthropicは、DPAのSchedule 4に列挙されたサブプロセッサーを利用する一般的な許可を顧客から得ている、という建付けになっています。新しいサブプロセッサーを追加する場合、Anthropicは顧客への事前通知を行い、顧客は合理的なデータプライバシー・セキュリティ上の懸念を理由に、通知から15日以内に書面で異議を申し立てることができます。15日以内に異議が無ければ、顧客は同意したものとみなされます。異議が出た場合は、両社が誠実に協議して解決を図る、という規定です。

この15日間の通知ウィンドウを見逃さない運用(通知メールの監視担当者を固定する、期限をカレンダーに登録する等)が、サブプロセッサー追加への異議申立て権を実質的に行使できるかどうかを左右します。

SCC組み込みはGDPRの越境移転に効き、APPIの適法性までは担保しない

DPAのSection Iは、適用データ保護法が要求する範囲で、SCCのModule Two(controller to processor)またはModule Three(processor to processor)を参照によって組み込み、両当事者が締結したものとみなす、と定めています。UK Addendum(英国向けの追加条項)、Swiss Addendum(スイス向けの追加条項)も同様に組み込まれます。

DPA・Agreement本体・SCCの間に矛盾がある場合の優先順位は、①SCC、②DPA、③Agreement本体の順です。SCCが最上位に来る設計は、EU域外への個人データ移転についてSCCの規律をAgreement本体の一般条項で上書きできないようにするためのものです。

日本企業にとって重要なのは、このSCC組み込みがEU一般データ保護規則(GDPR)上の越境移転規律に対応するためのものだという点です。日本の個人情報保護法(APPI)は、SCCという名称の枠組みを直接は要求しません。APPIが定める外国にある第三者への提供規律(法第28条)に対応する文脈では、Anthropicが「委託先」と整理できるかどうか、また「相当措置」を継続的に講じているかどうかが判断の軸になり、SCCの存在自体が日本法上の適法性を自動的に担保するわけではない点は区別しておく必要があります。

セキュリティインシデントは48時間以内に通知

DPAのSection Gは、Anthropicがセキュリティ侵害を認識してから遅滞なく、かつ48時間以内に書面で顧客に通知する義務を定めています。通知には、影響を受けた本人・データレコードのカテゴリーと概数、想定される影響、Anthropicが講じた対応策・軽減策が含まれます。通知や対応は、Anthropic側の過失・責任を認めたものとはみなされない、という留保も付いています。

契約終了後30日以内のデータ削除・返却義務

DPAのSection Hは、契約の終了または満了から30日以内に、Anthropicが顧客データのコピーを返却(顧客からの要請があった場合)し、Anthropicまたはサブプロセッサーが処理したすべてのコピーを削除する、と定めています。例外は次の3つです。

• 適用データ保護法その他の法令・規制上の要請でデータの保管が必要な場合
• 当事者間の紛争解決のためにデータの保持が必要な場合
• サービスの不正利用への対応のためにデータの保持が必要な場合

この「30日以内」ルールを契約終了時のチェックリストに組み込み、実際に削除完了の確認を取れる運用にしておくことが、監査対応上の証跡になります。DPAは監査条項(Section F)も備えており、顧客が書面で請求すれば、Anthropicは提供可能な範囲でSOC 2レポート等の監査報告書や認証を提供します。さらに踏み込んで独自に監査したい場合は、直近12か月以内に同種の監査が実施されていないことなどを条件に、顧客の費用負担で実施できます。

委託先管理の実務にどう落とし込むか

日本企業の委託先管理台帳にAnthropicを記載する場合、まず整理すべきは「DPAは署名の有無で管理する対象ではなく、Commercial Terms of Serviceへの同意時点で自動発効している」という前提です。台帳に記載すべきは、DPA自体の締結状況ではなく、①サブプロセッサー変更通知の監視体制(15日ルールへの対応)、②契約終了時のデータ削除確認プロセス(30日ルールへの対応)、③セキュリティインシデント通知を受けた際のエスカレーション経路(48時間ルールへの対応)の3点です。

SCCの組み込みはEUの越境移転規律への対応であり、APPIが定める外国にある第三者への提供規律への対応としては別に評価する必要があります。Claudeを社内システムの委託先として位置づける場合、外的環境の把握義務(個人情報保護法における安全管理措置の一部)への対応は、DPAとは別途進める必要があります。この論点はClaude Data Residencyと外的環境の把握で扱っており、あわせて確認しておく価値があります。

よくある質問

DPAに個別に署名する必要がありますか

必要ありません。AnthropicのDPAはCommercial Terms of Serviceに自動的に組み込まれており、Commercial Terms of Serviceへの同意がそのままDPAへの同意になります。

コンシューマー向けプラン(Free・Pro・Max)にもこのDPAは適用されますか

適用されません。このDPAはCommercial Terms of Service(Claude for Work、Anthropic API等の商用製品)に紐づく契約です。コンシューマー向けプランのデータ取扱いは別のプライバシーポリシーで整理されています。

サブプロセッサーの追加に異議を申し立てられなかった場合はどうなりますか

通知から15日以内に書面で異議を申し立てなかった場合、顧客は新しいサブプロセッサーの利用に同意したものとみなされます。通知メールを見落とさない監視体制が実務上の鍵になります。

SCCが組み込まれていれば日本の個人情報保護法(APPI)にも対応したことになりますか

なりません。SCCはGDPR上の越境移転規律に対応する枠組みであり、APPIが定める外国にある第三者への提供規律とは別の要件です。APPI対応では、Anthropicを「委託先」と整理できるかどうか、相当措置を継続的に講じているかどうかを別途確認する必要があります。

まとめ

AnthropicのDPAは署名不要でCommercial Terms of Serviceに自動組み込まれ、Controller/Processorの役割規定・サブプロセッサーへの15日間の異議申立て権・48時間以内のセキュリティ侵害通知・契約終了後30日以内のデータ削除義務を定めています。SCCの組み込みはGDPR越境移転への対応であり、APPIの委託先管理・外的環境の把握義務への対応は別途評価が必要です。委託先管理の実務では、署名の有無ではなくこれら3つの通知・削除ルールへの対応体制を整えることが実質的な統制になります。ZDR・data residencyを含むEnterprise契約全体の統制機能はClaude Enterpriseガイド、外的環境の把握義務との接続はClaude Data Residencyと外的環境の把握で扱っています。