APPI（個人情報保護法）

文書基準: 2026年8月

概要

個人情報保護法（APPI、Act on the Protection of Personal Information）は、日本で個人情報を取り扱う事業者全般に適用される基本法であり、個人情報保護委員会（PPC）が所管しています。GDPRなどの主要なグローバル個人情報保護法制と同様に、個人情報の収集・利用・提供・保管の各段階にわたる義務を定めており、とりわけクラウドアーキテクチャと直結するのが第28条の越境移転（外国にある第三者への提供）規制です。

日本には別途のデータローカライゼーション（現地化）義務を定めた法律はありませんが、APPIが求める越境移転手続きと「外的環境の把握」義務が、実質的にクラウドリージョン選択に影響を及ぼす構造になっています。

越境移転要件

APPI第28条は、個人データを外国にある第三者に提供する際、次の3つの経路のいずれかを求めています。これとは別に、法令上の例外事由（APPI第27条第1項各号を準用する場合）に該当するときは、この要件によらずに移転が可能な場合もあります。

1. 本人の同意

移転先が所在する国の個人情報保護制度や、移転先が講じる保護措置などに関する情報をあらかじめ提供した上で、本人の同意を得る方式です。最も原則的な経路ですが、大量の利用者データを扱うクラウドサービスにとっては運用負担が大きくなります。

2. 基準適合体制の整備

同意なしに移転する場合は、移転先がAPPIに準じた水準の個人情報保護措置を継続的に実施するよう、契約やグループ内規程などで確保する必要があります。実務上は、標準契約条項（SCC）に準じた契約、グループ共通の個人情報保護方針（BCRに類似した体制）、またはAPEC CBPR（越境プライバシールール）認証の取得などが活用されます。

3. 規則で指定する国

PPC規則により「日本と同等水準の個人情報保護体制を備えている」と指定された国・地域への移転は、上記の手続きなしに行うことができます。2026年8月現在、この指定を受けているのはEUおよび英国のみであり、指定要件としては個人情報取扱事業者に準じる規制、独立した監督機関の存在、相互協力の可能性などが求められます。

越境データ移転と国・地域別の十分性認定状況

2026年8月現在、日本のAPPI第28条に基づき同等水準として公式に指定されている国・地域はEU（およびEEA）ならびに英国のみです。

非指定国への移転要件: 米国やアジア太平洋地域（韓国、シンガポールなど）をはじめとする非指定国のクラウドリージョンや海外拠点へ個人データを移転するには、事前に本人の同意を得るか、契約上の安全措置（SCC相当の基準適合体制）を締結する必要があります。
APEC CBPRの活用: 日本、米国、韓国、シンガポールなどのAPEC参加エコノミー間では、APEC CBPR（越境プライバシールール）認証を基準適合体制の一つとして活用することが認められています。
相互十分性認定の限定性: 特定の国・地域間で二国間協定が成立している場合（例：日EU相互認定、韓EU相互枠組みなど）であっても、第三国間に自動的に拡張されるものではありません。例えば日韓間や日米間において包括的な相互十分性認定は公式に成立していないため、個別の移転メカニズムを適用する必要があります。

したがって、グローバル企業が日本の利用者データを海外リージョンへ送信したり、マルチリージョン構成を構築したりする際には、標準契約条項（SCC）型の契約や明示的な同意手続きといった個別の仕組みを利用規約およびアーキテクチャ段階で設計しておく必要があります。

クラウドリージョン選択とデータレジデンシーへの影響

APPIは特定のリージョンへのデータ設置を強制するものではありませんが、次の2点が実質的にリージョン選択に影響を与えます。

外的環境の把握義務: 外国の事業者が運営するクラウドサーバーに個人データを保存する場合、当該サーバーが所在する国の個人情報保護制度などを把握し、それを踏まえた安全管理措置を、保有個人データ（法第32条関連）の公表事項に反映する必要があります。クラウド事業者が契約上個人データを取り扱わず、アクセス制御も適切に行われている場合は「外国にある第三者への提供」に該当しないとみなされる例外もありますが、この場合でも外的環境の把握義務自体は残ります。
実務上の傾向: 上記の負担を軽減するため、日本リージョン（東京・大阪など）を優先的に選択したり、少なくともデータが保存されるリージョンの法制度を文書化して利用者に公表したりする事業者が多く見られます。グローバル企業が日本市場にクラウドサービスを提供する際も、日本リージョンの利用可否を初期のアーキテクチャ設計段階で決定しておくことが、その後のコンプライアンス対応負担を軽減する方法となります。

マイナンバーなど機微情報の取り扱い

マイナンバー（個人番号）制度は、APPIとは別の法律である「行政手続における特定の個人を識別するための番号の利用等に関する法律（番号法）」により規律されており、「特定個人情報」についてはAPPIよりも厳格な取り扱い制限が適用されます。

クラウドサービスがマイナンバーを保存・処理する形で設計される場合、原則として「委託」とみなされ、委託者（顧客企業）の責任が維持されたまま、受託者（クラウド事業者）にも安全管理措置の義務が生じます。
逆に、クラウド事業者が契約上マイナンバーを取り扱わないこととし、アクセス制御によってこれを技術的に担保する場合は、委託とみなさない例外的な構成も可能です。
実務では、ISMAPに登録されたサービスを、マイナンバーなど機微情報の処理に適したセキュリティ水準の参考基準とするケースが多く見られます。ISMAP自体はマイナンバー取り扱いのための法的認証ではないため、最終的な適合性は個別の契約と安全管理措置の設計によって判断する必要があります。

2025〜2026年の改正動向（3年ごとの見直し）

APPIは法律上、「施行状況をおおむね3年ごとに見直し、必要な措置を講じる」とする条項（いわゆる3年見直し条項）を設けています。今回の見直しの経過は次のとおりです。

時点	内容
2023年11月	PPCが見直しの検討に着手
2024年6月	中間整理を発表
2024年12月	検討会報告書を発表
2025年3月	制度的論点の整理
2026年1月9日	PPCが「いわゆる3年見直しに向けた個人情報保護法改正の方針」を発表（4本柱・12項目）
2026年4月7日	改正案の閣議決定・国会提出
2026年7月17日	改正法公布

2026年の改正は、AI学習データの活用、プラットフォーム事業者と利用者の間の情報非対称性の問題、不適正利用に対する罰則強化などを含む4本柱（適正なデータ活用の促進、リスクに応じた規律、不適正利用の防止、その他制度整備）で構成されています。施行日や下位のガイドライン・施行規則は本文書作成時点で順次発表されている段階であるため、クラウドアーキテクチャへの具体的な影響についてはPPCの今後のガイドライン発表を確認する必要があります（要確認）。