データローカライゼーション規制とデジタル経済の分断 －強化される越境データの流通制限－

金融イノベーション●●●

データローカライゼーション規制とデジタル経済の分断－強化される越境データの流通制限－
板津 直孝▮ 要 約 ▮
1.

グローバリゼーションと歩調を合わせたデジタル経済の進展は目覚ましく、国境を越えて移動するデータ量が増大し、グローバルなデータ処理が急速に進んでいる。データの活用は生産性向上や新たな企業価値の創造に繋がり、経済成長の原動力になることが期待されている。

2.

データの重要性が強く認識されることで、越境データの流通を制限する「データローカライゼーション規制」を導入する国や地域も現れ始めた。同規制の要請事項は各国・地域で様々であるが、サーバーの国内設置とデータ自体の国内保存を求め、国内保存データの複製であっても、データの越境移転に一定の制限を求めることが多い。データの自国内への囲い込みは、国境を越えるデータの流れに根本的な影響を与え、デジタル経済の分断を引き起こすことが懸念されている。

3.

データローカライゼーション規制に対して、国際的に関心を集める切っ掛けとなったのが、中国が 2017 年 6 月に施行した「サイバーセキュリティ法」である。中国のデータローカライゼーション規制は、近年、ますます強化される傾向にあり、2021 年 6 月には「データセキュリティ法」が、2021 年 8 月には「個人情報保護法」が成立し、データの国内保存と越境移転について一定の制限を定め、中国企業の海外上場への管理強化にまで及んでいる。

4.

日本は、データの安全性を確保しながら、原則として国内外においてデータを自由に流通させる「データ・フリー・フロー・ウィズ・トラスト（DFFT）」のコンセプトを世界に発信している。越境データの流通規制を講じるのではな
くデータガバナンスに焦点を当て、世界貿易機関（WTO）において DFFT の理念に基づいた議論を進めることが、国際的に自由なデータ流通の促進を目指す上で重要であると言える。

野村資本市場研究所 関連論文等
・板津直孝「サステナビリティ課題としての個人データ保護」『野村サステナビリティクォータリー』2020年夏号。
・板津直孝「データ利活用の推進で生産性向上を図る IoT 税制」『野村資本市場クォータリー』2018 年秋号（ウェブサイト版）。

141野村資本市場クォータリー 2021 Autumn

Ⅰ デジタル経済の進展とデータの重要性
グローバリゼーションと歩調を合わせたデジタル経済の進展は目覚ましく、国境を越えて移動するデータ量が急速に増大している。個人や企業間でグローバルに流通するデータは、巨大で複雑なビッグデータを形成するまでになった。データの共有や収集の規模が劇的に拡大することで、グローバルなデータ処理が急速に進んでいる。
情報通信技術（ICT）によるデータの活用は、生活やビジネスをあらゆる面でより良い方向に変容させる、デジタルトランスフォーメーション（DX）を実現させる手段のひとつとして注目されている。電子的に処理可能なビッグデータや人工知能（AI）による分析の根幹となるのがデータであり、データの活用は生産性向上や新たな企業価値の創造に繋がり、経済成長の原動力になることが期待されている。
これまで見過ごされてきたデータの重要性が強く認識されることで、越境データの流通を制限する「データローカライゼーション（Data Localization）規制」を導入する国や地域も現れ始めた。同規制の要請事項は各国・地域で様々であるが、ICT サービスの提供に用いられるサーバーの国内設置とデータ自体の国内保存を求め、国内保存データの複製であっても、データの越境移転に一定の制限を求めることが多い。データの自国内への囲い込みは、国境を越えるデータの流れに根本的な影響を与え、グローバルな情報流通を滞らせることから、デジタル経済の分断を引き起こすことが懸念されている。
中国政府は、2021 年 7 月 6 日、中国企業が保有するデータの越境移転を監視するとともに、中国の証券法を域外適用するための制度を整備し、中国企業の海外上場の規制を強化すると公表した。調査会社 TS ロンバードは、「データの主権を巡る争いは始まっており、中国は既に体制を整えている。世界各国の政府が、データの重要性と、民間企業等に対するデータの生成と流通を管理する規制の必要性を認識しているのは明白だ」と述べた1。
本稿では、国際的な越境データの流通の現状を整理し、デジタル経済を分断する懸念のあるデータローカライゼーション規制の動向を概説する。

