Snowflakeなどクラウドのデータ基盤の案件をフリーランスで受け、集計の不具合を再現しようとして本番テーブルを開きかけました。目に入ったのは、顧客の氏名が並ぶ列です。手が止まります。この作業は、誰の判断で進めてよいのでしょうか。この記事の答えは一つで、本番の個人データに触れる前に、その作業が委託の範囲に入っているかを発注側と決めます。

1. Snowflakeの案件で個人データの線引きを確かめる理由

集計が合わない原因を探すとき、本番と同じ条件のデータで再現するのは自然な発想です。ただ、そのデータが顧客の個人データを含む本番のものだった場合、再現のために開く行為が法律の上でどう位置づくのかは、別に確かめる必要があります。

手がかりになるのが、個人情報保護委員会のQ&A（令和7年7月1日更新）です。クラウドサービスの利用が第三者提供または委託に当たるかどうかは、保存している電子データに個人データが含まれているかどうかではなく、クラウドサービスを提供する事業者において個人データを取り扱うこととなっているのかどうかが判断の基準となります¹。

一方、保守サービスを提供する事業者がサービス内容として情報システム内の個人データを取り扱うこととなっている場合は、個人データを提供したことになります。本人の同意を得るか、委託として法第25条に基づく監督を行うか、どちらかが必要になります¹。不具合の調査や保守を任される案件では、この規定が自分の作業にも関わるかを確かめる場面が出てきます。まず、クラウドの利用をどう判断するかから順に見ていきます。

2. クラウドの利用が委託に当たるかの判断基準

データの中身ではなく提供事業者の取扱いで見る

資料が示す判断の軸は、保存されている電子データの中身ではありません。個人データが含まれているかどうかを問う書き方にはなっておらず、クラウドサービスを提供する事業者が個人データを取り扱うこととなっているのかどうかが基準です¹。

そのため、案件でSnowflakeのようなクラウドサービスを使うときも、データ基盤に顧客の氏名が入っているというだけでは結論が出ません。製品名で結論が決まるわけでもありません。そのサービスの提供事業者が個人データを取り扱うこととなっているかは、契約の内容に沿って確かめます。

取り扱わないとき、取り扱うときの分かれ方

提供事業者が個人データを取り扱わないこととなっている場合は、個人データを提供したことにはなりません。そのため本人の同意は不要で、法第25条に基づく監督義務もありません¹。

反対に、提供事業者が個人データを取り扱うこととなっている場合は、提供または委託の問題になります¹。分かれ目は、データの中身ではなく取扱いの位置にあります。

図の作成：Remogu編集部。個人情報保護委員会のQ&A（令和7年7月1日更新）の判断基準を整理したもので、統計データではありません

では、取り扱わないこととなっているのは、具体的にどのような状態なのでしょうか。

3. 「取り扱わないこととなっている」の意味

資料が挙げる二つの要素

資料は、個人データを取り扱わないこととなっている場合として、契約条項によってサーバに保存された個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合などが考えられると述べています¹。

ただし、これは「考えられる」場合の例として挙げられたものです。契約条項とアクセス制御の二つが示されているとはいえ、「等」と添えられている点も含めて、資料の言葉のまま受け取ります。

そのため、案件で「Snowflakeを使っているから委託に当たらない」とも、「使っているから委託になる」とも、製品名だけで決めることはできません。確かめる中身は、契約条項とアクセス制御がどう整えられているかです。

書面と制御の両面で見る要素

取り扱わないこととなっている状態は、書面とアクセスの制御の両面から見ます。書面は、サーバに保存された個人データを取り扱わない旨が契約条項に定められているかどうか。制御は、適切にアクセス制御を行っているかどうかです¹。三行目には、その整理が成り立つ場合に資料が述べる効果を置いています¹。

要素	資料の書き方	発注側に尋ねること
契約条項	サーバに保存された個人データを取り扱わない旨が定められている1	提供事業者との契約に、その旨の条項があるか
アクセス制御	適切にアクセス制御を行っている1	どのようなアクセス制御を行っているか
当てはまった場合の効果	個人データを提供したことにはならず、本人の同意は不要で、法第25条に基づく監督義務もない1	発注側がその整理で進めているか

手元で契約の内容を確認できないときは、発注側に尋ねるところから始めます。尋ねる相手は、案件の契約や打ち合わせの窓口です。次は、委託に当たらないと整理された場合に、それでも残るものを確かめます。

4. 委託に当たらなくても残る安全管理

提供に当たらない場合の安全管理措置

同意が不要で、監督義務もない。そう聞くと、個人データの扱いは気にしなくてよいように読めます。しかし資料は、提供に当たらない場合でも、クラウドサービスを利用する事業者は、自ら果たすべき安全管理措置の一環として適切な安全管理措置を講じる必要があると述べています¹。

つまり、委託に当たるかどうかと、安全管理措置が残るかどうかは別の話です。取り扱わないこととなっていて監督義務がなくなる場合にも、利用する事業者の側に残る責任があります¹。

