Claude DPAは何を定めるか — SCC組み込みだけでは日本のAPPI対応にならない理由

AnthropicのData Processing Addendum(DPA)は、個別に署名する契約書ではありません。Commercial Terms of Serviceに自動的に組み込まれており、規約に同意した時点でDPAにも同意したことになります。委託先管理で読むべきなのは署名の有無ではなく、DPAが何を約束し、何を約束していないかです。

署名が要らないDPAは、どの契約経路に効くのか

サポート記事「How do I view and sign your Data Processing Addendum (DPA)?」は、SCC(Standard Contractual Clauses、標準契約条項)入りのDPAがCommercial Terms of Serviceに自動で組み込まれ、規約に同意すれば同時にDPAにも同意したことになる、と説明しています。記事の題名に「sign」とありますが、本文に署名の手順は書かれていません。DPA本体はanthropic.com/legal/data-processing-addendumで公開され、冒頭に「Effective February 24, 2025」と記載されています。

適用範囲は契約経路で変わります。DPAの冒頭は、Commercial Terms of Serviceまたは「このDPAを参照する他の合意」に組み込まれる、と定めています。同じサポート記事は、第三者のプラットフォームやサービス提供者経由でClaudeを使う場合は、そのプラットフォームの規約が適用されると注記しています。

• Claude for Work(Team・Enterprise)やAnthropic APIを、Anthropicと直接契約して使う場合: このDPAの対象
• 第三者プラットフォーム経由の場合: そのプラットフォーム側の規約が適用される
• Free・Pro・Maxなどの個人向けプラン: 商用製品向けの説明とは別扱い(サポート記事が「consumer productsはこちら」と別ページへ案内しています)

顧客が管理者、Anthropicが処理者 — DPAが約束する処理の範囲

DPAのSection B.1は、Customer Personal Data(顧客が送信する個人データ)について、顧客をcontroller(管理者)、Anthropicをprocessor(処理者)と定めます。B.2により、Anthropicは法令上必要な場合を除き、サービスの提供・維持のために、顧客の文書化された指示(Agreement本体とDPA)に従ってのみ処理します。B.3は、Anthropicがしないことを3つ挙げています。

• 適用法の定義でいう個人データの「販売」または「共有」
• 直接の取引関係の外、またはSchedule 1のPart Bに定めるビジネス目的以外での保持・利用・開示
• 他者から受け取った個人データや、本人との直接のやり取りで得たデータとの結合(法が認める場合を除く)

そのほか、B.4はAnthropicが処理義務を守れないと判断したときの通知、B.5は顧客の指示が適用法に違反すると考えたときの通知を求めています。B.6はデータ保護影響評価(DPIA)と監督当局への事前協議への協力、B.7は処理に関わる担当者への守秘義務を定めます。サポート記事「Does Anthropic Act as a Data Processor or Controller?」も、商用製品では顧客がcontroller、Anthropicがprocessorで、モデルの学習には使わない(Development Partner Programへの参加を選んだ場合を除く)と説明しており、DPAと整合しています。

条項のうち、台帳に効くのは次の3つの数字です。

数字

DPAが定める3つの期限

• サブプロセッサー追加への異議

  15日

  通知から。無反応なら同意扱い(C.3)

• セキュリティ侵害の通知

  48時間

  Anthropicが認識してから(G.1)

• 契約終了後の削除・返却

  30日

  終了または満了の日から(H.1)

15日以内の異議は、通知を受ける人が決まっていないと使えない

C.1でAnthropicはSchedule 4のサブプロセッサーについて包括的な承認を得ています。Schedule 4の実体はanthropic.com/subprocessorsの一覧へのリンクです。追加する場合、AnthropicはそのサブプロセッサーがCustomer Personal Dataに触れる前に「合理的な通知」を行います(C.3)。顧客は、合理的なデータプライバシー上またはセキュリティ上の懸念に基づく異議を、通知の日から15日以内に書面で出せます。出さなければ同意したものとみなされます。異議が出た場合は、両社が誠実に協議して解決策を探すと書かれており、追加を撤回させる権利までは書かれていません。

DPAの本文は通知の宛先や手段を定めていません。誰がその通知を受け、15日のカウントを始めるかは、契約担当者の連絡先登録を含めて、自社で決めておくと運用が明確になります。なおC.2は、AnthropicがサブプロセッサーにDPAと同等の義務を契約で課し、その履行について責任を負うと定めています(責任の範囲はAgreementの責任制限の内側です)。委託先の再委託先をどう見るかを考える際の材料になります。一覧の見方はAnthropicのサブプロセッサー一覧を確認する方法にまとめています。

