顧客データはどこに置くべきか—— データレジデンシー規制対応の実務

実務ガイド

表は論点の対比です。個別案件の適法性は現地法務または顧問の確認が必要です。

論点の整理：保存場所と移転手段は別物

現場では「プライバシー対応＝同意バナー」「海外展開＝シンガポール／東京リージョン1つ」とまとめがちです。前者は利用目的と同意の話、後者はインフラ配置の話で、規制の条文が指す対象が違います。

データレジデンシーは、「収集・生成した個人データを、どの国の領域内で記録・保管するか」を問います。越境移転の合法手段は、「すでに置いたデータを国外の処理者へ渡すとき、どの契約・評価・認定で保護水準を担保するか」を問います。片方だけ整えても、もう片方が欠けると監査や当局照会で止まります。

例えば、EU向けはSCCを締結済みでも、中国向け顧客の一次DBが東京リージョンだけだと、PIPL上の国内保存義務に触れうる場面があります。逆に、中国にコピーを置いても、EU居住者のデータを無根拠で中国へ複製するとGDPR側が問題になります。国ごとに「保存」と「移転」のどちらが先に来るかを表で持つことが出発点です。

マーケツール（アクセス解析・広告タグ・メール配信）も同じ対比で見ます。タグが飛ぶ先のリージョン、ベンダーのサブプロセッサ一覧、顧客マスタの正本の置き場を1行ずつ書くと、論点が混線しにくくなります。

「国内保存義務」と「保護水準の確保」を並べる

国内保存義務は、対象事業者・対象データの定義が国ごとに狭い／広いです。保護水準の確保は、国外へ出す前提で「同等の保護」を契約や認定で示す設計です。同じ「個人データ」でも、制度の入り口が違います。

国内保存が厚い側では、まず一次処理の場所を国内に固定し、そのうえで国外提供が必要なら追加の評価や契約を重ねます。保護水準中心側では、リージョンは柔軟でも、移転の根拠文書と影響評価（例：EUの転送影響評価＝TIA）が先に並びます。

日本本社がやりがちなのは、個人情報保護法（APPI）の越境ルールとGDPRのSCCを混ぜて「世界共通の1契約」にすることです。APPI・GDPR・PIPL・PDPAは用語も手続きも揃っていないのが実務上の前提です。共通化できるのは「データマップ（どの国の誰のデータが、どのシステムに、どのリージョンで）」までで、根拠文書は国別シートに分ける方が安全です。

対比の使い方は単純です。新規市場のキックオフで「保存義務があるか／ないか」を先にYes／Noで書き、Noなら移転ツールの種類、Yesなら一次DBの国名とクラウド事業者の契約主体を書く。ここを空欄のまま広告配信を始めると、後から移行コストが膨らみます。

中国：CIIと閾値ハンドラの国内保存

中国の個人情報保護法（PIPL、2021年11月施行）第40条は、重要情報インフラ運営者（CIIO）と、国家網信部門が定める数量に達する個人情報処理者に対し、中国国内で収集・生成した個人情報を国内に保存することを求めます。国外提供が必要な場合は、原則として国家網信部門が組織する安全評価を通過する必要があります（法令・規定で評価が不要とされる場合を除く）。

第38条は、国外提供の一般ルートとして安全評価・標準契約・認証などの条件を列挙します。ここが論点対比の要点です。国内保存（第40条）と越境ルート（第38条）は両立し得ますが、「グローバル1テナントに中国顧客を同居させる」設計は、第40条の対象に当たると再構築が必要になります。

クラウド実務では、AWSの公式説明どおり、中国（北京／寧夏）リージョンはグローバルAWSと分離され、別の中国向けアカウントが必要です。データは顧客が移さない限り当該中国リージョン内に留まる、とAWS中国サイトは述べています。東京やシンガポールの既存アカウントから「リージョンを選ぶだけ」では足りない、というのが典型的な抜けです。

2026年時点では、大規模な個人情報処理者向けの草案で、国内保存やデータセンター運営主体の国籍要件をさらに厚くする議論が進んでいます。草案は確定法ではないため、本稿では「動向として監視対象」に留め、確定義務としてはPIPL第40条と現行の越境規定を基準にします。法務確認なしに草案を社内規則の断定根拠にしないでください。

ロシア：市民データの一次DB国内化

ロシアでは、個人データ法152-FZが、242-FZ改正により市民の個人データの記録・体系化・蓄積・保管・更新・抽出を、ロシア国内のデータベースを用いて行う義務を明確化しました（2015年9月以降の運用）。外国事業者でも、ロシア市民のデータを扱う限り対象になり得ます。

論点対比では、中国の「CII／閾値」型より対象の入り口が広い、と整理できます。業種でCII認定を待つより前に、「ロシア語サイト／アプリで市民データを集めるか」が判断材料になります。Roskomnadzorはサーバ所在地の通知や違反者レジストリによるアクセス制限など、執行手段を持っています。

