カナダ VPSのデータレジデンシーとは？

カナダの VPS におけるデータレジデンシーの実際の意味

カナダの VPS におけるデータレジデンシーは、1 つの名称で 2 つの問題を指します。データが物理的にどこに保存されるか、そしてどの政府が事業者にデータの引き渡しを強制できるかです。Toronto の施設にあるサーバーは、最初の問題には答えます。ただし、2 つ目の問題への答えは一部にとどまります。サーバーを運用し、バックアップを保持する会社自体が、別の国の法律に従う可能性があるためです。

このガイドは、技術的な判断のための背景情報です。法的助言ではありません。ここで規則が関係する場合は、法律または規制当局を明記しています。原典を確認し、ご自身の状況に照らして判断してください。

価格とネットワークを基準にカナダのプロバイダーを選ぶことは、別の検討事項です。カナダの VPS ホスティングを購入するときに実際に重要な点で説明しています。この記事では、もう一方の側面、つまりデータが法的にどこに存在し、誰がアクセスできるかを扱います。

居住地、主権、ローカライゼーションは同じ意味ではない

これらの用語は同義語として使われがちです。しかし、それぞれが異なる判断につながるため、区別してください。

データレジデンシーは、地理に関する主張です。データベースを保持するディスクが Ontario の建物内にある、という意味です。これは原則として事実ですが、建物の外部から証明するのは困難です。そのため、このガイドの最後の2つのセクションが必要になります。

データ主権は、法に関する主張です。どの国の裁判所や警察が、データの提出を合法的に命じられるかを問うものです。これはハードウェアよりも、データを管理する個人や企業に強く従います。

データローカライゼーションは、規則です。特定のデータを国内に保管することを法的に義務付けます。Canada には民間企業に対する一般的なローカライゼーション規則はありません。ただし、特定の業種に適用される、より限定的な規則は存在します。

「Sovereign cloud」はベンダーの宣伝文句に登場する用語であり、Canada では法的な定義がありません。インフラを運用する法人と、その法人が従う法律をベンダーが明示するまでは、マーケティング用語として扱ってください。

カナダ国内でのデータ保持についてカナダのプライバシー法が求めること

連邦の民間部門法は PIPEDA（Personal Information Protection and Electronic Documents Act）です。この法律は、個人情報をカナダ国内にとどめることを求めていません。Office of the Privacy Commissioner of Canada（OPC）は、2009 年 1 月に公開した Guidelines for processing personal data across borders で、次のように明確に述べています。「PIPEDA は、カナダの組織が処理のために個人情報を別の法域の組織へ移転することを禁止していません。」

この法律が求めるのは、データとともに移転する説明責任です。PIPEDA の説明責任原則では、組織は処理のために第三者へ移転した個人情報について、引き続き責任を負います。また、第三者がその情報を保持している間、「同等の水準の保護」を提供するために、「契約その他の手段」を講じなければなりません。OPC の同じガイドラインは、透明性に関する義務も示しています。組織は、明確な言葉で、できれば情報の収集時に、情報が外国で処理される可能性と、その国の法執行機関や国家安全保障当局がアクセスできる可能性を本人に明示すべきです。

もう 1 つ、過去からある誤解を整理しておきます。2019 年、OPC は、処理のための移転を開示として扱う案について意見募集を行いました。この扱いを採用すると、そのような移転ごとに同意が必要になります。しかし、OPC はこの立場を採用しませんでした。意見募集の終了時に、処理のための移転は開示ではなく利用であると確認しました。そのため、移転自体について別途同意を得る必要はありません。

州の民間部門法は、国境による一律の禁止を追加するのではなく、義務を追加しています。Alberta の PIPA の Section 13.1 では、カナダ国外のサービスプロバイダーを利用する組織に対し、本人への通知を求めています。通知には、関係する国と、その取り決めに関する質問に回答できる連絡先を記載する必要があります。Quebec の Law 25 は、より厳格です。Quebec 外へ個人情報を伝達する前に、事業者はプライバシー影響評価を完了しなければなりません。この評価では、情報の機微性、利用目的、情報に適用される保護措置、移転先の法制度を扱います。事業者は、移転先での保護が十分である場合に限り、伝達を実施できます。この義務は 2023 年 9 月 22 日に施行されました。

2026 年 8 月現在、連邦法は引き続き PIPEDA です。PIPEDA を Consumer Privacy Protection Act に置き換える予定だった Bill C-27 は、2025 年 1 月の Parliament の prorogation に伴い Order Paper 上で廃案となりました。その後、後継法は成立していません。現在存在する法律を前提に設計してください。

