海外法務ニューズレター（中国）

Vol.542023 年 7 月
個人情報の域外提供の標準契約書弁法、個人情報の域
外提供の標準契約、届出方法及びその仮訳のご紹介

2021 年 11 月 1 日、「中華人民共和国個人情報保護法」（以下「個人情報保護法」といいます。）が施行されました。同法 38 条は、個人情報の中国国外への提供（域外提供）を制限しており、①国家インターネッ
ト情報部門による安全評価に合格すること、②専門機構による個人情報保護認証を得ること、③国家インター
ネット情報部門所定の標準契約書を締結すること、又は、④法律、行政法規又は国家インターネット情報部門が定めたその他の条件を満たすことのうち、いずれかの措置を講じることが要求されています。
①については、2022 年 9 月 1 日に「データ越境安
全評価弁法」が施行され、また、②についても、同年
11 月 4 日に「個人情報保護認証実施規則」が公開されたことにより、ある程度明確化されました。③についても、2023 年 2 月 22 日、国家インターネット情報弁公室（以下「当局」といいます。）により、「個人情報の域外提供標準契約書弁法」（以下「標準契約書弁法」といいます。）及び個人情報の越境提供の標
準契約書（以下「標準契約書」といいます。）が併せて公布され、2023 年 6 月 1 日より施行されました。
また、2023 年 5 月 30 日には標準契約書の届出に関するガイドラインも公布され、届出の具体的な方法等が公表されました。
これにより、個人情報保護法 38 条に定められた域
外提供を行うための措置がいずれも具体化され、企業としては、自身の状況に応じて対応策を講じる必要に迫られています。
本稿では、多くの企業にとって利便性及び実用性が比較的高いと考えられる③の措置について、その概要をご紹介します。なお、標準契約書及び届出のガイド
ラインについては仮訳を作成しておりますので、併せてご参照ください。

【執筆者】弁護士

日野

真太郎

弁護士

池野

幸祐

中国律師

常 偉

１ 標準契約書弁法の概要及びポイント（1） 標準契約書により域外提供が認められる要件
標準契約書の締結による個人情報の域外提供が認められるためには、以下の要件を満たす必要があります（4 条）。
① 重要情報インフラ運営者iでないこと② その取り扱う個人情報が全体で 100 万件未満であること③ 前年の１月１日以降、域外に提供した個人情報の累計が 10 万件未満であること④ 前年の 1 月 1 日以降、域外に提供したセンシティ
ブ情報が 1 万件未満であること
以上の基準のいずれかを満たさない場合、域外提供に当たり、標準契約書を締結する措置によることができません。この場合、個人情報保護法 38条が定める他の措置（国家インターネット情報部
門による安全評価iiに合格すること等）を講じる必要があります。
まずは自社が取り扱う個人情報の数等を確認し、標準契約書の締結によって域外提供が正当化されるか否かを確認する必要があります。

〘大〘東本ニューズレターは法的助言を目的とするものではなく、個別の案件については当該案件の個別の状況に応じ、弁護士の助言を求めて頂く必要があります。また、本稿に記載の見解は執筆担当者の個人的見解であり、当事務所又は当事務所のクライアントの見解ではありません。本ニューズレターの発送中止のご希望、ご住所、ご連絡先の変更のお届け、又は本ニューズレター
に関する一般的なお問合せは、下記までご連絡ください。
北浜法律事務所・外国法共同事業 ニューズレター係(TEL: 06-6202-1088 E-mail: newsletter@kitahama.or.jp)

阪〙北浜法律事務所・外国法共同事業〒541-0041 大阪市中央区北浜 1-8-16 大阪証券取引所ビル
TEL 06-6202-1088(代)／FAX 06-6202-1080・9550

京〙弁護士法人北浜法律事務所東京事務所〒100-0005 東京都千代田区丸の内 1-7-12 サピアタワー
TEL 03-5219-5151(代)／FAX 03-5219-5155〘福岡〙弁護士法人北浜法律事務所福岡事務所〒812-0018 福岡市博多区住吉 1-2-25
キャナルシティ･ビジネスセンタービル４Ｆ
TEL 092-263-9990／FAX 092-263-9991

http://www.kitahama.or.jp

（2） 標準契約書の締結に向けた段取り
標準契約書弁法の施行日は 2023 年 6 月 1 日ですが、同弁法の施行前にすでに個人情報の域外提供を行っていた事業者は、施行から 6 か月の猶予期間を与えられており、その間に改善するよう求められています（13 条）。
後述するように、標準契約書を締結する前に事業者は自ら個人情報影響アセスメントを行う必要があり（5 条）、また、標準契約書の効力発生後
10 日以内に標準契約書を所在地の省レベルのイ
ンターネット情報部門に届け出る必要があるとされています（7 条）。
そのため、現に個人情報の域外提供を行っている企業としては、猶予期間が終了する今年の 11月末までに標準契約書の届出が完了できるように逆算して、標準契約書の締結に向けた全体的なス
ケジュールを検討する必要があります。

