NEWSLETTER -中国-

中国個人情報保護法の成立（別添：中華人民共和国個人情報保護法全文仮訳）
2021 年 9 月 6 日
桃尾・松尾・難波法律事務所
パートナー弁護士・北京大学法学博士 松尾剛行1（Email:mmn@mmn-law.gr.jp）
中国律師
胡悦（Email:hu.yue@mmn-law.gr.jp）.

これまで、中国において、「個人情報保護法典」

るが、草案からの変更点を含め、簡単にまとめたは「制定する」、「制定する」と繰り返し言われながい。なお、草案は 3 回の修正を繰り返していると

2

らも制定されない時期が長く続いていた ものの、ころ、中国政府は、第 1 稿4、第 2 稿5及び第 3 稿62021 年 8 月 20 日に、第十三期全国人民代表大会に関する簡単な説明を行なっている。以下では、常務委員会第 30 回会議の審議を経て、中国個人情

これらの説明を参考に、学者や実務家の意見等を報保護法が正式に可決成立し、公布された。同年

踏まえ、当職らの個人的見解も含めて中国個人情

11 月 1 日に施行される。昨年の当事務所のニュー

報保護法の内容を解説し、最後に日本企業にとっスレター3の中で、草案(第 1 稿)の内容に触れていての実務対応を提案したい（以下、条数だけ挙げ

1

第一東京弁護士会。NY 州弁護士。
このような、中国個人情報保護法制定前の状況については、松尾剛行「連載北京ロー・スク
ールリポート偏東風—第 34 回『金融機関における個人情報保護の実務』と中国における個人情報の保護」ザ・ローヤーズ 2016 年 7 月号 62 頁
以下、松尾剛行＝劉淑珺「第 9 章 情報法」田
中信行編『入門中国法』(弘文堂、第 2 版、2019 年)218 頁以下、松尾剛行＝胡悦「中国のプライバシーと個人情報保護」別所直哉編著
宍戸常寿他著『ICT・AI 時代の個人情報保護』(金融財政事情研究会、初版、2020 年)、松尾剛
行＝胡悦「中国の個人情報保護法の草案、その他個人情報に関連する法律（ネットワーク安全法、ガイドライン等）について、日本企業として留意すべき点について教えてください」中崎隆他編『データ戦略と法律 攻めのビジネス Q＆A』(日経 BP、改訂版、2021 年)等を参照のこと。
3
https://www.mmnlaw.gr.jp/download_news_pdf.php?id=436
42020 年 10 月 21 日付け第一稿に関する説明：
http://www.npc.gov.cn/npc/c30834/202108/fb
c9ba044c2449c9bc6b6317b94694be.shtml
52021 年 4 月 26 日付け第二稿に関する説明：
http://www.npc.gov.cn/npc/c30834/202108/9a
877c9c971e4ed3999314b11bcf37b8.shtml
62021 年 8 月 17 日付け第三稿に関する説明：
http://www.npc.gov.cn/npc/c30834/202108/a5
28d76d41c44f33980eaffe0e329ffe.shtml
2021 年 8 月 19 日付け第三稿に関する説明：
http://www.npc.gov.cn/npc/c30834/202108/5e
507c650c4147f6a600d9935868b2c5.shtml

2

1

NEWSLETTER -中国たものは原則として中国個人情報保護法の条数で適用されることになる。

ある。
）
。

2 個人情報取扱ルール
１ 域外適用制度

個人情報保護法 5 条〜10 条は、個人情報の取扱
7

データが国際的に流動する中 、中国においてもに関し、合法性・正当性・必要性・信義誠実（5 条）、

ネットワーク安全法やデータ安全法等、多くの法取扱目的の明確性と合理性・取扱目的との直接関令に域外適用を明記する姿勢が見られる。そして、連性・本人権利利益への影響が最小となる方法・

その傾向は個人情報保護法においても見られる。

最小範囲の個人情報の収集(6 条)、公開・透明性・

3 条 2 項は、中国域内の自然人を標的として製品、ルールの明示（7 条）、情報の質の保証（正確性・サービスを提供し、又は中国域内の自然人の行為完全性）（8 条）、責任・安全確保(9 条)、及び、法を分析し評価する場合、個人情報取扱者が中国域

令遵守・国家安全・公共利益保護（10 条）等の原内にあるか否かを問わず、中国法の管轄を受ける

則を打ち立てている。

8とする。これは GDPR の域外適用規定 に近接して

特に、GDPR と類似する、個人情報取扱のためのいる。例えば、日本企業が越境 EC を通じて、この正当化事由を定めており、以下の 7 つの状況がな

ような要件を満たす中国域内の自然人の個人情報

ければ個人情報を取り扱うことができないとしたの取り扱いを行うと、中国個人情報保護法が直接（13 条）。

7

護の裏にあるプライバシーを強化していることを示しているとする（https://xw.qq.com/amphtml/20210510A0CVBJ00）。賽博研究院は、個人情報保護の立法趣旨をより明確にし、権利利益の保護と取扱活動の規範化に焦点を絞り、国が個人情報権利利益の保護をさらに強化する姿勢と個人情報の違法な移転、取引と開示等の行為を取り締まる決意を示すことにあるとする（https://www.sohu.com/a/464171055_120076174）。呉衛明弁護士らは、個人情報をデータとしての利用と個人情報の保護という観点からして、当該内容の削除はデータ要素の流動を制限するものではないと主張する（https://www.allbrightlaw.com/SH/CN/10475/d
faa472eb7608cfd.aspx）。
8
GDPR 3 条 2 項は、取扱活動が(a)「データ主体の支払いが要求されるか否かを問わず、EU 域内のデータ主体に対する物品又はサービスの提供」
又は(b)「データ主体の行動が EU 域内で行われるものである限り、その行動の監視」と関連する場
合、本規則は、EU 域内に拠点のない管理者又は処理者による EU 域内のデータ主体の個人データの取扱いに適用されると規定する。

第 1 稿 1 条で「個人情報が法に基づき秩序だって自由移動することを保証し、」という文言が存在したが、2021 年 4 月 29 日付第 2 稿で削除され、成立した法律でも削除のままとなっている。
公式の修正案に関する説明においてはこの点への言及は見当たらなかったが、データの移動を禁止する趣旨ではないと主張する者が多いと思われる。中国社会科学院法学研究所姚佳教授は、個人情報保護の立法趣旨は、どのように個人情報を保護するかというものであり、どのように個人情報を流通・利用するかという問題等は、この法律の重点ではなく、今後さらに検討される可能性があるとしており（https://ishare.ifeng.com/c/s/v0027WfLB5quU
u--ferJWj3eMmM7jiKuNiwdxMx9JeofD--7E）
、梁灯
弁護士は、
「自由移動」を焦点として、GDPR を参照する「自由移動」を否定したに過ぎない（法に基づいて移動することが可能なのであって、「自由」な移動の余地はないということ）（https://zhuanlan.zhihu.com/p/385334624）とし、また、個人情報は、公民の人格やプライバシー等の重要な権利に関わる情報であり、原則として自由移動には適していない。そのため、今回の二審稿は、立法目的の調整を通じて個人情報の当該特徴を浮き彫りにし、同法が公民の個人情報保2