Ⅱ 日本と世界の越境データの流通の現状
１．日本におけるデータの活用と越境移転の現状
有形資産の流通と比較して可動性の高いデータは、容易に国境を越えて移転することが可能であり、各国間のデータの自由な流通は近年大幅に増加している。
経済産業省は、企業のデータの越境移転や活用に関する現状と課題についてアンケート調査を実施し、2021 年 5 月 31 日、「国際的なデータの移転・活用に関する企業アンケート結果」を公表した。同アンケートは、主に日本企業の海外でのデータ取得・活用、それ

1“China Steps up Supervision of Overseas-Listed Firms after Didi IPO Drama”, Reuters, 6 July 2021.

142データローカライゼーション規制とデジタル経済の分断 －強化される越境データの流通制限－

図表 1

海外データの活用と越境移転の状況（出所）経済産業省「国際的なデータの移転・活用に関する企業アンケート結果」
2021 年 5 月 31 日より野村資本市場研究所作成に伴うデータの越境移転の現状と規制への対応状況に関して、幅広い業種の上場企業 50社からの回答を集計したものである。
ビジネスの競争力向上のための国内外でのデータ活用の状況としては、68％の企業が、海外の市場や生産拠点等においてデータを取得し活用している。海外で取得したデータの活用事例としては、生産工程・サプライチェーンの効率化、製品・サービスの開発・品質改善、マーケティング、故障予知や不具合の分析がある。
海外でのデータ活用を実施している 58％の企業は、海外で取得したデータの活用に伴いデータの越境移転を行っている。越境移転データは、機器・設備の稼働状況等の非個人データに該当すると思われるものが多い。なお、32％の企業は、国内のみでデータを活用している若しくはデータ活用の取組みを実施していない（図表 1）。
企業が海外において取得したデータを活用し、かつそれに伴いデータの越境移転を行っている主な理由は、データ分析とデータ管理にある。データ分析のための越境移転は、データ分析の効果を高めるために、より多くのデータを集約することが望ましいことによる。データ管理のための越境移転は、データ集約による管理コストの削減やクラウドサービスの利用等に当たっての、物理的なサーバーの設置場所の制約を理由としている。デー
タの越境移転を行っていない企業は、事業の特性上、海外事業が各エリアで独立していることが多い。

２．電子商取引（EC）市場の拡大と消費者データの流通
消費者データについては、電子商取引（EC）の市場規模の拡大により、国外からのアセクスによる越境移転が日常的に行われている。デジタル経済の進展により、現在では各国の消費者が自宅に居ながらにして、世界中から商品を購入したりサービスを受けたりすることができるようになった。商品やサービスを提供する非居住者又は外国法人にとって、インターネットを利用した取引においては、物理的な営業拠点がなくても他国の消費者と143

野村資本市場クォータリー 2021 Autumn

取引をし、他国での重要な経済活動に従事することが可能になる。消費者データは、容易に国境を越えて共有や収集されるようになっている。
経済産業省が 2021 年 7 月に公表した「電子商取引に関する市場調査」によると、2020年の世界の消費者向け電子商取引（B2C-EC）の市場規模は、推計 4.28 兆 US ドルに拡大している。全ての商取引市場規模に対する EC 市場規模の割合である EC 化率は 18.0％と増加傾向にあり、商取引の電子化が引き続き進展している。今後も B2C-EC の市場規模の拡大と EC 化率の上昇が予想されており、2024 年には B2C-EC の市場規模は 6.39 兆 US ドル、EC 化率は 21.8％にまで上昇すると予測されている（図表 2）。データローカライゼー
ション規制の影響を受けるのは、B2C-EC のうち主に越境 B2C-EC が該当する。2019 年の世界の越境 B2C-EC 市場規模は 7,800 億 US ドルと推計され、2026 年には 4 兆 8,200 億 USドルにまで拡大すると予測されている。年平均成長率は、約 30％になる。
B2C-EC 市場では、国内 B2C-EC よりも越境 B2C-EC の拡大が今後見込まれている。企業は、物理的な営業拠点がなくても越境 B2C-EC を利用して、他国の消費者との取引を積極的に拡大している。
同市場調査では、日本・米国・中国の 3 ヵ国間における企業と消費者のそれぞれの具体的な越境 B2C-EC 取引高を公表している。2020 年では、日本の消費者による米国と中国の企業からの越境 B2C-EC 購入額は、3,416 億円（前年比 7.6％増）で増加傾向にあるが、国際的には未だ低水準である。一方で、日本企業による米国及び中国の消費者への越境