④

⑤

⑥

個人情報を域外提供した後の改ざん、破壊、漏えい、違法利用等のリスク、及び個人情報の権益を保護するためのルート
がスムーズであるか等。
域外受領者の所在する国又は地域における個人情報保護の政策及び法令が標準
契約の履行に与える影響。
その他個人情報の域外提供の安全性に影響を及ぼし得る事項。

（4） 標準契約の届出
前述のとおり、標準契約書の効力発生後 10 日以内に標準契約書を届け出る必要があります（7条）。
これについて、2023 年 5 月 30 日に標準契約書の届出に関するガイドライン（以下「本ガイドライン」といいます。）が公布されました。本ガイドラインでは、届出方法、届出プロセス、必要資料等が規定されています。

【標準契約書の締結に際して必要となる作業】
№
段階
主な作業
① 標準契約書締結前 個人情報影響アセス
メント。
② 標準契約書の締結 標準契約書＋その他
約定すべき条項の洗い出し。
③ 標準契約書締結後 効力発生後、10 営業
日以内に所在地の省レベルのインター
ネット情報部門に届け出る。

以下では本ガイドラインの概要を説明します。
① 届出方法（3） 個人情報影響アセスメントの実施
前述のとおり、企業は、標準契約書を締結するの場合、当局から届出コードが配布され、不合格の場合、不合格の原因が通知され、個人情報取扱

前に、自ら個人情報の取扱いについて個人情報影者は 10 営業日以内に資料を補充して再提供しなければならないとされています。

響アセスメントを実施し（8 条）、かつ、当該アセスメントの結果を報告書にまとめたうえで、締標準契約書は、その効力発生から 10 営業日以
内に書面資料にその電子版を添付して、会社の所
在地の省レベルのインターネット情報部門に届け出る必要があります。
② 届出プロセス
届出のプロセスには資料の提出、資料審査及び届出結果に対する当局らのフィードバック、
補充
または再度届出が含まれます。
当局は資料を受領
後、15 営業日以内に資料を審査し、その結果を個人情報取扱者に通知します。審査の結果、合格

なお、前記（4）①に記載される事由がある場

結する標準契約書と併せて当局に届け出る必要があります（5 条）。5 条では、個人情報影響アセ

合には、再度届出を行うか、資料を補充する必要もあります。

スメントの事項として、以下が規定されています。
№
個人情報影響アセスメンの事項①
個人情報取扱者及び域外受領者が取り扱う個人情報の目的、範囲、方法等の適法性、正当性、必要性。
②
域外提供する個人情報の規模、範囲、種類、センシティブ度、個人情報の域外提供が個人情報権益に対して及ぼし得るリ
スク。
③
域外受領者が負う義務の承諾、及び履行する義務による管理及び技術措置、能力等が域外提供する個人情報の安全性を確保できるか否か。

届出にあたっては期限が設けられていますので、標準契約書を締結する際には余裕のあるスケ
ジュールを定めるのが望ましいです。
③ 届出の必要資料
届出を行う際には標準契約書以外に以下の資料の提出も求められています。そのうち e～g については、参考となるフォーマットが公開されています。e「承諾書」は個人情報取扱者が提出する資料の適法性、真実性、完全性等に対して声明する内容です。また、f「個人情報保護影響アセスメント報告」は、アセスメント業務の展開概要、

域外提供の概要、標準契約書弁法 8 条に定められたアセスメントを行う事項及びアセスメントの① 標準契約書の再締結及び届出
一定の場合には、標準契約書の再締結が必要と結論で構成され、当該報告書の作成には高度の専門性が要するように思われます。また、当該報告されています。
具体的には、域外提供する個人情報の目的、範書の作成にあたっては、外部のアセスメント機関の起用が認められていますので、社内での対応が囲、種類、センシティブ度、方法、保存場所及び域外受領者が個人情報を取り扱う用途、方法に困難である場合、外部機関を使用することも考え変化が発生し、又は個人情報の域外での保存期間られます。なお、アセスメント報告書の有効期限について、届出日より 3 か月以内とされていまを延期する場合、域外受領者の所在国家又は地域における個人情報保護政策及び法令に変化等

すので、この点にも留意が必要です。
a.統一社会信用コード証書（コピー、社印押印）が発生することで個人情報権益に影響を与える
場合、及びその他個人情報の権益に影響を与え得

b.法定代表者身分証明書（コピー、社印押印）る場合には、企業は改めて個人情報影響アセスメ

c.届出担当者身分証明書（コピー、社印押印）
d.届出担当者委託書ントを実施し、標準契約書を補充して、標準契約書を再度締結して当局へ届け出る必要があると

e.承諾書
f.標準契約g.個人情報保護影響アセスメント報告（5） その他注目すべき点
最後に、標準契約書弁法のその他の注目すべき点について紹介します。
i

サイバーセキュリティ法 31 条 公共通信及び情報サービス、エネル
ギー、交通、水利、金融、公共サービス、電子行政サービス等の重要業
界及び分野や、一旦機能の破壊若しくは喪失又はデータ漏えいに遭遇す
ると、国の安全、国民の経済・生活及び公共の利益に重大な危害を及ぼされています（8 条）。
② 当局の秘密保持義務
当局も、標準契約書の届出により知り得た個人のプライバシー、個人情報、営業秘密、秘密保持のビジネス情報等について、秘密保持義務を負うとされています（9 条）。
以上す恐れおそれのある重要な情報インフラストラクチャーの運営者を指す。
ii
データ越境安全評価弁法規定により、国家インターネット情報部門に対してデータ越境安全評価を申請し、評価を受ける必要がある。