NEWSLETTER -中国(一)本人の同意を取得している場合。

条 1 項）、また、個別の条文で書面同意や個別的同(二)本人が当事者の一方となる契約の締結又は履意が要求される場合がある。便宜な同意撤回方法

行に必要な場合又は適法に制定された労働規章制を準備することを義務付け（15 条 1 項）、同意しな度及び適法に締結された集団的契約に基づき人事

いことを理由とした商品・サービス提供拒絶を禁管理を実施する上で必要な場合。

止する（16 条 1 項）ことで、同意撤回権の実質性(三)法定の職責又は法定の義務の履行に必要な場を確保しようとしている。

合。

プライバシーポリシーには、以下の内容を告知(四)突発的な公衆衛生上の事件に対応し、又は緊すべきとされた（17 条 1 項）。

急状況下において自然人の生命、健康及び財産の(一)個人情報取扱者の名称又は姓名及び連絡方法。

安全の保護のために必要な場合。

(二)個人情報の取扱目的、取扱方法、取扱う個人(五)公共の利益のためメディア報道、世論監督等

情報の種類及び保存期限。

の行為を実施し、合理的範囲内で個人情報を取り(三)個人が本法の規定する権利を行使する方法及

扱う場合。

び手続。

(六)本法の規定に基づき合理的な範囲で本人が自(四)法律及び行政法規が告知すべきと規定するそら公開し又はその他適法に既に公開済みの個人情の他の事項。

報を取り扱う場合。

個人情報の取扱いに関するルールを制定する場(七)法律、行政法規の規定するその他の状況。

合、取扱ルールは公開され、かつ、閲覧及び保存に

確かにこの規定は GDPR9 とも類似しているもの

便宜でなければならない（17 条 3 項）。

の、一般的な「正当な利益」のような事由が認めら

個人情報取扱者は、以下の安全管理措置を義務れていない。反面、法律、行政法規の規定するその付けられている（51 条）。

他の状況（7 号）がいわばバスケット条項として設(一)内部管理制度及び実務規程を制定する。

けられているので、今後そのような状況が法律等(二)個人情報に対し類型別の管理を行う。

10(三)相応の暗号化、非識別化等の安全技術措置をによって追加される可能性がある 。

講じる。

同意については、十分に情報を得た（informed）、
自発的で、明確なものであることが要求され（14(四)合理的に個人情報取扱の操作権限を確定し、9又は、管理者に与えられた公的な権限の行使において行われる職務の遂行のために取扱いが必要となる場合、及び、(f)管理者によって、又は、第三者によって求められる正当な利益の目的のために取扱いが必要となる場合。ただし、その利益よ
りも、個人データの保護を求めるデータ主体の利益並びに基本的な権利及び自由のほうが優先する
場合、特に、そのデータ主体が子どもである場合を除くとそれぞれ定める。
10
なお、草案第 1 稿との関係では、労働関係（2号）及び公開情報の合理的利用（6 号）が追加されている。

GDPR 第 6 条 1 項は「取扱いは、以下の少なくとも一つが適用される場合においてのみ、その範囲内で、適法である」とし、各号において、(a)データ主体が、一つ又は複数の特定の目的のための自己の個人データの取扱いに関し、同意を与えた場合、(b) データ主体が契約当事者となっている契約の履行のために取扱いが必要となる場合、又は、契約締結の前に、データ主体の要求に際して手段を講ずるために取扱いが必要となる場合、(c)管理者が服する法的義務を遵守するために取扱いが必要となる場合、(d) データ主体又は他の自然人の生命に関する利益を保護するために取扱いが必要となる場合、(e) 公共の利益において、3

NEWSLETTER -中国かつ定期的に従業員に対し安全教育及び訓練を行

情報を取り扱うプラットフォーム内の商品又はサう。

ービス提供者に対しサービスを停止させる。

(五)個人情報安全事件応急措置を制定しそれを実（四）定期的に個人情報保護社会責任報告書を公施する。

表し、社会の監督を受ける。

(六)法律又は行政法規の規定するその他の措置。

各国はプラットフォーム規制を行なっており、

また、コンプライアンス監査実施義務（54 条）、

中国も電子商取引法11 等においてプラットフォー

個人情報保護影響評価義務（55 条）、漏洩等の通知

ム規制を明確にしているところ、これらの義務も義務（57 条）等も定められている。

また、プラットフォームをゲートキーパー12として更に重要なインターネットプラットフォームに個人情報の適正な取り扱いを確保しようとするもおいては、草案第 1 稿に存在しなかった以下の義のと理解される。

務が新たに課せられることになる（58 条）。

3 センシティブ情報（一）国家の規定に基づき健全な個人情報保護コ
ンプライアンス制度体系を構築し、主に外部の構

センシティブ個人情報は一度漏洩し又は不法に成員によって組成される独立した機構を成立させ、 使用されると、自然人の人格的尊厳が侵害されや個人情報保護状況を監督させる。

すい又は人身、財産安全に危害を受けやすい個人（二）公開、公平、公正の原則を遵守し、プラット

情報である（28 条 1 項）。生体識別、宗教信仰、特フォームのルールを制定し、プラットフォーム内

定身分13、医療健康、金融口座、行方所在14等の情の商品又はサービス提供者の個人情報取扱の規範報、及び 14 歳に満たない未成年の個人情報がセンと個人情報保護の義務を明確にする。

シティブ個人情報とされた（28 条 1 項）15。日本（三）法律及び行政法規に重大な違反をして個人

法上の要配慮個人情報と必ずしも一致しないもの

11

判所によりプライバシーへの侵害に該当しないと判断された(（2014）寧民終字第 5028 号)が、今後個人情報保護法の採択に伴い、実務上には変化が生じる可能性がある。徐瑞静「中国ネットにおける Cookie（クッキー）追行による個人情報の取扱い」（https://jmatsuda-law.com/legalnote/2021-4-2/）を参照。
15
草案第 1 稿ではセンシティブ個人情報とは別のカテゴリーとされていた 14 歳未満の情報についての情報が、成立した法律ではセンシティブ情報の１カテゴリーとなったこと、及び草案第 1 稿に存在した種族、民族が削除されたことが注目される。種族、民族が削除されたことにつき、国家基
準 GB／T35273－2020「情報安全技術 個人情報安全規範」では、種族、民族は本人の基本資料情報に該当すると規定されており、個人センシティ
ブ情報に該当しない。国家基準 GB／T35273－
2020「情報安全技術 個人情報安全規範」に合わせて、上記の修正が行われたものと推測される。

例えば、田中伸行編『入門中国法』（弘文堂、
第 2 版、2019 年）224 頁以下〔松尾剛行＝劉淑珺〕参照。
12
Jonathan Zittrain 著成原慧他訳「オンライン
上のゲートキーピングの歴史(1)」知的財産法政策研究 28 号（2010 年）121 頁以下（https://eprints.lib.hokudai.ac.jp/dspace/b
itstream/2115/43642/1/28_117-145.pdf）参照。
そのリスクにつき、成原慧『表現の自由とアーキ
テクチャ』（勁草書房、初版、2016 年）190 頁以下及び松尾剛行「プラットフォームによるアカウ
ント凍結等に対する私法上の救済について」情報
法制研究第 10 号（2021 年刊行予定）参照。
13
国家基準 GB／T 35273-2020「情報安全技術
個人情報安全規範」の付録 B 個人センシティブ情報の判定によれば、身分証明書、パスポート、運
転免許証、社会保険証等、個人の身分を特定できる情報をいう。
14
中国ネットにおける Cookie（クッキー）追行
による個人情報の取り扱いについて、従前には裁4NEWSLETTER -中国の、未成年の情報をセンシティブ個人情報としては、同時に当該本人の特徴に基づかない選択項目

