LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

中国のデータ規制は、法律より下の階層で具体化が進んでいます。国務院令第790号「ネットワークデータ安全管理条例」は2024年8月30日の国務院常務会議で採択され、同年9月24日に公布、2025年1月1日から施行されています*1。

この条例は、サイバーセキュリティ法、データ安全法、個人情報保護法という三つの法律に基づいて制定されたものです*1。適用の範囲は中国国内でのネットワークデータ処理活動とその監督管理に及び、国外で中国国内の自然人の個人情報を処理する活動についても、個人情報保護法第3条第2項に該当する場合には適用されるとされています*1。

本記事では、中国に拠点や委託先がある企業の情報システム担当と、その仕組みづくりを受託する立場に向けて、条文から読み取れる実務の論点を五つに絞って整理します。制度の解釈が要る部分は条文と専門家の確認を経て進めてください。

論点1：提供と委託の記録を3年保存する

システムに最も直接に効いてくるのが、第12条です*1。

ネットワークデータ処理者が、他の処理者へ個人情報や重要データを提供する、あるいは処理を委託する場合、契約などによって処理の目的・方式・範囲と安全保護の義務を定め、受領側がその義務を履行しているかを監督することとされています*1。

そのうえで、提供・委託の処理状況の記録を少なくとも3年間保存すると定められています*1。受領側も安全保護の義務を負い、約定した目的・方式・範囲に従って処理することとされています*1。二つ以上の処理者が共同で目的と方式を決める場合は、それぞれの権利と義務を約定することとされています*1。

この条文をシステムの要件に翻訳すると、次のようになります。

提供を「事象」として残せることです。誰に、いつ、どのデータを、どの契約に基づいて渡したか。バッチの実行ログだけでは、後から辿るのが困難です。提供のたびに記録が残る形にしておく必要があります。

保存年数を設定として持てることです。3年という下限があります*1。ログの保持期間を短くしている場合、この記録だけは別の扱いにする必要があります。

契約と記録を紐づけられることです。監督の義務がある以上*1、どの提供がどの契約に基づくのかを示せることが望ましくなります。契約書は法務、記録はシステムという分かれ方をしていると、突き合わせに手間がかかります。

データの流れを台帳として持つという論点は、データカタログとガバナンスで扱う内容と重なります。国ごとに別の台帳を立てるより、同じ台帳に国の列を足すほうが更新は続きます。

論点2：1000万人という閾値が設計を変える

条例には、規模で義務が変わる線が引かれています*1。

第28条は、1000万人以上の個人情報を処理するネットワークデータ処理者について、重要データの処理者に課される第30条および第32条の規定にも従うこととしています*1。

その第30条が求めるのは、体制です*1。重要データの処理者は、ネットワークデータ安全の責任者と管理機構を明確にすることとされ、管理機構は次の責任を負います*1。安全管理制度・操作規程・緊急対応計画の策定と実施、リスクの監視と評価・訓練・教育の定期的な実施と事案の処置、そして苦情と通報の受付と処理です*1。

責任者についても要件があります*1。専門知識と関連する管理業務の経歴を有し、処理者の経営層の一員が務め、主管部門へ直接報告する権限を持つとされています*1。主管部門が定める特定の種類・規模の重要データを扱う場合は、責任者と重要な職位の人員について安全に関する経歴の審査を行い、研修を強化することとされています*1。

第32条は、合併・分割・解散・破産など重要データの安全に影響し得る事由が生じた場合に、措置を講じたうえで、処置の方案と受領者の名称・連絡先などを省級以上の主管部門へ報告することを求めています*1。

ここで見落とされやすいのが、1000万人という数を自社で数えられるかです。アカウント数と個人情報の件数は一致しません。退会済みの記録、重複したアカウント、取引先の担当者の情報。どこまでを数に含めるかを決めていないと、閾値に達しているかの判断ができません。

