LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

中国向けのシステムを扱っていると、「評価」と「審計」の区別で混乱しがちです。影響評価は自社で行う事前の検討ですが、審計は「守れているか」を後から審査される仕組みです。

その手続を定めたのが個人情報保護合規審計管理弁法です*1。国家インターネット情報弁公室令第18号として2025年2月12日に公布され、2025年5月1日から施行されています*1。人数に応じて義務が段階的に増える作りで、1,000万人を超えると2年に1回以上の審計が求められます*1。

中国に利用者や拠点を持つ企業と、そうしたシステムを受託して作る立場に向けて、条文から読み取れる要件を整理します。個別の適用は事情によりますので、法務の確認を経て進めてください。

1,000万人と100万人——人数で変わる三つの義務

まず全体像です*1。

第2条は、この弁法にいう個人情報保護合規審計を、個人情報処理者の個人情報処理活動が法律および行政法規を遵守しているかを審査し評価する監督活動と定義しています*1。中国国内で行われる合規審計に適用されます*1。

第3条は、処理者が自ら合規審計を行う場合について、内部の機構が実施するか専門機関に委託し、法律および行政法規の遵守状況を定期的に審計することとしています*1。

頻度が明示されるのが第4条です*1。1,000万人を超える個人情報を処理する処理者は、少なくとも2年に1回、個人情報保護合規審計を実施することとされています*1。

体制の側は第12条です*1。100万人以上の個人情報を処理する処理者は個人情報保護責任者を指定し、その者が当該処理者の合規審計の業務を担うこととされています*1。

さらに、重要なインターネットプラットフォームサービスを提供し、利用者数が巨大で、業務の類型が複雑な処理者については、主に外部の委員から構成される独立の機構を設けて、合規審計の状況を監督することとされています*1。

整理すると、人数に応じて次のように積み上がります*1。

適用されない主体もあります*1。第19条は、国家機関および法律・法規により公共事務の管理機能を授権された組織の合規審計には、この弁法を適用しないとしています*1。

根拠法は個人情報保護法とネットワークデータ安全管理条例です*1。条例側の義務と併せて読む前提の作りになっています*1。

委託審計を求められる三つの契機

自主的な審計とは別に、当局から命じられる審計があります*1。

第5条は、次のいずれかに当たる場合、国家ネットワーク情報部門その他の個人情報保護の職責を担う部門（以下「保護部門」）が、処理者に対し専門機関へ委託して処理活動の合規審計を行うことを求められるとしています*1。

(1) 個人情報処理活動に、個人の権益に重大な影響を及ぼす、または保護措置が著しく欠けているなどの大きなリスクがあると認められる場合です*1。

(2) 個人情報処理活動が多数の個人の権益を侵害するおそれがある場合です*1。

(3) 個人情報のセキュリティ事件が発生し、100万人以上の個人情報または10万人以上の機微個人情報について漏えい、改ざん、喪失、毀損が生じた場合です*1。

歯止めも書かれています*1。同一の事件または同一のリスクについて、専門機関への委託審計を重複して求めることはできないとされています*1。

実務で意味があるのは(3)の数字です*1。インシデントの規模が一定を超えると、報告や通知だけでは終わらず、第三者に見られる手続が続くという前提で備えることになります*1。

手続の負担も条文に並びます*1。第8条は、保護部門の要求により審計を行う場合、処理者は専門機関が業務を進められるよう必要な支援を提供し、審計の費用を負担するとしています*1。

第9条は、保護部門の要求に従って専門機関を選定し、限られた期間内に合規審計を完了することとしています*1。事情が複雑な場合は、保護部門の承認を得て適切に延長できるとされています*1。

第10条は、審計の完了後、専門機関が作成した合規審計報告書を保護部門へ提出することとし、報告書には専門機関の主要責任者と合規審計責任者が署名し、専門機関の公印を押すことを求めています*1。