個人情報の域外提供の標準契約の届出に関するガイドライン（第一版）「個人情報の域外提供の標準契約弁法」は 2023 年 6 月 1 日から施行する。個人情報取扱者が規範的に、秩序をもって個人情報の域外提供の標準契約を届け出るよう指導及び支援するため、本ガイドラインを作成する。
一、適用範囲
個人情報取扱者が標準契約の締結により域外に対して個人情報を提供する場合、以下に掲げる事項を同時に満たさなければならない。
（一） 重要情報インフラ運営者でないこと。
（二） 取扱う個人情報が 100 万人未満であること。
（三） 前年 1 月 1 日以降、域外に提供した個人情報が累計 10 万人未満であること。
（四） 前年 1 月 1 日以降、域外に提供したセンシティブ個人情報が累計 1 万人未満であること。
法律、行政法規又は国家インターネット情報部門において別途定めがある場合は、それに従う。
個人情報取扱者は、法により域外提供安全アセスメントに合格しなければならない個人
情報を、数量分割などの方法で標準契約を締結することにより、域外に提供してはならない。
以下に掲げる行為は個人情報の域外提供に該当する。
（一） 個人情報取扱者が域外の運営において取得及び発生させた個人情報を域外に移転、保存すること。
（二） 個人情報取扱者が取得及び発生させた個人情報を域内に保存し、域外の機構、組織
又は個人がこれを検索、閲覧、ダウンロード、アウトプットできる状態にすること。
（三） 国家インターネット情報弁公室が規定するその他の個人情報の域外提供行為。
二、届出方法個人情報取扱者は標準契約効力発生日より 10 営業日以内に書面資料にその電子版資料を添付して所在地の省レベルのインターネット情報弁公室に届出なければならない。
三、届出プロセス
標準契約届出のプロセスには資料の提出、資料審査及び届出結果のフィードバック、補充
又は再度届出のプロセスがある。
（一） 資料の提出
個人情報取扱者が標準契約を届け出る際には、以下の資料を提出する必要がある。
1． 統一社会信用コード証書（コピー）12． 法定代表者身分証明書（コピー）
3． 届出担当者身分証明書（コピー）
4． 届出担当者委託書（雛型）
5． 承諾書（雛型）
6． 標準契約（見本）7． 個人情報保護影響アセスメント報告（雛型）（二） 資料審査及び届出結果のフィードバック
省レベルのインターネット安全弁公室は資料を受領してから、15 営業日以内に資料の審査を完了し、かつ個人情報取扱者に届出結果を通知する。
届出結果には合格、不合格がある。届出に合格した場合、省レベルのインターネット安全
弁公室が個人情報取扱者に対して届出コードを発行する。届出に不合格の場合、個人情報取扱者は届出不合格の通知及び原因を受領する。資料の補充を要求された場合、個人情報取扱者は資料を補充提供し、かつ 10 営業日以内に再度提出する必要がある。
（三）補充又は再度届出
個人情報取扱者は、標準契約の有効期限において以下に掲げる事情が生じた場合、改めて個人情報保護影響アセスメントを行い、標準契約を補充し、又は改めて締結し、かつ相応す
る届出手続きを履行しなければならない。
1． 域外に提供する個人情報の目的、範囲、種類、センシティブ度、方法、保存場所又は域外受領者の個人情報取扱の用途、方法に変化が発生した場合、又は個人情報の域外での保存期限を延期した場合
2． 域外受領者の所在国又は地域の個人情報保護政策及び法令に変更等が生じること
により個人情報権益に影響を与える場合
3． 個人情報権益に影響を与えるその他事情
個人情報取扱者が標準契約の有効期限内に標準契約を補充して締結する場合、所在地の省レベルのインターネット情報弁公室に補充資料を提出しなければならない。改めて標準契約を締結する場合、改めて届出を行わなければならない。補充又は改めて届出を行う際の資料の審査期限は 15 営業日間である。
個人情報取扱者は、提出する資料の真実性に責任を負い、偽造した資料を提出した場合、届出の不合格として処理し、法に従い相応する法的責任を追及する。
四、問い合わせ、告発に関する連絡方法
電子メールアドレス：bzht@cac.gov.cn
電話番号：010-55627565
別紙：1．個人情報越境標準契約届出資料の要求
2

