よく比較されるのはデータセンターの地図です。パリ、ダブリン、フランクフルト。それは簡単ですが、副次的な問いにしか答えていません。誰がお客様のデータの提出を強制されうるのかを知るには、データを保有する会社と、その会社が服する法律を見る必要があります。有益な比較は、二つの国ではなく二つの法的立場を対置するものであり、勝者を決めるものではありません。正しい選択は企業の用途によって異なります。ソブリン性の概念はソブリンクラウドとは何かで、購買用の評価表は定義、基準、限界で説明しています。このページでは比較を行います。
MicrosoftとGoogleは米国法に基づく会社です。欧州向けの契約、子会社、EU域内のデータセンターがあっても、この事実は消えません。米国の当局が米国法に基づいてこれらの会社に要請する場合、問題は次のようになります。ディスクが欧州にある場合も含めて、その会社はデータを保有または管理しているか、という問題です。
2018年の米国法であるCLOUD Actは、米国の管轄に服するサービス提供者について次のように答えています。有効な命令は、保存場所にかかわらず、サービス提供者が保有するデータを対象とすることができます。これは常時のアクセスではありません。手続です。購入者にとっての実務上のポイントは別のところにあります。ディスクが欧州にあっても、米国のサービス提供者がこの手続から外れるわけではないのです。
これらの会社は、データ所在地に関する実際の仕組みを提供しています。Microsoftは、対象となるサービスについてEUデータ境界（EU Data Boundary）を説明しています。顧客データと仮名化された個人データはEUまたはEFTA域内で保存・処理され、プロフェッショナルサービスのデータは保存時にその域内に置かれますが、文書化された例外があります（サポートによるリモートアクセス、一部のエスカレーション、オプション機能、対象外のMulti-Geo顧客）。Googleは、エディションに応じて対象となるコンテンツについてデータリージョンを提供しており、特定のエディションとオプションに限ってサポートのアクセス管理（Access Management）を提供しています。これらの仕組みはデータの流れを減らします。しかし、ソフトウェアの開発元の国籍を変えるものではありません。
欧州の顧客にサービスを提供する米国のソフトウェアの開発元は、二つの法律の間に置かれます。米国法は、開発元が管理するデータの提出を義務づけることがあります。EU一般データ保護規則（GDPR）は第48条で、個人データの移転または開示を求める第三国の裁判所または当局の決定は、その国とEUまたは加盟国との間で効力を有する国際協定、たとえば司法共助条約に基づく場合に限り、承認または執行することができると定めています。同条は、個々の事例で開発元がこの二つの要請をどのように両立させるのかについては述べていません。自らの実務を説明するのはサービス提供者であり、それを求めるのは顧客です。
米国法には救済手段があります。18 U.S.C. § 2703(h)によれば、サービス提供者は、顧客が「United States person」ではなく米国に居住しておらず、かつ開示によって「適格な外国政府」の法律に違反する重大なリスクを負うと考える場合、命令の送達から14日以内に、その取消しまたは変更を求めることができます。適格な外国政府とは、発効済みの行政協定によって米国と結ばれた国を指します。米国司法省は、英国（2019年10月3日署名）およびオーストラリア（2021年12月15日署名）との協定を公表しています。EUとの間で発効している協定はありません。電子証拠に関するEUと米国の交渉は2023年に再開されました。同省のページには、フランスとの協定についての記載はありません。ところが、この特有の異議申立ての仕組みは、そのような協定を前提としています。
この問題はフランスで公に提起されています。2025年6月10日、公共調達に関する上院調査委員会において、Microsoft Franceの公共・法務担当ディレクターは、Ugapを通じてMicrosoftに預けられたフランス市民のデータが、米国政府の命令を受けて、フランス当局の明示的な同意なしに移転されることは決してないと宣誓のうえで保証できるかを問われました。同氏は「いいえ、それを保証することはできません。しかし、繰り返しますが、そのようなことはこれまで一度も起きていません」と答えました。この回答には、議論の二つの要素が含まれています。会社が与えることのできない保証と、会社によればこれまで起きていない事例です。