実務では、一次DBをロシア国内に置き、国外への複製は別途の越境手続きで扱う、という分解が一般的です。グローバルCRMの「同一インスタンス」にロシア顧客を混在させると、一次処理の場所要件と衝突しやすいです。クラウドに当該国リージョンが無い場合は、現地ホスティングや専用配置の検討が必要になり、AWSのレジデンシ関連ガイダンスでも、ローカルリージョンが無い国ではOutposts／Local Zones等の検討が挙げられます（可用性・コストは案件ごと）。

罰金水準は行政法典の改正で変動するため、本稿では具体額を断定しない方針です。重要なのは、違反が「規約の文言」ではなく「サーバの物理的所在と処理フロー」で測られる点です。アーキテクチャ図に国旗を1つ足す程度では足りず、収集時点の書き込み先を国内にする必要があります。

インドネシア：公／私PSEで保存義務が分かれる

インドネシアの政府規則PP 71/2019（電子システムおよび取引の実施）は、電子システム運営者（PSE）を公的領域と私的領域に分けます。公的領域のPSEは、原則として電子システムと電子データの管理・処理・保存を国内で行う義務があります（国内に技術が無い場合の例外規定あり）。

私的領域のPSEは、国外での管理・処理・保存が認められます。ただし、監督と法執行の実効性を損なわないこと、監督・法執行のためのアクセスを提供することが条件です（第21条）。旧PP 82/2012のような「民間も一律国内保存」から緩和された、という整理が法律事務所の解説でも共通しています。

ここが中国・ロシアとの対比点です。民間の越境ECやSaaSでも「必ずジャカルタに置く」とは限りませんが、PSE登録時にデータの所在地を申告し、当局アクセスを保証する体制が要ります。金融などセクター規制が上乗せされる場合は、一般則より厳しい国内要件があり得ます。

日本企業がやりがちなのは、インドネシア向けも「ASEANだからシンガポールリージョンで十分」と決め、PSE登録やアクセス保証の設計を後回しにすることです。レジデンシー義務が薄い分、登録・監督対応・個人データ保護法（2022年法）との接続が、実務の中心になります。

EU・シンガポール：移転ツール中心の設計

EUの一般データ保護規則（GDPR）は、十分性認定のある国への移転と、第46条の適切な保護措置（欧州委員会が採択した標準契約条項＝SCC、拘束的企業規則＝BCRなど）を軸にします。2021年6月の実施決定(EU) 2021/914による現行SCCは、コントローラ／プロセッサの組合せに応じたモジュール方式です。

シンガポールの個人データ保護法（PDPA）第26条は、国外移転について、移転先がPDPAと同等水準の保護を提供するよう所定の要件を満たすことを求めます（Transfer Limitation Obligation）。PDPCの助言ガイドラインは、法的拘束力のある義務（契約、BCR、認定など）を取る手順を示し、ASEANモデル契約条項（MCC）の利用も奨励しています。

対比すると、EU／シンガポールは「どの国の箱に置くか」より「国外に出す根拠と保護の同等性」が先です。東京リージョンでも、SCCや契約条項が無ければ足りない、というのが実務の前提です。逆に、中国・ロシア型の一次国内保存義務を、SCCだけで代替することはできない、という点が対比の核心です。

実務の並びは次です。（1）十分性認定の有無を確認する。（2）無い場合はSCC／BCR／認定のどれかを選ぶ。（3）EU向けは転送影響評価（TIA）で仕向地の法執行アクセスを評価し、必要なら暗号化等の追加措置を書く。（4）シンガポール向けは、受領者を拘束する契約条項と、ASEAN MCCの利用可否を確認する。文書の版が2021年以前の旧SCCのまま残っていないかも点検対象です。

クラウドリージョン選定ミスの典型コスト

典型パターンは3つです。第一に、グローバル用アカウントの「近いアジアリージョン」に中国顧客マスタを同居させ、後から中国リージョンへ切り出す。AWS中国は別アカウント・別契約主体のため、ID連携・課金・運用手順・災害対策（DR）の再設計がまとめて発生します。

第二に、ロシア市民データをEUリージョンの本番DBに書き込んだまま広告配信を続け、一次DBの国内化に追われる。データ移行、アプリの書き込み先変更、既存バックアップの扱い、通知義務の確認が同時に走り、キャンペーン停止よりコストが膨らむことがあります。

第三に、インドネシア向けは国外保存可と判断したまま、PSE登録の所在地申告と当局アクセス手順を空欄にする。保存義務違反ではなくても、登録・監督対応の不足でサービス提供が滞るリスクがあります。

コストの内訳は、インフラ料金より人件費と機会損失が大きいです。移行プロジェクト（設計・テスト・カットオーバー）、ベンダー契約の再締結、広告／CRMの計測タグ差し替え、顧客への説明文更新。リージョンを「レイテンシだけで選ぶ」と、この一式が四半期予算に乗ります。選定会議では、レイテンシ表の隣に「保存義務の有無」「契約主体」「サブプロセッサ国」の3列を置くと、後戻りが減ります。