第33条は、重要データの処理者が年度ごとにネットワークデータ処理活動のリスク評価を行い、省級以上の主管部門へ報告することを求めています*1。年次で回す作業である以上、毎回ゼロから資料を作る運用では続きません。

論点3：24時間という報告の期限

事故と欠陥への対応も具体的に書かれています*1。

第10条は、提供するネットワーク製品・サービスが国家標準の強制的な要求に適合することを求めたうえで、安全上の欠陥や脆弱性などのリスクを発見した場合には直ちに是正の措置をとり、規定に従って速やかに利用者へ告知し主管部門へ報告することとしています*1。そして、国家安全や公共の利益を害するものについては、24時間以内に主管部門へ報告するとされています*1。

第11条は、ネットワークデータ安全事案の緊急対応計画を整備し、事案が発生した場合には直ちに計画を起動して被害の拡大を防ぎ、規定に従って主管部門へ報告することを求めています*1。

個人や組織の合法的な権益に危害が生じた場合は、事案とリスクの状況、被害の結果、既にとった是正措置などを、電話、ショートメッセージ、インスタントメッセージ、電子メール、公告といった方法で利害関係者へ通知することとされています*1。処置の過程で違法や犯罪の疑いのある手がかりを発見した場合は、公安機関や国家安全機関へ通報し、捜査・調査・処置に協力することとされています*1。

実務として押さえたい点を挙げます。

24時間の起点が「発見」であることです。報告の期限が短いぶん、検知から判断までの経路が確立していないと間に合いません*1。誰が判断するのかを決めていない組織では、この時間が判断待ちに消えます。

通知の手段が複数挙げられていることです。電話やショートメッセージが例示されています*1。連絡先を保持していない、あるいは古いままの状態では、通知そのものが実行できません。

報告と通知は別の作業であることです。主管部門への報告と、利害関係者への通知。この二つを一つの手順に混ぜると、どちらかが漏れます。

検知から報告までの流れをどう組むかは、インシデント対応とオンコールで扱う内容と一体です。24時間という期限は、当番の体制がなければ守れません。

論点4：個人情報の扱いと、移転の請求

第三章は個人情報の保護を扱います*1。

第21条は、個人情報処理規則について、集中して公開し、アクセスしやすく、目立つ位置に置くことを求めています*1。内容は明確・具体的で分かりやすいものとし、処理者の名称と連絡先、処理の目的・方式・種類と機微な個人情報を処理する必要性および個人の権益への影響、保存期間と期間満了後の取り扱い（期間の確定が難しい場合はその決め方）、そして閲覧・複製・移転・訂正・補足・削除・処理の制限・アカウント抹消・同意の撤回の方法と経路を含むとされています*1。

他の処理者へ提供する場合の目的・方式・種類と受領側の情報については、リストなどの形で列挙することとされています*1。14歳未満の未成年者の個人情報を処理する場合は、専用の処理規則を定めることとされています*1。

第25条は、個人情報の移転の請求について定めています*1。次の条件を満たす請求について、処理者は個人が指定する他の処理者がその個人情報へアクセスし取得するための経路を提供することとされています*1。請求者の真実の身分を検証できること、移転を請求されているのが本人の同意に基づいて提供された情報または契約に基づいて収集された情報であること、移転に技術的な実行可能性があること、そして他人の合法的な権益を損なわないことです*1。請求の回数などが明らかに合理的な範囲を超える場合は、必要な費用を徴収できるとされています*1。

あわせて第24条は、自動化された収集技術などにより不要な個人情報や同意を得ていない個人情報を収集してしまった場合、およびアカウントが抹消された場合に、削除または匿名化を行うこととしています*1。法定の保存期間が満了していない場合や、削除・匿名化が技術的に困難な場合は、保存と必要な安全保護の措置を除く処理を停止することとされています*1。

