LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

中国に現地法人や工場があり、その人事データや取引先の情報を日本側で見ている。あるいは中国の開発会社に作業を委託している——こうした構成を持つ企業にとって、避けて通れないのが個人情報の国外移転をめぐるルールです。中国の個人情報保護法、いわゆるPIPLは、国外へデータを出すときの手続きを具体的に定めています。

本記事では、中国に拠点や委託先を持つ情報システム部門・管理部門の担当者に向けて、PIPLの骨格、国外へ出す三つの経路と件数のめやす、日本企業の現場で実際に問題になる場面、そしてシステム設計と委託契約で押さえておきたい点を整理します。制度の一般的な整理であり個別の法的な助言ではありませんので、実際の判断は公式文書と専門家への確認を組み合わせて進めてください。

中国PIPLとは——同意と目的を軸にした個人情報保護法

PIPL（個人情報保護法）は、中国における個人情報の取り扱いを包括的に定めた法律で、2021年11月1日から施行されています*1。個人情報を扱うための根拠を明確にすること、目的の範囲を超えて使わないこと、本人に必要な情報を伝えること、そして安全管理の措置を取ること——このあたりが柱になります。日本の個人情報保護法と重なる考え方も多く、土台の部分では通じ合うところがあるのです。

いっぽうで、日本の制度と大きく異なるのが国外移転の扱いです。中国国内で集めた個人情報を国外へ出す場合、定められた手続きのいずれかを踏む必要があります。ここが実務でいちばん重い部分になります。また、この法律には域外適用の考え方があり、中国国内の個人に向けて商品やサービスを提供する場合などには、中国に拠点がなくても対象になりえます。

もう一点、押さえておきたいのが「重要データ」という別の枠組みです。こちらは個人情報とは異なる区分で、業種ごとに何が重要データに当たるのかが整理されていく形になっています。個人情報の件数が少なくても、重要データを含む場合は手続きが重くなるため、自社の扱うデータがどちらに当たるのかの見極めが要ります。

国外へ出す三つの経路——安全評価・標準契約・認証

中国から個人情報を国外へ出すには、原則として次の三つのうちいずれかの経路をとります。どれを選ぶかは、扱う情報の量や種類によって決まってきます*2。

どの経路でも共通して求められるのは、移転の必要性を説明できることと、国外の受領者側でも保護の水準が保たれることです。「本社で見たいから全部送る」という発想では、必要性の説明が難しくなります。逆に、目的と項目を絞れているほど、手続きも通しやすくなるわけです。

2024年の緩和——件数のめやすと免除の考え方

越境移転の手続きは、2024年3月に公表された規定によって整理され、対象が絞り込まれました*2。暦年での累計件数を軸に、次のような区分で考えるのが実務的です。

免除にはいくつかの類型があり、契約の履行に必要な場合や、人事管理に必要な場合などが挙げられています。ただし、重要データはこの免除の対象外とされている点に注意が必要です。また、自由貿易試験区ごとに個別の目録が作られる仕組みもあり、地域によって扱いが変わることがあります。

ここで大事なのは、制度が緩和されたからといって「何もしなくてよい」わけではないという点です。免除に当たるかどうかを判断するには、まず自社が何件の個人情報を、どの目的で国外へ出しているのかを把握していなければなりません。件数を数えられる状態を作ることが、最初の一歩になります。

日本企業の現場で起きること——見落とされがちな四つの場面

制度の条文を読むだけでは気づきにくい、実務での接点を挙げてみます。

• 日本からのリモート参照：中国のサーバーにあるデータを日本のオフィスから画面越しに見る運用も、国外への提供に当たりうると考えられます。データを物理的に送っていないから対象外、とは言い切れません
• グループ共通のシステム：人事や会計のシステムを本社で一元管理していると、中国の従業員データが日本側に集まります。人数によっては手続きの帯に入ります
• クラウドやSaaSの利用：海外拠点のあるSaaSを中国の拠点で使うと、そこから国外へデータが出る構成になっている場合があります
• 開発・保守の委託：日本や第三国の開発者が中国の本番データにアクセスして障害対応をする運用は、経路と権限の設計を見直す対象です

いずれの場面でも、まず作るべきは「どのデータが、どこから、どこへ流れているか」の一覧です。この図がないまま個別に対応すると、抜け漏れが生まれます。中国向けの生成AIサービスを扱う場合は、中国の生成AI規制もあわせて確認しておくと、二重の作業を避けられます。

越境ECのように、そもそも国境をまたぐことが前提の事業では、設計段階からこの論点を織り込む必要があります。越境ECシステムで扱う顧客データの持ち方も、この観点で見直しておきたいところです。

システム設計で押さえる実務ポイント

手続きを踏むかどうかの前に、設計で負担を減らせる部分があります。次の四点は、費用対効果が高い打ち手です。

第一に、国内で完結する処理を増やすことです。集計や分析を現地側で済ませ、日本へ渡すのは統計値だけにする。この形にできれば、個人情報の越境そのものが減ります。ダッシュボードだけを共有する構成にすると、必要性の説明もしやすくなります。

