一、データ越境コンプライアンスに関する監督管理の背景

インターネットの急速な発展に伴い、グローバル化の背景の下、データのやり取りを行う頻度も日増しに高まっており、企業が日常業務や経営において、データの越境移転に係る事項を避けることは難しくなっています。これまで、『個人情報保護法』、『データセキュリティ法』、『データ越境移転安全評価弁法』、『個人情報越境移転標準契約弁法』に中国国外へのデータ提供についての関連規定が設けられています。

現時点で発効済みの中国のデータ越境移転コンプライアンスに関する監督管理規定によると、企業はデータを越境移転する際、自身の主体タイプ、越境移転データのタイプ等を踏まえ、次の3種類の越境移転前の手続きを履行する必要があるかどうかを総合的に判断·認定する必要があります。（1）申告及びデータ越境移転安全評価への合格、又は(2)個人情報保護標準契約の締結、又は（3）個人情報の安全保護認証への合格。

二、『データの越境流動の規範化及び促進に関する規定（意見募集稿）』

2023年9月28日、国家インターネット情報弁公室は『データの越境流動の規範化及び促進に関する規定（意見募集稿）』（以下『データ越境流動規定』と略称）を発表し、2023年10月15日まで意見募集を行っています。同文書は、データ越境移転安全評価の申請、個人情報越境移転標準契約の締結、個人情報保護認証への合格（以下『3項目の事前手続きの履行」と総称）を必要としない状況を明記しています。

すでに正式に発効済みであるデータ越境移転の規定と比べ、『データ越境移転流動規定』は、データ越境移転についてより明確な定義と線引きを行っており、いつ、どのような状況においてデータ越境移転安全評価を行う必要があるか、またどのような状況においては免除できるのか等について、より明確なガイドラインを提供しています。

三、弁護士による解説

車衛東弁護士チームは、製造業企業の視点から、『データ越境移転流動規定』とその他発効済みの法令の規定におけるデータ越境移転前の手続きに関する関連規定を比較し、『データ越境移転流動規定』について以下の通り分析しました。

（一）『データ越境移転流動規定』はまもなく発効する可能性あり

『データ越境移転流動規定』の意見募集期間は明らかに短く設定されており、2023年9月28日に発表されてから2023年10月15日の締切日までの期間はわずか18日間であり、これまでに公布された規定に比べ、今回の意見募集期間は半分近くに短縮されています。すでに発効済みの『個人情報越境移転標準契約弁法』の規定によると、条件に合致する企業は最終日である2023年11月30日までに契約の届出を完了させなければならず、『データ越境移転流動規定』が同日までに発効し、実施される確率は比較的高くなっています。

（二）重要データの認定根拠のさらなる明確化

『データ越境流動規定』第2条では、「関連部門·地域から重要データとして告知されていない、又は公開されていない場合、データ処理者は重要データとしてデータ越境移転安全評価を申告する必要はない」と規定されています。したがって、当該業界が公開している重要データ認定基準が見つからず、監督管理機関からの通知も受けていない場合、重要データのデータ越境移転安全評価申告義務を適用する必要はないと考えることができます。

（三）3項目の事前手続きを履行する必要のない状況の明確化

1、国際貿易、学術連携、国際間での生産製造及び市場マーケティング等の活動において発生したデータの越境移転であり、個人情報又は重要データを含まない場合。

2、中国国外の個人情報を転送する（すなわち中国国内で収集、発生したものではない個人情報を中国国外に提供する）場合。

3、越境での買い物、越境送金、航空券·ホテルの予約、ビザの手続き等、個人が当事者となる契約を締結、履行するため、中国国外に個人情報を提供する必要がある場合。

4、法に基づき制定された労働規則制度及び法に基づき締結された集団契約により、人事管理を行い、中国国外に内部従業員の個人情報を提供しなければならない場合。

5、緊急時に、自然人の生命、健康及び財産の安全等を保護するため、個人情報を中国国外に提供しなければならない場合。

6、1年以内に中国国外に提供する個人情報が1万人に満たない見込みである場合。

（四）自由貿易試験区内のネガティブリスト外であれば3項目の事前手続きを履行しないことが可能に

自由貿易試験区は、当該自由貿易試験区において3項目の事前手続きの履行を必要とするデータのリスト（すなわち「ネガティブリスト」）を自ら制定することができ、ネガティブリスト外のデータの越境移転は3項目の事前手続きを履行しなくても構いません。

