具体的には、ユーザー企業に委託契約の締結や委託先における個人データ取扱状況の把握等の義務は課されませんが、自社の個人情報取扱規程に定める個人データの安全管理措置の基準に照らし、当該クラウドストレージやそれに至るまでの通信回線等に関して、漏えい等のリスクの観点から十分な安全性を有するものであると評価することが必要です。設例のような状況になった場合は、当該クラウドストレージについて、セキュリティレベル・サービスレベルやデータのバックアップ等の条件を利用規約等で確認してから、社員に個人データのアップロードを認めるかを判断することが重要です。クラウドストレージから情報漏えいが生じた場合の責任クラウドストレージの提供事業者では個人データを取り扱わないことになっている場合において、当該クラウドストレージから、ユーザーである企業の社員がアップロードした顧客の個人データが漏えいした場合、ユーザー企業の安全管理措置が必要かつ適切であったか否かが問われることになります。責任主体は、サービス提供事業者ではなくユーザー企業になります。民事上の問題として、クラウドストレージ自体に脆弱性があった場合には、ユーザー企業が上記のような個人情報保護法上の責任主体としての対応を講じたことによって被った損害を提供事業者に対して求償することになりますが、一般的なクラウドサービスの利用規約においては、損害賠償額の上限を一定期間の利用料金までとする旨の条項が定められていることが多く、実際には求償できないことが多い点に注意が必要です。パートナー弁護士、システム監査技術者。AI、IoTやビッグデータ等を活用した新たなデータビジネスや個人情報等の情報管理に関する法務に精通し、日本経済新聞社の2015年度「企業が選ぶ弁護士ランキング・情報管理分野」にも選出されている。Inc.弁護士ドットコム税理士ドットコムクラウドサイン。