保護する16等の制度は注目に値する。

17を提供し又は本人に対し便宜・迅速な拒絶方法を提供しなければならない。

センシティブ個人情報を取扱う場合には、本人の個別的同意を取得しなければならず（29 条）、本

自動的決定の方法で、本人の権利利益に対し重人に対しセンシティブ個人情報を取扱う必要性及大な影響を及ぼす場合、本人は、個人情報取扱者

び本人の権利利益への影響も告知しなければならに対し説明を求める権利を有し、かつ、個人情報ない（30 条）。

取扱者が自動的決定の方法のみをもとに決定を行うことを拒絶する権利を有する。」とする。
これは、GDPR22 条 1 項18類似の自動的決定規制

4 第三者提供
個人情報を第三者に提供する場合には、受領者といえる。これは、AI 時代に対応する中、特に「大の名称又は姓名、連絡方法、取扱目的、取扱方法及数据殺熟（ビッグデータによる常連客殺し）」とし

び個人情報の種類を告知し、本人の個別的同意をて批判される取引価格等の取引条件において不合得なければならない（23 条）。

理な差別的待遇を実施することが中国で近年問題となっていることを踏まえたものである19。

5 自動的決定
6 本人の権利個人情報保護法 24 条は「個人情報取扱者が個人情報を利用して自動的決定を行う場合には、決定

個人情報保護法 44 条以下は、本人に対して、知の透明度及び結果の公平性・公正性を保障しなける権利・決定権・制限や拒否権等（44 条）、閲覧・ればならない。本人に対し、取引価格等の取引条

複製を請求する権利（45 条）、是正・補充を請求す件において不合理な差別的待遇を実施してはならる権利（46 条）、削除を請求する権利（47 条）、個ない。

人情報取扱ルールの解釈・説明を求める権利（48

自動的決定の方法によって本人に対し、情報配条）、近親者による死者個人情報に関する請求権

信、商業的マーケティング活動を実施する場合に（49 条）等を与えている。また、個人情報取扱者

16

例えば、ユーザ A の個人情報（過去料理に関する本を購入した履歴がある）を利用して、自動的な決定の方法で料理に関する本の情報を A に配信する際、A の個人情報や特徴に基づかない一般的情報（料理に関する本以外の一般的な本の情報）をも提供しなければならないということである。
18
データ主体は、当該データ主体に関する法的効
果を発生させる、又は、当該データ主体に対して同様の重大な影響を及ぼすプロファイリングを含
むもっぱら自動化された取扱いに基づいた決定の対象とされない権利を有する。
19
この点につき筆者は、本年 2 月に松尾剛行「中国の個人情報保護と国家のデータ利用」中国経済
経営学会第 6 回 情勢分析研究会 『中国経済のデジタル化』の中において発表したことがある。

中国情報安全研究院の左暁棟副院長は一部のプ
ラットフォームが未成年者を利用して不法に利益を得ることを制限し、関連プラットフォームに相応の社会的責任を適切に履行するよう要求するためであるとしている（https://baijiahao.baidu.com/s?id=170844970
0564877381&wfr=spider&for=pc）。また、国家基
準 GB／T35273－2020「情報安全技術 個人情報安全規範」の付録 B 個人センシティブ情報の判定
では、14 歳未満の個人情報及プライバシー情報
が個人センシティブ情報に該当すると規定されている。
17
これは、既に存在する中国電子取引法 18 条、
情報セキュリティ技術個人情報安全規範 7.5 条、「アプリによる個人情報行為の不法収集・使用行為の認定方法」3 条 6 項と類似したものであり、5NEWSLETTER -中国は、本人が権利として行使する申請を受理し取扱

ンターネット情報部門の規定する数量に達した個う制度を構築しなければならず、本人が権利とし人情報取扱者は、中華人民共和国域内で收集し又て行使する請求を拒絶するにあたっては、その理は発生した個人情報を域内で保存しなければなら由を説明しなければならないと規定されているないとされている。そして、確かに域外に提供す（50 条１項）。個人情報取扱者が拒絶した場合にる必要がある場合には、国家インターネット情報は人民法院において救済を求めることができる部門による安全評価に合格しなければならない。

（50 条 2 項）。

なお、法律、行政法規及び国家インターネット情報部門が安全評価を行わなくて良いと規定する場

これらは日本法の下で認められる本人の権利と合には、その規定に従うとされている。

も類似しているものの、中国において認められている個人情報取扱ルールの解釈・説明を求める権

また、全ての個人情報取扱者に課される一般的

利は、いわゆる説明義務論とも関係して興味深い

な域外移転のルールとしては、本人に必要事項22をところである。

告知した上での個別的同意を得ること（39 条）に45 条 3 項について草案第 1 稿段階に存在しなか

加え、以下の 4 つのいずれかが必要である（38 条

った、データポータビリティーに関する規定、つ1 項）。

まり、A というプラットフォームで集積した情報(一)本法第四十条の規定に基づく国家インターネ

を B プラットフォームに移転したいという請求にット情報部門による安全評価に合格した場合。

対し、それが国家インターネット情報部門の規定(二)国家インターネット情報部門の規定に基づくする条件に合致している限り A は移転方法を提供

専門機構による個人情報保護の認証を得ている場

しなければならないとするという規定が入ってい合。

ることが参考になる20。

(三)国家インターネット情報部門が制定する標準的契約を域外の移転先と締結し、双方の権利及び7 データ国内保存義務等義務を約定する場合。
(四)法律、行政法規又は国家インターネット情報

ネットワーク安全法の定めたデータ国内保存義部門の規定するその他の条件。

務は有名であるが、個人情報保護法も同様の義務を課している。個人情報保護法 40 条では、重要情特に 3 号で GDPR の SCC(標準的契約条項)23類似

報インフラ運営者21 及び取扱う個人情報が国家イの内容が含まれていることが注目される。既に本20

全保護条例 2 条）。
22
域外の移転先の名称又は姓名、連絡方法、取扱目的、取扱方法、個人情報の種類及び本人が域外移転先に対し本法の規定する権利を行使する方法
及び手続等の事項。
23
GDPR 46 条参照。なお、周知の通り、GDPR 対応の新 SCC が既に公表済みである（https://eurlex.europa.eu/legalcontent/EN/TXT/?uri=uriserv%3AOJ.L_.2021.199.01.0031.01.ENG&toc=OJ%3AL%3A2021%3A199%3ATO
C）。

日本における令和 2 年個人情報保護法改正とデータポータビリティについては佐脇紀代志『一問一答令和 2 年改正個人情報保護法』(商事法務、初版、2021 年)77 頁参照。
21
「重要情報インフラ」とは、公共通信及び情報サービス、エネルギー、交通、水利、金融、公共サービス、電子行政サービス、国防科学技術産業
等の重要な産業及び分野の、及び一旦機能の破壊
若しくは喪失又はデータ漏洩に遭遇すると、国の安全保障、国民経済と生活、公共の利益を深刻に危険にさらす恐れがある重要ネットワーク施設、
情報システム等をいう（重要情報インフラ施設安6