第11条は、審計で見つかった問題について保護部門の要求に従って是正し、是正の完了後15営業日以内に是正状況の報告書を提出することとしています*1。

専門機関の側にも制限があります*1。第7条は、専門機関が審計を行う能力を備え、サービスに見合う審計人員、場所、設備、資金を有することを求め、認証の取得を奨励しています*1。第13条は、業務で知った個人情報、営業秘密、秘密の商務情報を法に従って秘密として扱い、審計の終了後は速やかに関係する情報を削除することとしています*1。第14条は他の機関への再委託を禁止し、第15条は同一の専門機関とその関連機関、同一の合規審計責任者が、同一の審計対象に対して連続3回以上の審計を行うことを認めていません*1。

最後の点は、発注側の計画に影響します*1。同じ機関に任せ続けられないため、審計の記録や資料を引き継げる形で残しておく必要があります*1。

指引が見る論点——自動化決策、機微、14歳未満

弁法には個人情報保護合規審計指引が附属しています*1。第6条は、自ら行う場合も委託により行う場合も、この指引を参照することとしています*1。

指引は審査の重点を項目ごとに列挙しています*1。実装に関わるものを拾います*1。

自動化決策です*1。指引第9項は、自動化決策の透明性と結果の公平・公正、種類と影響の事前の告知、事前の個人情報保護影響評価、重大な影響を及ぼす決定を簡便な方法で拒否できる仕組みと説明を求める仕組みの提供、情報のプッシュや商業マーケティングにおける個人の特徴に基づかない選択肢の同時提供または簡便な拒否手段、そして取引条件における不合理な差別的取扱いを防ぐ有効な措置を重点審査事項としています*1。

米国の州法が求めるプロファイリングの説明や再評価と、並べて設計できる項目です*1。ミネソタ州法の決定ログや、コネチカット州の影響評価と様式を揃えておくと、作り直しが減ります*1。

機微個人情報です*1。指引第13項は、生体識別、宗教的信仰、特定身分、医療健康、金融口座、行動の軌跡などについて事前の単独同意、目的・方式・範囲の合法性と正当性と必要性、事前の影響評価、必要性と個人の権益への影響の告知、法令が書面同意を求める場合の書面同意を重点審査事項としています*1。

14歳未満の未成年者です*1。指引第14項は、専用の個人情報処理規則の策定、未成年者とその監護者への目的・方式・必要性・種類・保護措置の告知、そして必要でない個人情報の処理への同意を強制していないかを重点審査事項としています*1。

越境提供です*1。指引第15項は、重要情報インフラ運営者による国外提供について国家ネットワーク情報部門が組織する安全評価を経ているか、それ以外の処理者について当年1月1日からの累計で100万人以上の個人情報（機微を含まない）または1万人以上の機微個人情報を国外提供する場合に安全評価を経ているか、10万人以上100万人未満または1万人未満の機微の場合に認証または標準契約の締結と省級部門への届出を行っているかなどを重点審査事項としています*1。数値の建て付けは越境移転の経路と対応しています*1。

削除権と権利行使への対応も重点項目です*1。指引第16項は、処理目的が達成されたか達成できないか、目的の実現に必要でなくなったか、製品やサービスの提供を停止したか、個人がアカウントを削除したか、保存期間が満了したか、同意が撤回されたかを審査事項とし、法令上の保存期間が満了していない場合や技術的に削除が難しい場合には、保存と必要な保護措置以外の処理を停止しているかを見るとしています*1。指引第17項は、権利行使の申請を受け付ける簡便な仕組み、速やかな対応と処理意見または実行結果の告知、拒否する場合の理由の説明を挙げています*1。

内部管理と技術措置もあります*1。指引第19項は、方針と目標、組織体制と人員配置、個人情報の分類、セキュリティ事件の緊急対応の仕組み、影響評価制度と合規審計制度の整備、苦情通報の受付の流れ、操作権限の設定、教育と訓練の計画、責任者と関係者の職務評価の制度、違法処理の責任制度を挙げています*1。第20項は、機密性・完全性・可用性の確保、暗号化や非識別化による識別可能性の低減、閲覧や複製や伝送の操作権限の合理的な設定を評価の対象としています*1。

