SH4076 中国：中国個人情報保護法施行後の処罰事例及び日本企業の留意点（1）　川合正倫 ／鹿はせる／莫燕（2022/07/25）

中国：個人情報保護法施行後の処罰事例及び日本企業の留意点（1）

長島・大野・常松法律事務所

弁護士　川　合　正　倫

弁護士　鹿　　　はせる

莫　　　　　燕

 

はじめに

　中国個人情報保護法が2021年11月1日に施行されてから約半年経過した。同法については、中国に多くの現地法人を抱える日本企業においても関心が高いことから、制定直後から多くの立法内容に関する紹介記事が発信されたが、運用の実態を整理分析したものは多くない。本稿では、施行以降に公開された行政処罰事例を整理し、日本企業が留意すべき点について検討する。

 

１　個人情報保護法施行以降の処罰事例

⑴　個人情報保護法に基づく行政処罰

　中国の法律情報データベースで確認したところ、2022年4月末時点で、個人情報法保護法に関する８件の行政処罰が公表されている。それらの概要は、以下の表のとおりである。

 

処罰日	処罰を受けた企業	処罰を行った当局	処罰理由の概要	根拠条文	処罰内容
2022年2月19日	深圳市数字資本管理有限公司	深圳市公安局宝安分局	被処罰者が提供したアプリケーション（以下、「APP」という。）について、ユーザーの同意を取得せずに個人情報を収集及び利用したこと、サイバーセキュリティリスクが存在すること等	サイバーセキュリティ法60条、64条 個人情報保護法66条	警告
2022年2月25日	深圳志辰网絡科技有限公司	深圳市公安局羅湖分局	被処罰者が提供したAPPについて、ユーザーが登録後にプライバシーポリシーを参照できないこと、プライバシーポリシー内に個人情報収集の目的、方法、範囲を記載しなかったこと等	サイバーセキュリティ法22条、41条、64条 個人情報保護法7条、17条、66条	警告及び是正命令
2022年2月26日	深圳市潤謙科技有限公司	深圳市公安局福田分局	被処罰者が提供したAPPについて、ユーザーの同意を取得せずに個人情報を収集・利用したこと、サイバーセキュリティリスクが存在すること	サイバーセキュリティ法22条、41条、64条 個人情報保護法7条、13条	警告
2022年3月2日	江蘇東風南方汽車販売サービス有限公司南京分公司	南京市公安局江寧分局	注意喚起の標識を設けずに、公共の場所に画像取得装置を設置したこと	個人情報保護法66条	警告
2022年3月10日	深圳市新蘭徳証券投資コンサルティング有限公司	深圳市公安局福田分局	被処罰者が提供したAPPについて、プライバシーポリシー内に個人情報収集の目的、方法、範囲を記載しなかったこと、ユーザーによるプライバシーポリシーへの閲覧・同意なしに個人情報を収集したこと、サイバーセキュリティリスクが存在すること等	サイバーセキュリティ法22条3項、41条～43条、64条1項 個人情報保護法7条	警告及び是正命令
2022年4月7日	深圳市辰瑞文化伝播有限公司	深圳市公安局福田分局	被処罰者が提供したAPPについて、ユーザーによるプライバシーポリシーへの閲覧・同意なしに個人情報を収集したこと等	サイバーセキュリティ法22条、41条、64条 個人情報保護法13条、66条	警告
2022年4月21日	丰氏（個人）	浙江省金華市公安局江南支局羅埠派出機構	被処罰者が違法に個人情報を取得し、第三者に提供したこと等	個人情報保護法66条	警告
2022年4月21日	深圳華秋電子有限公司	深圳市公安局福田分局	被処罰者が個人情報を違法に取得、販売及び第三者提供をしたこと	サイバーセキュリティ法60条、64条 個人情報保護法66条	警告及び是正命令

 

　また、上記の他に、2021年12月9日には、工業及び情報化部（以下「工信部」という。）情報通信管理局が「個人情報保護法」及び「サイバーセキュリティ法」等関連法令に従って、106のAPPについて、オンラインストアからの排除を命じたことが報道されている^[1]。個別のAPPの処罰理由としては、法令の範囲を超えた個人情報の収集、強制・頻繁かつ過度な権限の要求等があったことが公表されている。なお、報道によれば、これらのAPPはいずれも、同年11月の個人情報保護法施行直後に行われた工信部の検査により是正を命じられており、指定された期限までに是正を完了できなかったためにオンラインストアからの排除に発展したとのことである。

　以上より、少なくとも現在のところ、個人情報保護法に基づく処罰は、企業が法令に適合したプライバシーポリシーを制定していないこと、プライバシーポリシーを制定してもユーザーによる同意を取得していないこと、情報収集の範囲が過大であること、情報収集の方法及び頻度が過度であることに向けられたものが多く、とりわけAPPが対象とされることが多いという傾向が見られる^[2]。もっとも、現時点で公表されている処罰事例のほとんどはIT企業が多く所在する深圳でのものであり、全国的な傾向を反映していない可能性もある。

　また、インターネット上における個人情報保護法の違反が問題となる事案においては、全てサイバーセキュリティ法違反も適示されており、両法の処罰範囲及び適用が重複していることが明らかである。

　処罰の主体となる当局は、通信管理部門から公安部門に移行していると思われる（この監督・処罰の当局に関する問題については（2）で後述する。）。

　個人情報保護法の処罰規定は同法第66条第1項に定められており、違反があった場合、当局は違反事業者に対して是正、警告、違法所得の没収、違法な個人情報処理に係るAPPのサービス一時停止及び終了を命じることができ、是正が行われない場合は、個人情報処理者に対して100万元以下の過料、直接責任者となる個人に対する1万元以上10万元以下の過料を課すことができる^[3]。また同第2項は、違反の情状が深刻である場合は、当局は違反事業者に対して5千万元以下又は前年度の売上高の5%以下の過料を課すことができ、その他関連業務の一時停止及び中止、関連業務に係る許認可又は営業許可の取消しを命じることができると規定されている。

　公表された処罰事例をみると、処罰内容としては同第66条第1項の構造を反映して、まず警告及び是正命令が発せられ、改善が認められない場合に（オンラインストアからの排除など）サービスの提供停止処分に発展する傾向が見られる。

（2）につづく