最新バージョンが必要です。クリスティン・リオン/カリン・レッツァ多くの会社にとって、クラウドコンピューティングに関する主たる問題は、もはや情報を「クラウド」に移すか否かではなく、その移転をどのように実現させるかにある。クラウド(あるいはインターネットを使ったオン・デマンド)コンピューティングは、会社独自のローカル接続のコンピューティング資源に頼ることから離れて、共有サーバーやデータセンターへの依存度を高めている。Servicesが挙げられる。原則として、会社は第三者プロバイダーを用いることなく、社内「プライベートクラウド」を維持することもできるが、多くの会社は第三者プロバイダーを用いることを選択するため、本稿はそのようなクラウドコンピューティング・モデルに焦点を絞ることとする。クラウドコンピューティングのサービスは、ITインフラ(サーバー、ストレージ及び帯域幅)の提供からソフトウェアも使用可能な完成されたソリューションの提供までと多岐にわたる。クラウドコンピューティングは、コスト、効率及び情報へのアクセスに関し大きな利点がある。クラウドコンピューティングの処理能力は、柔軟でコスト効率の高い情報通信システムを会社に提供する。同時に、クラウドコンピューティングは、データの所在、移転及び取扱いに関する会社の直接的な支配を縮小させる傾向にある。クラウドを特徴づける柔軟性及びデータの流通性は、クラウド内のデータ保護に関して困難な課題を提起する可能性がある。その他の競争上の機密情報に関連するか否か)によって異なってくる。本稿では、個人情報をクラウドに移転する場合に特に法的に留意すべき事項について述べる。それぞれの会社の法的及びビジネスニーズに合致する対応策に至るための役立つ判断枠組を提供する。クラウドに移す個人情報の分類を決定すること原則として、個人情報とは、特定の個人を特定できる又は特定の個人と関連付けられる情報をいう。個人情報の種類によっては、他の個人情報よりも大きな法的及びビジネス上のリスクをもたらすものがある。健康情報を含むデータベースは、取引先の名称や連絡先情報を含むデータベースよりも大きなリスクを伴う。多くの国の金融規制当局は、金融情報に対しては特定のセキュリティー基準を設けている。したがって、取引先情報に関しては十分なクラウドコンピューティング・サービスであっても、健康、金融その他の機密情報を保護するために法的に要求される基準に満たないものもありうる。会社としては、最も機密性の高い個人情報をクラウドに移す場合に十分な保護を確保できる方策を立てる必要がある。場合によっては、一定の種類の個人情報は社内で保持し、より機密性の低い情報のみにコスト効率の高いクラウドコンピューティング・サービスを利用することを選択することもありうる。個人情報の外部委託に適用される法規範を確認することクラウドコンピューティングは、その性質上、プライバシー法、データ保護及び漏洩通知法、国境を越えた個人情報の移転を規制する法など、様々な法規範が適用されうる。(HIPAA))などの各分野固有のプライバシー法規制の適用の有無を検討しなければならない。これらの法は、プライバシー及びデータ保護に関し詳細な義務を課しており、さらに特別なクラウドの利用が要求される可能性がある。ヨーロッパに所在する若しくは設備を有するプロバイダーと取引のある会社だけでなく、ヨーロッパを拠点とする会社は、取引上の連絡先などの基本的な情報を含む全ての個人情報を保護する、各地域の包括的情報保護法のもとで要求される広範な義務を考慮に入れなければならない。これらの義務には、従業員、顧客その他の個人に対し、情報の外部委託及び処理について通知する義務、従業員の情報を外部委託する前に労使協議会に相談する義務、並びに、現地の情報保護当局に登録する義務などが含まれうる。同様の義務は、他のヨーロッパ、アジア、中東の国々及びアメリカを含む他の多くの国でも見られる。会社がこれらのプライバシー法の適用を受けないとしても、データ保護及び漏洩通知法が対象とする個人情報を保護したいと考えるであろう。クレジット若しくはデビットカード又は金融口座番号などの個人情報に焦点を合わせている。米国においては(全ての州ではないが)多くの州で、暗号化された情報について漏洩通知法の例外を設けているので、重要な対策の一つは、暗号化である。これに対し、他の多くの国では、暗号化された情報について必ずしも例外を認めず、全ての個人情報の保護を義務付けている。その結果として、米国以外で活動する会社は、全ての個人情報を保護するためのより広範な義務を課せられる可能性がある。法によってデータ保護義務は大きく異なるが、米国及び国際的なプライバシー法は、一般的に次のタイプの対策を要求する。プロバイダーに対し適切なデュー・デリジェンスを行うこと個人情報へのアクセス、その利用及び開示を制限すること技術上、組織的及び管理上の対策を樹立することプロバイダーとの間で法的に十分な契約書を締結すること個人情報に危険を及ぼす情報漏洩について影響を受けた個人に(潜在的には規制当局に)通知することクラウドにおける情報セキュリティの議論は、産業界において大きな注目を集めた。Computing)の案文を発表した。Alliance)などの産業団体は、クラウドにおける情報セキュリティの向上を目指して、任意のガイドラインを提案した。2009))は、http://www.cloudsecurityalliance.org/csaguide.pdfで入手可能である。