Amazon、Google、Microsoftらが発表した「信頼できるクラウドの原則」とは

Amazon、Google、Microsoftらによる新たなイニシアティブ「Trusted Cloud Principles」

　クラウドが重要な社会基盤となるに伴い、各国政府によるクラウド事業者に対する規制強化の動きが見られる中、Amazon、Google、Microsoftが中心となった新たな取り組みとして「Trusted Cloud Principles（信頼できるクラウドの原則）」が発表されました。この取り組みには、Atlassian、Cisco、IBM、Salesforce、Slack、SAPも加わっています。

　今回の背景については以下のように述べられています。

　世界中でサービスを提供する企業として、我々は国際人権法におけるプライバシーの権利も認識している。政府は国民の安全とセキュリティを守ることに正当かつ重要な関心を持っている。しかし場合によっては、政府は人権や法の支配を適切に保護していない法律の下でデータへのアクセスを求めたり、他国の法律に抵触したりすることがある。クラウドサービスプロバイダーとして、我々は政策とテクノロジーを通じて全ての管轄区域において顧客のデータのプライバシーとセキュリティを保護することを約束する。全ての政府はクラウド時代に向けて法律を制定する際に一定の基本的な保護を認めなければならない。

　その上で、今回の新たな取り組みは、世界各国の政府と連携して、イノベーション、セキュリティ、プライバシーを阻害する国際的な法の対立を解決し、クラウド上でデータを保存・処理する組織に対する基本的な保護を確立・確保することを目指すものであり、この取り組みを通じて、各国政府と協力して、データの自由な流通を確保し、公共の安全を促進し、クラウドにおけるプライバシーとデータセキュリティを保護することを約束するとしています。

　なお、今回の取り組みは、社内で人権影響評価を行うなど、各企業がこの分野で行ってきた既存のコミットメントに基づいており、各社が取り組むべき基準となるものです。

　まず原則に先立って、クラウドサービスプロバイダーとして行うこととして以下の7つの項目が挙げられています。いずれも「認識する（recognize）」や「支持する（support）」といった比較的控えめな表現にとどまっています。

　これらの7つの項目を踏まえ、「Trusted Cloud Principles」として以下の5つを挙げ、今回の取り組みに加わっているクラウド事業者は、世界中のテック業界、公益団体、政策立案者と協力し、特にデータセンターやクラウドインフラを運用している、または運用を計画している国において法律や政策がこれらの原則に基本的に沿ったものになるようにすることを約束しています。

　今回紹介した取り組みは、顧客のプライバシー保護やセキュリティのためと謳っており、そこに嘘はないと思う（信じたい）のですが、結局のところは（当然ながら）クラウド事業者を守るため、もっとストレートに言えば、政府によるクラウド事業者に対する規制を緩和すべきと訴えるものです。特に5番目の原則がヨーロッパのGDPR（General Data Protection Regulation:一般データ保護規則）をはじめとして世界各国で法制化が進んでいる、いわゆる「データローカライゼーション（Data Localization）」というクラウド事業者にとって面倒でしかないものを真っ向から否定する内容になっていることからも明らかです。ちなみに、「Trusted Cloud Principles」のトップページでは、この5番目の原則を最初に挙げていることから、これが最も強く訴えたいものであることが分かります。

　もちろん、営利を目的とした民間企業としては当然のことで、責められるものではありませんが、今回の新たな取り組みが本当に顧客のプライバシー保護やセキュリティにつながるものなのか、そもそも「Trusted Cloud Principles（信頼できるクラウドの原則）」と言えるものなのか、慎重に動向を見守る必要があるでしょう。また、日本企業の対応や各国政府の反応も気になりますが、AppleとFacebookが今回の取り組みに加わっていないことも大いに気になるところです。

　なお、Appleについては、高橋郁夫弁護士が自身のブログにおいて、犯罪の証拠収集について政府と距離をおくスタンスのAppleとしては、透明性のあるプロセスがあれば政府による顧客データへのアクセスを認めるとする今回の取り組みには加わることができないのではないかと指摘しています。