クラウドサービスは「技術提供」にあたるのか～役務通達 別紙1-2の考え方～

設計データをクラウドに保存した。海外のサーバーに保管されるかもしれない。

これは技術の「提供」にあたるのか。

素直に条文を読むと、不安になります。役務通達では「提供」をこう定義しているからです。

提供とは、他者が利用できる状態に置くことをいう。

「他者が利用できる状態」、クラウドに置いたら、そうなってしまうのではないか。

この不安に対して、役務通達は別紙1-2で明確に解釈を示しています。わざわざ別紙を設けているということは、それだけ実務で問題になる論点だということです。

結論を先に言えば、見るべきはサーバーの場所ではありません。

この記事は、現職で輸出管理・貿易実務に携わっている方に向けて書いています。

この記事を読むと、あなたの判断はこう変わります

• サーバーの所在を特定しようとする不毛な作業から解放されます
• 本当に見るべき論点（誰がアクセスできるか）に集中できるようになります
• 共有機能を使うときの危険な場面を具体的に把握できます
• アクセス権の棚卸しという、続けられる管理の形が分かります

この記事で扱うこと

この記事の後半では、判断の軸と実務対応に落とし込みます。

• 別紙1-2が示す考え方：サーバーの所在は利用者に分からない／契約の目的は自分が使うため。この2点から導かれる結論と、「事業者に見られると知っていて置いた」ときの但し書き
• 判断の分岐点：保管なのか共有なのか。サーバーの場所ではなくアクセスできる相手を見る
• 危ないのは共有の場面：海外拠点／共同研究者／委託先／「リンクを知る全員」設定／社内の外国籍スタッフ。場面別の検討点
• 前提として該非判定が先：規制対象技術でなければ論点は生じない。公知・基礎科学の扱い
• 社内での実務対応3段階：保管場所の把握 → アクセス権の定期棚卸し → 規制対象技術の保管場所分離
• なぜ分離を勧めるのか：全社を厳格管理せず、対象を絞るほうが続く4つの理由
• 判断に迷ったときの分岐表：所在不明／事業者の従業員／海外拠点との共同利用
• 記録に残す6項目：アクセス権を持つ者の一覧と居住性

---

まず「提供」の定義を押さえる

役務通達 1(3)タに、こうあります。

タ 提供とは、他者が利用できる状態に置くことをいう。なお、いわゆるクラウドコンピューティングサービスの解釈については、別紙１－２のとおりとする。

わざわざクラウドについて別紙を設けている。それだけ実務で問題になる論点だということです。

---

1. 別紙1-2が示す考え方

別紙1-2は、ストレージサービス（情報を保管し利用するためのサーバーを提供するサービス）を例に、考え方を示しています。

論点は2つあります。

論点①：サーバーの所在は利用者に分からない

サービス利用者が意図するとしないとにかかわらず、国外に設置されたサーバーに情報が保管される可能性がある

これはクラウドの性質です。利用者がサーバーの物理的な所在を選べない、あるいは知りえないことがあります。

論点②：契約の目的は「自分が使うため」である

ストレージサービスを利用するための契約は、サービス利用者が自らが使用するためにサービス提供者のサーバーに情報を保管することのみを目的とする契約である限りにおいて、サービス利用者からサービス提供者等に情報を提供することを目的とする取引にあたらない

ここが決定的です。クラウドに保存する行為の目的は、他者に技術を渡すことではありません。自分が使うためです。

だから別紙1-2は、外国のサーバーに特定技術が保管される場合であっても、原則として役務取引に該当しないとしています。許可は要りません。

「自分が使うために置いておくだけの保管は、提供ではない」。

ただし「事業者に見られると分かっていて置く」は別です

いま引用した条文には、「〜のみを目的とする契約である限りにおいて」という条件が付いていました。ここを読み飛ばすと危ないので、但し書きも見ておきます。

実質的にはサービス利用者からサービス提供者等に特定技術を提供することを目的とする取引であると認められる場合は、（略）役務取引に該当する

別紙1-2は、具体的な場面を2つ挙げています。

• 保管した技術をクラウド事業者側が閲覧・取得・利用できると知りながら契約した場合 → その契約は、技術を提供する取引とみなされます
• 契約を始めたあとで、事業者側が実際に閲覧・取得・利用していると判明したのに契約を続ける場合 → 判明した時点から、データを消すのに必要な時間が過ぎたところで提供の取引が始まったとみなされます

つまり「保管だから安全」ではありません。自分だけが使える状態になっているかが条件です。ここが崩れると、保管でも提供になります。

※ この記事は、ストレージサービスに自社のデータを置く側の話です。別紙1-2にはもうひとつ、SaaSのようにプログラムを他者が使える状態にして提供する側の解釈（別紙1-2(2)）もあります。そちらは「提供を目的とする取引にあたる」と整理されており、扱いが逆になります。

2. 何が分岐点になるのか

この考え方を整理すると、判断の軸が見えてきます。上の図のとおり、自分が使うために保管する（ストレージとしての利用）なら提供にあたらない方向、他者がアクセスできる状態にする（共有・公開）なら提供にあたりうる方向です。