NEWSLETTER -中国年 7 月には策定作業が開始されたと報道されておする。ちょうど日本が個人情報保護法令和 3 年改

り24、近日中に公表されることが想定される。

正で、1 つの法令に民間部門と公共部門の個人情

なお、12 条が「国家は積極的に個人情報保護の報の取り扱いを統合したところであり、同時期に国際ルールの制定に関与し、個人情報保護の方面

中国個人情報保護法が同様の内容を定めているこに関する国際交流及び協力を促進し、その他の国とは興味深い。国家機関による個人情報の取扱は、家、地区、国際組織間の個人情報保護ルール、基準

原則として法定職責の履行という目的に限定され等の相互認証を促進する。」と規定した上で、38 条ている（34 条）。また、国家機関による個人情報の2 項が「中華人民共和国が締結し又は参加する国取扱について、基本的には個人情報主体に告知す

際条約、協定が中華人民共和国域外への個人情報るという義務を規定し、又は、告知は国家機関がの提供条件等について規定をしている場合には、法定職責を履行することを妨げる場合にはこの限その規定に従うことができる。」とする反面、43 条

りではないとされている（35 条）。一般的に個人情は「いかなる国家及び地区であっても、個人情報報取扱者が本人の同意を取得しなければならない

保護の側面において中華人民共和国に対し偏見をことに対して、国家機関について、本人への告知

持って禁止し、制限し又はその他類似の措置を講義務のみを規定されている。その他、国家機関がじていれば、中華人民共和国は、実際の状況に基取扱う個人情報は原則として中国国内で保存する

づき、当該国家又は地区に対し対等な措置を講じという義務が課せられている（36 条）。

ることができる。」としている。これらの規定は、

9 日系企業の対応

中国がプライバシー外交を積極的に行い、（パーソナル）データに関する国際的なルールづくりに関このような個人情報保護法の成立を受け、日系

与したいという強い意向を高らかに表明するとと企業はどのように対応すべきだろうか。

もに、ルールに基づく優遇策と、中国に対する偏見を持った対応をする国への対抗措置を明確化し（1） 自社への適用の確認たものといえる。

中国に子会社がある企業は基本的に個人情報保護法が適用されると考えるべきである。しかし、

8 国家機関による情報取扱い

域外適用規定が置かれていることから、自社又は個人情報保護法第二章第三節では、国家機関25に自社グループの非中国企業が適用を受けないかによる個人情報の取扱いに関する特別な規定が存在ついて確認をすべきである。

24（国家機関、行政機能を引き受ける法定機関及びその職員は、職責を履行する過程に知りえた自然
人のプライバシーと個人情報について、秘密を保持しなければならず、他人に漏洩しまたは不法に提供してはならない。
）と類似するところ、慈善団体、工会（日本の労働組合に近いが公的に組織されている）のほか、証券監督管理委員会、知的財産局、都市の企画局、植物・動物の検査検疫所等が国家機関に準じた規律を受けるということである。

Datalaws「国家インターネット情報弁公室はデータ越境伝送標準契約の制定を開始、個人情報保護 法 （ 案 ） の 第 3 回 審 議 が 8 月 に も 」、
（ https://posts.careerengine.us/p/60dd31cfc4
ea202dae574f8a）参照。
25
なお、37 条は「法律又は法規が授権する公共事務を管理する職能を有する組織が法定職責を履行するために個人情報を取り扱う場合には、国家機関が個人情報を取り扱うことに関する本法の規定を適用する。
」とする。これは、民法典 1039 条
7

NEWSLETTER -中国ところもあるのではなかろうか。しかし、社内に（2）社内規程、プライバシーポリシー等の改訂

中国データ法務実務に詳しい人が少ない企業であ

個人情報保護法は個人情報取扱ルールを制定し、明示すべきとしているところ、既に日系企業グル

れば、やはり、中国法や情報法の専門家と協力しながら対応することが望ましいだろう。

ープであれば、何らかの個人情報取扱ルールが定以上められているところも多いだろう。しかし、個人情報保護法は様々な面で規律を追加している。例
えば本人の権利に関する規律やセンシティブ情報に関する規律、そして自動的意思決定に関する規律等は、従前の法制度や規格・基準に比べるとより完全化され、包括的・網羅的なものとなってい付録：中国個人情報保護法仮訳る。そこで、社内規程、プライバシーポリシー等の※本レターは法的アドバイスを目的とするものではございません。個別の案件については必要に応じて弁護士にご相談いただきますようお願い申し上げます。

改訂が必要であろう。
（3）日本への移転
日本に中国の個人情報を移転させる場合、2021
年 11 月 1 日の個人情報保護法施行日以降は、原則として本人に必要事項を告知した上での個別的同意を得ること（39 条）に加え、安全評価、認証、標準的契約等のいずれかが必要である（38 条 1 項
各号）。実務上は標準的契約の利用の方向に収斂す
るのではないかと予想されるものの、標準的契約の策定状況等を注視する必要がある。
（4）最新状況の注視
上記では標準的契約の策定状況への注視の必要性について述べたが、これ以外にも実務を回していく上での細則等が不明確な状況は国家インター
ネット情報部門の規定について言及されている 38
条、40 条、42 条、45 条等が存在する。今後とも下位規範制定等に向けた最新状況を注視していかな
ければならない。
（5） 専門家との協働
会社によっては社内リソース、例えばグループの中国法人の法務や情報部門で十分に対応できる
8

