TL;DR
- 2026年5月、Microsoftがオランダの規制当局職員（DSA＝デジタルサービス法の執行担当）の氏名・メール・議事録を、米下院委員会へ氏名を伏せずに提出していたことが報じられた。データはEU域内に置かれていた可能性が高いにもかかわらず、である。
- 多くの報道はこれをCLOUD Actの問題と呼ぶが、今回の法的根拠は厳密にはCLOUD Actではなく、米議会の召喚(subpoena)／監督権限だ。この区別を取り違えると、対策の方向性まで間違える。
- 本質は データ残存（data residency）≠ データ主権（data sovereignty） という点にある。データを国内・EU内に置いても、事業者が米国法人なら米国の法的管轄に構造的に晒される。物理的な保管場所ではなく、誰が運用法人として法に従う義務を負うかが決定要因だ。
- 日本のエンジニア／インフラ担当にとっては、ガバメントクラウド・経済安全保障・ソブリンクラウド調達に直結する。本記事では事案の正確な整理と、調達・鍵管理（BYOK/HYOK）レベルで何を確認すべきかを実務チェックリストに落とす。
1. 導入 — なぜ今、日本のエンジニアがこの事案を読むべきか
2026年6月、Hacker News上位に Digital Sovereignty Becomes an Imperative as the US Reads Dutch Emails という記事が上がった。きっかけは、その数週間前にオランダで報じられた一件である。
Microsoftが、オランダの規制当局（消費者市場庁ACM・データ保護当局AP）に所属し、EUのデジタルサービス法（DSA）の執行を担当している公務員の氏名・メール・議事録・会議招待状を、米下院委員会に提出していた。しかも氏名は伏せられていなかった。
日本では海外の規制とプラットフォームのいざこざとして流されがちな話だ。しかしこれは、AWS・Azure・Google Cloud上に基幹システムや行政データを載せている日本のすべての組織にとって、自分ごとである。
なぜか。日本政府は2026年3月、ガバメントクラウドに国産のさくらインターネットを（305の技術要件を満たして）正式採択した。これは海外メガクラウドだけでよいのかというデータ主権（ソブリンクラウド）の議論が、ついに国の調達基準に反映された象徴的な出来事だった。今回のオランダの事案は、その議論が杞憂ではないことを、現実のインシデントとして突きつけてくる。
この記事のゴールは2つだ。
- 事案を法的に正確に理解する（CLOUD Actという言葉の独り歩きを正す）
- 日本の実務（調達・設計・鍵管理）に落とす
2. 何が起きているか — 複数ソースから事実を統合する
報道（Vrij Nederland、NL Times、Built In EU など）を突き合わせると、確からしい事実は以下だ。
| 項目 | 内容 |
|---|---|
| 時期 | 2026年5月22日に蘭メディアが報道 |
| 開示した企業 | Microsoft（米国法人） |
| 開示された対象 | オランダ規制当局（ACM／AP）職員の氏名・メール本文・議事録・招待状 |
| その職員の仕事 | DSA（デジタルサービス法）の執行 ＝ 米テック企業を規制する側 |
| 開示先 | 米下院委員会（テック検閲を調査する文脈） |
| データの所在 | EU域内に保管されていたとみられる |
| オランダ政府の反応 | 閣外大臣2名が極めて憂慮すべきと表明、内閣が駐蘭米大使に提起 |
ポイントは、規制する側の当局者の通信が、規制される側の母国の議会に渡ったという構図の異常さだ。EUが手塩にかけて作ったDSAの執行担当者の手の内が、相手国に筒抜けになりうる、ということを意味する。
そしてもうひとつ。データはEU内にあった。データを域内に置けば守られるという前提が、ここで崩れている。
3. 技術的・法的な核心 — CLOUD Actという言葉が独り歩きしている
ここが本記事の差別化ポイントだ。多くの記事は反射的にCLOUD Actのせいだと書く。だが正確には違う。メカニズムを分解する。
