Q　顧客や従業員の個人の情報を、外部のIT会社が管理するサーバーにアップしたり、外部の企業に処理してもらうたりする場合に、どのような対応が必要ですか。

個人情報を外部に提供する場合

（１）顧客や従業員の個人の情報を、外部のIT会社が管理するサーバーにアップすることがあります。社内にデータを保管するのではなく、外部のIT会社に保管してもらうことがあります。

（２）従業員の入社、退社等について、外部の企業に委託して対応してもらうことがあります。

（３）これらは、個人データの第三者提供にあたります（個人情報保護法２７条１項）。

　第三者提供の場合には、個人の同意が必要となります。

委託

（１）IT業者に業務上の個人情報の処理を一部委託する場合には、本人の同意は不要です（個人情報保護法２７条５項１号）。

（２）このためには、企業が委託先であるIT会社を管理・監督していることが必要です。

参考

　松尾剛行　「実務の落とし穴がわかる！　IT・AI法務のゴールデンルール３０」３３頁、３４頁

クラウド例外

（１）IT業者が、（個人情報を含む）データを預かるだけであり、全く処理しない場合には、本人の同意は不要です。

（２）このような場合には、個人情報保護法２７条の「提供」に該当しない場合、という解釈をとるからです。

（３）もっとも、クラウドサービスを利用する事業者は、自ら果たすべき安全管理措置の一環として、適切な安全管理措置を講じる必要があります（個人情報保護法２７条５項１号）。

参考

　松尾剛行　「実務の落とし穴がわかる！　IT・AI法務のゴールデンルール３０」３３頁以下