第27条は、個人情報の処理が法令に適合しているかについて、定期的に自ら、または専門機関に委託して監査を行うことを求めています*1。

これらは、いずれも画面と実装の両方に影響します。とくに移転の請求*1は、身分の検証、対象データの切り出し、送信先への受け渡しという一連の機能を伴います。韓国のデータ移転要求権で扱うような仕組みと考え方は近く、まとめて設計する価値があります。

論点5：越境は既存の枠組みが前提になる

第五章は越境の安全管理を扱いますが、内容は既存の制度を条例に取り込む形です*1。

第35条は、次のいずれかに該当する場合に個人情報を国外へ提供できるとしています*1。国家網信部門が組織するデータ越境安全評価に合格すること、専門機関による個人情報保護認証を受けること、個人情報越境の標準契約に関する規定に適合すること、個人が当事者となる契約の締結・履行に必要であること、労働規則や集団契約に基づく越境の人事管理に必要であること、法定の職責・義務の履行に必要であること、緊急時に自然人の生命健康や財産の安全を守るために必要であること、その他の条件です*1。

第37条は、国内の運営で収集・生成した重要データを国外へ提供する必要がある場合に、データ越境安全評価に合格することを求めています*1。ただし、規定に従って重要データを識別・申告したものの、関係する地域や部門から重要データであると告知・公表されていない場合は、重要データとして評価を申告する必要はないとされています*1。

第38条は、評価に合格したあとについて、評価時に明確にした目的・方式・範囲・種類・規模を超えてはならないとしています*1。評価を通せば自由になるわけではない、という点は押さえておきたいところです。

閾値そのものは、別の規定に定められています*2。2024年3月22日公布の「データ越境流動の促進および規範に関する規定」（国家インターネット情報弁公室令第16号）は、重要インフラ運営者以外の処理者について、当年1月1日から累計で10万人未満の個人情報（機微な個人情報を含まない）であれば安全評価の申告・標準契約の締結・認証のいずれも免除されるとしています*2。

そして、100万人以上の個人情報（機微を含まない）または1万人以上の機微な個人情報を累計で提供する場合は安全評価の申告が必要とされ、10万人以上100万人未満または機微1万人未満の場合は標準契約または認証によることとされています*2。安全評価の結果の有効期間は3年で、満了前60営業日以内に延長を申請でき、承認されれば3年延長できるとされています*2。

越境の三つの経路とその使い分けについては、中国PIPLの越境移転で扱う内容が土台になります。本記事の条例は、その枠組みを前提に、国内での記録と体制の側を厚くしたものと捉えると整理しやすくなります。

着手の順序と、受託で進めるときの要点

優先順位をつけるなら、次の順になります。

第一に、提供と委託の棚卸しです。誰に何を渡しているか。記録が3年残る形になっているかを確かめます*1。

第二に、件数の把握です。1000万人という閾値に届いているか*1。数え方を決めるところから始まります。

第三に、報告の経路です。24時間以内という期限に間に合う体制があるか*1。

第四に、個人情報処理規則の点検です。提供先をリストの形で列挙できているか*1。

受託で進める場合の要点も挙げます。

記録の保存年数を個別に設定できるようにすることです。3年という下限が明記されています*1。全社一律の保持設定では、コスト削減の判断が要件違反につながります。

件数を随時数えられる形にすることです。閾値の判定は一度きりではありません。事業の成長で越えることがあります。定期的に数えられる仕組みがあれば、越えた時点で体制の整備に着手できます。

報告の判断を仕組みに載せることです。24時間以内という期限は、判断の担当者が不在の時間帯を考えると余裕がありません*1。誰が判断するかを当番として決め、記録に残す形が要ります。

他国の要求と項目を揃えることです。スイスの記録とログやブラジルの移転根拠で扱うような要求とも、提供の記録という点では重なります。国ごとに別の仕組みを立てると、更新が片方だけ止まります。

体制としては、中国拠点の実務と本社側のシステムの双方に触れられる要員が入れるかが分かれ目になります。提供の実態、委託先との契約、通知先の連絡先の鮮度。これらは仕様書の項目名だけを見ていても判断できません。業務側と設計側が同じ場で話せる形を作れるかを、委託先を選ぶ観点に入れておくとよいでしょう。