3-1. 2つの強制メカニズムを混同しない
【ケースA】米CLOUD Act（2018）
目的 刑事捜査
主体 法執行機関（DOJ等）が令状/命令
範囲 米企業が「保有・管理・支配」するデータは
保管場所が国外でも開示を強制できる
→ 狭く、刑事手続き寄り
【ケースB】今回適用された議会の召喚権限（subpoena / oversight）
目的 議会による調査・監督
主体 連邦議会委員会
範囲 米国法人である以上、社内通信の提出を求められうる
→ CLOUD Actより広い文脈で発動した
つまり今回は、CLOUD Actを塞げば安全では止められない種類の開示だった。CLOUD Actは刑事の入口のひとつにすぎず、その背後には米国法人であることそのものに紐づく、より広い法的義務群が控えている。ここを取り違えると、行政協定さえなければ大丈夫といった誤った安心に繋がる。
補足。日本の文脈でよく語られるCLOUD Actのリスクは、米国と**行政協定（executive agreement）**を結んだ国だと、その国経由でデータが開示されやすくなるという点だ（2025年時点で英国・豪州が締結済み、カナダが交渉中、日本は未締結）。これは重要だが、今回の事案はそのルートですらない。法人の国籍そのものが効いている。
3-2. なぜEU内保管でも防げないのか
クラウドの主権を、保管場所（residency）の一点だけで考えると必ず穴ができる。実際に効いてくるレイヤーは複数ある。
クラウドの主権を保管場所(residency)の一点だけで考えると必ず穴ができる。実際に効いてくるレイヤーは以下の5つに分解できる。
データの物理的所在(residency) — EU内に保管されていても、それだけではOKとは言えない。
運用法人の国籍(jurisdiction) — ★ここが今回の決定要因。
暗号鍵を誰が握るか(key control) — BYOK/HYOKで緩和可能。
運用・サポート要員の所属国 — 米国要員の関与余地が残る。
ソフトウェア／サプライチェーン — 米国製プロダクトへの依存。
MicrosoftはEU Data Boundary（EU域内にデータを留める枠組み）を提供してきた。だが今回示されたのは、②の運用法人の国籍が米国である限り、①をいくら堅くしても③以下で守れない領域が残るという現実だ。これが、ソブリンクラウド論で言うデータ主権・システム主権・運用主権・ソフトウェア主権という4つの主権を分けて考えるべき理由である。
3-3. 歴史は繰り返している
この構造は新しくない。2013年のSnowden以降、2021年には米NSAがデンマークの通信ケーブル経由でメルケル独首相ら欧州要人を盗聴していたと報じられた。GDPRとCLOUD Actが構造的に矛盾していること(米企業はCLOUD ActゆえにGDPRを完全には満たせない、という指摘)は、Schremsを巡る一連の訴訟でも繰り返し争点になってきた。今回はそれが、規制当局者という最も象徴的な対象で再演された格好だ。
4. 日本の実務への示唆 — 何を確認し、何を警戒すべきか
じゃあ全部国産クラウドにしろ、という話ではない。コスト・機能・エコシステムでメガクラウドが優位な領域は多い。重要なのは、データの機微度ごとに主権リスクを切り分け、調達と設計で明示的に管理することだ。
4-1. データを3階層に切る
階層1 主権必須（国内法人運用が望ましい）
例) 規制・捜査・外交・重要インフラ制御、
開示されると交渉力を失う行政内部通信
→ 国産ソブリンクラウド / オンプレ / HYOK前提
階層2 主権配慮（鍵管理で緩和して海外クラウド可）
例) 個人情報を含む基幹系、自治体業務
→ メガクラウド + BYOK/HYOK + 監査ログ自社保持
階層3 一般（コスト最適優先）
例) 公開情報、社内一般業務、開発環境
→ メガクラウドをフル活用
4-2. BYOK / HYOK で鍵の主権を握る（ただし限界も理解する）
BYOK (Bring Your Own Key)
鍵は自社生成だが、クラウド側KMSに預ける
→ 利便性高い。が、最終的にクラウド事業者の管轄下に鍵がある