48時間は通知の期限であり、報告の中身も決まっている

G.1は、Security Breach(Anthropic側のセキュリティ侵害による個人データの破壊・喪失・改変・不正な開示やアクセス)を認識してから、不当な遅滞なく、遅くとも48時間以内に書面で通知すると定めます。G.2は、判明している範囲で、影響を受けた本人と個人データレコードの分類・概数、想定される影響、講じた・講じる予定の対応を提供する、としています。通知や対応がAnthropicの過失や責任を認めたことにはならない、という留保もG.1にあります。

30日以内の削除・返却には、3つの例外がある

H.1は、契約の終了または満了から30日以内に、顧客の要請があれば顧客データのコピーを返却する(または自分で取り出せる機能を提供する)ことを求めます。要請は「その期間内に」行う必要がある点に注意が要ります。あわせて、AnthropicとサブプロセッサーはすべてのCustomer Dataのコピーを削除します。例外は、法令上の保管要件、当事者間の紛争解決に必要な保持、サービスの有害な利用への対処に必要な保持の3つです。

例外に該当するデータが残った場合に、削除完了をどう確認するかはDPAに書かれていません。削除確認の取り方は自社の運用で補うことになります。

SCCはどこまで入っているか — Schedule 3の中身

SCCが何をカバーしているかは、I条とSchedule 3を突き合わせると具体的に分かります。

I.1は、適用法が要求する範囲で、SCCのModule Two(controller to processor)またはModule Three(processor to processor)を参照によって組み込み、両当事者が締結したものとみなす、と定めます。SCCの出典として、DPA本文は欧州委員会の施行決定(EU) 2021/914(2021年6月4日)を指定しています。

Schedule 3で選ばれている条項の設定は次のとおりです。

SCCの外側には、UK Addendum(英国ICOの追加条項)とSwiss Addendum(スイス連邦データ保護法向け)がSchedule 3のBとCとして付いています。Swiss Addendumの管轄は、スイスの連邦データ保護・情報コミッショナー(FDPIC)です。

SCCが実際に効くかどうかは「適用法が要求する範囲」に限られます。DPAの側に条文で名前が挙がっているのは、GDPR、英国GDPR、スイスの法だけです。

条項がぶつかったときの優先順位

DPAの冒頭には「DPAとAgreementが矛盾すればDPAが優先する」とあり、I.3はさらにSCCをその上に置いています。

手順

矛盾したときに勝つ文書の順番

1. 1

   SCC

   EU域外への移転に関する条項が最上位です。DPAやAgreement本体の文言で上書きされません。

2. 2

   DPA

   Agreement本体と食い違う場合はDPAが優先します。

3. 3

   Agreement(Commercial Terms of Service)

   上の2つが触れていない部分を受け持ちます。

Swiss Addendumには別の定めもあります。この追加条項とSCCやほかの合意が矛盾する場合は、本人にとって最も保護的な条項が優先します(C.2)。I.3の順番とどう組み合わさるかは、DPAに書かれていません。

I.4は、国際移転の要件を満たすための合理的な支援を約束し、顧客が求めれば、適用法が要求する場合の移転影響評価(TIA)に必要な情報を提供するとしています。TIAの結論を出すのは顧客側で、DPAはその判断まで肩代わりしません。

日本のAPPI対応はSCCの外にある

SCCとAddendaは、名前を挙げた法域に向けたものです。一方、B〜H条の義務は「Applicable Data Protection Laws」(A.1の定義では適用されるプライバシー・データ保護法令全般)が対象で、EU等に限られません。日本の個人情報保護法(APPI)は、Schedule 3のどこにも出てきません。UK AddendumとSwiss Addendumのように、日本法向けの追加条項がDPAに付いているわけではないという事実を、まず押さえておく必要があります。

くらべる

DPA・SCCが名前を挙げている法域と、そうでない法域

EU・英国・スイス

条文に名前がある

GDPR向けのSCC(Module Two・Three)、英国向けUK Addendum、スイス向けSwiss Addendumが、DPAに組み込まれています。

日本を含むその他の法域

条文に名前がない

APPI向けの追加条項はSchedule 3にありません。DPAのB〜H条が日本の規律を満たすかは、個人情報保護委員会のガイドラインに照らして自社で確認する論点です。

