中国：個人情報国外移転安全評価弁法（意見募集案） （下）
長島・大野・常松法律事務所
弁護士 川 合 正 倫
3. データの国内保存義務
なお、ネットワーク安全法においては、重要インフラ運営者が中国国内における事業運営において収集・発生した個人情報及び重要データを中国国内に保存する義務が規定されている（ネットワーク安全法第37条）。これに対し本弁法案においては、個人情報の国外移転に伴う規制対象にネットワーク運営者が含まれることが明確にされたことから、データの国内保存義務についてもその対象がネットワーク運営者にまで拡大される可能性もあるが、データの国内保存義務に関する明確な規定はない。
4. 外国企業がインターネット等を通じて収集する中国の個人情報
中国で設立された中国法人については株主の属性にかかわらずネットワーク安全法の規制が及ぶ。また、本弁法案においては、外国企業がインターネット等を通じて中国国内のユーザーの個人情報を取得した場合も、法定代表者又は国内機関を通じて本弁法案におけるネットワーク運営者の責任と義務を履行することが義務づけられている（本弁法案第20条）。GDPRの規定と同様に中国国外の事業にも広く適用される余地がある点において注意が必要である。
5. 政府のとりうる措置
管轄当局は、個人情報の主体の権利侵害、データ漏えい等の状況を発見した場合には、ネットワーク運営者に対して改善を求めることができる（本弁法案第10条）。また、重大事項の発生時等の一定の場合には、ネットワーク運営者に個人情報の国外移転を中断又は中止することを求めることも可能とされている（本弁法案第11条）。
6. まとめ
上述のとおり、本弁法案は一切の例外を定めずに、ネットワーク運営者による個人情報の国外移転に関し政府部門への事前申告を義務付ける等、事業者に相当程度重い負担を課す内容となっている。この点に関しては、現実的にワークする仕組みとすべく、データの移転先、移転するデータの内容・量や受領企業のデータ保護体制等に応じて例外的な措置を設けるべきであると考えられ、パブリックコメントを受けた修正が望まれる。また、中国国外のグループ会社における情報管理とグループ外の第三者へ国外移転について取り扱いを分けることも検討すべきように思われる。一方で、本弁法案に規定された内容については今後の実務の指針として参考にすべき事項も多く含まれており、中国において個人情報を取得する企業としては、本弁法案を参考とした体制整備を進めるべきであろう。
以上