図表 2

世界の B2C-EC 市場規模と EC 化率（兆USD）

8.00

25.0%

7.00

19.5%

20.0%
6.39
5.91
5.42

13.6%

15.0%

4.89

4.00
3.00

21.1%

18.0%

6.00
5.00

20.4%

21.8%

4.28
10.0%

3.35

2.00

5.0%

1.00
0.0%

0.00
2019年

2020年

2021年
EC市場規模

（注）

2022年

2023年

2024年

EC化率

旅行、イベントのチケット、料金支払い関連、税金、送金、フードサービス、ギャンブル等を含まない。
（出所）経済産業省「令和 2 年度産業経済研究委託事業（電子商取引に関する市場調査）」2021 年 7 月より
野村資本市場研究所作成

144

データローカライゼーション規制とデジタル経済の分断 －強化される越境データの流通制限－

図表 3

日本・米国・中国 3 ヵ国間の越境 B2C-EC 市場規模（2020 年）
日本
越境B2C-EC購入額3,416億円（前年比7.6%増）

1 兆 9,499 億円（前年比 17.8%増）

340 億円（前年比 8.9%増）

中国

3,076 億円
（前年比 7.4%増）

2 兆 3,119 億円（前年比 15.1%増）

越境B2C-EC購入額4兆2,617億円（前年比16.3%増）

9,727 億円
（前年比 7.7%増）

米国
越境B2C-EC購入額1兆7,108億円

7,382 億円
（前年比 12.9%増）（前年比9.9%増）（注）

は企業による他国の消費者への越境 B2C-EC 額、は消費者による他国の企業からの越境 B2C-EC 購入額。
（出所）経済産業省「令和 2 年度産業経済研究委託事業（電子商取引に関する市場調査）」
2021 年 7 月より野村資本市場研究所作成

B2C-EC 額は、それぞれ 9,727 億円（前年比 7.7％増）、1 兆 9,499 億円（前年比 17.8％増）であり、越境取引が活発であることから、日本企業による消費者データの収集の規模は比較的大きいと言える（図表 3）。
中国の消費者による日本及び米国事業者からの越境 B2C-EC 購入額は、2020 年で 4 兆2,617 億円（前年比 16.3％増）に上り、市場規模が大きい。内訳は、中国の消費者による日本の事業者からの越境 B2C-EC 購入額が 1 兆 9,499 億円（前年比 17.8％増）、米国の事業者からの越境 B2C-EC 購入額が 2 兆 3,119 億円（前年比 15.1％増）となっている。

Ⅲ データローカライゼーション規制の国際的な動向
１．個人データと非個人データの越境流通規制
広義のデータローカライゼーション規制には、データの越境移転そのものを制限する個人データ保護規制がある。個人データ保護規制の目的は、データの自国内への囲い込みではなく、個人データ侵害への対応にあり、個人データ保護に対する法制度が十分に整っていない国へ個人データが移転されることで、個人データの侵害が発生する事態を防止するために、個人データの国外移転を規制するものである。多くの国では、基本的人権に位置づけられているプライバシー権の保護を目的として、個人データ保護法の施行又は強化が進められており、個人データの越境移転に一定の要件を定めている。
企業と消費者の双方にとって、デジタル経済の利益を実現する上で重要な要素は、デジタル空間で活動する個人データの取扱事業者に対する信頼度であると広く認識されている。
しかし、B2C-EC 市場規模の拡大等に伴い個人データの収集が増加するにつれて、個人の145野村資本市場クォータリー 2021 Autumn

