SaaSのサブプロセッサ変更通知を管理する方法｜影響確認・異議期限・顧客連絡の実務
SaaSがクラウド基盤、生成AI、メール配信、監視、サポートなどの委託先を追加・変更すると、その委託先が顧客データを扱うサブプロセッサに当たることがあります。変更の事実だけを一斉メールで知らせても、契約ごとの通知期間、顧客が異議を述べられる期限、データの種類や処理国、開始可否が結び付いていなければ、顧客ごとの約束を守れません。
SaaSのサブプロセッサ変更通知は、変更候補を本番利用する前に、対象データと処理内容、契約上の承認方式、通知期限、国外移転を含むリスク、顧客の異議処理を確認し、顧客別の開始可否まで管理します。全顧客へ同じ日付で送るのではなく、契約とサービス構成に応じて対象、期限、経路、対応を分けることが要点です。
本記事のポイント
- 追加・交代だけでなく、処理目的、データ種類、処理国、アクセス範囲が変わる場合も、通知対象かを契約とデータフローから判定します。
- 通知期間に一律の正解はありません。顧客ごとのDPAや利用契約にある事前承認、通知日数、異議期限、通知経路を台帳化します。
- 通知の送信では完了にせず、到達、質問、異議、代替措置、開始可否、サブプロセッサ一覧の更新まで証跡として閉じます。
通知対象を「取引先の追加」ではなくデータ処理の変化で判定する
サブプロセッサは、SaaS事業者が受託した個人データの処理の一部をさらに委ねる相手です。単に購入先や業務委託先が増えただけでは直ちに該当せず、その相手が顧客データへアクセスするか、保存、送信、分析、サポートなどの処理を担うかで見ます。たとえば、請求書の印刷だけを行い顧客データへ触れない会社と、問い合わせ本文を保存するサポート基盤では確認範囲が異なります。
EU一般データ保護規則（GDPR）第28条は、処理者が別の処理者を利用する場合、管理者から個別または一般の書面による承認を得る枠組みを定めています。一般承認の場合も、追加・交代の予定を管理者へ知らせ、異議を述べる機会を与える必要があります。欧州データ保護会議（EDPB）のガイドラインは、相手の所在地、担う処理、保護措置を管理者が判断できる情報として挙げ、更新される一覧を置くだけでなく、予定する変更を能動的に知らせる考え方を示しています。
日本の個人情報保護委員会の通則ガイドラインも、委託元が委託先を選定し、契約を締結し、取扱状況を把握することを求める考え方を示しています。再委託では、相手方、業務内容、個人データの取扱方法について事前報告や承認を受け、委託先が再委託先を適切に監督しているか確認することが望ましいとされています。したがって、法令名だけで一律の通知文を作るのではなく、自社と顧客の契約、処理実態、所在国を同じ変更票で確認します。
| 変更例 | まず確認すること | 通知判定 | 保留すべき状態 |
|---|---|---|---|
| 新しいクラウド基盤を追加 | 保存対象、バックアップ、暗号鍵、処理国、アクセス権 | 顧客データを扱うなら契約上の承認・通知条件を確認 | データ範囲や開始日が未確定 |
| 既存委託先を別法人へ交代 | 契約主体、処理内容、移行期間、旧委託先の削除 | 追加・交代として原則再判定 | 旧新の重複処理や削除条件が不明 |
| 同じ委託先で処理国を追加 | 保存・アクセス国、移転根拠、現地制度、顧客契約 | 一覧上の社名が同じでも変更として判定 | 国外移転の確認が終わっていない |
| 機能追加で扱うデータが増える | 新しいデータ種類、目的、保持期間、オプトアウト可否 | サブプロセッサ変更に加え処理範囲変更も確認 | 既存DPAの目的・範囲を超える |
| 会社名やURLだけが変わる | 法人格、契約主体、処理実態、所在地の変化 | 実質変更がなければ記録更新で足りる場合がある | 別法人化や承継関係を確認できない |
通知対象を見落としやすいのは、社名ではなく処理の中身だけが変わる場合です。生成AI機能が新しいモデル提供者へ内容を送る、サポート担当が別の国から本番データへアクセスする、ログ保管地域が増えるといった変化も、データフローを更新して判定します。SaaS選定時の確認項目はSaaSセキュリティ認証の種類と確認方法でも整理しています。
契約・顧客・データを一つの通知台帳へまとめる
変更通知が詰まる最大の原因は、契約管理、セキュリティ審査、顧客連絡が別々の台帳にあることです。法務は通知日数を把握していても、どの顧客が対象サービスを利用しているか分からず、開発は開始日を知っていても、個別DPAで事前承認が必要な顧客を判別できない、といった分断が起きます。