第二に、渡す項目を絞る仕組みを持つことです。氏名や連絡先を含めずに識別子だけで足りる処理は少なくありません。項目単位で出力を制御できる作りにしておけば、目的ごとに最小限の範囲へ調整できます。

第三に、アクセス経路と権限を分けることです。日本側から本番環境へ入る経路を限定し、誰がいつ何を参照したのかをログに残します。障害対応のための一時的な権限付与も、期限つきで運用する形にしておくと説明が容易です。

第四に、件数を数えられるようにすることです。暦年での累計が判断の軸になるため、どの経路で何件のデータが国外へ出たのかを記録しておく必要があります。これはシステム側で仕組みにしてしまうのが確実で、後から手作業で追うのは現実的ではありません。

対応の進め方——棚卸しから届出まで

手続きの選択に迷う前に、進める順番を決めておくと動きやすくなります。四つの段階に分けてみましょう。

第一段階は、データの棚卸しです。中国拠点で扱う個人情報の種類と件数、そこから国外へ出ている経路を一覧にします。ここで漏れやすいのが、日常業務のなかで人づてに送られるファイルや、共有ストレージ経由の受け渡しです。システム間の連携だけを見ていると実像を捉え損ねるため、業務側への聞き取りを合わせて行うのが確実です。

第二段階は、必要性の絞り込みになります。洗い出した経路それぞれについて、そもそも国外へ出す必要があるのかを問い直します。集計だけで足りるもの、識別子だけで足りるもの、そもそも参照の頻度が年に数回のもの——こうした整理を通すと、手続きの対象がかなり減ることも珍しくありません。

第三段階が、経路ごとの手続きの選択です。残った移転について、件数や重要データの有無を踏まえて、標準契約・認証・安全評価のいずれで進めるかを決めます。標準契約であれば様式に沿った契約と届出、安全評価であれば申請書類の準備と社内の説明資料づくりが要ります。準備期間は前者でも数か月を見込むのが現実的でしょう。

第四段階は、変化に追いつく運用づくりです。事業の成長で件数が増えれば、求められる手続きの帯も変わります。年に一度は件数と経路を見直す機会を決めておき、システム側では件数の集計を自動で残す仕組みを持たせます。ここまで整えば、制度の細部が更新されても慌てずに済みます。

受託・委託開発と契約で押さえるポイント

委託を含む体制では、契約と運用の両面で決めておくことがあります。

• 委託先が扱える範囲と目的、期間を契約に明記する（再委託の条件も含める）
• 本番データを開発・検証に使わない運用へ切り替える（マスキングや合成データの利用）
• 障害対応で例外的にアクセスする場合の手順と記録の残し方を定める
• 契約終了時にデータを削除・返却する手順と、その証跡を残す方法を決める
• 移転の経路や件数に変化があった場合に、誰が気づいて誰に伝えるのかを決める

これらは中国に限らず、各国の制度対応で共通して求められる備えでもあります。インドのDPDP法や日本の個人情報保護法2026年改正と並べて、共通の土台と国ごとの差分に分けて整理しておくと、制度が増えても対応が積み上がりません。

体制の面では、現地の担当者と日本側の窓口を明確にしておくことが肝心です。中国の制度は運用面の細部が更新されることがあり、現地の実務感覚がないと判断を誤りかねません。現地の法務や外部の専門家と定期的に確認する場を設けつつ、システム側は「範囲を絞れる作り」にしておく——この二段構えが現実的でしょう。

まとめ：中国PIPLの越境移転で押さえる3つの視点

中国PIPLは個人情報の取り扱いを包括的に定めた法律で、国外へデータを出す場面に具体的な手続きを求めています。押さえたい視点は三つです。第一に、国外移転の経路は当局の安全評価・標準契約の締結と届出・認証の取得の三つで、扱う件数や重要データの有無によって選択が変わること。第二に、2024年の規定で件数によるめやすと免除の考え方が整理されたものの、免除に当たるかを判断するには自社の件数と目的を把握している必要があること。第三に、日本からのリモート参照やグループ共通システム、クラウドの利用、開発委託といった見落としがちな場面が接点になりやすく、設計で範囲を絞ることが負担軽減の要になることです。まずはデータの流れと件数を一覧にし、国内で完結できる処理がないかを洗い出すところから始めてみてください。

よくある質問

出典

1. *1　参考：国家互联网信息办公室（中国・国家インターネット情報弁公室）「中华人民共和国个人信息保护法」（https://www.cac.gov.cn/2021-08/20/c_1631050028355286.htm）。個人情報保護法の条文（2021年11月1日施行）と国外移転に関する規定の参考として（2026年8月確認）
2. *2　参考：国家互联网信息办公室「促进和规范数据跨境流动规定」（https://www.cac.gov.cn/2024-03/22/c_1712776611775634.htm）。2024年3月公表の規定による越境移転の手続き区分と件数のめやすの参考として（2026年8月確認）

Tweet