案件に引き寄せて読む

資料が安全管理措置を講じる主体として挙げているのは、クラウドサービスを利用する事業者です。発注側がこの利用する事業者にあたる案件では、安全管理の仕組みは発注側が整えているものです。この箇所は、フリーランス自身が負う義務の範囲までは述べていません。

そのため、作業を始める前に、発注側がどのような安全管理措置を講じているのかを打ち合わせで確かめ、その内容に沿って作業の進め方を決めます。

図の作成：Remogu編集部。個人情報保護委員会のQ&A（令和7年7月1日更新）の記載を整理したもので、統計データではありません

次は、フリーランスの作業にいちばん近い、保守や不具合の再現の場面です。

5. 保守や不具合の再現で個人データを使う場合

保守サービスで「提供」になる場面

資料は、保守サービスを提供する事業者がサービス内容として情報システム内の個人データを取り扱うこととなっている場合には、個人データを提供したことになると述べています¹。クラウドの提供事業者が個人データを取り扱わない場合とは逆の向きで、こちらは同意か監督のどちらかが必要になる側です。

その例として資料が挙げているのは、個人データを用いて情報システムの不具合を再現させ検証する場合と、個人データをキーワードとして情報を抽出する場合の二つです¹。冒頭の場面のように、集計の不具合を本番の顧客データで再現しようとする作業は、一つ目の例と同じ形に見えます。

ただし、フリーランスの自分が、資料のいう「保守サービスを提供する事業者」の立場に当たるかどうかは、資料からは決まりません。案件の契約の組み立て方によって整理が変わる部分なので、自分で当てはめず、発注側の整理を聞くところから始めます。

作業の種類ごとに発注側と整理を合わせる

資料が挙げた二つの例と、保守サービスの扱いを、作業の種類に引き寄せて並べます。右の列は、参画前の打ち合わせで発注側に尋ねる内容です。

作業	資料の扱い	発注側と合わせる内容
不具合を再現して検証する	個人データを用いる場合が例として挙げられている1	再現に使うデータが本番のものか、加工したものか
個人データをキーワードにして情報を抽出する	個人データを用いる場合が例として挙げられている1	抽出の条件に使う値と、結果の置き場所
保守サービスとして個人データを取り扱う	個人データを提供したことになり、同意を得るか、委託として監督する1	発注側がどちらの整理で進めているか

打ち合わせでは、たとえば「不具合の調査は本番のデータで再現する想定ですか」「検証用のデータは用意されていますか」と、作業の場面に即して尋ねます。製品名や権限の話から入るより、実際に開く可能性のあるデータの話から入るほうが、相手も答えやすくなります。

相手が「その想定はまだ決めていません」と答えたときは、決まっていない部分をそのまま残さず、決めてもらうところまでを案件の準備に含めます。本番のデータを使う前提で話が進んでいるなら、発注側が同意と監督のどちらの整理で進めるのかも、この段階で聞きます¹。

この確認は、書面かチャットの文面に残します。口頭だけで済ませると、後から担当が変わったときに、何を約束していたのかを示せません。残した文面が、作業を始めてよい範囲の根拠になります。

次は、万一のときに誰が報告するのか、データがどこに置かれているのかの確認です。

6. 漏えい時の報告と外国のサーバ

報告義務を負う側と代行

資料は、クラウドサービスの提供事業者が個人データを取り扱わないこととなっている場合に、報告対象の漏えい等が発生したときは、クラウドサービスを利用する事業者が報告義務を負うと述べています¹。報告の主体は、提供事業者ではなく利用する側に置かれています。

同じ資料には、その利用する事業者が、自らが負う報告義務に基づく報告を、クラウドサービスの提供事業者に代行させることができるとも書かれています¹。代行させるかどうかは、利用する事業者が決める話です。

図の作成：Remogu編集部。個人情報保護委員会のQ&A（令和7年7月1日更新）の記載を整理したもので、統計データではありません

資料が報告義務を置いているのは利用する事業者で、フリーランス自身の義務の範囲までは、この箇所から読み取れません。発注側がこの利用する事業者にあたる案件では、異常を見つけた側として誰に何を伝えるのかを、作業の前に確かめておく必要があります。

尋ねる内容は三つです。異常に気づいたときの連絡先、連絡する方法（チャットか電話か、担当部署の窓口か）、そして報告そのものを発注側の誰が判断するのか。この三つが決まっていれば、見つけた直後に自分が何をすればよいかが分かります。

外国に置かれたサーバの扱い

資料は、外国に設置されたサーバに個人データを保存する場合、その外国の個人情報の保護に関する制度等を把握した上で、安全管理のために必要かつ適切な措置を講ずる必要があると述べています¹。データがどの国のサーバにあるのかで、把握する対象の制度が変わります。

クラウドの案件では、データの置き場所を自分で決めるわけではないので、設計資料や契約の中で、データがどの国のサーバに保存されているかを発注側に尋ねます。外国に置かれている場合は、発注側がその国の制度を把握しているのかも、あわせて聞きます。

