ヨーロッパの人々から個人データを収集する場合、どこにホストするかと、どう扱うかは、別々の問いであり、別々の答えがあります。このガイドでは、その違いを分かりやすく整理します。一般的な情報であり、法的助言ではありません。
GDPR はサーバーではなく人に適用される
EU の一般データ保護規則（GDPR）は、事業やサーバーの所在地に関係なく、EU の人々にサービスを提供する場合や、その行動を監視する場合に適用されます。サーバーを別の国に移しても、それらのユーザーに対する義務はなくなりません。
ホスティングの所在地で変わること
- どの当局がアクセスを要請できるか。ある国に保存されたデータは、その国の適法なアクセスに関するルールの対象になります。
- データ移転。個人データを EU の外へ移すには、十分性認定や標準契約条項などの法的根拠が必要です。
- 実務上のリスク。保存義務に関する法律、裁判手続き、執行の運用は国によって異なります。
- レイテンシとコスト。近いほど高速で、ロケーションによってはコストが低くなります。
各ロケーションの実際
| ロケーション | 枠組みの概要 |
|---|---|
| ドイツ、オランダ、フィンランド、ルーマニア | EU 加盟国のため、GDPR が直接適用され、データは EU 域内にとどまります。 |
| スイス | 独自の連邦データ保護法があり、EU が十分性を認めています。 |
| 米国 | 単一の連邦プライバシー法はなく、州法はさまざまで、データ移転には法的根拠が必要です。 |
| パナマ、シンガポール、セーシェル、モルドバ | それぞれ独自のデータ保護法があり、適用範囲が異なります。ご自身のケースに合わせて最新のルールを確認してください。 |
法律は変わるため、要約を信頼する前に、資格のある専門家に詳細を確認してください。
ロケーションに関係なく行うべきこと
- 必要なデータだけを収集し、不要になったら削除します。
- 可能な範囲で、通信中（HTTPS）と保存時のデータを暗号化します。
- 明確なプライバシーポリシーを公開し、開示や削除の請求に応じます。
- ソフトウェアを最新に保ち、ログインできる人を制限します。
- 個人データをどこに保存し、誰が処理しているかを記録しておきます。
オフショアは法の外という意味ではない
海外でのホスティングは、プライバシー、耐障害性、コストの面で有効なことがありますが、自分と自分のユーザーに適用される法律を遵守する責任は変わりません。オフショア VPS とはと、ロケーションの選び方をご覧ください。