LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

オフショアや海外拠点で米国向けのデータを扱っている場合、個人情報保護法とは別の枠組みが効いてきます*2。

米国司法省はデータセキュリティ・プログラム（28 CFR Part 202）を運用しています*2。2025年4月8日に発効し、事実上の輸出管理として、懸念国とその管轄下にある対象者が、米国人との一定の取引を通じて米国政府関連データや米国人のバルク機微個人データにアクセスすることを禁止または制限するものと説明されています*2。

米国向けの開発・運用を受託する立場、あるいは米国子会社を持つ発注元を支える立場に向けて、禁止・制限・適用除外の3区分と閾値と監査を一次情報から整理します。当てはめは事情によりますので、法務の確認を経て進めてください。

何を規制する枠組みなのか

まず位置づけです*2。

米国司法省は、データセキュリティ・プログラムが外国の敵対者が商業活動を用いて米国政府関連データと米国人のバルク機微個人データにアクセスし悪用しようとする、国家安全保障上のリスクに対処するものだと説明しています*2。想定される悪用としてスパイ活動と経済スパイ活動、監視と防諜活動、AIと軍事能力の開発が挙げられています*2。

手段の性格も明示されています*2。事実上の輸出管理を確立し、懸念国（およびその管轄、所有、支配または指示に服する対象者）が、米国人との一定の類型の取引を通じて、米国政府関連データや米国人のバルクのゲノム・位置情報・生体・健康・金融その他の機微個人データにアクセスすることを禁止または制限するとされています*2。

根拠と時期も整理されています*2。プログラムは2025年4月8日に発効し、国際緊急経済権限法（IEEPA）と2024年2月28日の大統領令14117のもとで発せられたとされています*2。あわせて2019年5月15日の大統領令13873で宣言された国家緊急事態に対処するものとされています*2。

懸念国は規則本文で列挙されています*1。司法長官が国務長官および商務長官の同意を得て決定したとして、中国、キューバ、イラン、北朝鮮、ロシア、ベネズエラが挙げられています*1。

日本企業から見ると、自社が「米国人」に当たるかが最初の分岐になります。米国内の法人や米国に所在する拠点が関与する取引であれば、日本の親会社の判断でも米国側の義務が動くという読み方が必要です*2。GDPRの越境移転のように同意や契約で組み立てる枠組みとは、考え方が異なります。

「バルク」の閾値——匿名化していても数える

入口の判定は数です*1。

規則は「バルク」とは、直近12か月のいずれかの時点で次の閾値に達するか超える機微個人データの量をいうと定めています*1。重要なのは数え方で、単一の対象データ取引によるか、同一の米国人と同一の外国人・対象者が関与する複数の対象データ取引にわたって合算されるかを問わないとされています*1。

実務でいちばん響くのは、次の一文です*1。バルク米国機微個人データとは、米国人に関する機微個人データの集合であって、形式を問わず、また当該データが匿名化、仮名化、非識別化または暗号化されているかどうかにかかわらず、閾値に達するか超えるものとされています*1。

つまり「暗号化しているから対象外」という整理は取れません*1。設計上の保護と、規則上の該当性は別に判定する必要があります。

もうひとつ、100,000人超という対象個人識別子の閾値は、一般的なBtoCサービスなら現実的に届く水準です*1。米国ユーザーを抱えるサービスの運用を受託している場合、まず自社の扱う件数を数えるところから始まります。

禁止・制限・適用除外の3区分

取引は三つに分かれます*1。

第一に、禁止取引です。規則は米国人は、発効日以降、懸念国または対象者との間で、データブローカレッジを伴う対象データ取引に故意に関与してはならないと定めています*1。ヒト・オミクスデータと生体試料に関する取引についても、別の条で禁止が置かれています*1。

第二に、制限取引です。対象はベンダー契約、雇用契約、投資契約で、CISA（米国サイバーセキュリティ・インフラセキュリティ庁）のセキュリティ要件を満たすことが条件になります*1。この要件は「Security Requirements for Restricted Transactions E.O. 14117 Implementation, January 2025」として規則に引用の形で組み込まれているとされています*1。

定義を見ると、範囲の広さが分かります*1。ベンダー契約は雇用契約以外で、ある者が他者に対して、クラウドコンピューティングのサービスを含め、物品または役務を対価と引き換えに提供する合意または取決めとされています*1。規則の例では、米国企業がアプリを通じて米国の利用者からバルクの精密位置情報を収集し、懸念国に本社を置く企業とそのデータの処理と保管の契約を結ぶ場合、そのベンダー契約は制限取引に当たるとされています*1。

雇用契約も広く定義されています*1。独立請負人としてではなく、個人がある者のために直接に業務または職務を遂行し、対価を得る合意または取決めとされ、取締役会や委員会での就任、経営層の取決めや役務、運用レベルでの雇用役務を含むとされています*1。規則の例では、米国人のバルクのヒトゲノムデータを保有する米国企業が、懸念国の国民でありそこに主として居住する個人のチームを雇用してバックエンドの役務を提供させる場合が挙げられています*1。

