洋一弁護士シェアツイートあとで読む当社では社外のクラウドサービスを利用しており、社員がクラウドストレージにデータをアップロードして管理していますが、顧客の個人情報を含んだファイルをアップロードすることを認めてもよいのでしょうか。個人データの取扱いの委託にあたるかを含めて教えてください。当該クラウドサービスの利用規約において、サービス提供事業者がユーザーのアップロードした個人データを取り扱わないこととされている場合には、委託には該当しないと理解されています。基づいて求められる個人データに対する安全管理措置として必要かつ適切かが問われることになります。利用規約等においてサービス条件を確認してから、個人データのアップロードを認めるかを判断することが重要です。保護に関する法律についてのガイドライン』及び『個人データの漏えい等の事案が発生した場合等の対応について』に関するQ&A」(以下「Q&A」といいます)「Q5-33」)。具体的には、クラウドストレージとしてデータを保存するサービスにおいては、提供事業者がアップロードされた顧客のデータにアクセスすること自体が利用規約で制限されており、クラウドストレージにアップロードされた個人データを取り扱うことにはなっていない場合が多いと思われます。他方で、クラウドにて提供されるターゲットマーケティング目的での情報分析サービスや、名刺の画像情報をテキスト化してクラウドのストレージで保管するサービス等では、提供事業者において、アップロードされた顧客の属性情報等の個人データを分析したり、名刺画像から個人データをテキスト化し記録したりするため、個人データの取扱いを委託しているということになります。ここでは、サービス提供事業者が個人データを取り扱わないことになっている場合(委託にあたらない場合)を念頭に解説します。