NEWSLETTER -中国中華人民共和国個人情報保護法（桃尾・松尾・難波法律事務所仮訳）
第一章 総則第二章 個人情報の取扱いに関するルール
第一節 一般規定
第二節 センシティブ個人情報の取扱いに関するルール
第三節 国家機関による個人情報の取扱いに関する特別規定
第三章 個人情報の域外提供に関するルール
第四章 個人情報取扱活動における本人の権利第五章 個人情報取扱者の義務
第六章 個人情報保護職責履行部門
第七章 法的責任
第八章 附則第一章 総則第一条 個人情報に関する権利利益を保護し、個人情報の取扱活動を規範化し、個人情報の合理的利用を促進するため、憲法に基づき、本法を制定する。
第二条 自然人の個人情報は法律による保護を受ける。いかなる組織及び個人も自然人の個人情報に関する権利利益を侵害してはならない。
第三条 中華人民共和国の域内において自然人の個人情報を取扱う活動に対し、本法を適用する。
中華人民共和国の域外において、中華人民共和国域内の自然人の個人情報を取扱う活動が、以下に列挙
する状況の 1 つを具備していれば、本法をも適用する。
(一)域内の自然人に向けて商品又はサービスを提供することを目的としている。
(二)域内の自然人の行為を分析し、評価する。
(三)法律又は行政法規の規定するその他の状況。
第四条 個人情報は、電子的又はその他の方法で記録された、既に識別され又は識別可能な自然人に関する各種情報をいうが、匿名化処理後の情報を含まない。
個人情報の取扱は個人情報の收集、保存、使用、加工、伝達、提供、公開、削除等を含む。
第五条 個人情報の取扱は、合法性、正当性、必要性及び信義誠実の原則を遵守しなければならず、誤導、詐欺又は強迫等の方法を用いて個人情報を取り扱ってはならない。
第六条 個人情報の取扱は明確かつ合理的な目的を具備していなければならず、かつ、取扱目的と直接関連しなければならず、本人の権利利益への影響が最小となる方法を採用しなければならない。
個人情報の収集は、取扱目的を実現する最小範囲に限定しなければならず、過度に個人情報を収集してはならない。
第七条 個人情報の取扱は、公開及び透明の原則を遵守しなければならず、個人情報の取扱いに関するルールを公開し、取扱いの目的、方法及び範囲を明示しなければならない。
9NEWSLETTER -中国第八条 個人情報の取扱いにおいては、個人情報の質を保証しなければならず、個人情報が不正確、不完
全であるために、本人の権利利益に不利な影響を及ぼす事態を回避しなければならない。
第九条 個人情報取扱者は、その個人情報の取扱活動に対して責任を負わなければならず、かつその取扱う個人情報の安全を保障するために必要な措置を講じなければならない。
第十条 いかなる組織及び個人も、違法に他人の個人情報を収集、使用、加工及び伝達してはならず、違法に他人の個人情報を売買、提供又は公開してはならない。国家安全又は公共の利益を害する個人情報の取扱活動を行なってはならない。
第十一条 国家は健全な個人情報保護制度を確立し、個人情報に関する権利利益を侵害する行為を予防及び処罰し、個人情報保護宣伝教育を強化し、政府、企業、関連する社会組織及び公衆が共同で関与する個
人情報保護の良好な環境の形成を推進する。
第十二条 国家は積極的に個人情報保護の国際ルールの制定に関与し、個人情報保護の方面に関する国際交流及び協力を促進し、その他の国家、地区、国際組織間の個人情報保護ルール、基準等の相互認証を促進する。
第二章 個人情報の取扱いに関するルール
第一節 一般規定第十三条 以下に列挙する状況の 1 つに該当してはじめて、個人情報取扱者は個人情報を取り扱うことができる。
(一)本人の同意を取得している場合。
(二)本人が当事者の一方となる契約の締結若しくは履行に必要な場合又は適法に制定された労働規章制
度及び適法に締結された集団的契約に基づき人事管理を実施する上で必要な場合。
(三)法定の職責又は法定の義務の履行に必要な場合。
(四)突発的な公衆衛生上の事件に対応し、又は緊急状況下において自然人の生命、健康及び財産の安全の保護のために必要な場合。
(五)公共の利益のためメディア報道、世論監督等の行為を実施し、合理的範囲内で個人情報を取り扱う
場合。
(六)本法の規定に基づき合理的な範囲で本人が自ら公開し又はその他適法に既に公開済みの個人情報を取り扱う場合。
(七)法律、行政法規の規定するその他の状況。
本法の他の関連する規定に基づき個人情報を取り扱う場合には、本人の同意を取得しなければならない。
ただし、前項第 2 号から第 7 号までの状況が存在する場合には、本人の同意は不要である。
第十四条 本人の同意に基づき個人情報を取扱う場合、当該同意は、本人が充分に情報を得たことを前提とした、自発的で、明确になされたものでなければならない。法律又は行政法規が個人情報の取扱に際し、本人の個別的同意又は書面による同意を得なければならないと規定する場合には当該規定に従わなければならない。
個人情報の取扱目的、取扱方法及び取扱う個人情報の種類に変更が生じた場合には、再度本人の同意を10

NEWSLETTER -中国得なければならない。
第十五条 本人の同意に基づき個人情報を取扱う場合、本人はその同意を撤回する権限を有する。個人情報取扱者は、便宜な同意撤回方法を提供しなければならない。
本人が同意を撤回した場合、それ以前において本人の同意に基づいて既に実施された個人情報取扱活動の効力に影響を与えない。
第十六条 個人情報取扱者は、本人がその個人情報の取扱に同意しない又は同意を撤回したことを理由として、商品又はサービスの提供を拒絶してはならない。ただし、個人情報の取扱が商品又はサービスの提供に必要な場合にはこの限りではない。
第十七条 個人情報取扱者は、個人情報を取扱う以前において、目立つ方式で、明確かつ理解しやすい表
現を用いて、本人に対し、真実で、正確でかつ完全に以下の事項を告知しなければならない。
(一)個人情報取扱者の名称又は姓名及び連絡方法。
(二)個人情報の取扱目的、取扱方法、取扱う個人情報の種類及び保存期限。
(三)本人が本法の規定する権利を行使する方法及び手続。
(四)法律及び行政法規が告知すべきと規定するその他の事項。
前項の規定する事項について変更が発生した場合には、当該変更部分を本人に告知しなければならない。
個人情報取扱者が、個人情報の取扱いに関するルールの制定という方法によって第一項の規定する事項を告知した場合、取扱ルールは公開され、かつ、閲覧及び保存に便宜でなければならない。
第十八条 個人情報取扱者が個人情報を取扱に際し、法律又は行政法規の規定によって秘密を保持しなければならず又は告知が不要な状況が存在する場合には、本人に対し前条第一項に規定する事項を告知することを要しない。
緊急の状況において自然人の生命、健康及び財産安全を保護するため、適時に本人に告知することができない場合、個人情報取扱者は緊急の状況が消滅した後、速やかに告知しなければならない。
第十九条 法律、行政法規が別途規定する場合を除き、個人情報の保存期限は、取扱目的実現のために必要な最短の時間としなければならない。
第二十条 二社以上の個人情報取扱者が共同で個人情報の取扱目的及び取扱方法を決定する場合、各自の権利及び義務を約定しなければならない。ただし、当該約定は、本人がいずれかの個人情報取扱者に対し、本法の規定する権利を行使することを要求することを妨げない。
個人情報取扱者が共同で個人情報を取扱い、個人情報に関する権利利益を侵害し、損害を発生させた場
合、法に基づき連帯責任を負わなければならない。
第二十一条 個人情報取扱者が個人情報の取扱いに関する委託をする場合においては、受託者との間で、委託による取扱の目的、期限、取扱方法、個人情報の種類、保護措置及び双方の権利と義務等を約定しなければならず、かつ受託者の個人情報取扱活動に対し監督を行わなければならない。
受託者は約定に基づき個人情報を取り扱わなければならず、約定した取扱目的及び取扱方法等を超えて個人情報を取り扱ってはならず、委託契約の効力不発生、無効、取消し又は終了した場合において、受託者は、当該個人情報を個人情報取扱者に返還し又は削除しなければならず、保留してはならない。
個人情報取扱者の同意なく、受託者は個人情報の取扱を他人に再委託してはならない。
11NEWSLETTER -中国第二十二条 個人情報取扱者が合併、分割、解散、破産宣告等の理由で個人情報を移転する必要がある場
合においては、本人に対し移転先の名称又は姓名及び連絡方法を告知しなければならない。移転先は継続して個人情報取扱者としての義務を履行しなければならない。移転先が元々の取扱目的又は取扱方法を変更する場合には、本法の規定に基づき改めて本人の同意を取得しなければならない。
第二十三条 個人情報取扱者が他の個人情報取扱者にその取扱う個人情報を提供する場合、本人に対し受領者の名称又は姓名、連絡方法、取扱目的、取扱方法及び個人情報の種類を告知し、本人の個別的同意を得なければならない。受領者は上述の取扱目的、取扱方法及び個人情報の種類等の範囲内において個人情報を取扱わなければならない。受領者が元々の取扱目的又は取扱方法を変更する場合には、本法の規定に基づき改めて本人の同意を取得しなければならない。
第二十四条 個人情報取扱者が個人情報を利用して自動的決定を行う場合には、決定の透明度及び結果の公平性・公正性を保障しなければならない。本人に対し、取引価格等の取引条件において不合理な差別的待遇を実施してはならない。
自動的決定の方法によって本人に対し、情報配信、商業的マーケティング活動を実施する場合には、同時に当該本人の特徴に基づかない選択項目を提供し又は本人に対し便宜な拒絶方法を提供しなければならない。
自動的決定の方法で、本人の権利利益に対し重大な影響を及ぼす場合、本人は、個人情報取扱者に対し説明を求める権利を有し、かつ、個人情報取扱者が自動的決定の方法のみをもとに決定を行うことを拒絶する権利を有する。
第二十五条 個人情報取扱者は、その取扱う個人情報を公開してはならない。ただし、本人の個別的同意を取得した場合はこの限りではない。
第二十六条 公共の場において、カメラや個人の身元を識別する設備を設置する場合には、公共安全の維持に必要な場合でなければならず、国家の関連規定を遵守し、かつ、明示的にこれを表示する標識を設置しなければならない。そこで収集した個人の映像及び身元識別情報は、公共安全維持の目的のためにのみ用いることができ、他の目的のために用いてはならない。ただし、本人の個別的同意を取得した場合はこの限りではない。
第二十七条 個人情報取扱者は合理的範囲内で本人が自ら公開し、又はその他の既に適法に公開された個
人情報を取扱うことができる。ただし、本人が明確に拒絶した場合にはその限りではない。個人情報取扱者が既に公開された個人情報を取り扱う場合、本人の権利利益に重大な影響があれば、本法の規定に基づき本人の同意を得なければならない。
第二節 センシティブ個人情報の取扱いに関するルール
第二十八条 センシティブ個人情報は一度漏洩し又は不法に使用されると、自然人の人格的尊厳が侵害されやすい又は人身、財産安全に危害を受けやすい個人情報をいい、生体識別、宗教信仰、特定身分、医療
健康、金融口座、行方所在等の情報、及び 14 歳に満たない未成年の個人情報を含む。
個人情報取扱者は特定の目的及び充分な必要性が存在してはじめて、かつ、厳格な保護措置を講じる場
合において、センシティブ個人情報を取扱うことができる。
12