プライバシーに対するリスクが増大し、消費者は、本人の個人データが適切に取り扱われていることの保証をますます求めるようになった。
企業の情報管理や各国の法令に大きな影響を及ぼしている個人データ保護規制のひとつとして、「一般データ保護規則（GDPR：General Data Protection Regulation）」がある。
GDPR は、欧州連合（EU）で 2018 年 5 月 25 日に施行された。
GDPR では、欧州経済領域（EEA）域外に拠点を置く企業等が、EEA 域内で商品やサービスを提供したり個人の行動を監視したりする場合には、EEA 域内の企業等と同様の個人データ保護が適用される。つまり、EEA 域内に拠点を置かなくても、日本から EEA 域内の顧客に対して商品やサービスを提供する場合や、EEA 域内の個人の行動を分析する場合も、GDPR の規定が適用されるということである。EU の個人データ保護法は制定当
初から、国際的な個人データ移転を可能にするいくつかのメカニズムを提供してきた。これらの主な目的は、EEA 域内の個人データが域外に移転されるときに、個人データがGDPR と同等の水準の保護措置と共に域外移転することを保障することにある。
GDPR の下で国際的なデータ移転を可能にするには、原則として、「十分性認定（Adequacy Decision）」が求められる。十分性認定とは、欧州委員会が、特定の国や地域が個人データについて十分な保護水準を確保していると決定することをいう。十分性認定を受けることで、EEA 域内での個人データの国外移転に際して、個別の明確な本人同意や手続きは必要なくなる。日本と EU は 2019 年 1 月 23 日、個人の権利利益を保護する上で、自国と同等の水準にあると認められる個人データ保護に関する制度を有している外国等として、相互に認定した。日本においては、個人情報保護法第 24 条に基づき EEA 協定に規定された国を指定し、欧州委員会においても、GDPR 第 45 条に基づく日本の十分性認定を決定した。
欧州委員会が EEA と同等の水準にあると認められる個人データ保護制度を世界に求めていることからも、個人データ保護法の整備を進めるうえで GDPR を参考にする国々は多い。GDPR は、グローバルなデータフローに対する開放性と、個人に対する高度な保護を兼ね備えており、GDPR を発効した欧州委員会は、データフローと個人データ保護の両方を必要とするデータサービスを提供する多国籍企業に対して、グローバルな基準設定機関としての役割を果たしているとも言える。
個人データの保護に焦点を当てた個人データ保護規制とは異なり、データローカライ
ゼーション規制の中には、国境を越えたデータフローに直接かつ重大な影響を与える可能性があるものも含まれる。
データローカライゼーション規制の目的は、一般的に、自国への経済的価値の集中、国内産業の保護、安全保障の確保、犯罪捜査対策等の観点から、膨大なデータを独占することなどにある。個人データ保護規制では、原則として十分性認定や明確な本人同意等があれば個人データの越境移転が可能であるが、データローカライゼーション規制の多くは、個人データに限られず非個人データにも及ぶことから膨大なデータが規制対象となり、データの越境移転に当たっては、当該国の政府の許可等が必要になる。

146

データローカライゼーション規制とデジタル経済の分断 －強化される越境データの流通制限－

図表 4

データローカライゼーション規制の対応（単位：件）

国際的な制度の統一化
ローカライゼーション要求の撤廃
関連制度の規定の明確化
クラウド利用時のルール整備
本人同意を不要とする国・地域の指定拡大
各国制度に関する政府からの情報提供
0246810121416（出所）経済産業省「国際的なデータの移転・活用に関する企業アンケート結果」2021 年 5 月 31 日より
野村資本市場研究所作成

前述した経済産業省の企業アンケート結果では、国際展開する企業の制約要因になるデータローカライゼーション規制を踏まえ、データの越境移転に関して望まれる国の対応を集計している（図表 4）。
各国において異なる制度やデータのローカライゼーション要求への対応は、企業活動上のコストとなることから、データの保護及び移転に関する国際的な制度の統一化（16 社）や、ローカライゼーション要求の撤廃（9 社）を求める意見が多数を占めている。
クラウドの利用が拡大する中で、クラウドを利用する際に適用される越境移転ルールの整理・明確化を求める意見も多い（6 社）。データローカライゼーション規制により，国内へのデータ保存義務が課されデータの越境移転が禁止されると、クラウドを通じたデータ処理サービスやデータベースサービスの提供は大きな影響を受ける。
特に問題となるのは、サービス提供者が国外に所在する場合であっても、データローカライゼーション規制が、国内データを処理する限り域外適用されるケースである。データの越境移転には、オンラインサービスを展開する企業がデータを国外のクラウドに保存する場合もあれば、グローバル企業が現地法人のクラウド上のデータを日本にある親会社と共有する場合などもあることから、クラウドを通じたデータ処理への影響は大きい。