通知台帳では、顧客、契約版、対象サービス、承認方式、通知日数、異議期限、指定通知先、利用中の機能、処理データ、処理国、変更予定日を同じ行で結びます。EDPBは個別承認と一般承認の違いだけでなく、承認・異議の期限と連絡方法、異議が出た後の実務手順を契約で明確にすることを推奨しています。「30日前なら安全」のような共通値を置かず、契約の原文と顧客別期限を保存します。
| 台帳の列 | 記録する内容 | 開始判定に使う理由 |
|---|---|---|
| 変更ID・対象機能 | 一意の変更番号、機能、環境、予定開始日 | 通知と本番変更を同じ単位で追跡する |
| 顧客・契約版 | 契約、DPA、個別条項、更新日、適用サービス | 現在有効な約束を取り違えない |
| 承認・通知条件 | 個別承認か一般承認か、事前日数、異議期限、通知経路 | 顧客別の最遅送信日と回答待ちを計算する |
| 処理内容 | 目的、データ種類、対象者、保存・アクセス、保持と削除 | 変更の影響範囲を説明する |
| 所在地と移転 | 法人所在地、保存国、アクセス国、移転根拠、確認日 | 国外処理の追加確認を落とさない |
| 顧客反応 | 到達、質問、異議、回答、代替措置、承認者 | 未解決顧客を本番開始対象から分ける |
| 証跡 | 審査資料、承認、通知本文、送信結果、一覧更新、開始記録 | 後から同じ判断を再現する |
国外の事業者が個人データへアクセスする場合は、サーバーが日本国内にあっても確認が必要になることがあります。個人情報保護委員会のQ&Aは、外国の委託先や再委託先が国内サーバー上の個人データへアクセスする場合も、その外国の制度を把握したうえで安全管理措置を講じる考え方を示しています。委託、外国第三者提供、相当措置、本人同意のどれが適用されるかは事案で異なるため、台帳には法的評価の結論だけでなく、対象国、データ、契約関係、根拠資料を残します。
7ステップで変更通知から開始判断まで進める
- 変更候補を本番計画より先に登録する
購買申請、設計レビュー、セキュリティ審査の入口で、候補企業、対象機能、データ処理、予定開始日を変更IDへ登録します。契約締結後や実装直前に法務へ回すと、顧客別の事前期間を確保できません。 - サブプロセッサ該当性とデータフローを確認する
相手が顧客データを扱うか、どの目的で、どの項目へ、どの環境・国からアクセスするかを図と一覧で確認します。処理しない相手も、非該当とした理由と確認者を残します。 - 委託先の保証と再委託条件を審査する
安全管理措置、権限、暗号化、ログ、保持、削除、漏えい連絡、監査協力、さらに下位委託の条件を確認します。回答の根拠と有効期限をそろえる方法は取引先セキュリティチェックシートの回答管理で確認できます。 - 対象顧客と契約条件を展開する
対象サービス・機能を利用する顧客を抽出し、契約版ごとに個別承認、一般承認、事前通知日数、異議期限、指定通知先、異議時の選択肢を計算します。契約情報が欠ける顧客は「通知不要」にせず、確認待ちにします。 - 判断に必要な情報を通知する
新しい相手の法人名、役割、処理目的、データ種類、保存・アクセス国、主な保護措置、開始予定日、異議期限、回答方法、問い合わせ先を示します。すべてのセキュリティ情報を公開本文へ詰め込まず、必要に応じてNDA下の資料へ分けます。資料共有の制御はセキュリティ資料の共有管理も参考になります。 - 質問・異議・未達を分岐処理する
一般質問、追加証跡の依頼、契約上の異議、特定データだけの停止を同じ状態にまとめません。回答期限、責任者、代替構成、対象顧客の開始可否を分け、未解決のまま一括して本番開始しないようにします。 - 開始、一覧更新、旧委託先の終了を閉じる
対象顧客の条件を満たしてから本番利用を許可し、公開・契約上のサブプロセッサ一覧、データフロー、資産台帳、処理記録を同じ変更IDで更新します。交代の場合は旧委託先のアクセス停止、データ返却・削除、重複処理終了まで確認します。
変更通知の完了は、メールを送った時ではなく、対象顧客ごとの期限、回答、例外、開始可否を同じ台帳で説明できた時です。
異議や期限超過を「未返信」とまとめず開始可否へ変換する
顧客から異議が来たときは、法務だけで回答文を作るのではなく、その顧客のデータが新しいサブプロセッサへ流れるかを技術的に止められるか確認します。機能を無効化できる、別リージョンを使える、代替事業者へ切り替えられる場合と、サービス全体で一つの基盤しか使えない場合では選択肢が異なります。
| 顧客の状態 | 次の処理 | 開始可否 | 残す証跡 |
|---|---|---|---|
| 通知到達・異議なし | 契約上の期限満了と他の審査完了を確認 | 条件を満たせば開始可 | 送信、到達、期限、開始承認 |
