11 海外法務, コンプライアンス, 情報セキュリティ, 個人情報保護法, 中国法

UniLaw企業法務研究所代表, CIPP/E浅井敏雄

中国の現行法令上, 香港・マカオ・台湾を除く中国本土内(「境内」)から境外への個人情報等の移転(以下「越境移転」)は, 事前に, その越境移転について, 個人情報主体(本人)の個別同意(以下「本人同意」)を取得し(中国個人情報保護法[1](以下「PIPL」)39条)及び自ら個人情報保護影響評価(以下「自己評価」)を行い(PIPL55条), 更に, 中国政府による安全評価に合格すること, 個人情報保護認証(以下「保護認証」)を取得すること又は標準契約を締結してこれを届け出ることのいずれかが必要です(PIPL38条, データ越境移転安全評価弁法[2](以下「安全評価弁法」)4条, 個人情報越境処理保護認証規範[3], 個人情報越境移転標準契約弁法[4](以下「標準契約弁法」)7条)。

これに関しては, 越境移転の要件があまりに厳格で関係企業も対応に苦慮し, 又, 中国政府としても期限が本年11月30日である標準契約の大量届出とその審査の負担や外国との取引阻害の懸念があると思われます。

これらに対応したものか否かは不明ですが, 本年(2023年)9月28日, 中国国家ネットワーク情報弁公室(CAC)は, 越境移転に関する上記安全評価等の要件を一定の場合に免除する等の緩和措置を定める「データ越境移転規範化・促進規定(意見募集稿)」(「规范和促进数据跨境流动规定(征求意见稿)」)(以下「本規定案」)を公表し, 本年10月15日までの意見募集に付しました。

本規定案は, 例えば, 越境移転の量が常時1年間に1万人未満の個人情報である企業にとり大幅な緩和措置になる可能性があり, 又, 上記の標準契約届出期限の本年11月30日前に成立・施行される期待もありますが, 解釈上の疑問点も少なくありません。そこで, 本稿では, 本規定案の概要とその解釈上の疑問等を解説します。

【目　　次】

(各箇所をクリックすると該当箇所にジャンプします)

1　現行法令の規定内容

2　安全評価・保護認証・標準契約全てが免除される場合(人数基準以外)

3　人数基準による免除

4　重要データの取扱い

5　自由貿易試験区についての特例

6　重要情報インフラ運営者等の扱い(義務軽減なし)

7　その他

1　現行法令の規定内容

前記の通り, 現行法令上は, 個人情報等を中国の境内から境外へ越境移転するには, 安全評価合格・保護認証取得・標準契約締結届出のいずれかが必要であるとされています。そして, そのどれによるべきかについては, 以下の通り規定されています。

【安全評価合格が要求される場合(安全評価弁法4条)】

(1)データ処理者が重要データを中国境外に提供する場合

(2)重要情報インフラ運営者または100万分人以上の個人情報を処理するデータ処理者が中国境外に個人情報を提供する場合

(3)前年1月1日以降の累計で10万人分以上の個人情報または1万人分以上の機微個人情報を境外に提供したデータ処理者が個人情報を境外に提供する場合

(4)その他, 国家ネットワーク情報部門が定めるデータ越境移転安全評価申請を必要とする場合

【標準契約締結届出又は保護認証取得により越境移転可能な条件(標準契約弁法4条)】

(1)重要情報インフラ運営者ではないこと

(2)処理する個人情報が100万人分未満であること

(3)前年1月1日からの累計で境外提供した個人情報が10万人分未満であること

(4)前年1月1日からの累計で境外提供した機微個人情報が1万人分未満であること

page top

2　安全評価・保護認証・標準契約全てが免除される場合(人数基準以外)

以下のいずれかの場合には, 安全評価合格・標準契約締結届出・保護認証取得のいずれも要しない。

(a) 国際貿易, 学術協力, 国を跨ぐ製造・マーケティング活動において発生したデータ[で越境移転するもの]に個人情報及び重要データが含まれていない場合(1)。

(b) 境内で収集・生成されたものではない個人情報が境外に提供される場合(3)

(d) 法に従い制定された就業規則又は法令に基づき締結された労働協約に基づく人事管理を実施するため, 内部(社内)の従業員の個人情報を境外に提供することが必須の場合(4(2))