2．担当者委任状（雛型）
3．承諾書（雛型）
4．個人情報の域外提供の標準契約書（見本）
5．個人情報保護影響アセスメント報告（雛型）

3

別紙 1
個人情報越境標準契約届出資料の要求
NO

資料名称

要求

1

統一社会信用コード証書

コピー、社印押印

2

法定代表者身分証明書

コピー、社印押印

3

届出担当者身分証明書

コピー、社印押印

4

届出担当者委託書

原本

5

承諾書

原本

6

標準契約

原本

7

個人情報保護影響アセスメント報告

原本

4

別紙 2
担当者委任状（雛型）
私

氏名●●●（身分証明書）は、個人情報取扱者

名称●●●の法定代表者であり、ここに当社の氏名●●●（身分証明書番号）を個人情報域外提供契約の届出担当者として授権します。担当者が当社を代表して行った個人情報域外提供標準契約書の届出プロセスにおける一切の行為（署名及びアップロードされた資料を含む）は、当社により承認され、当社が相応の法的責任を負います。
授権委託期限：

年

月

日から

年

担当者は再委託の権利を有しません。

会社名（押印）：法定代表者（署名）：
担当者（署名）
：
年

月

日

5

月

日

別紙 3
承諾書（雛型）
当社は以下の事項を承諾します。
一、 域外提供する個人情報の取得、使用については、中華人民共和国の関連法律法規の規定に適合すること。
二、 届け出る資料のすべての内容は真実、完全、正確かつ有効であること。
三、 数量分割等の手段を採らず、法律に基づき域外提供安全性評価を通過すべき個人情報は、標準契約の締結により域外提供すること。
四、 国家インターネット情報弁公室が実施する個人情報の域外提供の標準契約の届出に関する業務に対して必要な協力と支援を提供すること。
五、 個人情報保護影響アセスメント作業は届出日より 3 か月内に完了し、かつ届出日までに重大な変化がないこと。
当社は、上記の承諾の内容を認識し、十分に承知しており、承諾事項が虚偽又はそれに違反した場合には、相応する法的責任を負います。
法定代表者（署名）：
会社（押印）：
年

月

日

6

別紙 4
個人情報の域外提供の標準契約書（見本）
双方は、域外受領者による個人情報の取扱いが中華人民共和国の関連法律法規の定める個人情報保護の基準に達することを確保するため、個人情報取扱者と域外受領者との間における個人情報保護の義務と責任を明確にし、協議一致のうえ、本契約を締結し、共に遵守するものとする。
個人情報取扱者：
住所：
連絡方法：
連絡者：

職務：

域外受領者：
住所：
連絡方法：
連絡者：

職務：

個人情報取扱者及び域外受領者は、本契約の約定に従い、個人情報に関する域外提供活動を行い、当該活動と関連するビジネス行為については、双方は

年

月

日に

（ビジネス契約、ある場合。）を締結した／締結する予定である。
本契約の本文は「個人情報の域外提供標準契約弁法」の要求に従い作成され、双方においてその他の定めがある場合、別紙二に詳述することができ、別紙は本契約を構成する一部とする。
第一条 定義本契約において、別途定めがある場合を除き以下のとおりとする。
7