２．データローカライゼーション規制の形態と経済への影響
データローカライゼーション規制の形態は様々であるが、経済協力開発機構（OECD）
では、データの保存と処理及びデータフローの規制内容によって、規制レベルを 3 つに分類している（図表 5）。
A の形態は、規制対象となるデータを国内のコンピュータ施設に保存することを要請する。この種の規制には、データの複製を国外に保存又は処理するという点では制限がない。
データローカライゼーション規制を実施する国又は地域が、規制当局の管轄領域に関連する他国との問題に抵触しないように配慮する場合、A の形態が採られることが多い。

147野村資本市場クォータリー 2021 Autumn

図表 5

データローカライゼーション措置の主な形態

国内保存

国内保存
処理の例外

AB

弱

国内保存
国内処理
越境移転規制C

データローカライゼーション規制の要請レベル

強（出所） OECD, “Trade and cross-border data flows”, 21 December 2018 より
野村資本市場研究所作成

B の形態では、データフローの制限はないが国外でのデータの保存が許可されない。
データの処理を国外で行うことはできるが、データの処理後にデータを国内に戻して保存する必要がある。
C の形態は、データローカライゼーション規制の要請レベルが最も高い。同形態では、データを国内に保存することを要請するとともに、データフローに制限があり、データの国外での処理及び保存に対して一定の制限がある。
企業は、データを利用して価値を生み出している。多くの企業は、データが国境を越えて自由に流通することで、その価値を最大化することができる。デジタル化されたサービスを提供している企業は、生産コストが高い場合でも、流通コストが極めて低いという傾向があり、物理的な生産と配送の制約が残る伝統的な貿易に従事している企業に比べて、増大する需要に容易に対応することができる。また、現地拠点で提供していた多くのサービスが、国境を越えて提供できるようになり、異なる国に子会社を設立しなくても済むようになる。
データローカライゼーション規制は、データ集約型サービスがもたらす経済的な生産性と革新性に大きな影響を及ぼす。データローカライゼーション規制の要請レベルに従って、現地雇用とインフラ投資のコスト、グローバルなデータ統合計画の中断による効率性喪失に伴うコスト、要請内容の不透明性に伴う規制対応コスト等、企業活動上のコストと非効率性が様々な形で発生するからである。
データローカライゼーション規制は、経済に深刻なマイナスの影響を及ぼすという試算もある。欧州国際政治経済研究所（ECIPE）は、2014 年時点において、各国で導入が検討又は実施されているデータローカライゼーション規制を前提にして、同規制が各国の国内総生産（GDP）に及ぼす影響を公表した2。
GDP に及ぼす影響は、データの制約によって引き起こされる 3 つの経済的ショックの視点から試算されている。

2

ECIPE, “The Cost Of Data Localisation : Friendly Fire On Economic Recovery”, May 2014.

148データローカライゼーション規制とデジタル経済の分断 －強化される越境データの流通制限－

第一の経済的ショックでは、国内の価格上昇又は全要素生産性（TFP）3 損失を計算している。データ処理サービスの管理負担が経済の各セクターの価格と TFP に及ぼす一般的な影響を推定することにより、国内のデータサービスを調達するために国内企業が追加で支払う必要がある金額を試算している。
第二の経済的ショックでは、データセンターの設置や運用コストの各国間のコスト差を計算している。コスト差は、データローカライゼーション規制の結果として、企業がデータサービスを使用するために支払う必要のある追加コストを意味する。
第三の経済的ショックでは、データローカライゼーション規制により、市場への参入が制限されることによる国内外からの投資の減少による影響を試算している。
ECIPE による試算の結果は、経済活動への影響がかなり大きいことを示している。2014
年時点において、各国で導入が検討又は実施されているデータローカライゼーション規制に基づき試算した、主要国の GDP に及ぼす影響は、以下の通りである（図表 6）。
データローカライゼーション規制が適用される現地企業では、データサービスを使用するために負担するコストが、同規制の結果として、30％～60％上昇するとの分析もある4。
企業は、グローバルに収集したデータを収集した国によらず、局地的に集中して保存や処理を行うことで、規模の経済効果を享受することができる。ローカルクラウドやローカルデータセンターの使用を企業に要請するデータローカライゼーション規制は、規模の経済性を損なう。
図表 6

データローカライゼーション規制が及ぼす GDP への影響

-0.2%
-0.6%
-1.0%
-1.4%
-1.8%
ベトナム

中国

インドネシアブラジル

インド（出所）ECIPE, “The Cost Of Data Localisation : Friendly Fire On Economic Recovery”, May 2014 より
野村資本市場研究所作成

34

資本や労働といった量的な生産要素の増加以外の質的な経済成長を生み出す要因。技術進歩や生産の効率化などが該当する。
Leviathan Security Group, “Quantifying the Cost of Forced Localization”, 24 June 2015.