| 一般質問 | 処理範囲や保護措置を回答し、異議か確認 | 契約条件に従い判断 | 質問、回答、確認結果 |
| 追加資料待ち | NDA、閲覧期限、対象者を設定して共有 | 承認判断に必要なら保留 | 共有範囲、閲覧ログ、回答 |
| 異議あり | 根拠、影響データ、代替策、契約上の選択肢を確認 | 解決または適用除外まで保留 | 異議、評価、提案、合意 |
| 連絡先不明・不達 | 契約上の指定経路を再確認し、担当者を更新 | 送信済みとみなさず保留 | 不達、再送、連絡先更新 |
| 期限後に重大懸念 | 影響と契約を再評価し、必要なら利用停止 | 自動却下せずリスク判断 | 受領日時、暫定措置、最終判断 |
一般承認で顧客が期限内に異議を述べなかった場合の扱いと、個別承認で明示回答が必要な場合の扱いは同じではありません。EDPBのガイドラインも、一般承認では定めた期限内に異議がないことを承認と解釈できる場面がある一方、個別承認では回答がないことを承認として扱わない考え方を示しています。必ず適用契約の文言と法域を確認します。
本番開始後も、一覧更新の遅れ、通知漏れ、旧委託先へのアクセス残りを監視します。委託先のセキュリティ資料を顧客へ安全に提示し、回答の根拠を更新する運用は、AIサービスの契約・セキュリティ確認資料とSaaS通知先データの安全な管理にもつながります。
よくある質問
サブプロセッサ変更通知の対象になる変更は何ですか？
新規追加や交代のほか、同じ会社でも処理目的、データ種類、保存・アクセス国、再委託範囲が変わる場合は再判定します。会社名の変更だけで実体が変わらない場合も、法人格や契約承継を確認して記録を更新します。
サブプロセッサ一覧をWebで更新するだけで通知になりますか？
契約でその方法が通知経路として合意され、顧客が変更を認識できる仕組みになっているか確認が必要です。EDPBは、更新され得る一覧へ一般的なアクセスを与えるだけでなく、予定する変更を能動的に知らせる考え方を示しています。購読メール、管理画面通知、指定先メールなどを契約と合わせます。
通知は必ず30日前に送る必要がありますか？
すべての契約に共通する一律の30日ルールとして扱わないでください。法令、DPA、利用契約、個別合意によって期間や起算点が異なります。顧客別の有効契約から事前期間と異議期限を抽出し、最も早い期限から逆算します。
顧客が異議を出したら新しい委託先を使えませんか？
承認方式、異議条項、サービス構成によります。特定顧客だけ対象機能を停止する、別構成を使う、追加資料で再評価する、契約上の終了手続を検討するなどの選択肢を確認します。異議が未解決の顧客を一括開始へ含めません。
通知前にサブプロセッサの利用が始まっていたらどうしますか？
可能な範囲で新規データ処理を止め、対象顧客、処理データ、開始時刻、所在国、契約違反の可能性を確認します。法務・プライバシー・セキュリティ・サービス責任者へエスカレーションし、顧客連絡や漏えい等報告の要否を個別に判断します。後追いメールだけで閉じません。
海外の再委託先は何を追加確認しますか？
法人所在地だけでなく、データの保存国とアクセス国、国外移転の法的根拠、現地制度、安全管理措置、再々委託、継続確認の方法を見ます。日本法、GDPR、顧客契約が重なる場合があるため、対象データと当事者の役割を特定して判断します。
公式・公的資料で確認する
- EUR-Lex：General Data Protection Regulationでは、第28条の処理者契約、別の処理者を利用する際の個別・一般承認、同等の義務を下位処理者へ課す枠組みを確認できます。
- European Data Protection Board：Guidelines 07/2020では、サブプロセッサ一覧に必要な情報、能動的な変更通知、異議期間、個別承認と一般承認の運用差を確認できます。
- 個人情報保護委員会：個人情報保護法ガイドライン（通則編）では、委託先の選定、契約、取扱状況の把握、再委託先に関する事前報告・承認と監督の考え方を確認できます。
- 個人情報保護委員会：外国にある第三者への提供編では、外国の制度、相当措置、継続的な確認、本人への情報提供に関する枠組みを確認できます。
- 個人情報保護委員会：個人情報保護法Q&Aでは、外国の再委託先、国内サーバーへの国外アクセス、委託元・委託先の監督責任に関する具体的な考え方を確認できます。
この記事は法的助言ではありません。実際の通知義務、異議の効果、国外移転対応は、適用法令、当事者の役割、契約文言、処理実態に応じて法務・プライバシー担当者と確認してください。