（一） 「個人情報取扱者」とは、個人情報の取扱活動において自らその取扱目的、取扱方
法を決め、中華人民共和国域外に対して個人情報を提供する組織、個人である。
（二） 「域外受領者」とは、中華人民共和国の域外に位置し、かつ個人情報取扱者より個人情報を受領する組織又は個人である。
（三） 個人情報取扱者又は域外受領者を単独で「一方」とし、合わせて「双方」とする。
（四） 「個人情報主体」とは、個人情報が標識する又は関連する自然人である。
（五） 「個人情報」とは、電子又はその他の方式で記録された識別済み又は識別可能な自然人に関する各種情報であり、匿名処理化された情報は含まれない。
（六） 「センシティブ個人情報」とは、漏えい又は違法使用した場合、自然人の人格尊厳が著しく侵害され、又は人身、財産の安全に危害を与える個人情報であり、生物識
別、宗教信仰、身分特定、医療健康、金融口座、行先追跡等の情報及び十四歳未満の未成年の個人情報を含む。
（七） 「監督管理機構」とは、中華人民共和国の省レベル以上のネットワーク情報安全部門である。
（八） 「関連法律法規」とは、「中華人民共和国サイバーセキュリティ法」「中華人民共和
国データ安全法」「中華人民共和国個人情報保護法」「中華人民共和国民法典」「中華
人民共和国民事訴訟法」「個人情報域外提供の標準契約弁法」等中華人民共和国の法
律法規を指す。
（九） 本契約に定めのない用語の意味は、関連する法律法規の規定する定義と一致するものとする。
第二条 個人情報取扱者の義務
個人情報取扱者は以下に掲げる義務を履行しなければならない。
（一） 個人情報は関連法律法規に従い収集、使用等の取扱いを行い、域外提供する個人情報の範囲は取扱目的を実現する最小範囲に限定すること。
（二） 個人情報主体に対して域外受領者の名称又は氏名、連絡先、別紙一「個人情報の域
外提供に関する説明」に記載する取扱目的、取扱方法、個人情報の種類、保存期限
及び個人情報主体の権利の履行方法及びプロセス等の事項を告知すること。センシ
ティブ個人情報を域外提供する場合には、さらに個人情報主体に対してセンシティ
ブ個人情報を移転することの必要性及び個人に対する影響を告知する。ただし、法律、行政法規において告知の必要がない定めがある場合を除く。
（三） 個人の同意に基づき個人情報を域外提供する場合、個人情報主体の単独同意を得なければならない。十四歳未満の未成年の個人情報に関わる場合、未成年の父母又はその他の後見人の単独同意を取得しなければならない。法律、行政法規において書面同意が必要である場合、書面の同意を取得しなければならない。
（四） 個人情報主体に対して、本契約において域外受領者との間で個人情報主体が第三者
8受益者であることを告知し、個人情報主体が 30 日以内に明確に拒絶しなかった場合、本契約に従い第三者受益者としての権利を享有することができる。
（五） 合理的な努力を尽くして、域外受領者が次の技術及び管理措置（個人情報の取扱目
的、個人情報の種類、規模、範囲及びセンシティブ度、移転の数量及び頻度、個人情報移転及び域外受領者の保存期間等個人情報に安全リスクをもたらす事項を総合的に考慮する。
）を講じていることを確保する。
（例えばパスワードをかける、匿名化、非標識化、アクセス制御等の技術及び管理
措置）（六） 域外受領者の要望により、域外受領者に対して関連法律法規及び技術標準の副本を提供すること。
（七） 監督管理機関による域外受領者の個人情報取扱活動に関する照会に対して回答すること。
（八） 関連法律法規に従い、域外受領者に提供する予定の個人情報活動に対して個人情報保護影響アセスメントを実施する。重点的に以下の事項をアセスメントする。
1． 個人情報取扱者と域外受領者の個人情報の取扱目的、範囲、方法等の適法性、正当性、必要性。
2． 域外提供する個人情報の規模、範囲、種類、センシティブ度、及び個人情報の域
外提供により個人情報の権益に与えるリスク。
3． 域外受領者が承諾する責任・義務、並びに責任・義務の管理及び技術措置、能力等の履行が個人情報域外提供の安全を保障することができるか否か。
4． 個人情報の域外提供後、改ざん、破壊、漏洩、紛失、違法利用等のリスク。個人
が個人情報権益を維持するルートがスムーズであるか否か等。
5． 本契約四条の定めに従い、現地の個人情報保護政策と法令が本契約の条項を遵守することに与える影響を評価すること。
6． その他個人情報の域外提供の安全に影響を与える事項。
個人情報保護の影響アセスメント報告は少なくとも 3 年間保存する。
（九） 個人情報主体の要求に従い、個人情報主体に対して本契約の副本を提供すること。
営業秘密又はその他の機密情報にかかわる場合、個人情報主体が契約の内容に対する理解を妨げない前提で、本契約の副本の関連内容に対して適宜黒塗りをすることができる。
（十） 本契約の義務が履行されたことを証明する立証責任を担うこと。
（十一） 関連法律法規の要求に従い、監督管理機関に対して三条（十一）項に列記する情報を提供すること。これにはすべての監査結果を含む。
第三条 域外受領者の義務
9域外受領者は以下に掲げる義務を履行しなければならない。
（一） 別紙一「個人情報の域外提供に関する説明」に記載する内容に従い個人情報を取扱うこと。約定する取扱目的、取扱方法及び取扱う個人情報の種類を超えて、個人情報主体の同意を得て個人情報を取扱う場合、事前に個人情報主体の単独同意を得なければならない。十四歳未満の未成年の個人情報に関わる場合、未成年の父母又はその他の後見人の単独同意を取得しなければならない。
（二） 個人情報取扱事業者の委託を受けて個人情報を取扱う場合、個人情報取扱事業者との約定に従い個人情報を取扱い、個人情報取扱事業者との約定する取扱目的、取扱方法等を超えて個人情報を取扱ってはならない。
（三） 個人情報主体の要求に従い、個人情報主体に対して本契約の副本を提供すること。
営業秘密又はその他の機密情報にかかわる場合、個人情報主体が契約の内容に対する理解を妨げない前提で、本契約の副本の関連内容に対して適宜黒塗りをすることができる。
（四） 個人権益に与える影響が最小の方法で個人情報を取扱う。
（五） 個人情報の保存期限は取扱目的を実現する最短期限とすること。保存期限を超過した場合、個人情報を削除しなければならない。個人情報取扱者から個人情報の取扱
いの委託を受ける際、委託契約の効力が未発生、無効、取消された又は終了した場
合、個人情報を個人情報取扱者に返還し、又は削除しなければならない。個人情報の削除が技術的に実現が難しい場合、保存及び必要な安全保護措置以外の取扱いを停止しなければならない。
（六） 以下の方法により個人情報の取扱いの安全を保障すること。
1． 本契約二条（四）項に定める技術及び管理措置を講ずることを含むがそれらに限らない。かつ、定期的に検査し、個人情報の安全を確保する。
2． 授権を得て個人情報を取扱う人員が秘密保持義務を履行し、かつ最小の授権によるアクセス制御権限を構築することを確保する。
（七） 取扱う個人情報に改ざん、破壊、漏えい、紛失、違法利用、授権を得ていない提供
又はアクセスが発生した場合、以下の措置を講ずること。
1． 個人情報主体への不利な影響を軽減するため、速やかに適切な挽回措置を講ずる。
2． 個人情報取扱者に速やかに通知し、かつ関連法律法規の要求に従い監督管理機
構に報告する。通知する内容には以下が含まれる。
（1） 改ざん、破壊、漏えい、紛失、違法利用、授権を得ていない提供又はア
クセスが発生した個人情報の種類、原因及び発生しうる危害。
（2） すでに講じた挽回措置。
（3） 個人情報主体で講じることができる危害を軽減する措置。
（4） 関連状況の処理を担当する責任者及びチームの連絡方法。
10