149

野村資本市場クォータリー 2021 Autumn

３．強化されるデータローカライゼーション規制の動向
１）ベトナムの政令とサイバーセキュリティ法
ECIPE の試算時点において、ベトナムで実施されているデータローカライゼーショ
ン規制としては、2013 年 9 月に施行された「インターネットサービス及びネット上の情報の管理・提供・使用に関する政令（72/2013/ND-CP）」がある5。同政令第 24 条
「情報集約サイトを構築する組織及び企業の権利と義務」の第 2 項では、情報集約サイトを構築する団体及び企業には、ベトナムに少なくとも 1 つのサーバーシステムを設置し、管轄の管理機関の要請に応じて、情報の検査、保管、提供に対応する義務があると規定している。第 24 条第 2 項と同様の義務が、第 25 条「ソーシャルネットワークを構築する組織及び企業の権利と義務」の第 8 項、第 28 条「移動通信ネットワークにおける情報コンテンツサービスの提供者の権利及び義務」の第 2 項、第 34条「オンラインゲームサービスプロバイダの権利及び義務」の第 2 項においてそれぞれ規定されており、当局が必要に応じてデータにアクセスできるように、データをベトナム国内のサーバーに保存することを義務付けている。
その後ベトナムでは、2019 年 1 月、「サイバーセキュリティ法（24/2018/QH14）」を施行し、データローカライゼーション規制をさらに強化した6。同法第 26 条第 3 項
では、ベトナムの通信網やインターネット等のサイバースペースで、ベトナムに所在するサービスユーザーが生成したデータを、収集・活用・分析・処理する活動を行っている国内外のサービス提供者（サイバースペース・サービス・プロバイダ）は、ベトナム政府が定める一定期間、データをベトナム国内に保存しなければならず、また、当該外国企業は、ベトナムに支店又は代表事務所を設置しなければならないと規定している。
ベトナムでの大量データのローカライズ、ベトナム国内での物理的なオフィスの設置、ハードウェアとソフトウェアの事前監査の実施等を要請するサイバーセキュリ
ティ法は、ベトナムの目覚ましい経済成長を危険にさらすとして、米国商工会議所は18 ヵ月にわたり、ベトナムの指導者達にメッセージを発信し続けた。同会議所が実施した調査結果によると、調査した企業の 61％が、サイバーセキュリティ法の施行によってベトナムへの投資を控えると回答し、調査した企業の 89％が、同法はベトナムのデジタル経済の競争力を低下させると回答した7。ベトナムのサイバーセキュリティ法は、同国の経済成長にマイナスの影響を及ぼすことが懸念されている。

567

Ministry of Information and Communications, “Decree No. 72/2013/ND-CP of July 15, 2013, on the management,provision and use of Internet services and online information”, 15 July 2013.
National Assembly, “Law on Cybersecurity”, 12 June 2018.
U.S. Chamber of Commerce, “Vietnam’s Law on Cybersecurity: Bad on Cybersecurity, Bad for Vietnam”, 25 October 2018.