（五）越境移転する個人情報の数量を判断基準とすることの明確化

『データ越境流動規定』は、100万人以上の個人情報を扱うデータ処理者の主体としての身分及び機密性の高い個人情報に該当するか否かを判断基準とするのではなく、単純に越境移転する個人情報の数量を判断基準とし、かつ条件を引き下げます。こうした変化により、少数の個人情報のみを越境移転させるデータ処理者や、少数の個人情報越境移転を必要とする企業の負担が大幅に軽減されます。大量の個人情報の処理はするものの、実際にはわずかな個人情報のみを越境移転させるデータ処理者にとっては、データ越境移転コンプライアンスに関する負担が大幅に軽減されます。

（六）救済及び報告義務の追加

『データ越境移転流動規定』では、データ処理者にデータ越境移転のセキュリティに関する事件が発生した場合、又はデータ越境移転のセキュリティリスクの増大を発見した場合、救済措置を講じ、速やかにインターネット情報部門に報告しなければならないと規定されています。

四、現時点で取ることのできるデータ越境移転流動に対応するコンプライアンス管理案

1、企業と国外のデータ提供先（例えば本社）の間でデータ情報処理のコンプライアンス遵守を確実に保証する文書（弊所にて作成のお手伝いが可能です）を締結することをお勧めします。

2、企業が内部の規則制度文書（例えば『就業規則』、『情報管理制度』等）、『労働契約書』等を改訂·更新し、データ越境移転流動の同意に関する関連条項を追加すること、又は従業員個人データのコンプライアンスを遵守した使用に関する規範的文書を作成することをお勧めします。

3、現時点では『データ越境移転流動規定』はまだ正式に発効·実施されておらず、データ越境移転に関する3項目の事前手続きを履行する必要があるかどうかについて、暫定的に様子見の態度を取ることができます。同時に、車衛東弁護士チームも法令の働向に緊密に注目し、速やかにさらなるコンプライアンス管理のアドバイスをご提供いたします。

添付資料：主な関連規定

『中華人民共和国個人情報保護法』（2021.11.01発効、法律）

第38条　個人情報処理者が業務等の必要により、確かに中華人民共和国国外に個人情報を提供する必要がある場合、以下の条件のいずれかを備えていなければならない。

（1）本法第40条の規定に基づく国家インターネット情報部門による安全評価に合格している。

（2）国家インターネット情報部門の規定に基づく専門機関による個人情報保護認証を得ている。

（3）国家インターネット情報部門が制定する標準契約を国外の情報提供先と契約を締結し、双方の権利と義務を約定している。

（4）法律、行政法規又は国家インターネット情報部門が規定するその他の条件。

中華人民共和国が締結又は参加する国際条約、協定が中華人民共和国国外への個人情報提供の条件等について規定している場合、その規定を適用することができる。

個人情報処理者は、必要な措置を講じ、国外の情報提供先による個人情報の処理が本法に定める個人情報の保護基準を満たすことを保障しなければならない。

『データ越境移転安全性評価方法』（2022.09.01発効、部門規則）

第4条　データ処理者が国外にデータを提供する場合、次の各号に掲げる状況のいずれかに該当する場合、所在地の省レベルのインターネット情報部門を通じ、国家インターネット情報部門にデータ越境移転安全評価を申請しなければならない。

（1）データ処理者が国外に重要データを提供する場合。

（2）重要情報インフラ運営者及び100万人以上の個人情報を取り扱うデータ処理者が、国外に個人情報を提供する場合。

（3）前年1月1日から累計10万人の個人情報又は1万人の機密性の高い個人情報を国外に提供したデータ処理者が国外に個人情報を提供する場合。

（4）国家インターネット情報部門が規定するその他のデータ越境移転安全評価を申請する必要がある状況。

『個人情報越境移転標準契約弁法』（2023.6.1から施行、部門規則）

第4条　個人情報処理者が標準契約を締結する方式により国外に個人情報を提供する場合、同時に以下の状況に合致していなければならない。

（1）重要情報インフラ運営者ではない。

（2）100万人未満の個人情報を処理している。

（3）前年1月1日からの国外への個人情報提供の累計が10万人未満である。

（4）前年1月1日からの国外への機密性の高い個人情報提供の累計が1万人未満である。

『データの越境流動の規範化及び促進に関する規定（意見募集稿）』（2023.9.28発表）

一、国際貿易、学術連携、国際間での生産製造及び市場マーケティング等の活動において発生したデータの越境移転であり、個人情報又は重要データを含まない場合、データ越境移転安全評価の申告、個人情報越境移転標準契約の締結、個人情報保護認証への合格を必要としない。