3． 関連法律法規の規定に従い個人情報主体に通知する場合、通知内容は前項の内容を含む。個人情報取扱者の委託を受けて個人情報を取扱う場合、個人情報取扱者から個人情報主体に通知する。
4． 改ざん、破壊、漏えい、紛失、違法利用、授権を得ていない提供又はアクセスが発生し、又は発生する可能性のあるすべての事実を記録及び保存し、講ずるすべての挽回措置をも含む。
（八） 以下の要求のいずれをも満たす場合、中華人民共和国域外の第三者に個人情報を提供することができる。
1． 確実に業務上の必要があること。
2． 個人情報主体に当該第三者の名称及び氏名、連絡方法、取扱目的、取扱方法、個人情報種類、保存期間及び個人情報主体の権利の行使の方法及びプロセスの事項を告知していること。第三者に対してセンシティブ個人情報を提供する場合、個人情報主体に対してセンシティブ個人情報を移転することの必要性及び個人権益に対する影響を告知すること。ただし、法律、行政法規の定めにより告知が必要でない場合を除く。
3． 個人の同意に基づき個人情報を取扱う場合、個人情報主体の単独の同意を得なければならない。十四歳未満の未成年の個人情報に関わる場合、未成年の父母又はその他の後見人の単独同意を取得しなければならない。法律、行政法規において書面同意が必要の場合、書面の同意を取得しなければならない。
4． 第三者と書面による契約を締結することで、第三者の個人情報の個人情報取扱
活動が中華人民共和国の関連法律法規に定める個人情報保護の水準に達することを確保し、かつ中華人民共和国域外の第三者への提供により個人情報主体に生じうる損害に対して責任を負う。
5． 個人情報主体の要求に従い、個人情報主体に対して本契約の副本を提供すること。営業秘密又はその他の機密情報にかかわる場合、個人情報主体が契約の内容に対する理解を妨げない前提で、本契約の副本の関連内容に対して適宜黒塗りをすることができる。
（九） 個人情報取扱者の委託を受けて個人情報を取扱う場合において、第三者に取扱いを再委託する場合、事前に個人情報取扱者の同意を得ること。再委託を受ける第三者に対して本契約別紙一「個人情報の域外提供に関する説明」に約定する取扱目的、取扱方法等を超えない範囲で個人情報を取扱うことを要求し、かつ当該第三者の個
人情報取扱活動を監督すること。
（十） 個人情報を使用して自動化判断を行う場合、判断の透明性及び結果の公平、公正を保証し、個人情報主体に対する取引価格等取引条件において、不合理な差別待遇を行わないことを保証すること。自動意思決定方法で個人に対して情報発信、マーケ
ティング営業を発信する場合、当該者の特徴に特化しない項目を提供し、又は個人
11