150データローカライゼーション規制とデジタル経済の分断 －強化される越境データの流通制限－

２）データセキュリティ管理体制を強化する中国の動向
データローカライゼーション規制に対して、国際的に関心を集める切っ掛けとなったのが、中国が 2017 年 6 月に施行した「サイバーセキュリティ法（网络安全法）」8である。同法は、ベトナムのサイバーセキュリティ法のモデルともなった。
同法第 37 条では、データローカライゼーション規制を定めている。重要情報イン
フラストクチャーの運営者が、中国国内での運営において収集及び生成した個人情報及び重要データは、国内で保存しなければならない。業務の必要性により、国外へ移転する必要のある場合には、国のネットワーク安全情報化機関が国務院の関係機関と共同して制定する行政上の規則である弁法に従い、安全評価を行わなければならないとしている。
サイバーセキュリティ法に続き、今後の中国におけるデータセキュリティ管理体制の柱になると思われる法律が相次いで成立した。中国の全国人民代表大会常務委員会
は、2021 年 6 月 10 日、「データセキュリティ法（数据安全法）」9を可決成立させ、2021 年 9 月 1 日から施行する。2021 年 8 月 29 日には「個人情報保護法（个人信息保护法）」10が成立し、2021 年 11 月 1 日から施行される。
（１）データセキュリティ法
データセキュリティ法は、第 4 条において、データセキュリティを確保するためには、国家全体の安全保障を堅持するとともに、データセキュリティ管理体制を確立し、データの安全保障能力を強化すべきであると定めている。同法は、中国の安全保障を堅持するための法令のひとつであるとともに、国家データセキュリティ戦略（第 5 条）及びデータ基盤の構築を強化するためのビッグデータ戦略（第 14 条）の実施における関連法でもある。同法は、中国国外で行われるデータ処理に対しても責任を負わせる域外適用を定めていることから、外国企業への影響は大きい。
データセキュリティ法におけるデータローカライゼーション規制については、重要データの越境移転規制（第 31 条）、規制項目に該当するデータの輸出規制（第 25条）、司法手続きにおけるデータの越境移転規制（第 36 条）がそれぞれ定められている。第 31 条では、サイバーセキュリティ法で規定する重要情報インフラストラクチャーの運営者以外のデータ処理者に対しても、規制対象を拡大することを明記している。第 36 条では、中国国内の組織及び個人は、中国の所轄機関の認可なしに、国内に保存されているデータを外国の司法機関又は法執行機関に提供してはならないとしている。

中国日本商会「中華人民共和国サイバーセキュリティ法」2017 年。
Covington, “Data Security Law of the People’s Republic of China”, 11 June 2021.
10 New America, “China's Draft 'Personal Information Protection Law'”, 21 October 2020.
89151

野村資本市場クォータリー 2021 Autumn（２）個人情報保護法
個人情報保護法は、中国としては初めての統一的な個人情報保護を定めた法律となる。同法は、消費者のプライバシーを重視するとともに、個人情報のデータローカラ
イゼーション規制を強化している。サイバーセキュリティ法第 37 条で定める重要情報インフラストクチャーの運営者の他に、一定の個人情報取扱者も、データローカライゼーション規制の対象となる。また、個人情報保護法の法的責任では、サイバーセキュリティ法やデータセキュリティ法と比較して高額な罰金を定めており、同法に重大な違反をした場合は、5,000 万元以下又は前年度売上高の 5％以下の罰金を科すとしている。
域外適用については、国内の自然人に製品又はサービスを提供することを目的とする場合、国内の自然人の行動の分析又は評価を行う場合、法律、行政法規に規定されたその他の場合のいずれにも、中国国外において国内の自然人の個人情報を処理する活動について、同法が適用されることを明記している。したがって、日本企業が越境
B2C-EC で、直接中国国内の消費者に商品やサービスを提供する場合、同法の適用対象となる。

Ⅳ 強化される越境データの流通規制と今後の課題
中国のデータローカライゼーション規制は、近年、ますます強化される傾向にある。サイバーセキュリティ法が施行されて以降、関連する国家インターネット情報弁公室（CAC）が制定する実施規定や、国家標準化管理委員会（SAC）が制定する国家標準等が続々と公布されている。しかし、それらの多くが長期に亘ってパブリックコメントの段階の意見募集稿であり、サイバーセキュリティ法、データセキュリティ法、個人情報保護法の具体的な運用については、現状では明確性を欠いている部分が多い。
例えば、サイバーセキュリティ法第 37 条では、個人情報及び重要データを国外へ移転する必要のある場合の安全評価を行う義務がある主体を、重要情報インフラストラクチャーの運営者に限定している。一方で、CAC が 2017 年 4 月に公表した「個人情報及び重要データ域外持出安全評価弁法（个人信息和重要数据出境安全评估办法）」（意見募集稿）では、安全評価義務を履行しなければならない主体を、すべてのネットワーク運営者に拡大している。データセキュリティ法第 31 条でも、サイバーセキュリティ法で規定する重要情報インフラストラクチャーの運営者に該当しなくても、後に成立する他の重要データの越境移転規制がその他のデータ処理者に対して適用されることを明記していることから、今後、適用対象がデータ処理者全般に拡大されることが推察される。
中国がデータローカライゼーション規制を強化する背景には、国家安全保障の強化がある。CAC が 2021 年 7 月 10 日に公表した「サイバーセキュリティ審査弁法（网络安全审查办法）」（改正草案意見募集稿）11第 10 条では、国家安全保障上のリスクを評価すること
11