有益な意味での欧州のクラウドとは、欧州の法律に基づく会社によって運用され、米国のデータ引き渡し義務の対象となるグループに依存していないクラウドです。OVHcloudはフランスの会社です。Nextcloud GmbHはドイツの会社です。同社はソフトウェアを開発し、それを顧客やホスティング事業者が運用します。BlueMindはフランスのメール（メールサービス）の会社です。Infomaniakはスイスの会社です。スイスは欧州にありますがEU域外であり、欧州委員会の十分性認定を受けています。同社を「米国」に分類するのは誤りです。「EU」に分類するのも同じく誤りです。
欧州の法律は、単一の盾ではありません。フランスの運用者はフランス法に、ドイツの運用者はドイツ法に服します。当局からの要請は存在します。それは運用者の所在国の裁判官と規則を通じて行われます。
欧州としての性格は、委託によって失われることもあります。バックアップ、フィルタリング、サポートを米国のサービス提供者に委ねる欧州の運用事業者は、購入者が避けたかったものを再び持ち込むことになります。この点はCLOUD Actから企業を守るのページで詳しく説明しています。
| 質問 | 米国のソフトウェアの開発元のクラウド（データは欧州） | 欧州の会社が運用するクラウド |
|---|---|---|
| ディスクはどこにあるか | 多くの場合選択可能で、EUリージョン内。書面化された例外あり | 契約による。フランス、ドイツ、その他のEU加盟国、または顧客の環境 |
| 管理するデータの提出のために米国で命令を受けうるのは誰か | 米国のソフトウェアの開発元（保有または管理している場合） | 原則として欧州の運用事業者は対象外。ただし、対象となるグループまたは委託先に依存している場合を除く |
| 国内での要請に対応するのはどの裁判官か | 契約の準拠法。多くの場合、開発元に適用される米国法がこれに加わる | 運用事業者の所在国の法律 |
| 高度なオフィス機能 | 非常に幅広い（Office、Excel、Teams、またはDocsとGoogle検索） | 製品によって異なる。高度なExcel、Power BI、Teamsのエコシステムについて同等であることはまれ |
| データの引き揚げ | 実用的なエクスポートツールがある。チャットや自動化の履歴は部分的であることが多い | 商品ごとに確認が必要。メールのエクスポート（IMAP）は一般に最も簡単 |
どの列もすべてで勝るわけではありません。米国のソフトウェアの開発元は機能の幅で、欧州の運用事業者は法的立場で勝ります。判断するとは、自社にとってどの行が最も重いかを知ることです。
データが欧州に保存されていても、米国のソフトウェアの開発元のサービスには移転（サポートによるアクセス、エスカレーション、オプション機能）が伴い、それらはGDPR上の根拠に基づいていなければなりません。
以前の枠組みであるPrivacy Shield（決定2016/1250）は、とりわけ米国の監視プログラムの広範さと実効的な救済手段の欠如を理由に、2020年7月16日に欧州連合司法裁判所によって無効とされました（C-311/18事件、いわゆるSchrems II）。標準契約条項は引き続き有効ですが、個別の評価が求められます。
2026年10月5日時点で、認証を受けた米国の組織への移転は、Data Privacy Frameworkと呼ばれる十分性認定(EU) 2023/1795に依拠することができます。この認定は有効です。DAC BeachcroftとWilmerHaleの両法律事務所が指摘するとおり、この認定には異議が申し立てられています。WilmerHaleによれば、EU一般裁判所は2025年9月3日に無効確認訴訟を棄却し、2025年10月31日に司法裁判所への上訴が提起されました。慎重な企業は、この根拠を処理活動記録簿に記録し、それが失効した場合の対応を準備しています。
業務が高度なExcel、Power BI、Officeのアドイン、業界標準としてのTeams、あるいはすでに稼働している数十の連携に依存している場合、米国のクラウドは依然として適切です。法的な理由でツールを変え、その結果として企業を動かしている用途を失うのは、誤った計算です。この判断の分かれ目については、Microsoft 365とソブリンソリューションの比較のページで詳しく説明しています。