本当にデータの国内保管要件が適用される場合

Nova Scotia は厳格なケースです。PIIDPA（Personal Information International Disclosure Protection Act）は、公共団体、自治体、およびそのサービスプロバイダーに対し、個人情報を Canada 内に保管し、Canada 内からのみアクセスできるようにすることを求めています。例外は限定されており、公共団体の長が承認し、Minister of Justice に報告する必要があります。2025 年に成立した新しい Freedom of Information and Protection of Privacy Act は PIIDPA を廃止し、越境移転の制限を規則に基づく形で同法に組み込みます。同法は 2027 年 4 月に施行されます。2026 年 8 月時点で、これらの規則は公開されていません。そのため、規則の内容を断定する人は推測で述べています。

British Columbia は反対の方向に進みました。FIPPA には以前、section 30.1 があり、公共団体に対して個人情報を Canada 内に保管し、Canada 内からのみアクセスできるようにすることを求めていました。Bill 22 は 2021 年 11 月にこの条項を廃止しました。現在の section 33.1 は、規則に従った Canada 外への開示を認めています。また、Personal Information Disclosure for Storage Outside of Canada Regulation は、機微な個人情報を Canada 外に保管する場合に privacy impact assessment を求めています。禁止規定は手続き上の要件に変わりました。

Federal institutions には、独自の最低基準があります。Treasury Board Direction for Electronic Data Residency は、Protected B、Protected C、Classified の各レベルの情報を、Canada 内の承認済み施設、または国外にある Canadian government office の敷地内に保管することを求めています。Federal department 向けにホスティングする場合、要件を定めるのは PIPEDA ではなく、この指令です。

Health information には、独自の法体系があります。州の health privacy laws に基づく custodians には、agents、safeguards、場合によっては保管場所に関する規則が適用されます。これらは PIPEDA にはまったく規定されていないことがあります。clinical data をホスティングする場合は、一般法ではなく州の health statute を確認してください。

そして、多くの人が実際に直面するルールは、法律ですらありません。bank、hospital、school board、または enterprise buyer は、法律上の義務がない場合でも、調達条件として Canada 内での保管を要求できます。その条項は契約法によってあなたを拘束するため、region を選ぶ前に確認してください。同じ問題を別の場所で検討する場合は、Brazil で VPS を運用すると、異なる法体系の下で異なる結論になります。

トロントのデータセンターの所在地だけでは、どの国の法律が適用されるかは決まらない

運営事業者が外国資本の企業である場合、地理的な所在地と管轄はすぐに一致しなくなります。最も明確な例は、2018 年に成立した米国の CLOUD Act（Clarifying Lawful Overseas Use of Data Act）です。この法律は Stored Communications Act を改正し、対象となるプロバイダーに対して、データが米国内にあるかどうかにかかわらず、米国の適法な手続きに基づいて、その「possession, custody, or control」にあるデータを提出するよう求めています。これは、Microsoft がアイルランドのデータセンターに保存されたメールに対する令状を拒否した後に、Congress が成立させました。ディスクの所在地が争点のすべてでしたが、ディスクの所在地だけでは裁判の結論は決まりませんでした。

プロバイダーをこの管轄に入れるのは、国境ではなく関係性です。具体的には、そのプロバイダーが米国の人的管轄権に服するかどうかです。米国親会社のカナダ子会社が該当する場合があります。米国の契約主体の下で運営されるカナダの施設や、カナダの容量を再販する米国企業も該当し得ます。ネットワーク測定では、これらを確認できません。企業登記簿なら確認できます。

これは、外国資本の施設をすべて危険視すべきだという意味ではありません。カナダ当局も独自にデータ提出命令を発行し、カナダ企業はそれに従います。ここでの要点はもっと限定的です。運営事業者の本国法は運営事業者に付き従うため、契約に署名する法人と、最終的な所有者を確認してください。

実務上、知っておくべき違いが 1 つあります。2026 年 8 月現在、カナダと米国の間では CLOUD Act に基づく行政協定は発効していません。交渉は 2022 年 3 月に発表されましたが、この種の協定で発効しているものは英国との協定だけです。このような協定がない場合、純粋なカナダ企業が保有するデータを求める米国当局は、相互法律援助条約（MLAT）の手続きを利用します。この手続きは、カナダ当局とカナダの裁判所を経由します。この手続き上の違いが、カナダの運営事業者を選ぶ価値の大部分を占めます。

VPS が国内にあっても、データは国外に出る

VPS はシステムの一部にすぎません。VPS に接続するすべての要素について、データの保管場所を個別に判断する必要があります。通常のデフォルト設定では、データはカナダ国外に置かれます。