森・濱田・松本法律事務所「中国最新法令<速報>」2021 年 8 月 6 日。

152

データローカライゼーション規制とデジタル経済の分断 －強化される越境データの流通制限－に焦点を当てていると明記している。改正草案では、具体的なリスク要因として、「核心データ、重要データ又は大量の個人情報が窃取、漏洩、毀損若しくは不法に利用され、又は国外に持ち出されるリスク」と「国外上場後に、重要情報インフラ、核心データ、重要データ又は大量の個人情報が外国政府による影響を受け、制御され、悪用されるリスク」を特定している。このように中国におけるデータローカライゼーション規制は、データセキュリティ法の公布以降さらに強化されており、中国企業の海外上場への管理強化にまで及んでいる。中国国内のデータを取扱う企業には、特に、国内でのデータ処理のみならず、域外適用があることから、国外でのデータ処理においても、今後中国で公布される意見募集稿を含めた、規制動向を踏まえた対応がより一層求められる。
強化されるデータローカライゼーション規制に対して、国際枠組による抑止の動きも始まっている。
日本は、2019 年 1 月のダボス会議以降、「データ・フリー・フロー・ウィズ・トラスト（DFFT）」のコンセプトを世界に発信している。すなわち、デジタル時代の競争力の源泉であり「21 世紀の石油」と呼ばれているデータは、プライバシーやセキュリティ、知的財産などのデータの安全性を確保しながら、原則として国内外において自由に流通することが必要であると、国際社会に向けて提唱している。DFFT 構想を打ち出して以降、日本が主導する二国間・複数国間の貿易協定の電子商取引章には、データローカライゼーション規制を抑止する規定が含まれ始めている。
2018 年 12 月に発効した環太平洋パートナーシップ協定（TPP11）12では、第 14 章「電子商取引」において、データローカライゼーション規制の抑止を定めており、国際的な越境データの流通確保の基盤となることが期待されている。具体的には、第 11 条「情報の電子的手段による国境を越える移転」において、各締約国は、情報の電子的手段による国境を越える移転を許可するとし、第 13 条「コンピュータ関連設備の設置」では、いずれの締約国も、自国の領域において事業を遂行するための条件として、対象者に対し、当該領域においてコンピュータ関連設備を利用し又は設置することを要求してはならないと定めている。
2020 年 1 月に発効した日米デジタル貿易協定及び 2021 年 1 月発効の日英包括的経済連携協定（日英 EPA）にも、同様にデータローカライゼーション規制を抑止する規定が含まれた。早ければ 2021 年内に発効が予定されている東アジア地域包括的経済連携（RCEP）13
でも、データローカライゼーションの原則禁止を定め、TPP11 の電子商取引章を踏襲した規定がある。ただし、両協定の内容は完全に同一ではなく、RCEP では安全保障上の場合を例外とし、締約国に広い裁量が認められている14。
企業がグローバルに収集するデータには、大量の個人データ及び非個人データが含まれオーストラリア、ブルネイ、カナダ、チリ、日本、マレーシア、メキシコ、ニュージーランド、ペルー、シンガポール、ベトナムの 11 ヵ国による経済連携協定。
13 ASEAN10 ヵ国＋6 ヵ国（日本、中国、韓国、オーストラリア、ニュージーランド、インドの「FTA パートナー諸国」）が交渉に参加する広域経済連携。
14 外務省「地域的な包括的経済連携（RCEP）協定に関するファクト シート」2021 年 4 月。
12153

野村資本市場クォータリー 2021 Autumnている。企業がひとたびデータ侵害に遭遇した場合には、企業及び関係者に重大な影響を及ぼす可能性がある。越境データの流通規制を講じるのではなくデータガバナンスに焦点を当て、世界貿易機関（WTO）において DFFT の理念に基づいた議論を進めることが、国際的に自由なデータ流通の促進を目指す上で重要であると言える。

154