組織がGmail、Drive、Docs、カレンダーに置くコンテンツについては、通常、お客様が管理者であり、Googleは処理者です。一方でGoogleは、アカウント、セキュリティ、サービスの運営に関連して、自らが管理者となる処理についても説明しています。Google Workspace Data Processing Amendmentと移転に関する附属書が、処理記録とともに保管すべき文書です。
理由。 役割によって、誰が本人に情報を提供し、誰が本人に回答し、誰が保存期間を決めるかが定まります。コンテンツについてはお客様がその立場にあり、GoogleはGDPR第28条の枠組みの中で、お客様の指示に基づいて行動します。
確認方法。 この修正契約が、当初の発注後に追加されたものも含め、有効化されているサービスを対象としているかを確認してください。従業員30名の広告代理店がGmailとDriveから利用を始め、その後Chat、Sites、フォームを開放した場合、最初の2つしか文書化していないことがよくあります。
処理記録への記載。 サービスごとに1行とし、Googleの役割、有効化の日付、保管している修正契約のバージョンを記載します。
よくある誤り。 アカウント開設時に締結した契約を保管したきり、二度と読み返さないこと。
エディションによっては、管理者は対象となるデータを米国または欧州に保存すること、そして処理の一部をそのリージョンに限定することを選択できます。Googleはその一覧を公開しています。Gmail、カレンダー、Drive、Chat、Docs、Sheets、Slides、その他の中核サービスについては保存時のコンテンツが対象となり、その一部については処理も対象となります。ドキュメントには、リージョンポリシーは一覧に記載されていないデータ、特に一部のログやキャッシュされたコンテンツには適用されないと明記されています。
実務上の影響は次のとおりです。
理由。 「欧州リージョン」は、一覧に記載された範囲を指すものであり、サービス全体を指すものではありません。一覧に記載されていないものこそ、処理記録が引き受けなければならない部分です。
確認方法。 営業用のパンフレットではなく、実際の設定画面のキャプチャを管理者に求めてください。それを、各ユーザーグループが契約しているエディションと照合します。2つの拠点を持つ製造業の中小企業で、一方の拠点がより下位のエディションを使用している場合、リージョンのルールがアカウントの半数にしか適用されていないことがあります。
処理記録への記載。 エディション、選択したリージョン、対象となる組織部門、除外されるカテゴリー（ログ、キャッシュ）、確認日を記載します。
よくある誤り。 Googleが公表している除外事項に触れずに「データは欧州に保存されています」と記載すること。
Access Managementを使うと、一部のサポートデータに対して作業するGoogleの担当者を限定できます。たとえば、EU域内にいる担当者、またはEU域内に置かれた仮想デスクを経由する担当者に限定するといった形です。この機能は特定のエディションとAssured Controlsオプションに結びついています。すべてのBusinessプランでデフォルトの設定となっているわけではありません。
理由。 インシデントを解決するためにデータを閲覧する技術者は、そのデータを処理しています。保存場所は、このアクセスがどこから行われるかについて何も示していません。
確認方法。 コンプライアンス文書が「サポートはEU域内からのみ」を前提としている場合は、このオプションが購入され有効になっていることを確認し、その証拠を保管してください。
クライアントサイド暗号化は、お客様のエディションで利用可能な場合、一定範囲のコンテンツについて鍵の管理をお客様の手に残します。これによりGoogleが読み取れる内容が変わります。同時に、検索、不正利用対策、一部の共同作業機能にも影響が生じます。業務部門に告知する前にテストすべきです。全体向けの通知文よりも、1つのチームでの試験導入と、動作しなくなる機能の一覧のほうが有用です。
処理記録への記載。 有効なオプション、その対象範囲、サポートが引き続きアクセスできるものを記載します。
よくある誤り。 販売前の段階で話題に上ったからといって、そのオプションが更新契約に含まれていると思い込むこと。
Googleは米国企業です。アクセスやコピーがEU域外に出た時点で、その移転には根拠が必要です。2026年10月5日時点で、十分性認定（EU）2023/1795は、認証を受けた米国の組織について引き続き効力を有していますが、争われています。法律事務所WilmerHaleの解説によれば、欧州連合一般裁判所は2025年9月3日に取消訴訟を棄却し、2025年10月31日に欧州司法裁判所に上訴が提起されました。法律事務所DAC Beachcroftは、その解説のタイトルで、当面は安定、その先は不確実と述べています。
標準契約条項は、もう1つの一般的な手段であり続けています。2020年の先例は、これを理解しておくべき理由を示しています。2020年7月16日、欧州司法裁判所はC-311/18判決（いわゆるSchrems II）において、とりわけ米国の監視プログラムの広範さと実効的な救済手段の欠如を理由として、Privacy Shield（決定2016/1250）を無効としました。標準契約条項は、個別の評価を条件として引き続き有効とされました。
CLOUD Actの詳細はCLOUD Actから企業を守るのページにあります。Googleがデータを保有または管理している場合、欧州リージョンを選んでもGoogleが米国法の適用から外れるわけではありません。一方、GDPR第48条は、個人データの開示を求める第三国の裁判所または当局の決定は、当該国とEUまたは加盟国との間で効力を有する国際協定、たとえば刑事共助条約に基づく場合に限り、承認または執行できると定めています。したがって、欧州で事業を行う米国の事業者は、2つの規範の間に置かれる可能性があります。第48条はこの衝突を記述していますが、解決するものではありません。
処理記録への記載。 契約が用いている手段と、十分性認定が失効した場合の代替策を記載します。
よくある誤り。 データリージョン（第2項）で移転の問題が解決すると考えること。データリージョンは一部のデータがどこに保存されるかを示すものであり、誰がどの法律のもとでそれにアクセスできるかを示すものではありません。