• バックアップとスナップショット。バックアップはオフサイトのコピーを作成するためのものです。オブジェクトストレージのエンドポイントは通常、アカウントを開設したリージョンに設定されます。
• ログ転送、メトリクス、エラー追跡。ホステッドサービスは、独自のリージョンでログの内容を処理します。ログには IP アドレス、メールアドレス、場合によってはリクエスト本文全体が含まれます。
• CDN とエッジキャッシュ。コンテンツ配信ネットワークは、多くの国にあるポイントオブプレゼンスからオブジェクトのコピーを保存し、配信します。Toronto のオリジンにデータがあっても、読者がそのデータを取得する場所とは限りません。
• メール。送信リレー、受信フィルタリング、ホステッドアーカイブは、米国に配置されていることがよくあります。メッセージの内容は個人情報です。
• 権威 DNS。Anycast ネームサーバーは、クライアントに最も近いノードから応答します。クエリログには、誰が何を問い合わせたかが記録されます。
• サポートと管理。コンソールまたはハイパーバイザーへのアクセス権を持つエンジニアは、いずれかの国にいる人物です。国外からのリモートアクセスは、Nova Scotia の規則および British Columbia の評価ではアクセスとして扱われます。
• 自分のワークステーションとそのツール。ファイルを読み取るエディタプラグインやコーディングエージェントは、何らかのデータをどこかへ送信します。運用データを渡す前に、コーディングエージェントが実際にマシン外へ送信する内容を把握しておくことが重要です。

暗号化によってオペレーターが生成できる情報は変わりますが、保護できる方向は限定されます。別の場所で保持した鍵を使って保存時に暗号化されたデータは、ドライブを押収した者には利用できません。一方、稼働中の VPS は別の状況です。ゲストの鍵はゲストのメモリ上にあり、ハイパーバイザーはゲストメモリを読み取れるためです。保存時の暗号化は、稼働中のマシンではなくアーカイブを保護します。この制限と、それによって必要になるオペレーターへの信頼は、VPS ホスティングは安全かというより広い問題にも当てはまります。

顧客としてVPSの所在地を確認する方法

まずレジストリを確認します。名前が付いた記録だからです。

whois 203.0.113.10
whois -h whois.arin.net 203.0.113.10

カナダのアドレスの場合、レジストリはARINです。最初のコマンドはwhoisクライアントが受け取った紹介先に従い、2つ目のコマンドはARINへ直接問い合わせます。どちらも、そのブロックの割り当て先組織、登録国、abuse連絡先を返します。このabuseアドレスにはサーバーへの苦情が届きます。ここからプロバイダーにabuseの苦情が届く仕組みにつながります。countryフィールドが証明する内容を明確に理解してください。これは公開データベース上で、名前が示された組織が宣言している内容です。参考になりますが、測定結果ではなく、あくまで申告です。

Geofeedも同じ仕組みです。RFC 8805は、運用者がプレフィックスと国、地域、都市の対応関係を公開するCSVファイルを定義しています。2024年にRFC 9092を置き換えたRFC 9632は、whoisレコードから利用者がそのファイルを見つける方法を定義しています。商用のIPジオロケーションデータベースは、こうした自己公開フィードを主な情報源として構築されています。そのため、「IPがTorontoとしてジオロケーションされる」という説明は、しばしば「運用者がTorontoと公開した」という意味になります。Reverse DNSはさらに弱い情報です。yyzまたはtorを含むPTRレコードは、人が入力した命名規則にすぎず、別の都市へ移行しても残る可能性があります。

そのため、プロバイダーに書面で質問し、回答を保管してください。

• 施設を運営している法人はどこで、その法人はどの国または地域で設立されていますか。
• 施設の住所はどこですか。また、そのスペースは所有、賃借、または別の運用者からの再販売のどれですか。
• 私の契約に署名する法人はどこで、その親会社はどこですか。
• バックアップと、そのオフサイトコピーはどこに保管されますか。
• スタッフはどの国からハイパーバイザーまたはout-of-bandコンソールにアクセスできますか。
• サブプロセッサーの一覧を公開していますか。法律で認められる場合、外国の法的要求を受けたことを通知しますか。

回答は、通知義務を含む契約上の確約として契約書に盛り込んでください。監査人が求めるのは文書であり、tracerouteではありません。Torontoを候補地として決めた場合は、TorontoのVPSを選ぶで同じ判断の市場面を確認できます。

traceroute が経路の証拠であって、管轄権の証明ではない理由

短い往復遅延時間から分かるのは、距離の上限だけです。それがすべてです。光ファイバーのコア内を光が進む速度は毎秒約 204,000 km です。そのため、経路上の切り替えやキューイングを考慮しない場合、往復には経路 100 km あたりおよそ 1 ms かかります。逆に考えると、Toronto の中心部からの往復が 10 ms なら、光ファイバー上の経路に沿って、対象の機器が自分から約 1,000 km 以内にあることが分かります。その円の中には、次の場所が含まれます。