この問いは、製品名では答えが出ません。同じクラウドサービスでも、データの置き場所や契約の定め方は、案件ごとの設定で変わります。発注側の設定を確かめることが、そのまま作業前の確認になります。次は、これまでの確認を参画前の順番に並べ直します。

7. 参画前に発注側と決める順番

四つの確認の並べ方

決めたいことは、契約で定めた取扱いの範囲、アクセスできる権限、検証に使うデータ、漏えい時の連絡の流れの四つです。順番は、前の項目が後の項目の前提になるように並べます。範囲が決まらないまま権限を申請しても、何のための権限なのかを説明できないためです。

順番	決める内容	確かめる先
1	提供事業者が個人データを取り扱わない旨の条項があるか1。保守で個人データを使う作業の扱い1	契約書、業務範囲の定め
2	適切なアクセス制御1のもとで、自分が使える権限の範囲	権限の申請窓口
3	不具合の再現に使うデータが本番か、加工したものか1	発注側の担当窓口
4	報告義務を負う側1と、異常を見つけたときの連絡の流れ	連絡窓口、運用手順

図の作成：Remogu編集部。個人情報保護委員会のQ&A（令和7年7月1日更新）を踏まえた確認の順番を整理したもので、統計データではありません

契約と権限で作業の範囲を決める

一つ目は、契約書のどこを見るかです。業務の内容や作業の範囲を定めた条項、秘密保持の条項、データの取扱いや管理を定めた条項、再委託の条項がある契約なら、それぞれを開きます。資料が挙げる「取り扱わない旨が定められている契約条項」¹に当たるものが、提供事業者との契約に入っているのかも、発注側に尋ねます。

条項が見つからない、あるいは作業範囲の定めに個人データの扱いが書かれていないときは、そこを空白のままにしません。どの作業で個人データに触れる可能性があるのか、触れないのかを、発注側と文面で決めてから参画します。

二つ目は、アクセスできる権限です。資料は、取り扱わないこととなっている場合の例として、適切なアクセス制御を挙げています¹。そこで、作業に必要なテーブルや列の範囲、参照だけなのか書き込みもあるのか、使う期間はいつまでかを、権限の申請に書き込める形で整理します。

申請は、作業の内容が決まってからにします。範囲が広すぎる申請は通りにくいうえ、作業が終わった後にも権限が残ります。作業が終わった時点で権限を返す手順まで、申請のときに発注側と決めておくと、その後の整理が進みます。

データと連絡の流れを先に決める

三つ目は、検証に使うデータの用意の仕方です。本番のデータで再現するのではなく、氏名などの列を置き換えた検証用のデータや、疑似データを発注側に用意してもらう方法があります。再現したい不具合が、特定の列の値で起きるものかどうかも、先に伝えておきます。

加工したデータを、個人データとどう位置づけるのかは、発注側の整理を聞きます。本番のデータを使うしかない場合は、保守で個人データを使うことが同意か委託としての監督の話になる点¹を踏まえ、どちらで進めているのかを確かめてから、使う範囲と期間を決めます。

四つ目は、漏えい時の連絡の流れです。資料が置く報告義務は、取り扱わないこととなっている場合の利用する事業者にあります¹。そこで、異常を見つけたときの連絡先、報告を判断する人、報告を提供事業者に代行させるかどうか¹を、作業の前に尋ねます。

冒頭の場面に戻ります。顧客の氏名が並ぶ列の前で手が止まったときに必要だったのは、本番の個人データに触れる前に、その作業が委託の範囲に入っているかを発注側と決めておくことでした。決めてあれば、手を止めた後に迷う時間が減ります。

Remogu（株式会社LASSIC運営）は、リモートワーク案件特化のエンジニアマッチングで、扱う案件の90%以上がフルリモート可能です²。リモートで進める案件だからこそ、取り決めを文面に残しやすくなります。気になる案件があれば、この四つを質問のリストにして、最初の打ち合わせに持っていってみましょう。

8. よくある質問

Snowflakeを使うこと自体が委託に当たりますか

製品名では決まりません。資料が示す基準は、クラウドサービスを提供する事業者が個人データを取り扱うこととなっているかどうかです¹。取り扱わないこととなっている場合として、契約条項とアクセス制御が例に挙げられているので¹、案件ごとにその整備を発注側に尋ねます。

不具合の再現に本番データを使ってよいですか

自分では決められません。資料は、個人データを用いて不具合を再現させ検証する場合を、保守サービスで個人データを取り扱う例として挙げています¹。使うかどうかは、同意と委託としての監督のどちらで進めているかを含めて、発注側と先に決めます。

漏えいが起きたら誰が報告しますか

提供事業者が個人データを取り扱わないこととなっている場合は、クラウドサービスを利用する事業者が報告義務を負います¹。その報告は提供事業者に代行させることもできます¹。案件では、発注側の窓口が報告をどう扱うのかを、参画前に尋ねておきます。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 個人情報保護委員会「「個人情報の保護に関する法律についてのガイドライン」に関するＱ＆Ａ」（2025年7月・2026年10月確認）
＊2 Remogu（株式会社LASSIC運営）公開情報：扱う案件の90%以上がフルリモート可能