着手の順序と、受託で進めるときの要点

優先順位を付けるなら、次の順です。

第一に、人数の把握です。中国国内で処理している個人情報が100万人、1,000万人のどちらの線を越えているかを数えられる状態にします*1。線をまたぐと責任者の指定と2年ごとの審計が加わります*1。

第二に、責任者と権限です。指引第22項は、責任者が関連する業務経歴と専門知識を持ち法令に精通しているか、明確な職責と社内の関係部門や人員を調整できる十分な権限を与えられているか、重大事項の決定前に意見を述べる権限があるか、不適合な操作を止めて必要な是正措置を採る権限があるか、そして連絡先の公開と保護部門への氏名・連絡先の届出を行っているかを重点審査事項としています*1。名前を置くだけでは足りない書き方です*1。

第三に、証跡の設計です。審計は「守れているか」を後から審査する手続です*1。同意の取得、告知の版、影響評価の記録、権限の設定、削除の実行——それぞれが後から取り出せるかを確かめます*1。

第四に、インシデント時の段取りです。100万人以上の個人情報または10万人以上の機微個人情報に関する事件が生じた場合、委託審計を求められる契機に当たります*1。通知と報告の後に第三者の審計が続く前提で、資料の集約先を決めておきます*1。

第五に、様式の共通化です。指引の項目は、米国州法や中国のAI生成コンテンツ標識の規定で求められる文書と重なる部分があります*1。ひとつの様式に法域ごとの差分を足す作りにしておくほうが後の負担が軽くなります*1。

緊急時の備えも審査の対象です*1。指引第24項は、個人情報のセキュリティ事件に関する緊急対応計画について、業務の実態に即したリスクの評価と予測、全体の要求と基本戦略、組織と人員、技術と物資の裏付け、指揮と処置の手順、応急および支援の措置が予測したリスクに対応できるか、そして関係者への訓練と定期的な演習を行っているかを評価するとしています*1。指引第25項は、事件の発生後に影響と範囲と生じうる危害を速やかに突き止め、原因を分析し、拡大を防ぐ措置の案を示しているか、通報の経路を整備し保護部門と個人へ速やかに通知しているか、損失と危害のリスクを最小に抑える措置を採っているかを重点審査事項としています*1。

受託で進める場合の要点を三つ挙げます。

成果物を先に決めることです。証跡の取り出し口、権限設定の一覧、影響評価と審計の記録様式——このどれを納品物とするかで、見積りも体制も変わります。

引き継ぎを前提にすることです。同一の専門機関に連続3回以上は任せられないため、審計の資料は機関に依存しない形でまとめておきます*1。

期間の制約を織り込むことです。委託審計は限られた期間内に完了することとされ、是正の完了後15営業日以内に報告が必要です*1。人手で集めている資料があるなら、その部分が期間に間に合うかを先に確かめます*1。

弁法と指引の全文は国家インターネット情報弁公室のサイトで読めます*1。適用の判定と成果物の範囲は事情によって変わりますので、法務の確認を挟みながら進めてください。

