ロシアから日本への個人データ移転―国内保存・事前通知・移転開始の条件

第１　ロシア国内で収集・保存する段階

ロシア拠点で取得した顧客や従業員の個人データを日本本社へ渡す場合，ロシア国内データベースの利用義務と，外国への移転の条件を順に確認する。
令和８年１０月３０日に効力を生じたロシア監督当局（ロスコムナゾル）の命令第２５３号は，日本を適切な保護を確保する国のリストに掲載している。
日本がリストに載っていても，原則として，移転を行う事業者から監督当局への事前通知が必要である。

令和７年７月１日に施行された連邦法第２３-ФЗ号による改正後のロシア個人データ法第１５２-ФЗ号第１８条第５項は，ロシア国民の個人データを収集する際，例外に当たる場合を除き，国外データベースによる記録，整理，蓄積，保存，更新・変更，抽出を禁止している。
インターネットによる収集も含む。
例外は第６条第１項第２号，第３号，第４号，第８号に規定する処理であり，本人の同意があるだけでは，国内保存の例外にならない。

ロシアに拠点がない場合も，ロシア国民が当事者である契約，ロシア国民と外国の事業者との別の合意，又は本人の同意に基づいてそのロシア国民の個人データを処理する外国法人・外国の個人には，同法第１条第１．１項が適用される。
本人の国籍，契約・同意の相手，データを最初に収集・保存する主体を確認する。

平成２８年１１月１０日のモスクワ市裁判所の控訴審決定（事件番号３３－３８７８３／１６）は，LinkedInについて，ロシア語版のサイトがあり，ロシア語の広告が可能であることを，ロシアの利用者を対象とする事業であることの事情として判断した。
当時は，令和４年７月１４日の連邦法第２６６-ФЗ号が第１条に加えた第１．１項はまだなかった。
ロシア語の表示や広告はロシアの利用者を対象としているかを見る手掛かりになるが，現行の第１条第１．１項を適用する際は，ドメイン名や決済通貨，配送先だけで結論を出さず，対象となる本人，契約・合意・同意と実際の処理を確認する。 モスクワ市裁判所の平成２８年１１月１０日決定（転載）

日本の個人情報保護法第１７１条は，国内にある者に対する物品又は役務の提供に関連して，国内にある者を本人とする個人情報等を外国で取り扱う場合にも，同法を適用すると定める。
個人情報保護委員会のＱ＆Ａ１１－２は，外国の事業者が日本国内の本人から直接取得した場合も，日本国内の別の事業者から間接的に取得した場合も同様に扱うと説明する。
日露いずれについても，適用される法律と，適用後に検討する保存場所・委託・国外提供の各要件は分けて確認する。 個人情報保護委員会の個人情報保護法Ｑ＆Ａ

ロシアのデジタル発展省は令和７年５月１２日付書簡で，国内データベースで収集した後の越境移転には第１２条が適用される一方，収集を行った事業者による更新と保存は，コピーも含め国内データベースを使用すべきだと説明した。
同意に基づく処理では，令和７年９月１日以降，同意を本人が確認又は署名する他の文書等から分けて作成する。
同意を根拠とするときは，処理の内容と目的が特定され，本人が情報を得た上で自由に，明確に意思を示したことを確認する。
法が書面などの方式を求めない場合は，同意を取得した事実を確認できる方式を用いる。
特別な種類のデータや本人の識別に使う生体データは，第１０条・第１１条の書面同意の要件と例外を別に確認する。
同意又は別の適法な根拠を示す責任は事業者が負う（第９条第３項）。

他の連邦法に特別の定めがない場合，同意は取得の事実を確認できる方法で得る。
代理人が同意するときは，事業者が代理人の権限を確認する。
書面での同意が求められる場合は，法令に従って電子署名した電子文書で代えることができる（第９条第１項・第４項）。
人種・民族，政治的見解，宗教・哲学上の信条，健康状態又は私生活のうち親密な領域に関する特別な種類のデータの処理は，第１０条第２項・第２．１項に当たる場合に限られる。
書面同意のほか，本人の同意が得られず生命・健康等の保護に必要な場合や，法令上守秘義務を負う医療専門職が診断・医療等のために処理する場合などを，条文の条件に即して確認する。 ロシア個人データ法第１０条（法令本文転載）

生理的・生物学的特徴に関する情報で，事業者が本人確認に用いるものは，第１１条の生体データの規律を確認する。
原則は書面同意であり，同条第２項に例外がある。
事業者は，所定の例外がなければ提出を強制できず，連邦法上同意の取得が義務付けられていないときは，提出や同意を拒んだことを理由にサービスの提供を拒むこともできない（同条第１項・第３項）。 ロシア個人データ法第１１条（法令本文転載）