(e) 緊急の場合において, 個人の生命, 身体又は財産の安全を保護するために個人情報を境外に提供することが必須の場合(4(3))。

【解　説】

・上記いずれの場合も, 本人同意と自己評価は免除されていない。

・上記(a)の例外は, 越境移転するデータに個人情報も重要データも含まれていない場合に限り利用できる。

・上記(b)は, 日本で収集した日本人の個人情報を中国で加工等処理した上日本に返送する場合等が該当すると思われる。

・(疑問点)上記(c)は, 素直に読めば, 「契約」は越境移転する中国企業と個人の間の契約, 越境移転するのは個人情報主体(本人)ではなくその中国企業と解されるが, 具体的にはどういう場面を想定しているのか？例えば, 「越境ショッピング」に関して言えば, 中国企業が, 中国の消費者(本人)と, その消費者に代行して日本企業から商品を購入する契約を締結し, その代行契約の履行のために, 日本企業に当該消費者の個人情報を提供(越境移転)するというような場面か？しかし, その中国企業が日本企業から購入の上中国の消費者に販売すればこの個人情報の越境移転は不要なので, 「必須」と言えるのか？

・(疑問点)上記(d)の人事管理情報等の越境移転の例外は, 例えば, 日本の会社から中国子会社に出向中の日本人社員や中国子会社で採用した中国人幹部の情報の越境移転に利用できるのか？素直に読めば, 就業規則・労働協約及び人事管理は中国子会社の規則・協約・人事管理と解されるので利用できない。それでは, 中国子会社が日本親会社に人事管理業務又はそのデータ保存・処理を委託している場合に利用できるのか？ この点, 境外に提供することが「必須」と言えるかが疑問。

・(疑問点)例えば, 上記(d)の人事管理情報等の越境移転の例外に該当し, かつ, 次の3 (b)の「1年以内に1万人以上100万人未満の個人の個人情報を境外に提供することが見込まれる場合」にも該当する場合, 安全評価合格・標準契約締結届出・保護認証取得いずれも不要とされるのか, それとも標準契約又は保護認証は必要となるのか？

page top

3　人数基準による免除

(a) 1年以内に境外に提供する個人情報が1万人分未満であると見込まれる場合は, 安全評価合格・標準契約締結届出・保護認証取得いずれも不要(5)。

(b) 1年以内に1万人以上100万人未満の個人の個人情報を境外に提供することが見込まれる場合, 標準契約又は保護認証いずれかは必要だが, 安全評価は不要(6)。

【解　説】

・上記(a)の緩和措置には, 多くの企業が該当する可能性がある。但し, 本人同意と自己評価は免除されていない。

・越境移転する個人情報の人数の計算は, 前記1の通り, 現行法令上は, 基本的に「前年1月1日以降の累計」によるが, 上記(a), (b)では今後の「1年以内」で計算することになる。(疑問点)これが常に今後1年以内という意味であれば, 最初のうちは要件充足としても, 今後1年以内に越境移転する個人情報が１万人分を超えると見込まれたとたんに, 標準契約・保護認証・安全評価のいずれかが必要になる。これでは実務上対応困難。従って, この計算に関して何らかの条文修正がなされるかもしれない。

・(疑問点)「見込まれる」については, 過去実績等, そう見込むことに関し何らかの客観的根拠・証拠が必要か？

・(疑問点)上記(c)の100万人以上については, 「1年以内に」, 「見込まれる」とは書かれていないが, 人数をどのように計算するのか？

・(疑問点)前記1の通り, 現行法令上は, 「機微個人情報が1万人分」以上か未満かの基準があるが, 上記(a)～(c)にはない。これは, 本規定案上は, 機微個人情報[5]は一般の個人情報として扱えばよいという意味か？同様の疑問は上記2(a)～(e)についても当てはまる。

・(疑問点)例えば, 前記1の通り, 現行法令上は, 「前年1月1日以降の累計で10万人分以上の個人情報または1万人分以上の機微個人情報を境外に提供した」ために今後の個人情報の越境移転に安全評価を義務付けられるデータ処理者が, 上記(a)の「(今後)1年以内に境外に提供する個人情報が1万人分未満であると見込まれる場合」には, 本規定案に従い, 安全評価合格・標準契約締結届出・保護認証取得いずれも不要となるのか？本稿末尾の本規定案優先規定によれば, そうだとも思われるが？

page top

4　重要データの取扱い

関連の部門・地区から重要データとして通知又は公表・公布されていないデータについては, データ処理者は, 重要データとしてデータ越境移転安全評価を申請することを要しない(2)。