データエクスポートツール（Takeout）と管理ツールによるエクスポート、Vaultを利用している場合はVaultでの検索、そして管理者が負う1か月の回答期限。
確認方法。 Gmailのメールボックス、Drive、カレンダーを抽出できる社内の担当者を指名し、テスト用アカウントで試行させてください。グループのメールボックスや、所有者が退職したファイルも確認します。対応が遅れるのはこうした請求です。
処理記録への記載。 手順、担当者、その代理者、エディションに応じて使用するツールを記載します。
よくある誤り。 退職した従業員の共有ファイルの扱いを決めないままそのアカウントを削除し、その後それらのファイルに関する請求を受けること。
メッセージとファイルは比較的スムーズに移行できます（IMAP、Driveのエクスポート）。Google Chatの履歴、Sites、Apps Script、自動化処理に連携したフォーム、管理ルールは、そのままの形では他のスイートに移せません。Google Workspaceからの移行のページに、こうした差異を一覧にしています。
理由。 契約終了時の対応はコンプライアンスの一部です。データポータビリティ、保存期間の終了、そして契約が終了した場合のデータの回収は、これにかかっています。
処理記録への記載。 そのままの形ではエクスポートできないコンテンツの一覧と、それらをどう扱うかを記載します。
よくある誤り。 解約の月になって重要な自動化処理の存在に気づくこと。
いいえ。GDPRは役割、移転、本人の権利を規律しています。ソフトウェアの開発元をその国籍を理由に禁止することはなく、何をどのような根拠に基づいて行っているかを記述することを求めています。
いいえ。リージョンの対象となるのは、エディションに応じてGoogleが一覧に記載しているデータです。一部のログやキャッシュされたコンテンツは含まれず、リージョンによってソフトウェアの開発元の国籍が変わるわけでもありません。
暗号化された範囲について、Googleが読み取れる内容は変わります。すべてを対象とするわけではなく、検索や一部の共同作業機能にも影響します。全社展開の前にテストしてください。
処理記録にあらかじめ代替策、一般的には個別の評価を伴う標準契約条項を記載しておくべきです。この評価を事前に準備しておけば、緊急時に慌てて作成する事態を避けられます。
チームがDocsとDriveを日常的に使い、お客様のエディションのデータリージョンが重要なコンテンツを対象としており、ログと残るアクセスを処理記録が引き受けている場合です。GDPRはGoogleから離れることを義務づけてはいません。義務づけているのは、何を行っているかを記述することです。
この場合、継続する理由は確かなものです。DocsやSheetsでの同時編集、Drive全体の検索、チームの慣れには価値があり、離れる前にそれを見極める必要があります。準備不足の移行は、データにとってそれ自体のリスクを生みます。リージョンとサポートの管理機能を含むエディションを契約するほうが、スイートを変更するよりも釣り合いのとれた対応となる場合があります。判断の分かれ目についてはGoogle Workspaceを継続するか離れるかで詳しく説明しています。
欧州またはスイスの企業にファイルとメールを保有させたい場合、または契約しているエディションに、お客様の分析が求めるリージョンとサポートの管理機能が含まれていない場合です。現在のエディションと要件を満たすエディションとの差が、乗り換えと同じくらいの重みを持つのであれば、この問いを検討する価値があります。
運用事業者を変更すれば、その処理者が米国の事業者を再び介在させない限り、データの保有者は自国の法律に服することになります。それによって、処理委託契約、処理記録、権利行使への対応手順が不要になるわけではありません。Infomaniak、欧州のホスティング事業者が運用するNextcloud、OVHcloud、Klyticは、それぞれ異なるニーズに応えます。Microsoft 365の欧州の代替サービスのガイドとGoogle Workspaceの代替サービスのページで、それらを区別しています。Microsoft側の同様の確認事項はGDPRとMicrosoft 365にあります。
Klyticは、フランス企業であるDedicace Softwareが運用しています。メール（メールサービス）、顧客ごとの専用Nextcloudインスタンスにおけるドキュメント（共有、単独または複数人でのオンライン編集、バージョン履歴）、ビデオ会議、CRM、電話を提供しており、それぞれ個別に購入できます。Nextcloudのソフトウェアの開発元はNextcloud GmbH（ドイツ）です。メールはZimbraを基盤としており、Zimbraのソフトウェアの開発元はSynacor（米国）、運用はKlyticが行っています。ホスティングは、必要なサービスが利用可能であることを条件として、適用される法域に対応するあらゆる地域、たとえば欧州やモーリシャス、またはお客様のサーバー上で行われます。データはお客様、またはお客様に代わってKlyticが保有し、標準で、またはお客様の選択に応じて暗号化されます。鍵はお客様が保有するか、お客様のアカウント内に保管され、Klyticはこれにアクセスできません。Klyticが暗号化を管理する段階については、CLOUD Actから企業を守るのページで詳しく説明しています。契約には、この保有と暗号化について記載されている必要があります。単独または複数人でのオンライン編集はインスタンス内で行われます。これはGoogleのエディターではなく、Klyticはデータ資産全体を対象とするGoogleの検索をそのまま再現するものではありません。SecNumCloudの認定は受けていません。
このページは一般的な枠組みを説明するものであり、法的助言を構成するものではありません。
2026年10月5日時点の法的状況。本文は契約内容の分析に代わるものではありません。EU・米国間の十分性認定（EU）2023/1795 は有効ですが、異議が申し立てられています。SecNumCloud については ANSSI のカタログが基準となります。
2026年10月に参照。
メール、ドキュメント、ビデオ会議、CRM、電話を、お客様の法域に対応する地域（例：欧州やモーリシャス）、またはお客様の拠点でホスティングします。