つまり見るべきは、サーバーの場所ではなく、アクセスできる相手です。

【確認すべきこと】
□ そのデータに、誰がアクセスできる設定になっているか
□ アクセス権を持つ人の中に、非居住者・特定類型該当者がいないか
□ 共有リンクを発行していないか
□ 外部の共同研究者・委託先を招待していないか

サーバーが海外にあるかどうかではなく、誰に見せているか。ここが実務の焦点です。

3. 危ないのは「共有」の場面です

保管そのものより、共有機能を使ったときに論点が生じます。上の図に、場面と検討すべき点を並べました。海外拠点の従業員への共有ならその従業員は非居住者か、外部の共同研究者の招待なら相手の居住性・特定類型該当性、委託先へのアクセス権付与なら委託先の所在・契約関係、といった具合です。

「リンクを知る全員」設定は特に注意が必要です。技術的には限定共有のつもりでも、アクセス制御が効いていない状態になりえます。

4. 対象になるのは「規制対象の技術」だけです

前提として確認しておきます。クラウドに置いたものすべてが問題になるわけではありません。

規制の対象は、外為令別表に掲げる技術です。

□ 規制対象の技術か（該非判定）
    → 非該当なら、この論点は生じない
□ 該当する場合、誰がアクセスできるか
    → 非居住者・特定類型該当者が含まれるか
□ 含まれる場合、許可の要否を検討

また、公知の技術や基礎科学分野の研究活動に関するものは原則対象外です。

まず該非判定。それからアクセス権の確認。この順番です。

5. 社内での実務対応

① 規制対象技術の保管場所を把握する

□ 規制対象と判定した技術データが、どこに保管されているか
□ クラウドに置いている場合、どのサービス・どのフォルダか
□ そのフォルダのアクセス権設定

まず所在を把握するところからです。把握できていないものは管理できません。

② アクセス権の棚卸しを定期的に行う

アクセス権は積み上がります。プロジェクトが終わっても権限が残る、退職者の権限が消えていない。よくあることです。

【定期棚卸しで見ること】
□ アクセス権を持つ人の一覧
□ その中に非居住者・特定類型該当者がいないか
□ 不要になった権限が残っていないか
□ 共有リンクの発行状況

③ 規制対象技術は保管場所を分ける

もっとも確実なのは、規制対象技術を専用のフォルダ・領域に分離することです。

【分離のメリット】
□ アクセス権の管理対象が絞られる
□ 棚卸しの負荷が下がる
□ 誤共有のリスクが減る
□ 「どこにあるか分からない」状態を防げる

全社のデータを厳格管理するのは現実的ではありません。対象を絞って、そこだけ確実に管理するほうが続きます。

6. 判断に迷ったときは

上の図の左側にまとめました。サーバーの所在が分からないなら所在ではなくアクセス権を見る。クラウド事業者の従業員がアクセスしうるなら契約上の守秘義務・アクセス制限を確認する。海外拠点と共同でシステムを使っているなら拠点の従業員の居住性を確認する（拠点＝非居住者とは限りません）。そして判断がつかないなら、経済産業省へ事前相談してください。Q&Aにも関連する論点があります。

7. 記録に残すこと

□ 規制対象技術の保管場所（サービス名・領域）
□ アクセス権を持つ者の一覧と、その居住性・特定類型該当性
□ アクセス権の棚卸し実施日
□ 共有リンクの発行状況
□ 判断の根拠（保管のみか、共有しているか）
□ 参照した通達の版（施行日）

まとめ

• 役務通達で「提供とは、他者が利用できる状態に置くこと」と定義されている
• クラウドについては別紙1-2で解釈が示されている
• ストレージサービスは自分が使うために保管することのみを目的とする契約である限り、提供にあたらない：外国のサーバーでも原則として許可は不要
• ただし事業者が閲覧・取得・利用できると知りながら契約したなら、提供する取引とみなされる
• サーバーの所在ではなく、誰がアクセスできるかが分岐点
• 論点が生じるのは共有の場面。特に「リンクを知る全員」設定に注意
• 前提として規制対象の技術かどうかを先に判定する。非該当なら論点は生じない
• 実務対応は所在の把握 → アクセス権の定期棚卸し → 規制対象技術の保管場所分離
• 全社を厳格管理せず、対象を絞って確実にするほうが続く
• 記録にはアクセス権を持つ者の一覧と居住性を残す

さて、自社の規制対象技術は、いまどこに保管されていて、誰がアクセスできるでしょうか。

即答できないなら、そこが最初の棚卸し対象です。

次回は、みなし輸出シリーズの締めくくり、2025年に始まった技術管理強化のための官民対話スキームを扱います。「報告」という新しい制度です。

---

※ 解釈は役務通達（4貿局第492号）別紙1-2「いわゆるクラウドコンピューティングサービスの解釈」によります。個別のサービスや事案についての判断は、条文および経済産業省Q&Aをご確認のうえ、必要に応じて事前相談をご利用ください。