利用するクラウドサービスの準拠法が外国法である場合の注意事項として、主に以下の2点が想定されます。
・法令等について
- 当該国の個人情報保護に関する法規制等が、日本の個人情報保護法と同水準、またはそれ以上であるか
- サービス提供事業者の情報セキュリティ上の体制や対策が十分に整備されているか
※日本の個人情報保護法において、データを外国にある第三者に提供する(越境移転)場合、原則本人に同意をとる必要があります。
ただし、例外として、日本と同等の個人情報保護制度を有している場合には、同意が不要となります。
また、クラウドサービス提供事業者が、日本と同水準の個人情報保護に関する措置を継続的に続けられる体制が整っていることが確認できる場合にも、同意が不要となります。
・データ保管国について
サービスによっては、データの保管先が複数の国に分散されている場合や冗長化の観点から、コピーやバックアップが米国以外の国に保管されている可能性もあるため、注意して確認する必要があります。