まとめ：合規審計で押さえる3つの視点

個人情報保護合規審計管理弁法は、国家インターネット情報弁公室令第18号として2025年2月12日に公布され、2025年5月1日から施行されています。押さえたい視点は三つです。第一に、人数で積み上がる義務。第2条は合規審計を、処理活動が法律および行政法規を遵守しているかを審査し評価する監督活動と定義し、第3条は自ら行う場合に内部機構または専門機関への委託で定期的に審計することとしています。第4条は1,000万人を超える個人情報を処理する処理者に少なくとも2年に1回の審計を求め、第12条は100万人以上を処理する処理者に個人情報保護責任者の指定を求め、重要なインターネットプラットフォームを提供し利用者数が巨大で業務が複雑な処理者には主に外部委員から成る独立機構による監督を求めています。国家機関等には適用されません。第二に、委託審計の契機と手続。第5条は、個人の権益への重大な影響や保護措置の著しい欠如などの大きなリスク、多数の個人の権益侵害のおそれ、100万人以上の個人情報または10万人以上の機微個人情報の漏えい等の事件という三つの場合に、保護部門が専門機関への委託審計を求められるとし、同一の事件やリスクでの重複要求を禁じています。費用は処理者が負担し、限られた期間内に完了して署名と公印のある報告書を提出し、是正の完了後15営業日以内に是正状況を報告します。専門機関は再委託できず、同一対象への連続3回以上の審計も認められません。第三に、指引の重点項目。自動化決策の透明性と公平性、拒否と説明の仕組み、特徴に基づかない選択肢の提供、機微個人情報の単独同意、14歳未満の未成年者に対する専用規則、越境提供の経路の確認、内部管理制度と暗号化や非識別化を含む技術措置などが審査の対象として並んでいます。

よくある質問

出典

1. *1　参考：中央网络安全和信息化委员会办公室（国家互联网信息办公室）「个人信息保护合规审计管理办法（国家互联网信息办公室令第18号）」（https://www.cac.gov.cn/2025-02/14/c_1741233507681519.htm）。国家インターネット情報弁公室令第18号として2025年2月12日に公布され2025年5月1日から施行されること、第1条（個人情報保護法およびネットワークデータ安全管理条例等に基づく制定）、第2条（適用範囲と合規審計の定義）、第3条（自ら行う場合の内部機構による実施または専門機関への委託と定期的な実施）、第4条（1,000万人を超える個人情報を処理する処理者による少なくとも2年に1回の実施）、第5条（保護部門が専門機関への委託審計を求められる三つの場合と、同一の事件またはリスクについての重複要求の禁止）、第6条（附属する個人情報保護合規審計指引の参照）、第7条（専門機関の能力と人員・場所・設備・資金、認証の奨励）、第8条（必要な支援の提供と費用の負担）、第9条（保護部門の要求に従った専門機関の選定と期間内の完了、複雑な場合の延長）、第10条（合規審計報告書の提出と主要責任者および合規審計責任者の署名と公印）、第11条（問題の是正と是正完了後15営業日以内の報告）、第12条（100万人以上を処理する処理者による個人情報保護責任者の指定と、重要なインターネットプラットフォームを提供し利用者数が巨大で業務類型が複雑な処理者による主に外部委員から成る独立機構の設置）、第13条（専門機関の守秘義務と審計終了後の情報の削除）、第14条（再委託の禁止）、第15条（同一の専門機関とその関連機関および同一の合規審計責任者による同一対象への連続3回以上の審計の禁止）、第16条（保護部門による監督検査）、第17条（投訴と通報）、第18条（違反時の個人情報保護法およびネットワークデータ安全管理条例等に基づく処理）、第19条（国家機関等への不適用）、第20条（施行日）、ならびに附件「个人信息保护合规审计指引」第9項（自動化決策の透明性と公平性、事前の告知と影響評価、拒否と説明の仕組み、特徴に基づかない選択肢の提供、取引条件における不合理な差別的取扱いの防止）、第13項（機微個人情報の単独同意と必要性および書面同意）、第14項（14歳未満の未成年者に関する専用の処理規則と監護者への告知）、第15項（越境提供に関する安全評価・認証・標準契約と届出の確認および累計人数の基準）、第19項（内部管理制度と操作規程、分類、緊急対応、影響評価制度と合規審計制度、投訴通報、操作権限、教育訓練、職務評価、責任制度）、第20項（機密性・完全性・可用性の確保、暗号化や非識別化、操作権限の設定）、第22項（個人情報保護責任者の履職に関する重点審査事項）の一次情報として。確認日は2026年8月27日。（2026年8月確認）

Tweet