移転に関する法的分析、DPA、データ所在地のオプションが処理活動記録簿の実際の必要性を満たしている場合にも、米国のクラウドは依然として適切です。多くの欧州企業が、この枠組みの中でMicrosoft 365やGoogle Workspaceを利用しています。それを述べることも、誠実な比較の一部です。行うべき確認は、GDPRとMicrosoft 365とGDPRとGoogle Workspaceで説明しています。
経営陣が、メールとファイルを保有する会社が欧州の会社であること、その枠組みの中でサポートに連絡が取れることを望み、かつ用途がメール（メールサービス）、ファイルとそのオンライン編集、ビデオ会議、CRM、電話の範囲に収まる場合、欧州の運用事業者が適切になります。企業がクラウドをまったく望まない場合の、顧客の環境への導入についても適切になります。
二つの選択肢は相互に排他的ではありません。企業は、米国のスイートに依存する職務にはそれを残し、それ以外を欧州の運用事業者に任せることができます。この構成は管理の手間が増えます。用途の分離が明確な場合に正当化されます。
ガイドMicrosoft 365の欧州の代替サービスでは、Microsoft 365、Google Workspace、OVHcloud、Nextcloud、Infomaniak、その他の事業者、そしてKlyticを、それぞれのユースケースとともに概観しています。
仮定の事例です。ある製造業の中小企業には2つの拠点があります。設計部門は高度なExcelで作業し、発注元とはTeamsでやり取りしています。工場、購買部門、管理部門は主にメール（メールサービス）と共有フォルダーを使っており、そこには図面が保管されています。
ある発注元が、自社の図面を欧州の会社が保有するよう求めます。設計部門にとって、高度なExcelとTeamsを手放すことは顧客との業務を混乱させます。米国のスイートは、文書化された移転分析とともに、引き続き正当化されます。その他の部門の図面とメール（メールサービス）については、欧州の運用事業者が、用途を損なうことなく要望に応えます。判断は原則ではなく、表の各行に従っています。
いいえ。CLOUD Actは、保存場所にかかわらず、米国法の対象となるサービス提供者が保有または管理するデータを対象としています。欧州リージョンは移転を減らします。しかし、データを保有する会社を変えるものではありません。
はい。その法律の対象となるグループに依存している場合や、その法律の対象となる委託先にデータを預けている場合です。そのため、運用事業者の名称だけでなく、親会社と委託先の一覧を確認する必要があります。
GDPRの観点から、認証を受けた米国の組織への移転に根拠を与えるものです。有効ですが、異議が申し立てられています。ソフトウェアの開発元の国籍も、米国法が定める命令の効力範囲も変えるものではありません。
Klyticは表の2列目に位置します。フランス企業のDedicace Softwareによって運用されています。ホスティングは、必要なサービスが利用可能であることを条件に、適用される管轄に対応するあらゆる地理的区域で可能です。たとえば欧州やモーリシャス、あるいは顧客のサーバー上です。
メール（メールサービス）は、米国のSynacorが開発し、Klyticが運用するZimbraに基づいています。文書は、顧客ごとの専用Nextcloudインスタンスに基づいています。KlyticはSecNumCloud認定を受けておらず、高度なExcel、Power BI、Teamsの代わりにはなりません。サービスは個別に購入できます。企業はMicrosoft 365を使い続けたまま、自社のメール（メールサービス）の前段に置くKlytic MTAのフィルタリングだけを追加することもできます。ホスティングの詳細はホスティングとソブリン性のページにあります。
このページは一般的な枠組みを説明するものです。お客様の契約の分析に代わるものではありません。
2026年10月5日時点の法的状況。本文は契約内容の分析に代わるものではありません。EU・米国間の十分性認定（EU）2023/1795 は有効ですが、異議が申し立てられています。SecNumCloud については ANSSI のカタログが基準となります。
2026年10月に参照。
メール、ドキュメント、ビデオ会議、CRM、電話を、お客様の法域に対応する地域（例：欧州やモーリシャス）、またはお客様の拠点でホスティングします。