情報主体に対して便利な拒絶方法を提供すること。
（十一） 本契約の義務への遵守に必要とするすべての情報を個人情報取扱者に提供し、個人情報取扱者がデータ書類又はファイルへの閲覧を許可し、又は本契約のカバーする取扱活動に対する監査を許可すること。又は本契約のカバーする取扱活動に対して監査を行い、個人情報取扱者が実施する監査対して便利を図ることを承諾する。
（十二） 個人情報取扱活動に対して客観的な記録を残し、記録を最低 3 年間保存すること。
関連法律法規の定めに従い、直接又は個人情報取扱者を通して監督管理機構に関連記録書類を提供すること。
（十三） 本契約の実施過程において監督管理機構からの管理監督を受けることに同意すること。これには監督管理局のヒヤリングへの回答、管理監督機構の検査に協力し、管理監督機構の講ずる措置又は下した決定に服従し、かつ必要となる行動を講じる書面証明を提供することを含むがそれらに限らない。
第四条 域外受領者の所在国又は地域の個人情報保護の政策及び法令が本契約履行に与える影響（一） 双方は、本契約の締結時に、合理的な注意義務を尽くし、域外受領者の所在国又は地域の個人情報保護の政策及び法令（個人情報を提供する要求、又は公的機関が個
人情報にアクセスすることを許可する規定を含むがそれらに限らない。
）が域外受領者の本契約の義務の履行に影響を与えていないことを保証する。
（二） 双方は、四条（一）項に定める保証を行う場合、以下の要素を考慮してアセスメン
トを行っている。
1． 域外提供の具体的状況、次の内容が含まれる。個人情報取扱目的、移転する個人情報の種類、規模、範囲及びセンシティブ度、移転の規模及び頻度、個人情報移転及び域外受領者の保存期限、域外受領者がこれまでの類似する個人情報域外
提供の移転及び取扱いに関する経験、域外受領者においてかつて個人情報安全関連事件が発生し及び速やかな有効的な処置を講じているか、域外受領者がその所在する国又は地域の公共機構から個人情報の提供を受けたことがあるか及び域外受領者としての対応の状況。
2． 域外受領者の所在する国又は地域の個人情報保護政策及び法令には以下の要素が含まれる。
（1） 当該国又は地域において、現行の個人情報保護法律法規及び一般的に適用する標準の状況。
（2） 当該国又は地域が加入する地域又はグローバルな個人情報保護に関する組織、及び拘束力を有する国際的承諾。
（3） 当該国又は地域における個人情報保護の体制の実施、個人情報を保護す
12

る監督執行機構及び関連司法機関等を有するか否か。
3． 域外受領者の安全管理制度と技術手段による保障能力。
（三） 域外受領者は、四条（二）項に従いアセスメントを実施する場合、最大の努力を尽くして、個人情報取扱者に対して必要とする関連情報を提供したことを保証する。
（四） 双方は、四条（二）項に従い行ったアセスメントのプロセス及び結果を記録するものとする。
（五） 域外受領者の所在する国又は地域の個人情報保護政策及び法令に変化が生じること（域外受領者の所在する国家又は地域の法律が変更され、又は強制的な措置を講じる場合を含む。）により、域外受領者が本契約を履行できない場合、域外受領者は上記の変化を知った後、直ちに個人情報取扱者に通知するものとする。
（六） 域外受領者は、所在する国又は地域の政府部門、司法機関から本契約における個人情報の要求の提供を受領した場合、直ちに個人情報取扱者に通知するものとする。
第五条 個人情報主体の権利
双方は、個人情報主体が本契約書上の第三者受益者として、以下に掲げる権利を有することに合意する。
（一） 個人情報主体は、関連法律法規の定めに従い、その個人情報の取扱いに対して知る
権利、決定する権利、他人がその個人情報を取扱うことを制限又は拒絶する権利を有し、その個人情報に対する閲覧、複製、訂正、補充及び削除の権利を有し、その個人情報取扱規則について解釈説明を求める権利を有する。
（二） 個人情報主体が域外提供した個人情報に対して上記の権利の履行を求める場合、個人情報主体は、個人情報取扱者が適切な措置を講じて実現するように請求し、又は域外受領者に対して直接請求することができる。個人情報取扱者が実現できない場
合、域外受領者に通知するとともに、実現するように協力を求めるものとする。
（三） 域外受領者は、個人情報取扱者の通知に従い、又は個人情報主体の求めに従い、合理的な期限内に、個人情報主体の関連法律法規に基づき享有する権利を実現するものとする。
域外受領者は、顕著な方法、分かりやすい言語を以て、個人情報主体に対して誠実、
正確、完全な関連情報を告知するものとする。
（四） 域外受領者が個人情報主体の請求を拒絶する場合、個人情報主体にその拒絶の理由を告知するとともに、個人情報主体が関連管理監督機関に苦情を申し立て、司法救済を求めるためのルートを告知しなければならない。
（五） 個人情報主体は、本契約の第三者受益者として個人情報取扱者及び域外受領者のいずれの一方に対しても本契約における個人情報権利に関する以下の条項を主張し、かつ履行を求める権利を有する。
1． 二条。但し、二条（五）項、
（六）項、
（七）項、
（十一）項を除く。
13