投資契約は、対価と引き換えに、米国内の不動産または米国の法人に対する直接または間接の所有持分や権利を取得する合意または取決めとされ、公開証券への投資など一定の受動的投資は除外されるとされています*1。

第三に、適用除外です。個人的な通信、情報または情報資料、渡航、米国政府の公務、金融サービス、企業グループ内取引、連邦法や国際協定により求められるか認められる取引または連邦法の遵守に必要な取引、CFIUSの措置の対象となる投資契約、電気通信役務、医薬品・生物学的製剤・医療機器の承認、その他の臨床調査と市販後調査のデータが、除外の条として並んでいます*1。

時点の扱いも明確です*1。発効日より前に完了した対象データ取引は規則の対象ではない一方、発効日以降に禁止取引または制限取引に故意に関与する米国人は、発効日より前に締結した契約や付与された許可にかかわらず、規則を遵守することが期待されるとされています*1。既存契約だから大丈夫、とはなりません*1。

制限取引に付く手続き——遵守プログラムと監査

制限取引を選ぶ場合、手続きが付いてきます*1。

規則は遅くとも2025年10月6日までに、制限取引に関与する米国人はデータ遵守プログラムを策定し実施しなければならないと定めています*1。内容として、制限取引に関わるデータフローを検証するリスクベースの手続きが求められ、取引に関わる米国政府関連データやバルク米国機微個人データの種類と量、取引当事者の同定（法人の所有関係や個人の市民権・主たる居住地を含む）を監査可能な形で検証し記録することが挙げられています*1。

監査も必要です*1。2025年10月6日以降に制限取引に関与する米国人は、この条の要件を満たす監査を実施しなければならないとされ、暦年ごとに1回実施するとされています*1。監査人の要件も定められており、セキュリティ要件その他の適用要件の遵守と有効性を検査・検証・証明する能力を備え、独立しており、対象者または懸念国であってはならないとされています*1。

報告と記録の条も置かれています*1。記録および記録保持の要件、要求に応じて提出する報告、年次報告、拒否した禁止取引に関する報告が並びます*1。

施行の時期については、司法省の説明と規則本文で表記が分かれます*2。司法省のページでは最終規則は2024年12月26日に国家安全保障局から発出され、2025年4月8日に発効し、制限取引に関するデューデリジェンスと監査（サブパートJ）、年次報告、拒否した禁止取引の報告に関する一定の積極的要件は2025年10月5日に発効したと説明されています*2。一方で規則本文はデータ遵守プログラムの整備を「遅くとも2025年10月6日までに」、監査を「2025年10月6日以降の制限取引について」としています*1。社内の期日表に写すときは、どちらの表記に依っているかを注記しておくと後で迷いません。

参照できる公式資料も一覧されています*2。28 C.F.R. Part 202、2025年4月18日公表の訂正改正、2025年9月24日更新のよくある質問、2025年4月11日発出のコンプライアンス・ガイド、2025年7月8日までの実施・執行方針、2025年1月3日発出のCISAセキュリティ要件です*2。

受託・発注の実務で先に決めること

着手の順序を挙げます。

第一に、データの棚卸しと件数の把握です。閾値は直近12か月で判定され、同一の相手との複数取引にわたって合算されます*1。米国人に関するデータの種類ごとに、件数と保有期間を出せる状態にしておきます。

第二に、契約の性格の見分けです。ベンダー契約はクラウドを含む役務提供まで含み、雇用契約は運用レベルの雇用役務まで含みます*1。受託開発、保守、監視、BPO——どれがどの区分に当たるかを契約ごとに並べます。

第三に、要員の所在と国籍の確認です。雇用契約の例では、懸念国の国民でありそこに主として居住する個人が明示されています*1。遠隔での運用を含む体制では、誰がどこからアクセスするかが判定材料になります。

第四に、記録の設計です。データ遵守プログラムは監査可能な形での検証と記録を求めます*1。データの種類と量、当事者の所有関係と居住地をログに残せるかを、仕組みの側で確かめておきます。

第五に、監査人の手当てです。監査人は独立していることと対象者または懸念国でないことが要件です*1。暦年ごとに1回という頻度も含め、誰に頼むかを早めに詰めておくと、期末の負荷が下がります。

社内で誤解されやすいのは、「個人情報保護法の話」として片づけてしまうことです。この枠組みは国際緊急経済権限法と大統領令に基づく、事実上の輸出管理として説明されています*2。本人の同意で解決する類の制度ではない、という前提で読む必要があります。

他国の枠組みとの重なりも意識したい部分です。中国側ではサイバーセキュリティ法の改正が動いており、EU側ではサプライチェーンの信頼枠組みが提案されています。どの国の規制も、供給者の所在と支配関係を問い始めているという共通点があります。