【解　説】

前記１の通り, 現行法令上, 越境移転する情報・データに重要データ[6]が1件でも含まれる限り, 安全評価が必要となり, これ自体に変更はない。しかし, 重要データ該当性については未だ明確な基準がなく, 企業としては安全評価が必要か否か判断困難であるところ, もし上記が字義通りなら, 関連の部門・地区から重要データとして通知又は公表・公布されていない限り, 安全評価は不要ということになる。しかし, 本当にそうか(例えば, まだ通知等がないとしても, 中国政府が当然国家安全上重要とみなすと予想されるデータ等)？

page top

5　自由貿易試験区についての特例

自由貿易試験区[7]は, 自ら, 自由貿易試験区におけるデータ越境移転安全評価, 個人情報越境移転標準契約, 個人情報保護認証の対象範囲に含めるべきデータのリスト(以下「ネガティブリスト」という)を策定し, 省級ネットワーク安全・情報化委員会の承認を得た後, 国家ネットワーク情報部門に届出なければならない。ネガティブリストにないデータは, 安全評価合格・標準契約締結届出・保護認証取得いずれも要することなく越境移転することができる。(以上7)

page top

6　重要情報インフラ運営者等の扱い(義務軽減なし)

国家機関及び重要情報インフラ運営者は, 関連する法律, 行政法規, 部門規則に従い, 個人情報又は重要データを境外に提供しなければならない。党, 政府, 軍又は機密単位に係る機微情報又は機微個人情報は, 関連する法律, 行政法規, 部門規則に従い, 境外に提供しなければならない。(以上8)

【解　説】

すなわち, 重要情報インフラ運営者には緩和措置がなく, 上記1の現行法令の原則通り, 個人情報の越境移転には安全評価が必要。

page top

7　その他

・データ処理者は, 重要データ又は個人情報を境外に提供する場合, 法律及び行政法規の規定を遵守し, データ安全保護義務を履行し, データの越境移転安全を保障しなければならない。データ越境移転安全に係る事件が発生した場合又はデータ越境移転安全リスク増大を発見した場合には, 改善措置を講じ, インターネット情報部門に適時に報告しなければならない。(以上9)

・各地方インターネット情報部門は, データ処理業者によるデータ越境移転に対する指導監督を強化し, 事前・事中・事後の監督を強化し, データ越境移転の危険性増大又は安全事件発生を発見した場合, データ処理業者に対し, 危険除去のための是正を要求しなければならない。データ処理業者が是正を拒否し又は重大な結果を生じさせた場合には, 法に従い, データ越境移転の停止及びデータの安全保障を命じなければならない。(以上10)

・安全評価弁法, 標準契約弁法等の関連規定が本規定と一致しない場合には, 本規定に従い執行する[本規定が優先する](11)。

以　上

page top

【注】

[1] 【「中国個人情報保護法」】(原文) 「中华人民共和国个人信息保护法」. (和訳) Miura & Partners - Norika Yuasa and Yuika Zhao「個人情報保護法和訳」

[2] (参考) 浅井敏雄『9月1日施行の中国「データ越境移転安全評価弁法」の解説』企業法務ナビ, 2022/8/22, PDF

[3] (参考) 浅井敏雄『中国「個人情報越境処理保護認証規範」の解説』企業法務ナビ, 2022/8/22, PDF

[4] (参考) 浅井敏雄『中国「個人情報越境移転標準契約弁法」と同標準契約の解説』2023/5/1, PDF, 浅井敏雄『中国「個人情報越境移転標準契約届出ガイドライン(第1版)」の解説』2023/6/6, PDF。

[5] PIPL (28(1))によれば, 機微個人情報(敏感个人信息)とは, それが漏洩しまたは違法に利用された場合, 本人の尊厳を侵害しまたはその人身・財産の安全を害するおそれのある個人情報であって, 生体識別情報, 宗教・信仰, 特定身分, 医療・健康, 金融口座, 行動追跡等の情報, および, 14歳未満の未成年者の個人情報を含む。

[6] 「データ越境移転安全評価弁法」(19)によれば, 「重要データ」(重要数据)とは,その改ざん・破壊・漏えい・不正取得・不正利用等により, 国家の安全, 経済運営, 社会の安定, 公衆衛生・安全に危害を及ぼすおそれのあるデータを意味する。

[7] 【自由貿易試験区】百度百科の自由贸易试验区の説明によれば, 自由貿易試験区(Free Trade Zone, 略称FTZ)とは, 貿易と投資の面でWTOの関連規定よりも優遇された貿易取り決めのことで, 外国貨物の関税のかからない自由な出入国を可能にする。JETRO「国務院, 自由貿易試験区や自由貿易港での規制緩和措置を発表(中国)」2023年07月12日によれば, 『商務部が発行する「中国外商投資ガイド(2022年版)」によると, 中国には[上海を始め]現在21の自由貿易試験区が存在する。

メルマガ会員登録