日本本社で閲覧させる，コピーを保持する，国外でマスターデータを更新するという設計は，それぞれ誰が処理し，どのデータベースを使うかに分けて検討する。

本人の同意撤回を受けたときは，事業者は原則として到達から３０日以内に処理を停止し，委託先にも停止させる。
処理目的のために保存する必要がなくなったデータは，同じ期間内に消去するか委託先に消去させる。
本人が当事者・受益者・保証人である契約，本人との別の合意，同意なしの処理に関する連邦法上の根拠については第４項・第５項に例外の定めがあるため，その文言と対象を個別に確認する。
目的の達成による処理停止・消去も，原則として達成から３０日以内である（第２１条第４項・第５項）。

本人が処理の停止を求めた場合は，受領から原則１０営業日以内に事業者が停止し，委託先にも停止させる。
本人に理由を示して通知すれば，最長５営業日延長できる。
同法第６条第１項第２号から第１１号，第１０条第２項又は第１１条第２項に基づく処理には例外がある。
違法処理を発見した場合は，発見から３営業日以内に停止し，適法な状態にできなければ同じ発見日から１０営業日以内に消去する。
期限内に消去できないデータは処理を遮断し，連邦法に別の期間がある場合を除き６か月以内に消去する（第２１条第３項・第５．１項・第６項）。
違法処理について，違反を解消し，又は個人データを消去したときは，事業者はその措置を本人又は代理人に通知する。
本人若しくは代理人の申立て又は監督当局の照会が監督当局から送付された場合は，同当局にも通知する（同条第３項）。

ウェブサイトなどで不特定多数に個人データを頒布する場合，事業者は他の同意と分けて同意を取得し，本人がデータの類型ごとに項目を指定できるようにする。
沈黙から同意を推認できない。
本人が頒布に同意したことが明らかでなければ，事業者は頒布できない。
本人が設定した制限の有無や対象となるデータの類型・項目が同意文面で明確でない場合は，不特定多数への提供・アクセスも認められない。
本人が自ら公開した場合でもこの同意がなければ，その後に頒布や処理をした者がそれぞれ適法性を立証する。
違法行為・犯罪又は不可抗力で公開された場合も同様である。
事業者は同意取得から３営業日以内に処理の条件・禁止事項を公表する（第１０．１条第１項から第５項，第８項から第１０項）。

本人は氏名，連絡先及び対象データを示し，事業者に頒布・提供・アクセスの停止を求められる。
当該同意は請求到達時に効力を失う。
第１０．１条に違反した場合は，処理する者に直接請求すれば受領から３営業日以内，裁判による場合は判決の指定期限内又は指定がなければ確定から３営業日以内に頒布・提供・アクセスを停止する。
本人は，事業者から不特定の者への移転（アクセスの提供を除く。）と，不特定の者による処理（アクセスの取得を除く。）について，禁止又は処理条件を定められる。
事業者はその設定を拒めない。
ロシア法が定める国・社会その他の公共の利益のための処理には，その禁止・条件が及ばない。
国・自治体の機関又はそれらの所管組織にロシア法令が課した機能・権限・義務を遂行するための処理には，第１０．１条全体が適用されない（同条第９項，第１１項から第１５項）。

第２　外国への移転を通知する前にそろえる情報

事業者は，越境移転を行う前に，ロスコムナゾルへ移転の意向を通知する。
第１２条第３項の通知は，第２２条の一般的な処理の通知とは別である。
第２２条の一般通知は原則として処理開始前に監督当局に行う。
同条第２項には，国家安全・公序を守るために設置された国の情報システムに含まれるデータの処理，事業者が処理業務を完全に非自動で行う場合及び交通安全法令上の所定の処理の３つの例外がある。
一般通知の例外と越境通知の例外はそれぞれの要件で判定する。
国外移転の準備では，第１８条第５項の収集段階，第１２条の越境移転段階，第１８．１条・第１９条の管理・安全措置を順に点検する。

通知を出す前に，事業者は移転先から，移転先の名称（個人の場合は氏名），電話番号・郵便の宛先・電子メールアドレス，保護措置及び処理を終了する条件を取得する。
リストにない国の管轄下にある相手には，現地の個人データ法制の情報も求める。
通知には，事業者の名称・住所，従前の第２２条通知の日付・番号，責任者の氏名・電話・郵便・電子メールの連絡先，越境移転及び移転後の処理それぞれの法的根拠と目的，移転するデータの類型と項目の一覧，本人の類型，移転先国の一覧，移転先の守秘と安全を評価した日を記載する。
第１２条第３項の通知は，同条第４項により，紙の書面又は電子文書で提出し，権限のある者が署名する。
日本の会社を主契約者とする場合でも，別の国で受領・処理する主体がいるなら，実際の移転先を切り分ける。

第３　日本へいつ移転できるか

令和８年７月２６日の第２６５-ФЗ号による改正後は，監督当局のリストで移転先国の区分を判断する。
命令第２５３号は，旧命令第１２８号に代わり同年１０月３０日から効力を生じた。
日本は新しいリストに含まれる。