APPIの外国にある第三者への提供(法第28条)や安全管理措置での外的環境の把握が、DPAの条項でどこまで満たされるかが問題になります。この点について、DPAの条文にもヘルプセンターのDPA関連記事にも、Anthropicの見解は書かれていません。日本の規律を「満たす」かどうかはDPAの文言だけでは決まらず、個人情報保護委員会のガイドラインに照らして判断することになります。その照合は法務担当者や弁護士に確認するのが確実です。28条の体制整備ルートでDPAをどう使うかはClaudeへの個人データ入力は外国にある第三者への提供にあたるかで扱っており、本記事はDPAの条文側を見ています。外的環境の把握という切り口は、Claude Data Residencyと外的環境の把握で扱っています。

SCCが関係するかどうかの分かれ目は、本人の所在だけでは決まらず、輸出者(顧客)の処理にどの法が適用されるかです。Schedule 1のA.1は「The data exporter is the Customer … exporting Customer Personal Data to which GDPR applies」と書きます。UK Addendumは英国GDPRの対象となる処理、Swiss Addendumはスイスのデータ保護法が輸出者の処理に適用される範囲を対象にしています。

• 自社の処理にGDPR・英国GDPR・スイス法のいずれかが適用される場合: DPAのSCCとAddendaが関係する
• どれも適用されず、日本法だけが適用される場合: SCCは関係が薄く、APPI上の確認は別の行で扱う論点になる
• 両方が適用される場合: 双方の確認が必要になる

適用の有無はEU拠点の有無や域外適用の規定など、個別の事情で決まります。判断が割れる場合は法務担当者への確認が確実です。

もう一つ、Schedule 1のB.3は「Special categories of personal data (if applicable): None」と記載しています。GDPRの特別な種類の個人データ(健康データなど)を処理対象として想定していない書き方です。日本のAPPIの要配慮個人情報とは法域が別の概念なので、診療情報のようなデータを送る計画がある場合は、この記載をGDPR側の確認の出発点にしつつ、APPI側は別に確かめることになります。

監査とデータ主体からの請求 — DPAで頼れる範囲

F.1は、Anthropicが外部監査人による年次監査を受けていると述べ、顧客の書面請求があれば、SOC 2レポートなどの監査報告書や証明書を(入手可能な範囲で)提供するとしています。現在の認証はtrust.anthropic.comで確認できる、というのもF.1の記述です。

顧客が自ら監査したい場合はF.2に条件があります。顧客または守秘義務契約を結んだ第三者が実施し、開始日・範囲・期間などを両社で合意し、直近12か月以内に同種の監査が行われていないことが必要です。ただし、コンプライアンス違反の兆候がある場合や、監督当局が求める場合は、12か月の縛りが外れます。監査は顧客自身の費用で行います。加えてF.3は、Anthropic側に生じた費用の顧客負担について、法令上必要な監査とセキュリティ侵害への対応としての監査では求めないとしています。監査結果は、規制対応の監査要件の充足やDPAの遵守確認にしか使えません(F.4)。

技術的・組織的な安全管理の中身は、E条とSchedule 2にあります。保存時のAES-256以上の暗号化、TLS 1.2以上、多要素認証、年次ペネトレーションテストの要約提供などが挙がっており、安全管理措置の確認材料になります。

データ主体(本人)からの請求はD条にあります。Anthropicが本人から直接受け取った請求は、遅滞なく顧客に転送し、本人に顧客へ直接請求するよう案内することがあります(D.1)。顧客が請求に応じるための合理的で適時の支援も約束されています(D.2)。問い合わせ窓口を自社側に置いておく前提の設計です。

APPIの確認に使えるDPAの条項と、台帳に残す3点

APPIの体制整備を確かめる材料として、DPAのどの条項が使えそうかを並べます。対応を断定するものではなく、確認の出発点です。措置の区分は越境移転の記事が挙げる「利用目的の制限・安全管理措置・委託先の監督等」に合わせています。

台帳には、この表の外にあたる次の3点も残しておくと後から辿れます。

• 契約経路: 「DPA締結済み」だけでなく、Anthropicとの直接契約か第三者プラットフォーム経由かを併記します。前者はこのDPA、後者はそのプラットフォームの規約が根拠になります。
• DPAの版: 前文は、適用法令の変更で必要になった場合にAnthropicが合理的な通知のうえで改定できると定めています。Effective日を控えておけば、いつの条文に同意していたかが分かります。
• APPIの行: SCCの外側にあるので、DPAの行とは別に立てます。

まとめ

DPAで確認できるのは契約上の約束までです。APPI上の適否と、通知を受ける社内体制は、自社側で埋める部分として残ります。