SCC・BCR・標準契約の実務差

SCC（標準契約条項）は、特定のコントローラ／プロセッサ間の移転にモジュールを当てはめる契約テンプレートです。欧州委員会が採択した文言を基に、当事者・処理内容・サブプロセッサを埋める運用が一般的です。案件ごとに締結・更新が必要で、グループ全体の方針文書だけでは足りない点に注意が要ります。

BCR（拘束的企業規則）は、同一企業グループ内の越境移転のための社内規則を監督当局に認めさせる仕組みです。グループ会社間の日常的なデータ共有が多い場合に向き、承認までのリードタイムは長いです。中小の越境ECが最初からBCRを選ぶより、SCCと処理委託契約の組合せから入る例が多いです。

中国の「標準契約」ルートや、シンガポール／ASEANのモデル契約条項は、名前は似ていても適用法と必須条項が違います。「SCCを1通結べばアジア全部」は誤りです。契約書のファイル名に国コードを付け、どの制度のどの版かをメタデータで固定します。

チェック項目は述語まで書きます。SCCのモジュール番号を記入する。サブプロセッサ一覧の最終更新日を記録する。TIA（または同等の移転評価）の担当者と完了日を残す。中国標準契約や安全評価が必要な処理かを法務が判定する。未完了の項目がある国向けには、新規の顧客データの取り込みを止める、が運用ルールになります。

越境EC・マーケツールで起きる接点ズレ

顧客マスタが国内保存対象でも、アクセス解析や広告ピクセル、カスタマーサポートのSaaSが別リージョンへイベントを送ると、実質的な国外提供が追加されます。レジデンシー対応を「DBだけ国内化」で終わらせると、タグ層で論点が残ります。

接点の対比表を1枚作ります。左列にシステム名（EC、CRM、解析、広告、CS）、中列にデータの種類（識別子、注文、問い合わせ本文）、右列にリージョン／ベンダー国／移転根拠。空欄がある行は、配信開始前に埋めるか、該当市場のタグを切るかを決めます。

例えば、中国向けはアプリのユーザIDと注文を中国リージョンに置き、解析は国内で完結する製品を選ぶ、または識別子を最小化してイベントだけを送る設計にします。EU向けは、解析ベンダーとのSCCとクッキー同意の両方を揃えます。レジデンシーと同意は別論点なので、同意バナーだけでは移転根拠にならない点に注意が要ります。

代理店契約では、タグの追加権限とサブプロセッサ変更の通知義務を文書化します。「普通にグローバルタグを入れる」運用は、国内保存側の市場で意図しない国外提供を増やします。週次で接点表の差分（新規タグ／新規国）をレビューするだけで、大きな移行コストの多くは未然に防げます。

国×データ種別の対比チェック表

最小の対比表は次の4行で足ります。中国：CII／閾値該当か→国内一次保存＋越境ルート。ロシア：市民データの収集があるか→国内一次DB。インドネシア：公／私PSEか→私的なら国外可＋監督アクセス。EU／シンガポール：十分性またはSCC／BCR／契約か→移転文書と評価。

列は「顧客マスタ」「注文・決済」「マーケイベント」「サポートログ」の4つに分けます。同じ国でも、決済データだけセクター規制が厚い、サポートログだけ国外のCSに行く、といったズレが起きます。1行にまとめないことがポイントです。

表の更新頻度は四半期が目安です。新規出店国、新SaaS、クラウドのDR先変更があった四半期は臨時更新します。経営向け資料では、国の数より「未判定のセル数」をKPIにすると、進捗が見えます。

法務・情シス・マーケティングの3者が同じ表を見る運用にします。法務だけが契約を持ち、マーケだけがタグを持つ状態だと、対比表の空欄が埋まりにくいです。会議は30分で、空欄セルと「今週止める配信」だけを決めます。

今週確認する1点

今週の作業は、重点市場1つについて「顧客マスタの一次書き込み先（国・リージョン・契約主体）」と「国外へ出るマーケ／CSツールの移転根拠（SCC・契約・評価の有無）」を1行ずつ書き、空欄があれば新規キャンペーンの顧客データ取り込みを止めることです。

確認者は本社の情シス（またはクラウド担当）1名と、該当市場の事業責任者1名で足ります。結果は「国内保存対象／移転ツール対象／未判定」の3択で共有し、未判定のまま「問題なし」と書かないでください。

来四半期の計画では、クリエイティブ制作の前にデータマップの空欄ゼロを目標に置きます。空欄がある市場は、広告予算より移行・契約整備の工数を先に予算へ書き込みます。

草案段階の規制（例：中国の大規模処理者向け議論）は監視リストに載せ、確定義務と混ぜないでください。確定条文（PIPL第40条、152-FZの国内化、PP 71/2019の公／私区分、GDPR第46条、PDPA第26条）を今週の判定基準にします。