クラウドサービス利用時のデータ保護責任はユーザー企業か？

基本的に、個人情報保護法上の「個人情報取扱事業者」はユーザー企業であり、クラウド事業者は委託先の扱いとなることが多いです。ユーザー企業は委託先を適切に管理監督する義務を負い、漏えいが起きた場合は「委託先がやったことだから」と言って免責にはなりません。一方、クラウド事業者との契約書では、セキュリティ対策や賠償責任の分担が定められるため、クラウド側の過失に起因する漏えいであれば損害賠償請求が認められる可能性があります。ただし、クラウド事業者の約款によっては賠償上限が低額に設定されていることが多いので、ユーザー企業は注意が必要です。結果として、法的責任はユーザー企業が中心に追及され、クラウド事業者との間で契約上の責任分担をどう設定しているかが実務上のポイントになります。