HYOK / Hold Your Own Key (External Key Store)
鍵を自社管理の外部キーストアに置き、
クラウドは復号のたびに自社へ問い合わせる
→ 事業者は鍵を保持しない。法的開示要求が来ても
鍵が無いので復号できないと構造的に言える
※ただし万能ではない
- メタデータ（誰が・いつ・宛先）は暗号化対象外になりがち
- 鍵問い合わせの可用性・運用が自社責任になる
- サービスによっては対応していない
データを暗号化していますだけでは不十分だ。鍵を最終的に誰が握るのか — ここが主権の分かれ目になる。
4-3. 調達・契約でベンダーに確認すべきこと（チェックリスト）
- このデータはどの国の法人が運用主体か（リセラーではなく実運用法人）
- 暗号鍵はHYOK/外部キーストアに対応しているか。BYOKどまりか
- 監査ログを自社側に独立して保持・検証できるか（事業者依存でないか）
- 当局からの開示要求があった場合の**通知義務（ガグオーダー時を含む）**は契約上どうなっているか
- サポート・運用要員の所在国とアクセス権限の範囲
- 米国との行政協定の有無を、データ経路上の各国について確認したか
- 調達評価軸にセキュリティ機能・価格だけでなく法的管轄を加えたか
最後の項目が肝だ。日本のクラウド調達は依然として機能とコスト中心で、管轄リスクを点数化する欄が無いことが多い。今回の事案は、その欄を新設すべき理由そのものである。
5. まとめ — エンジニアへのアクションアイテム
- データを国内に置けば安全という思い込みを捨てる。 効くのは保管場所ではなく運用法人の国籍と鍵の支配権だ（residency ≠ sovereignty）。
- CLOUD Actさえ塞げばとも考えない。 今回は議会召喚権限が効いた。米国法人であること自体が広い開示義務に繋がる。
- 自社/顧客のデータを3階層に仕分けし、階層1だけでも管轄リスクを明示管理する。
- 鍵の主権を握る。 最低でもBYOK、機微データはHYOK/外部キーストアを検討。ただしメタデータと可用性の限界も把握する。
- 調達評価軸に法的管轄の列を追加する。 これがエンジニアから経営・調達へ上げられる最も実効的な一歩だ。
技術的な堅牢さ（暗号・ゼロトラスト）と、法的な堅牢さ（管轄・契約）は別物だ。前者だけを磨いても、後者で抜かれる — オランダの事案は、それを規制当局者という最悪のケースで証明してしまった。日本のガバメントクラウドと経済安全保障の議論が、ようやく保管場所から主権へと焦点を移しつつある今、エンジニアこそがこの区別を現場の設計と調達に翻訳する役回りを担う。
参考ソース
- Digital Sovereignty Becomes an Imperative as the US Reads Dutch Emails（korte.co・元記事）
- Microsoft accused of leaking Dutch civil servants' names to U.S. government（NL Times）
- Microsoft Handed Names of Dutch Regulators to a US House Committee Probing the DSA（Built In EU）
- Hacker News 議論スレッド（id=48500404）
- さくらインターネット、令和5年度および令和8年度 ガバメントクラウドサービス提供事業者に採択（公式リリース）
- ソブリンクラウドとは？経済安全保障の観点で注目されるデータ主権についてくわしく解説（さくらのクラウド）
- ガバメントクラウド（デジタル庁）
- 米国クラウド法（CLOUD Act）解説（ニュートン・コンサルティング）
- Microsoft allegedly leaked data of Dutch civil servants to the US government
- US security agency spied on Merkel and other top European officials through Danish cables