NEWSLETTER -中国第二十九条 センシティブ個人情報を取扱う場合には、本人の個別的同意を取得しなければならない。法律又は行政法規が、センシティブ個人情報を取扱う場合に書面による同意を取得しなければならないと規定している場合にはその規定に従う。
第三十条 個人情報取扱者がセンシティブ個人情報を取扱う場合、本法第十七条第一項の規定する事項に加え、更に本人に対しセンシティブ個人情報を取扱う必要性及び本人の権利利益への影響も告知しなけ
ればならない。ただし、本法の規定に基づき本人の告知しなくてよい場合はこの限りではない。
第三十一条 個人情報取扱者が 14 歳に満たない未成年の個人情報を取扱う場合には、未成年の父母又はその他の監護者の同意を取得しなければならない。
個人情報取扱者が 14 歳に満たない未成年の個人情報を取扱う場合には、専門的な個人情報取扱ルールを制定しなければならない。
第三十二条 法律又は行政法規がセンシティブ個人情報の取扱にあたり、関連する行政許可の取得を求め又はその他の制限をしている場合にはその規定に従う。
第三節 国家機関による個人情報の取扱いに関する特別規定
第三十三条 国家機関による個人情報の取扱活動に対し本法を適用する。本節が特別な規定を設けている
場合、本節の規定を適用する。
第三十四条 国家機関が法定職責の履行のため個人情報を取扱うにあたっては、法律及び行政法規の規定する権限及び手続きに従って行い、法定職責の履行に必要な範囲及び限度を超えてはならない。
第三十五条 国家機関が法定職責の履行のため個人情報を取扱うにあたっては、本法の規定に従って告知義務を履行しなければならない。ただし、本法第十八条第一項の規定する状況又は、告知が国家機関が法定職責を履行することを妨げる場合にはこの限りではない。
第三十六条 国家機関が取扱う個人情報は中華人民共和国の域内で保存しなければならない。確かに域外に提供する必要がある場合には、安全評価を行わなければならない。安全評価は関連部門に支持及び協助を要求することができる。
第三十七条 法律又は法規が授権する公共事務を管理する職能を有する組織が法定職責を履行するために個人情報を取り扱う場合には、国家機関が個人情報を取り扱うことに関する本法の規定を適用する。
第三章 個人情報の域外提供に関するルール
第三十八条 個人情報取扱者が業務等の必要により、確かに中華人民共和国の域外に個人情報を提供する必要がある場合には、以下の 1 つの条件を具備しなければならない。
(一)本法第四十条の規定に基づく国家インターネット情報部門による安全評価に合格した場合。
(二)国家インターネット情報部門の規定に基づく専門機構による個人情報保護の認証を得ている場合。
(三)国家インターネット情報部門が制定する標準的契約を域外の移転先と締結し、双方の権利及び義務を約定する場合。
(四)法律、行政法規又は国家インターネット情報部門の規定するその他の条件。
中華人民共和国が締結し又は参加する国際条約、協定が中華人民共和国域外への個人情報の提供条件等
13

