【速報】中国：データ越境移転安全評価弁法（パブコメ版）の公布（上）
長島・大野・常松法律事務所
弁護士 川 合 正 倫
中国では2021年11月1日より個人情報保護法が施行された。これにより、ネットワーク安全法（2017年施行）、データ安全法（2021年9月1日施行）を加えた中国における情報規制の基幹三法が施行されたことになる。
これらの法令における「越境移転」に関する下位規範であるデータ越境移転安全評価弁法のパブリックコメント版（以下、「本弁法」）が2021年10月29日に公表された。データの越境移転は、日本企業を含む外国企業の関心が高い事項であるため、本稿において同弁法の内容を紹介する。
1. 本弁法の位置づけ
本弁法は、ネットワーク安全法、データ安全法、個人情報保護法等に基づいて制定される旨が規定されており（1条）、データの越境移転について情報規制の基幹三法に従い統一的に規定したものと評価できる。
2. 本弁法の適用対象
本弁法に従う安全評価の対象は、データ処理者による、中国域内の運営において収集及び発生した重要なデータ並びに法律に従い安全評価を求められる個人情報の域外提供とされ（2条）、2021年に施行されたデータ安全法及び個人情報保護法の規定内容に概ね沿う内容といえる。
3. 当局による安全評価が必要となる状況
安全評価は、当局（国家ネットワーク情報通信部門。但し、企業所在地の省級のネットワーク情報通信部門を通じて申告を行う。）による評価が求められる場合と自己評価によることが許容される場合があるが、このうち当局評価が強制される要件が明確化された（4条）。以下のうち ⑴ ⑶ はデータ処理者の属性を基準とし、⑵ ⑷ は対象となるデータの内容を基準としている。個人情報保護法において「国家ネットワーク情報通信部門の規定する数量」とされていたところ、取り扱う個人情報が100万人を超える取扱者であるか、又は、移転する個人情報が累計で10万人（センシティブ個人情報の場合は1万人）を超えるかが基準とされた。
当局へのデータ越境安全評価の申告が求められる場合
- ⑴ 重要情報インフラ運営者が収集又は生成する個人情報や重要なデータを移転する場合
- ⑵ 越境データに重要データが含まれている場合
- ⑶ 100万人を超える個人情報を取り扱う取扱者が域外に個人情報を提供する場合
- ⑷ 累計10万人以上の個人情報又は1万人以上のセンシティブ個人情報を域外に提供する場合
- ⑸ 国家ネットワーク情報通信部門が規定するその他データの越境安全評価を申告する必要がある場合
4. 当局による安全評価
当局によるデータの越境安全評価においては、申告書、データ越境リスク自己評価レポート、データ処理者と域外受領者との間で締結する契約等を提出する（6条）。当局審査が必要な場合も自己評価が行われていることが前提とされている。国家ネットワーク情報通信部門は、申告資料の受領日から7営業日以内に受理の有無を決定し、書面で回答する（7条）。申告が受理された場合、国家ネットワーク情報通信部門は、業界主管部門、国務院関係部門、省級のネットワーク情報通信部門、専門機構等を組織して安全評価を行うことになる（10条）。
データの越境安全評価は、国家安全、公共利益、個人又は組織の権益へのリスクを重点的評価事項として、以下の内容を含むものとされ、移転元の事情のみならず移転先所在国の法環境や移転先のデータ保護レベルについても審査の対象とされている。
当局によるデータの越境安全評価の審査事項
- ⑴ データ越境の目的、範囲、方法等の適法性、正当性、必要性
- ⑵ 域外受領者の所在国又は地域のデータ安全保護政策法令及びネットワーク安全環境が越境データ安全に与える影響、域外受領者のデータ保護レベルが中国の法律・行政法規の規定及び強制国家基準の要求に達しているか
- ⑶ 越境データの数量・範囲・種類・センシティビティ、越境の過程又は越境後における漏洩・改ざん・紛失・破壊・移転又は不法取得・不法利用等のリスク
- ⑷ データの安全性と個人情報権益が十分有効に保障されているか
- ⑸ データ処理者が域外受領者と締結した契約において、データ安全保護責任義務が十分に規定されているか
- ⑹ 中国の法律、行政法規、部門規則の遵守状況
- ⑺ 国家ネットワーク情報通信部門が、評価が必要と認めるその他の事項
国家ネットワーク通信部門は、受理通知書の発行日から45営業日内にデータ越境安全評価を完了させるが、状況が複雑又は補充資料を必要とする場合には当該期間を原則60営業日を超えない期間まで延長することができる。評価結果は、データ処理者に書面で通知される（11条）。なお、データ越境評価結果の有効期間は2年とされ、有効期間内に審査重点事項に変更があった場合等には、データ処理者は再申告しなければならず、再申告がない場合にはデータの越境活動を停止することが求められている（12条）。
（下）につづく
この他のアジア法務情報はこちらから
（かわい・まさのり）
長島・大野・常松法律事務所上海オフィス一般代表。2011年中国上海に赴任し、2012年から2014年9月まで中倫律師事務所上海オフィスに勤務。上海赴任前は、主にM&A、株主総会等のコーポレート業務に従事。上海においては、分野を問わず日系企業に関連する法律業務を広く取り扱っている。クライアントが真に求めているアドバイスを提供することが信条。
長島・大野・常松法律事務所 http://www.noandt.com/
長島・大野・常松法律事務所は、約500名の弁護士が所属する日本有数の総合法律事務所です。企業法務におけるあらゆる分野のリーガルサービスをワンストップで提供し、国内案件及び国際案件の双方に豊富な経験と実績を有しています。
当事務所は、東京、ニューヨーク、シンガポール、バンコク、ホーチミン、ハノイ及び上海にオフィスを構えるほか、ジャカルタに現地デスクを設け、北京にも弁護士を派遣しています。また、東京オフィス内には、日本企業によるアジア地域への進出や業務展開を支援する「アジアプラクティスグループ（APG）」及び「中国プラクティスグループ（CPG）」が組織されています。当事務所は、国内外の拠点で執務する弁護士が緊密な連携を図り、更に現地の有力な法律事務所との提携及び協力関係も活かして、特定の国・地域に限定されない総合的なリーガルサービスを提供しています。
詳しくは、こちらをご覧ください。