二、関連部門 地域から重要データとして告知されていない、又は公開されていない場合、データ処理者は重要データとしてデータ越境移転安全評価を申告する必要はない。

三、国内で収集、発生したものではない個人情報を国外に提供する場合、データ越境移転安全評価の申告、個人情報越境移転標準契約の締結、個人情報保護認証への合格を必要としない。

四、以下の状況のいずれかに合致する場合、データ越境移転安全評価の申請、個人情報越境移転標準契約の締結、個人情報保護認証への合格を必要としない。

（一）越境での買い物、越境送金、航空券·ホテルの予約、ビザの手続き等、個人が当事者となる契約を締結、履行するため、国外に個人情報を提供する必要がある場合。

（二）法に基づき制定された労働規則制度及び法に基づき締結された集団契約により、人事管理を行い、国外に内部従業員の個人情報を提供しなければならない場合。

（三）緊急時に、自然人の生命、健康及び財産の安全等を保護するため、個人情報を国外に提供しなければならない場合。

五、1年以内に国外に提供する個人情報が1万人に満たない見込みである場合、データ越境移転安全評価の申告、個人情報越境移転標準契約の締結、個人情報保護認証の通過を必要としない。ただし、個人の同意に基づき、国外に個人情報を提供する場合、個人情報の主体の同意を得なければならない。

六、1年以内に国外に提供する個人情報が1万人以上、100万人未満となる見込みであり、国外の情報提供先と個人情報越境移転標準契約を締結し、かつ省レベルのインターネット情報部門に届出或いは個人情報保護認証に合格した場合、データ越境移転安全評価を申告しなくてよい。国外に100万人以上の個人情報を提供する場合、データ越境移転安全評価を申請しなければならない。ただし、個人の同意に基づき、国外に個人情報を提供する場合、個人情報の主体の同意を得なければならない。

七、自由貿易試験区は、当該自由貿易試験区においてデータ越境移転安全評価、個人情報越境移転標準契約、個人情報保護認証管理データのリスト（以下「ネガティブリスト」と略称）を自ら制定し、省レベルのインターネットセキュリティ·情報化委員会の承認を得た後、国家インターネット通信部門に報告し届出をすることができる。

ネガティブリスト外のデータ越境移転は、データ越境移転安全評価の申告、個人情報越境移転標準契約の締結、個人情報保護認証への合格をしなくてもよい。

八、国家機関及び重要情報インフラ運営者が国外に個人情報及び重要データを提供する場合、関連法律、行政法規、部門規則の規定を適用する。

国外に党 、政府、 軍及び機密に関わる組織の機密性の高い情報、機密性の高い個人情報を提供する場合、関連法律、行政法規、部門規則の規定を適用する。

九、データ処理者が国外に重要データ及び個人情報を提供する場合、法律、行政法規の規定を遵守し、データセキュリティ保護義務を履行し、データの越境移転の安全を保障しなければならない。データ越境移転のセキュリティに関する事件が発生した場合、又はデータ越境移転のセキュリティに関するリスクの増大を発見した場合、救済措置を講じ、速やかにインターネット情報部門に報告しなければならない。

十、各地方のインターネット情報部門は、データ処理者のデータ越境移転活動に対する指導監督を強化し、事前·事後の監督管理を強化し、データ越境移転活動に比較的大きなリスクが存在することを発見した場合、又はセキュリティに関する事件が発生した場合、データ処理者に改善を求め、潜在的なリスクを除去しなければならない。是正を拒否した者、又は著しく好ましくない結果を招いた者については、法に基づきデータ越境移転活動を停止し、データの安全を保障するよう命じる。

十一、『データ越境移転安全評価弁法』、『個人情報越境移転標準契約弁法』等の関連規定が本規定と一致しない場合、本規定を適用する。