[
  {
    "label": "Buffalo, New York",
    "km_from_toronto": 95,
    "rtt_floor_ms": 0.9
  },
  {
    "label": "Detroit, Michigan",
    "km_from_toronto": 330,
    "rtt_floor_ms": 3.2
  },
  {
    "label": "Montreal, Quebec",
    "km_from_toronto": 505,
    "rtt_floor_ms": 5.0
  },
  {
    "label": "Ashburn, Virginia",
    "km_from_toronto": 535,
    "rtt_floor_ms": 5.2
  },
  {
    "label": "New York, New York",
    "km_from_toronto": 550,
    "rtt_floor_ms": 5.4
  },
  {
    "label": "Chicago, Illinois",
    "km_from_toronto": 700,
    "rtt_floor_ms": 6.9
  }
]

各 floor は、直線距離を 2 倍して毎秒 204,000 km で割った値です。実際の光ファイバー経路は直線より長いため、実測値は必ずこれより大きくなります。重要なのは順位です。ここで最も遠い都市 Chicago, Illinois は、Toronto から直線距離で 700 km 離れているため、往復遅延時間の下限はわずか 6.9 ms です。掲載した 6 都市のうち、Canada にある都市は 1 つです。Toronto からの ping が 1 桁のミリ秒でも、サーバーが Michigan、Illinois、New York、または Virginia にある可能性と矛盾しません。

Traceroute は hop 名も表示します。hop 名は、ネットワークエンジニアが入力した PTR レコードです。そこに含まれる空港コードは、読み取り、確認する価値のある慣例です。一部の carrier は MPLS (multiprotocol label switching) を使用して内部 hop を隠すため、表示される経路がパケットの実際の経路より短くなることがあります。Anycast を使用すると、最も近い node から応答するため、宛先自体が曖昧になります。実測した遅延時間は、ある時点の経路を示す有力な証拠です。管轄権は企業と裁判所に関する事実であり、パケットがそれを報告することはありません。

正確にまとめると、ネットワーク測定によって主張を反証することはできます。Toronto からの往復が 90 ms なら、Toronto の施設である可能性は排除できます。しかし、Toronto の施設であることは確認できません。確認には、契約書に記載された法人名などの当事者と、文書化された確約が必要です。

FAQ

カナダの法律では、データをカナダ国内に保管する必要がありますか？

一般的な規則としては、必要ありません。連邦の民間部門法である PIPEDA は、個人情報を処理のために国外へ移転することを禁止していません。OPC も「Guidelines for processing personal data across borders」でこの点を示しています。PIPEDA が求めているのは、データに対する説明責任を維持すること、契約その他の手段によって同等の保護を提供すること、そして情報が国外で処理され、外国当局からアクセスされる可能性があることを利用者に明確に伝えることです。より限定された範囲では、実際にデータの国内保存を求める規則もあります。たとえば、公的機関を対象とする Nova Scotia の PIIDPA、Protected B 以上を対象とする Treasury Board Direction for Electronic Data Residency、州の医療関連法、顧客との契約などです。これは一般的な背景情報であり、法的助言ではありません。

Toronto のデータセンターに置けば、データは米国法の対象外になりますか？

それだけではなりません。2018 年の US CLOUD Act は、対象となるプロバイダーに対し、適法な米国の手続きに応じて、その占有、保管または管理下にあるデータを提出するよう求めます。データの保存場所は問いません。判断のポイントは、データを保有する会社に対して米国の裁判所が対人管轄権を持つかどうかです。そのため、米国の子会社や米国の契約主体が運営するカナダの施設では、所在地だけでは答えが出ない問題が生じます。契約に署名する法人と、その親会社を確認してください。

VPS が本当にカナダにあることを確認するには、どうすればよいですか？

公開情報と書面での質問を組み合わせて確認します。アドレスに対して whois または RDAP クエリを実行すると、そのアドレスブロックの割り当て先組織と登録国が返されます。また、RFC 8805 に基づいて公開された geofeed には、事業者自身によるプレフィックスと都市の対応情報が記載されます。いずれも名前が明らかな当事者による自己申告であり、有用な証拠ではありますが、実測結果ではありません。次に、運営法人、施設の住所、バックアップの場所、スタッフがコンソールへアクセスできる国をプロバイダーに書面で確認し、その回答を契約に記載してください。

VPS 自体がカナダにあっても、何がカナダ国外へ出ますか？

バックアップとオフサイトのコピー、ホスト型のログおよびエラー追跡サービス、CDN キャッシュ、外部向けメールリレーと受信メールのフィルタリング、権威 DNS のクエリログ、国外にいるサポートスタッフによるリモート管理アクセスなどです。それぞれが個別の判断を必要とし、デフォルトリージョンも異なります。これらのデフォルトは、カナダ以外に設定されていることがほとんどです。顧客にデータが国内にとどまると約束する前に、VPS に接続されるすべてのシステムを洗い出してください。