まとめ：中国の条例対応で押さえる3つの視点

ネットワークデータ安全管理条例（国務院令第790号）は2024年9月24日に公布され、2025年1月1日から施行されています。サイバーセキュリティ法、データ安全法、個人情報保護法に基づく行政法規であり、国外で中国国内の自然人の個人情報を処理する活動にも、個人情報保護法第3条第2項に該当する場合には適用されるとされています。押さえたい視点は三つです。第一に、記録の保存年数が明記されたこと。他の処理者へ個人情報や重要データを提供・委託する場合、契約で目的・方式・範囲と保護義務を定めて受領側を監督したうえで、処理状況の記録を少なくとも3年間保存することとされています。第二に、規模で義務が変わること。1000万人以上の個人情報を処理する場合は、重要データの処理者に課される規定にも従うこととされ、経営層が務める安全責任者と管理機構の設置、年度ごとのリスク評価と省級以上の主管部門への報告が伴います。第三に、報告の期限が短いこと。製品やサービスに安全上の欠陥や脆弱性を発見し、それが国家安全や公共の利益を害する場合は24時間以内に報告することとされ、事案の発生時には緊急対応計画を起動して利害関係者へ通知することとされています。まずは提供と委託の棚卸しと、個人情報の件数を数えられるかの確認から着手するのが堅実でしょう。

よくある質問

出典

1. *1　参考：中国政府網「网络数据安全管理条例（中华人民共和国国务院令 第790号）」（生態環境部サイト掲載の中国政府網配信）（https://www.mee.gov.cn/zcwj/gwywj/202410/t20241003_1087417.shtml）。2024年8月30日の国務院第40次常務会議での採択、2024年9月24日の公布、2025年1月1日からの施行、サイバーセキュリティ法・データ安全法・個人情報保護法に基づく制定（第1条）、適用範囲と域外適用（第2条）、製品・サービスの欠陥発見時の措置と24時間以内の報告（第10条）、緊急対応計画と利害関係者への通知（第11条）、提供・委託時の契約と監督および記録の3年以上の保存（第12条）、生成AIの訓練データの安全管理（第19条）、個人情報処理規則の掲示内容とリストによる列挙（第21条）、同意に関する規定（第22条）、削除・匿名化（第24条）、個人情報の移転請求の要件（第25条）、国外処理者の国内機構・代表の報送（第26条）、コンプライアンス監査（第27条）、1000万人以上の場合の第30条・第32条の準用（第28条）、重要データの処理者の責任者と管理機構（第30条）、リスク評価（第31条）、合併等の際の報告（第32条）、年度リスク評価の報告（第33条）、越境提供の条件（第35条）、重要データの越境と安全評価（第37条）、評価範囲の遵守（第38条）の一次情報として（2026年8月確認）
2. *2　参考：中国政府網 国務院公報「国家互联网信息办公室令（第16号）促进和规范数据跨境流动规定」（https://www.gov.cn/gongbao/2024/issue_11366/202405/content_6954192.html）。2023年11月28日の室務会議での審議通過と2024年3月22日の公布・即日施行、重要データの識別と申告（第2条）、国際貿易等で個人情報・重要データを含まない場合の免除（第3条）、国外で収集した個人情報の国内処理後の再提供に関する免除（第4条）、契約履行・越境人事管理・緊急時および累計10万人未満の場合の免除（第5条）、自由貿易試験区のネガティブリスト（第6条）、安全評価の申告が必要な場合（重要インフラ運営者、重要データ、累計100万人以上または機微1万人以上。第7条）、標準契約または認証による場合（累計10万人以上100万人未満または機微1万人未満。第8条）、安全評価結果の有効期間3年と60営業日以内の延長申請（第9条）の一次情報として（2026年8月確認）

Tweet