CLOUD Actとは

CLOUD Actとは、「Clarifying Lawful Overseas Use of Data Act」の略で、米国議会で2018年3月に可決された法案です。このCLOUD Actにより、米政府は米国内に本拠地を持つ企業に対して、米国外に保存されているデータであっても令状なしでデータの開示を要求する可能性があります。

原文: H.R.4943 - CLOUD Act
参考: 【アメリカ】海外のデータの合法的使用を明確化する法律－クラウド法－

例として、米国内で現地法人を設立し、事業展開をしている日本企業を考えてみましょう。この企業が扱うデータは、米国拠点内に設置しているサーバーだけでなく、日本国内のオフィスやデータセンターにあるサーバーにも保存されているものとします。このような場合、従来であれば企業は米政府からのデータ開示要求を拒否することができました。実際にマイクロソフト社が、米国外にサーバーがあることを理由にデータの開示を拒否した例があります。しかし、CLOUD Act成立後、企業は米国外にあるデータについても米政府からのデータ開示要求に従う義務を負うようになりました。

「クラウドの選定ポイントとは」において、「クラウド上に保存されているデータにはそのリージョンが存在する地域の法律が適用されるため、日本の国内法が適用される日本国内リージョンを選択するのがよい」と解説しました。しかし、米国法が適用されるクラウドベンダーを利用している場合は、たとえ日本国内にあるリージョンのみにデータを保存していたとしても、CLOUD Actによって米政府からデータの開示要求がなされる可能性が存在します。そのため、クラウドベンダーを選定する際にはベンダーの本拠地や適用される法律についても確認し、場合によっては日本企業が提供するサービスを使うことも考慮しておくのがよいでしょう。

こうした点を踏まえ、米国法が適用されるベンダーを利用する場合や米国内に現地法人を設立したりする場合には、米政府からデータの開示要求がなされる可能性があることも念頭に入れ、その際の対応についてあらかじめ考慮しておきましょう。