27001などの基準によって認定されることを選択することができるが、このような認定は全ての法的義務を網羅できているとは限らない。欧州経済地域(EEA)の全加盟国とその近隣諸国(アルバニア、チャンネル諸島、クロアチア、フェロー諸島、マン島、マケドニア及びスイスを含む)、北アフリカ、中東、中南米及びアジア(モロッコ、イスラエル、アルゼンチン、ウルグアイ及び韓国を含む)など多くの国では、国境を越えて個人情報を移転又は共有することを禁止している。これらの規制は、データをクラウドに移そうと考える多国籍企業にとっては、重大な障害になりうる。かかる障害を踏まえ、一定の国又は区域内にデータを保持する地理的に限定されたクラウドを提供し始めたプロバイダーもいる。program)の認証を取得しているところもある。この免責プログラムは、EUから米国への情報移転のみを対象とするので、全世界的な対策にはならない。したがって、会社としては、プロバイダーが提供する選択肢が、事業を展開する各国々における法的義務を遵守するために十分であるか否かを慎重に検討すべきである。厄介なのは、国際的な情報保護当局(とりわけEEAにおいて)は、個人情報に関するクラウド・モデルの許容性に関し、さらなる疑問を提起している。シュレースウィヒホルシュタイン州(ドイツ連邦共和国の小さな州のひとつ)の情報保護当局長官セィロ・ウェイチャルト氏は、関係する全ての個人からの明示的な書面による(紙とペンによる)同意がない限り、EEAの外に所在するクラウドは全て違法であるという意見を発表した。Datenschutz、http://www.golem.de/1006/75887.htmlを参照。この意見は、シュレースウィヒホルシュタイン州で設立された会社に対しても法的拘束力は無く、他のドイツの州(又はEEA内やその他の情報保護当局)のおいてもこのような限定的な解釈に追随することはないと考えられる点に留意を要する。29は、クラウドコンピューティングを検討項目のひとつに加えた。29は2011年にクラウドコンピューティングに関するガイドラインを発表する見通しである。個人情報の外部委託に影響を与える契約上の義務を検討すること顧客や取引先に代わって保有する個人情報などの第三者情報に関係するアプリケーションをクラウドプロバイダーに外部委託する場合には、当該第三者との間で締結した契約書上の制約がないかを確認する必要がある。契約によっては、情報処理業務の外部委託や下請に関し第三者の同意が要求されることがありうるし、委託先や下請業者に対し特定の契約上の義務を課すことを要することがありうるからである。適切なクラウドコンピューティング・ソリューションを選択することクラウドコンピューティング・サービスは、多くの場合交渉の余地がなく、契約によって保護を手厚くしたり、サービス内容をカスタマイズすることは殆どできない。その結果、他のサービスプロバイダーとの間で通常含めるようなプライバシー保護及び情報保護条項であっても交渉できないことがあるかもしれない。会社としては、当該契約が自己に適用ある上記法的及び契約上の義務を果たす上で十分か否かを評価しなければならない。保有する情報に対する実務的リスクの程度を評価し、それらのリスクを軽減するためにどのような方策をとるべきかを検討する必要がある。パブリック・クラウド対プライベート・クラウド大まかに言えば、プライベート・クラウドは、プロバイダーが所有、賃貸、その他の方法で支配している装置にデータを保持する。プライベート・クラウド・モデルは、他の確立された情報通信の外部委託と同等のものであるといえ、多くの場合パブリック・クラウド・モデルが提起するレベルの懸念は生じない。パブリック・クラウド・モデルでは、競合他社や個人顧客が含まれるような無関係な第三者のコンピューターやネットワークにまたがり、より広範囲に情報を分散させる。パブリック・クラウド・モデルは、最大限の柔軟性と拡張性を有するが、一方で会社情報を取得した者を特定できないこと、監視が十分でないこと、ホスティング装置に標準化された情報保護実務が存在しないことが高度の懸念を生じさせる。これらの懸念を踏まえると、個人情報を外部委託する会社は、プロバイダーが情報保護に関しどの程度の契約上の義務を受け入れるつもりかを吟味すると同時に、当該サービスがプライベート・クラウドを用いているのか、あるいはパブリック・クラウドを用いているのかを把握する必要がある。会社は、クラウドに個人情報を送信する前に自ら施策を講じることで個人情報を保護することができるであろう。プロバイダー契約の中には、顧客に対して情報をクラウドにアップロードする前に暗号化することを求めるものもある。データを送信する前に暗号化することが可能であるならば、プロバイダーがその暗号を取得できない状況である限り、相当な情報の保護となるであろう。情報保護の規制に頼ることも重要である。その意味で、ヨーロッパのいくつかの国では、情報を保護するための具体的な法律上の規制が存在し、いくつかの監督機関は、クラウドコンピューティングに関する詳細な保護基準を公表した。ドイツのITセキュリティーエージェンシーから最近発表された保護基準がこれに当たる。Service)に関して、最低限求められる要件について詳細に記載している。データ可搬性に関するものが含まれる。この論文はITセキュリティーエージェンシーにおいて業界からのコメントを収集しているため最終版ではない。Cloud-Computing-Anbieterにてご確認ください(ドイツ語。