Microsoft DPA 11月改定：プレビューの個別条件と適用版を契約審査で確認する

結論：プレビュー利用の承認を、適用版と個別条件の確認へ戻す

編集上の法務判断・実務対応：法務、プライバシー担当、情シスは、対象機能の正式名称と提供段階を特定し、個人データの利用可否、DPAの適用版、製品固有条件、保存・処理場所、終了時のデータ回収を承認記録へまとめてください。通常版の契約審査を終えていることだけで、追加するプレビュー機能の審査も完了したとは扱わない運用を提案します。

確認済み事実と評価の区別：11月版の変更概要はプレビューの変更を説明の明確化としています。本記事は、今回すべてのプレビューで保護が縮小した、または一律に個人データを利用できるようになったと評価するものではありません。個別の許可・例外がどの条項へ及ぶかを確認する契機として整理します。

背景と法的根拠：11月版の変更点と、従来からある例外を分ける

確認済み事実：Microsoft公式配布サイトから取得した日本語DPA文書本体は、最終更新日を2026年11月1日としています。変更概要は、処理対象データの開示に関する情報追加と、プレビューの説明明確化の2項目です。5月22日版と比較すると、プレビューの特定のDPA条項の適用説明に、当該プレビューについて別途定めがある場合の留保が加わっています。

確認済み事実：プレビューで個人データ等を扱うことの原則的な制限、許可されたプレビューにおける米国その他の国への移転・保存・処理の可能性、所在地条項や保持削除条項に対する例外は5月版にもあります。これらを11月に新設された越境移転・削除ルールと読み替えないでください。

確認済み事実：開示条項には、オンラインサービス提供の過程で児童性的搾取・虐待資料と疑われるコンテンツを認識した場合、全米行方不明・被搾取児童センターその他の権限ある当局へ通報する場合がある旨が追加されています。編集上の論点整理：これは契約上のデータ開示に関する説明です。日本法上の漏えい等報告や、顧客への事故通知がすべて同じ条件で発生するという意味ではありません。

確認済みの法的根拠：個人データを扱う企業では、個人情報保護法第23条の安全管理措置、第25条の委託先監督、外国にある第三者への提供に該当する場合の第28条の検討が必要です。DPAの締結だけで、実際の処理態様に応じた国内法上の確認がすべて完了するとは扱わないことを、編集上の検討材料として示します。

適用期日・対象範囲・関係条項：11月1日と自社契約の適用日を区別する

日付の区別：公式一覧の11月版掲載日＝2026-11-01、文書本体の最終更新日・変更概要日＝2026-11-01、比較対象の最終更新日＝2026-05-22です。掲載日と別の初回公表日は確認できずnullです。本記事の公開日・最終確認日＝2026-11-02（日本時間）。全顧客共通の切替日、自社契約への実適用日、新たな日本法の施行日、意見公募期日は、今回確認した資料では確定せずnullです。

確認済み事実：DPAの更新の制限は、製品の更新・新しいサブスクリプション購入やプロフェッショナルサービスの個別契約締結時の最新版が適用され、その期間中は変更されないと定めます。一方、新機能等には条件の提示やDPA更新に関する別規定があります。新機能等をインストールまたは使用しない場合、対応する新しい条件は適用されない旨も定めています。

確認済み事実：DPAの定義では、DPAのプライバシー・セキュリティ条件を補足・変更する製品固有条件が含まれ、矛盾時は当該製品・機能の製品固有条件が優先します。編集上の適用確認：購入・更新日、契約期間、機能の導入日、適用条件の文書を照合し、一覧の最新版だけで自社契約の適用版を断定しません。日本法第28条についても、保存リージョン名だけで結論を出さず、提供該当性と採る法的根拠を整理します。

契約書・社内規程・SLA：承認条件と通知の種類を具体化する

編集上の社内規程文言案：『プレビュー機能で個人データその他の規制対象データを扱う場合、当該利用を許容する個別条件、適用DPA、処理国、保持・削除条件及び代替手段を確認し、法務・情報セキュリティ責任者の承認を得る。確認未了の間は実データを投入せず、検証用データを用いる。』これは社内検討用の案であり、Microsoftが提示する義務や一律の法定文言ではありません。

編集上の委託契約文言案：『受託者は、承認対象のクラウド機能、提供段階、適用条件の版及び利用データを記録し、未承認のプレビュー機能を利用しない。条件又は提供段階の変更を把握したときは、影響と対応案を委託者に提示し、継続利用の承認を受ける。』実現できる通知経路、時期、費用及び再委託関係に合わせて調整してください。

編集上の文言チェック：包括的なDPA準拠や国内保存という回答だけで承認せず、どの機能・データ・処理に当てはまるか確認します。データ開示要求、疑わしい資料の通報、セキュリティ事故、サービス停止は別々の連絡・判断項目とし、通知禁止の場合も想定して連絡先と記録方法を定めます。今回のDPA文言だけから、すべての開示前に顧客へ通知されると約束しないでください。

編集上のSLA・免責確認：可用性の指標、サービスクレジット、データ処理の許可、削除保証、損害賠償の上限は別項目として原契約・製品条件を照合します。11月版DPAの変更からSLAや賠償上限の改定を推定せず、プレビュー停止時の代替運用、保全費用、復旧作業の担当を委託契約で具体化します。

技術仕様・責任分界・監査証跡：許可と実装を同じ機能単位で照合する

確認済み事実：個人データ処理を許可したプレビューでも、DPAは所定の例外に反しない範囲で適用され、追加条件が定められる場合があります。プレビュー終了や参加中止時には、後に一般販売される場合でもデータが削除され得る旨があります。これらは今回新設された条項ではありません。

編集上の法務・情シス連携：法務は適用文書と許可範囲を、情シスは入力・出力・診断ログ・バックアップ・サポート経路を図と台帳で照合します。管理画面上の保存先だけで判断せず、機能固有の処理場所、アクセス権、送信される識別子、エクスポート可否を確認します。未確認の処理国や削除範囲は未確認のまま記録し、ベンダーへの照会と利用可否の判断を分けます。

編集上の監査証跡：11月版と適用する旧版、製品固有条件、取得日時、ファイルのハッシュ値、問い合わせ回答、設定画面、承認票、試験結果を対応付けます。DPA本文が存在することと、対象機能の設定・アクセス制御・回収試験が完了したことを別の証跡にします。許可条件が満たせない場合の投入停止、データ回収、代替機能への切替担当も定めてください。

対応範囲：本記事は確認済みの公式文書と編集上の論点整理・検討材料を示す一般情報です。個別案件の法的助言や代理交渉は行いません。行政書士としては法令上認められる範囲で契約書類・社内規程等の作成支援と事実関係の整理を行います。個別契約の解釈、紛争性のある案件、外国法の判断等は、事案に応じて弁護士その他の適切な専門家への確認が必要です。