NEWSLETTER -中国について規定をしている場合には、その規定に従うことができる。
個人情報取扱者は、必要な措置を採用し、域外移転先が個人情報を取り扱う活動が、本法の規定する個人
情報保護基準に達することを保障しなければならない。
第三十九条 個人情報取扱者が中華人民共和国の域外に個人情報を提供する場合には、本人に対し域外の移転先の名称又は姓名、連絡方法、取扱目的、取扱方法、個人情報の種類及び本人が域外移転先に対し本法の規定する権利を行使する方法及び手続等の事項を告知し、かつ本人の個別的同意を取得しなければならない。
第四十条 重要情報インフラ運営者及び取扱う個人情報が国家インターネット情報部門の規定する数量に達した個人情報取扱者は、中華人民共和国域内で收集し又は発生した個人情報を域内で保存しなければならない。確かに域外に提供する必要がある場合には、国家インターネット情報部門による安全評価に合格しなければならない。法律、行政法規及び国家インターネット情報部門が安全評価を行わなくて良いと規定する場合には、その規定に従う。
第四十一条 中華人民共和国主管機関は、関連法律及び中華人民共和国の締結又は参加する国際条約、協定又は平等互恵の原則に基づき外国司法又は法執行機関の域内に保存された個人情報の提供に対する要求を取り扱う。中華人民共和国の主管機関の許可を経ない限り、個人情報取扱者は、外国司法機関又は法執行機関に対し、中華人民共和国の域内に保存された個人情報を提供してはならない。
第四十二条 域外の組織、個人が中華人民共和国公民の個人情報の権利利益を侵害する活動又は中華人民共和国の国家安全、公共利益に危害を与える個人情報取扱活動に従事している場合には、国家インター
ネット情報部門はそれを個人情報提供制限リスト又は禁止リストに列挙し、それをもって公告し、当該者に対して個人情報を提供することを制限し又は禁止する等措置を講じることができる。
第四十三条 いかなる国家及び地区であっても、個人情報保護の側面において中華人民共和国に対し偏見を持って禁止し、制限し又はその他類似の措置を講じていれば、中華人民共和国は、実際の状況に基づき、当該国家又は地区に対し対等な措置を講じることができる。
第四章 個人情報取扱活動における本人の権利第四十四条 本人はその個人情報の取扱に対し知る権利、決定権を享有し、他人がその個人情報を取扱うことを制限し又は拒否する権利を有する。ただし、法律又は行政法規が別段の定めをする場合にはこの限りではない。
第四十五条 本人は個人情報取扱者から個人情報を閲覧し、複製する権限を有する。ただし、本法第十八条第一項又は第三十五条の規定する状況が存在する場合はこの限りではない。
本人がその個人情報の閲覧及び複製を請求する場合、個人情報取扱者は適時に提供しなければならない。
本人が本人の情報をその指定する個人情報取扱者へ移転するよう請求し、それが国家インターネット情
報部門の規定する条件に合致していれば、個人情報取扱者は移転方法を提供しなければならない。
第四十六条 本人がその個人情報が不正確又は不完全であることを発見した場合、個人情報取扱者に対し、是正、補充を求める権利を有する。
本人がその個人情報の是正、補充を請求した場合、個人情報取扱者はその個人情報について確認し、適時14NEWSLETTER -中国に是正、補充しなければならない。
第四十七条 以下に列挙する事由の一つがあれば、個人情報取扱者が自発的に個人情報を削除しなければならない。個人情報取扱者が削除しなければ、本人は削除を求める権利を有する。
(一)取扱目的が既に実現し、実現できず、又は取扱目的の実現のためにもはや不要となった。
(二)個人情報取扱者が商品又はサービスの提供を停止し、又は保存期限が既に満了した。
(三)本人が同意を撤回した。
(四)個人情報取扱者が法律、行政法規に違反し又は約定に違反して個人情報を取り扱った。
(五)法律又は行政法規の規定するその他の状況。
法律、行政法規が規定する保存期間が満了していない場合又は個人情報の削除が技術上実現困難な場合、
個人情報取扱者は保存及び必要な安全措置を講じること以外の取扱を停止しなければならない。
第四十八条 本人は個人情報取扱者に対しその個人情報取扱ルールについて解釈及び説明するよう要求する権利を有する。
第四十九条 自然人が死亡した場合、その近親者は、その自らの適法で正当な利益のため、死者の関連する個人情報に対し本章の規定する閲覧、複製、訂正、削除等の権利を行使することができる。ただし、死者が生前に別途手配している場合はその限りではない。
第五十条 個人情報取扱者は、本人が権利として行使する申請を受理し取扱う便利迅速な制度を構築しなければならない。本人が権利として行使する請求を拒絶するにあたっては、その理由を説明しなければならない。
個人情報取扱者が本人が権利を行使する請求を拒絶する場合、本人は法に従い人民法院に訴訟を提起することができる。
第五章 個人情報取扱者の義務
第五十一条 個人情報取扱者は個人情報の取扱目的、取扱方法、個人情報の種類及び本人の権利利益に対する影响、存在する可能性がある安全リスク等に基づき、以下に列挙する措置を講じ、個人情報の取扱活動が法律、行政法規の規定に適合することを確保し、かつ、不正アクセス及び個人情報の漏洩、改竄若し
くは逸失を防止しなければならない。
(一)内部管理制度及び実務規程を制定する。
(二)個人情報に対し類型別の管理を行う。
(三)相応の暗号化、非識別化等の安全技術措置を講じる。
(四)合理的に個人情報取扱の操作権限を確定し、かつ定期的に従業員に対し安全教育及び訓練を行う。
(五)個人情報安全事件応急措置を制定しそれを実施する。
(六)法律又は行政法規の規定するその他の措置。
第五十二条 取扱う個人情報が国家インターネット情報部門の規定する数量に達した個人情報取扱者は、
個人情報保護責任者を指定し、個人情報取扱活動及び講じた保護措置等に対して監督を行うことに責任を負わせなければならない。
個人情報取扱者は個人情報保護責任者の連絡方法を公開し、個人情報保護責任者の姓名、連絡方法等を15

NEWSLETTER -中国個人情報保護職責履行部門に報告しなければならない。
第五十三条 本法第三条第二項の規定する中華人民共和国域外の個人情報取扱者は、中華人民共和国域内
で専門機構を設立し又は代表者を指定し、これをもって個人情報保護に関連する事務の取扱について責任を負わせなければならず、かつ、当該機構の名称又は代表者の姓名、連絡方法等を個人情報保護職責履行部門に報告しなければならない。
第五十四条 個人情報取扱者は、定期的にその個人情報取扱が法律、行政法規を遵守する状況に対するコ
ンプライアンス監査を実施しなければならない
第五十五条 以下に列挙する状況の一つが存在する場合、個人情報取扱者は、事前に個人情報保護影響評
価を行い、かつ取扱状況を記録しなければならない。
(一)センシティブ個人情報の取扱。
(二)個人情報を用いた自動的決定の実施。
(三)個人情報の取扱の委託、他の個人情報取扱者への個人情報の提供、個人情報の公開。
(四)域外への個人情報の提供。
(五)その他の本人の権利利益に重大な影響を持つ個人情報取扱活動。
第五十六条 個人情報保護影響評価は以下の内容を含まなければならない。
(一)個人情報の取扱目的、取扱方法等が合法で正当で必要であるか。
(二)本人の権利利益への影響及び安全リスク。
(三)講じる保護措置が合法、有效かつリスクの程度に相応しているか。
個人情報保護影響評価報告書及び取扱状況記録は少なくとも３年間保存しなければならない。
第五十七条 個人情報の漏洩、改竄、逸失が発生し又は発生する可能性がある場合、個人情報取扱者は即時に救済措置を講じ、かつ個人情報保護職責履行部門及び本人に通知しなければならない。
通知は、以下の事項を含まなければならない。
(一) 発生し又は発生する可能性がある個人情報の漏洩、改竄、逸失の対象となる情報の種類、原因及びそれによって生じ得る危害。
(二)個人情報取扱者が採用する救済措置及び本人が講じることのできる危害軽減措置。
(三)個人情報取扱者の連絡方法。
個人情報取扱者が講じる措置が有効に情報漏洩、改竄及び逸失が引き起こす損害を回避できる場合、個人情報取扱者は本人に通知しないことができる。個人情報保護職責履行部門が損害を与える可能性があると認めた場合、個人情報取扱者に対し本人に通知するよう要求することができる。
第五十八条 重要なインターネットプラットフォームサービスを提供し、ユーザーの数量が巨大で、サービス類型が複雑な個人情報取扱者は、以下の義務を履行しなければならない。
（一）国家の規定に基づき健全な個人情報保護コンプライアンス制度体系を構築し、主に外部の構成員によって組成される独立した機構を成立させ、個人情報保護状況を監督させる。
（二）公開、公平、公正の原則を遵守し、プラットフォームのルールを制定し、プラットフォーム内の商品又はサービス提供者の個人情報取扱の規範と個人情報保護の義務を明確にする。
（三）法律及び行政法規に重大な違反をして個人情報を取り扱うプラットフォーム内の商品又はサービ
16NEWSLETTER -中国ス提供者に対しサービスを停止させる。
（四）定期的に個人情報保護社会責任報告書を公表し、社会の監督を受ける。
第五十九条 個人情報取扱いの委託を受ける受託者は、本法及び関連法律、行政法規の規定に基づき必要な措置を講じその取り扱う個人情報の安全を保障し、かつ個人情報取扱者が本法の規定する義務を履行することを助けなければならない。
第六章 個人情報保護職責履行部門
第六十条 国家インターネット情報部門は、個人情報保護業務及び関連する監督管理業務の統括と協調に責任を負う。国務院の関係部門は、本法及び関係する法律、行政法規の規定に基づき、各自の職責の範囲内において個人情報保護及び監督管理業務の責任を負う。
県レベル以上の地方人民政府の関係部門の個人情報保護及び監督管理職責は、国家の関連する規定により確定する。
前２項の規定する部門は、個人情報保護職責履行部門と総称する。
第六十一条 個人情報保護職責履行部門は、以下の個人情報保護職責を履行する。
(一)個人情報保護宣伝教育を実施し、個人情報取扱者が個人情報保護業務を実施するのを指導し監督する。
(二)個人情報保護に関する苦情の申し立て、通報を受理し処理する。
(三)アプリケーション等の個人情報保護状況の評価を組織し、評価結果を公表する。
(四)違法な個人情報取扱活動を調査しかつ取扱う。
(五)法律、行政法規の規定するその他の職責。
第六十二条 国家インターネット情報部門は、関係部門を総括して協調させ、本法に基づき以下の個人情報保護業務を推進する。
（一）個人情報保護の具体的なルール、基準を制定する。
（二）小型の個人情報取扱者、センシティブ個人情報及び顔認証、人工知能等の新技術、新応用に対して専門的個人情報保護ルール、基準を制定する。
（三）アプリケーションの安全、便宜な電子身分認証技術の研究開発を支持、促進し、インターネット身分認証に対する公共サービスの建設を推進する。
（四）個人情報保護社会化サービス体系の建設を推進し、関係機構が個人情報保護評価、認証サービスを展開することを支持する。
（五）個人情報の苦情の申し立て、通報の制度を完全化する。
第六十三条 個人情報保護職責履行部門は個人情報保護職責を履行するにあたり以下の措置を講じることができる。
(一)関係当事者に対し質問し、個人情報取扱活動に関する状況を調査する。
(二)当事者及び個人情報取扱活動に関する契約、記録、帳簿及びその他の関係資料を閲覧、複製する。
(三)現場検査を実施し、違法な個人情報取扱活動が疑われる場合について調査を行う。
(四)個人情報取扱活動と関係する設備、物品を調査する。違法な個人情報取扱活動のために用いられる
17