規則の本文と関連資料は、連邦官報と司法省のサイトで公開されています*1*2。該当性の判定は事情によって変わりますので、法務の確認を挟みながら進めてください。

まとめ：米国データセキュリティ規則で押さえる3つの視点

米国のデータセキュリティ・プログラム（28 CFR Part 202）は2025年4月8日に発効しました。押さえたい視点は三つです。第一に、性格と対象。国際緊急経済権限法と2024年2月28日の大統領令14117に基づき、事実上の輸出管理として、懸念国およびその管轄・所有・支配・指示に服する対象者が、米国人との一定の取引を通じて米国政府関連データや米国人のバルク機微個人データへアクセスすることを禁止または制限します。懸念国は中国、キューバ、イラン、北朝鮮、ロシア、ベネズエラです。第二に、バルクの閾値と3つの取引区分。閾値は直近12か月で判定され、ヒト・オミクスデータは1,000人超（ヒトゲノムデータは100人超）、生体識別子は1,000人超、精密な位置情報は1,000台超、健康データと金融データはそれぞれ10,000人超、対象個人識別子は100,000人超です。匿名化、仮名化、非識別化、暗号化の有無を問いません。取引は、データブローカレッジなどの禁止取引、ベンダー契約・雇用契約・投資契約という制限取引、そして個人的な通信や金融サービスや企業グループ内取引などの適用除外に分かれます。ベンダー契約はクラウドコンピューティングを含む役務提供を、雇用契約は運用レベルの雇用役務を含みます。第三に、制限取引に付く手続き。遅くとも2025年10月6日までにデータ遵守プログラムを策定・実施し、データの種類と量、当事者の所有関係や市民権・主たる居住地を監査可能な形で記録します。2025年10月6日以降の制限取引については暦年ごとに1回の監査が必要で、監査人は独立しており、対象者または懸念国であってはならないとされています。

よくある質問

出典

1. *1　参考：U.S. Department of Justice「Preventing Access to U.S. Sensitive Personal Data and Government-Related Data by Countries of Concern（最終規則・28 CFR Part 202）」（https://www.federalregister.gov/documents/full_text/text/2025/01/08/2024-31486.txt）。懸念国が中国・キューバ・イラン・北朝鮮・ロシア・ベネズエラであり司法長官が国務長官および商務長官の同意を得て決定すること（§202.601）、バルクの閾値（直近12か月で単一取引か同一当事者間の合算かを問わず、ヒト・オミクスデータ1,000人超・ヒトゲノムデータ100人超・生体識別子1,000人超・精密位置情報1,000台超・健康データ10,000人超・金融データ10,000人超・対象個人識別子100,000人超・結合データ／§202.205）、バルク米国機微個人データが匿名化・仮名化・非識別化・暗号化の有無を問わないこと（§202.206）、データブローカレッジを伴う対象データ取引の禁止（§202.301）、制限取引とCISAセキュリティ要件の引用組込み（§202.246・§202.248）、ベンダー契約・雇用契約・投資契約の定義と例（§202.258・§202.217・§202.228）、適用除外の類型（サブパートE）、データ遵守プログラムの2025年10月6日期限と監査可能な検証・記録（§202.1001）、2025年10月6日以降の制限取引に対する暦年1回の監査と監査人の独立性要件（§202.1002）、記録・報告の各条（サブパートK）、ならびに発効日前に完了した取引は対象外である一方で発効日以降は既存契約にかかわらず遵守が求められることの一次情報として。連邦官報2025年1月8日掲載（文書番号2024-31486）。確認日は2026年8月28日。（2026年8月確認）
2. *2　参考：U.S. Department of Justice, National Security Division「Data Security Program」（https://www.justice.gov/nsd/data-security）。データセキュリティ・プログラムが外国の敵対者による米国政府関連データと米国人のバルク機微個人データへのアクセスと悪用の国家安全保障上のリスクに対処すること、想定される悪用（スパイ活動と経済スパイ活動、監視と防諜活動、AIと軍事能力の開発）、事実上の輸出管理として懸念国およびその管轄・所有・支配・指示に服する対象者による一定類型の取引を禁止または制限すること、2025年4月8日に発効したこと、国際緊急経済権限法と2024年2月28日の大統領令14117のもとで発せられ2019年5月15日の大統領令13873で宣言された国家緊急事態に対処すること、最終規則が2024年12月26日に国家安全保障局から発出され一定の積極的要件（サブパートJのデューデリジェンスと監査、年次報告、拒否した禁止取引の報告）が2025年10月5日に発効したとの説明、ならびに公表資料の一覧（28 C.F.R. Part 202、2025年4月18日公表の訂正改正、2025年9月24日更新のFAQ、2025年4月11日発出のコンプライアンス・ガイド、2025年7月8日までの実施・執行方針、2025年1月3日発出のCISAセキュリティ要件）の一次情報として。更新2025年9月24日。確認日は2026年8月28日。（2026年8月確認）

Tweet