監督当局が通知に基づいて判断する期間は，通知を受け取った日から１０営業日である。
当局が追加の資料を求めた場合，審査は事業者が回答するまで停止する。
事業者の回答期限は照会の受領から１０営業日であり，理由を示した通知を出せば最大５営業日の延長が認められる。
リスト外の国について，通知から１０営業日を数えただけで開始できると判断しないよう，照会と回答の日付を残す。

第４　禁止・制限と事故発見後の報告

第１２条第１２項・第１３項には，所定の機関の申出を監督当局が受領した日から５営業日以内に判断する別の手続がある。
同条第８項又は第１２項に基づく決定がされた場合，移転元の事業者は，相手に渡した個人データを相手が破棄することを確保する義務を負う。
政府機能の遂行に関する一定の場合には，第１２条第１５項に基づく適用除外が別に定められる。
政令第２５２６号の適用除外は，条約又はロシア法で国・自治体の機関に課された機能等を遂行するための所定の越境移転に適用される。
同政令の別紙の第１項に挙げる国際司法共助などの類型では，第１２条第３項から第６項及び第８項から第１１項を適用しない。
同別紙の第２項に挙げるスポーツ，文化・科学・教育，決済システムの運営などの類型では，第８項から第１１項のみが除外され，第３項の事前通知は残る。
契約では，移転停止の連絡，再移転先を含む処理範囲の把握，削除の手順と確認記録を取り決めておく。

違法又は偶発的な移転（提供，拡散，アクセス）により本人の権利が侵害された事実が確認された場合，第２１条第３．１項により，事業者は，事業者自身，監督当局又は他の利害関係者による事故の発見から２４時間以内に，監督当局へ事故の概要，推定原因・被害，措置，連絡先などを知らせる。
発見から７２時間以内には，内部調査の結果と，判明していれば原因となった行為者を知らせる。
７２時間は初回報告からの起算ではない。

ロシア行政違反法第１３．１１条第８項は，ロシア国民の個人データの収集時に必要な国内データベース利用義務に違反した場合に適用される。
第９項は同じ違反を繰り返した場合を扱う。
法人の行政罰は第８項で１００万～６００万ルーブル，第９項で６００万～１，８００万ルーブルである。
責任者（должностное лицо）はそれぞれ１０万～２０万ルーブル，５０万～８０万ルーブル，一般の個人はそれぞれ３万～５万ルーブル，５万～１０万ルーブルである。
個人事業主には同条の注記により法人の区分が適用される。

国内保存違反（第８項・第９項）とは別に，同条第１５項は，第１２～１４項の違反を，第１２～１４項，第１６～１８項又は同項の違反で行政処分を受けた者が行った場合を扱う。
法人の罰金は，違反発見の前年の商品・仕事・役務すべての販売等による総売上（前年に販売等の事業がなかったときは発見年の発見日前の部分），信用機関については違反時点の自己資本を算定基礎として１～３％とされ，下限は２，０００万ルーブル，上限は５億ルーブルである。
同条第１８項は，第１６項又は第１７項の特別カテゴリー・生体データの違法な提供・頒布・アクセスを招いた違反を，第１２～１７項又は同項の違反で行政処分を受けた者が行った場合を扱い，算定の基礎は同様で，下限は２，５００万ルーブルとなる。
第１５項・第１８項の適用では，同条の注記５により，過去に同条第１～１１項又は行政違反法第１３．６条・第１３．１２条の違反で処分を受けていたことが加重事由として考慮される。 ロシア行政違反法第１３．１１条（条文転載）

同条第１０項は，個人データの処理を始める意向の通知を怠り，又は遅らせた場合を対象とし，法人の行政罰は１０万～３０万ルーブルである。
第１２条の越境移転の事前通知の懈怠にこの項を当てはめられるかは，条文が処理開始の意向の通知と定めていることに照らし，別に確認する。
事故報告を怠り，又は遅らせた場合の同条第１１項では，法人の行政罰は１００万～３００万ルーブルとなる。
第１０項から第１８項までの「法人」「責任者」は，同条の注記により，国・自治体の機関や非営利団体でない事業者と，これらの機関・団体の役職者を指すので，対象の範囲も確認する。
事故そのものに対する制裁の有無は，漏えいした情報の種類・件数や過去の処分などを確認し，同条第１２項以下の適用を別に検討する。

第５　出典・関連記事

①　ロシア個人データ法第１２条（令和８年７月２６日改正版の法令本文転載）
②　ロシア個人データ法第９条（法令本文転載）
③　ロスコムナゾル命令第２５３号（命令本文・国別リスト転載）
④　ロシア・デジタル発展省の令和７年５月１２日付書簡（転載）
⑤　ロシア社会基金掲載の個人データ法第２１条
⑥　日本の改正個人情報保護法と委託契約
⑦　ロシア行政違反法第１３．１１条（条文転載。第８～１１項及び注記）
⑧　ロシア個人データ法第１０．１条（法令本文転載）
⑨　ロシア個人データ法第２１条（法令本文転載）