NEWSLETTER -中国設備、物品であると証明する証拠があるものにつき、本部門主要責任者に書面で報告し、許可を得て封鎖又は差押えをすることができる。
個人情報保護職責履行部門が法に基づき職責を履行する場合、当事者は協力し、従わなければならず、拒絶又は妨害してはならない。
第六十四条 個人情報保護職責履行部門が職責を履行する中で、個人情報取扱活動に比較的大きなリスクが存在する又は個人情報安全事件が発生したことを発見した場合、規定に基づく権限及び手続に従い当
該個人情報取扱者の法定代表者又は主要責任者に対し、面談を行い、又は個人情報取扱者に専門的機構に委託してその個人情報処理活動に対しコンプライアンス監査を実施するよう要求することができる。
個人情報取扱者は、要求に基づき措置を講じ、改善を行い、問題を除去しなければならない。
個人情報保護職責履行部門がその職責を履行する際において、個人情報の違法な取扱いに犯罪の疑いがあることを発見した場合には、速やかに公安機関に移送し、法に基づき処理しなければならない。
第六十五条 いかなる組織及び個人も違法な個人情報取扱活動を個人情報保護職責履行部門に苦情を申し立て、通報することができる。苦情や通報を受けた部門は、法に基づき適時に取扱わなければならず、
かつ取扱結果を苦情申立人や通報者に告知しなければならない。
個人情報保護職責履行部門は、苦情や通報の受付の連絡方法を公表しなければならない。
第七章 法的責任
第六十六条 本法の規定に違反し個人情報を取扱い、又は個人情報の取扱にあたって本法の規定する個人情報保護義務を履行しない場合、個人情報保護職責履行部門が是正を命じ、警告を与え、違法所得を没収し、違法に個人情報を取り扱うアプリケーションに対しサービス提供の暫定的中止又は停止を命じる。
是正しない場合、一百万元以下の過料に処する。直接責任を負う主管人員及びその他の直接責任人員は一万元以上十万元以下の過料に処する。
前項の規定する違法行為が存在し、情状が重い場合、省レベル以上の個人情報保護職責履行部門が是正を命じ、違法所得を没収し、かつ五千万元以下又は前年度の売上高の百分の五以下の過料に処しなければならず、かつ関連する業務を暫定的に停止し、又は業務を止めて整理し、関係主管部門に通報して関係する業務許可を取消し又は営業許可を取消すことができる。直接責任を負う主管人員及びその他の直接責任人員は十万元以上一百万元以下の過料に処する。加えて、一定期間内において関連企業の董事、監事、高級管理職及び個人情報保護責任者を担当することを禁止することを決定することができる。
第六十七条 本法の規定する違法行為があれば、関係法律、行政法規の規定に基づき信用ファイルに記入
し、公示する。
第六十八条 国家機関が本法の規定する個人情報保護義務を履行しない場合、上級機関又は個人情報保護
職責履行部門が是正を命じる。直接責任を負う主管人員及びその他の直接責任人員に法に基づき処分を与える。
個人情報保護職責履行部門の職員が、職責を怠り、職権を濫用し、私的流用をしたものの、犯罪を構成しない場合には、法に基づく処分する。
第六十九条 個人情報の取扱が個人情報に関する権利利益を侵害して損害を与えた場合において、個人情
18NEWSLETTER -中国報取扱者は、自分に過失がないことを証明できない場合には、損害賠償等の不法行為責任を負わなければならない。
前項の規定する損害賠償責任は、本人がそのために被った損失又は個人情報取扱者がそれによって得た利益によって確定される。本人がそのため被った損失又は個人情報取扱者がそれによって得た利益を確定することが困難であれば、実際の状況に基づき賠償額を確定する。
第七十条 個人情報取扱者が本法の規定に違反し個人情報を取扱い、多くの本人の権利利益を侵害した場
合、人民検察院、法律の規定する消費者組織及び国家インターネット情報部門が确定した組織は法に基づき人民法院に訴訟を提起することができる。
第七十一条 本法の規定に違反し、治安管理に違反する行為を構成する場合、法に基づき治安管理処罰を行う。犯罪を構成する場合、法により刑事責任を追及する。
第八章 附 則第七十二条 自然人は個人又は家庭の事務により個人情報を取扱うことに関しては、本法を適用しない。
各レベルの人民政府及びその関係部門が手配して実施する統計、人事記録管理活動における個人情報取扱について、法律に規定が存在する場合には、その規定を適用する。
第七十三条 本法の以下に列挙する用語の意味は以下の通りである。
(一)個人情報取扱者は、個人情報取扱い活動において、自らが取扱目的、取扱方法を決定する組織、個人をいう。
(二)自動的決定は、コンピュータプログラムを通じて自動的に本人の行為習慣、興味、嗜好又は経済、健康、信用状況等を分析、評価し、決定を行う活動をいう。
(三)非識別化は、個人情報が処理を経て、その他の情報と照合しない限り、特定の自然人を特定できなくする過程をいう。
(四)匿名化は、個人情報が処理を経て、特定の自然人を識別できず、かつ、元に復元できなくする過程をいう。
第七十四条 本法は 2021 年 11 月 1 日より施行する。
以上

19