2． 三条。但し、三条（七）項 2 号及び 4 号、（九）項、（十一）項、（十二）項、（十三）項を除く。
3． 四条。但し、四条（五）項、（六）項を除く。
4． 五条
5． 六条。
6． 八条（二）項、（三）項。
7． 九条（五）項。
前述の約定は個人情報主体が「中華人民共和国個人情報保護法」に従い享有する権益に影響を与えない。
第六条 救済（一） 域外受領者は、担当者を定め、個人情報の取扱に関する問合せ又はクレームに回答
し、かつ速やかに個人情報主体のいかなる問合せ又はクレームに対応することを授権する。域外受領者は、担当者を個人情報取扱者に通知し、かつ簡潔かつ分かりやすい方法で単独通知し又はそのウェブサイトで公告することで、個人情報主体に当該担当者の情報を告知する。具体的な情報は次のとおりである。
担当者及び連絡方法（電話番号又は電子メール）（二） 双方は、個人情報主体と一方当事者の間で本契約に関して紛争があった場合、相手方に通知し、かつ協力して紛争を解決するものとする。
（三） 紛争が友好的に解決できず、個人情報主体が五条定めに従い第三者受益者としての権利を行使する場合、域外受領者は、個人情報主体の以下方法で権利を守ることを受け入れる。
1． 管理監督機構に対する苦情申立て。
2． 九条（五）項に定める裁判所に対する訴訟の提起。
（四） 双方は、個人情報主体が本契約に関する紛争について、第三者受益者の権利を行使するにあたり、個人情報主体が中華人民共和国の関連法律法規の適用を選択した場
合、当該選択に準じる。
（五） 双方は、個人情報主体が本契約に関する紛争について、第三者受益者の権利を行使する場合、個人情報主体が「中華人民共和国民事訴訟法」に基づき、管轄権の有する人民法院に訴訟を提起することができることに同意する。
（六） 双方は、個人情報主体が行う権利保護の行為が個人情報主体のその他の法律法規に基づき権利救済を求める権利を減少しないことに同意する。
第七条 契約の解除（一） 域外受領者が本契約の定める義務に違反した場合、又は域外受領者の所在する国又は地域の個人情報保護政策及び法令に変更があり、域外受領者が本契約を履行でき
14

ない場合、違約行為が是正されるまで、又は契約が解除されるまで、個人情報取扱者は域外受領者に対する個人情報の移転を中止することができる。
（二） 個人情報取扱者は、以下に掲げるいずれかが発生した場合、本契約を解除し、かつ必要に応じて管理監督機関に通知することができる。
1． 個人情報取扱者が七条（一）項の定めに基づく域外受領者に対する個人情報の移転の中止期間が 1 か月を超える場合。
2． 域外受領者が本契約を遵守することによりその所在する国の法律の定めに違反する場合。
3． 域外受領者が著しく又は継続的に本契約の定める義務に違反する場合。
4． 域外受領者の主管裁判所又は監督管理機関が下した上訴できない終局的な決定に基づき、域外受領者又は個人情報取扱者が本契約の規定に違反した場合。
上記 1、2 又は 4 号に定める状況において、域外受領者は本契約を解除することができる。
（三） 双方の合意により本契約を解除する場合、契約の解除により個人情報取扱における個人情報保護の義務が免除されるものではない。
（四） 契約が解除された場合、域外受領者は速やかに本契約に基づき受領した個人情報を返還し、又は本契約に基づき受領した個人情報（すべてのバックアップを含む。
）を削除し、かつ個人情報取扱者に書面による説明を提供するものとする。個人情報の削除が技術的に実現するのが難しい場合、保管及び必要とする安全保護措置を除く
取扱いを停止するものとする。
第八条 違約責任（一） 双方は、本契約に違反したことで相手方に与えたいかなる損害についても、相手方に対して責任を負うものとする。
（二） いかなる一方が本契約の違反により、個人情報主体の享有する権利を侵害した場合、個人情報主体に対して民事の法的責任を負うものとする。これは関連法律法規において個人情報取扱者が負担すべき行政、刑事などの法的責任に影響するものではない。
（三） 個人情報取扱者及び域外受領者が本契約に違反したことで個人情報主体に及ぼした物的又は非物的損害に対して共同で責任を負う場合、個人情報取扱者及び域外提供
受領者は個人情報主体に対して連帯責任を負うものとする。
（四） 双方が法に従い連帯責任を負う場合、個人情報主体はいかなる一方当事者又は双方に対して責任の負担の請求をする権利を有する。一方当事者がその本来負うべき責
任割合を超過した場合、他方当事者に対して求償する権利を有する。
第九条 その他
15

（一） 本契約が双方の締結するその他のいかなる法的書類と抵触する場合においても、本契約の条項が優先的に適用される。
（二） 本契約の成立、効力、履行、解釈、本契約により生じる双方間のいかなる紛争には
中華人民共和国の関連法律法規を適用する。
（三） 発送する通知は、電子メール、電報、ファックス、テレックス（航空郵便物で送付し、副本を確認する）、又は空港書留郵便で速やかに発送し又は（具体的な住所）まで送付し、若しくは書面で当該住所に代わるその他の住所まで通知する。空港書留便で本契約における通知又は通信を送付する場合、消印日付後の日目を受領日とし、電子メール、電報、ファックス、テレックスで発送する場合、発送後営業日を受領とする。
（四） 双方が本契約に起因して生じた紛争及びいずれか一方が先行して個人情報主体に対して損害賠償責任を負って他方に求償した場合、双方において協議して解決するものとする。協議しても解決に至らなかった場合、いかなる一方も以下の方法により解決するものとする（仲裁を選択する場合、仲裁機関に印をつける。
）。
1． 仲裁。当該紛争を以下に申し立てる。
□中国国際経済貿易仲裁委員会□中国海事仲裁委員会□北京仲裁委員会（北京国際仲裁センター）□上海国際仲裁センター□その他「外国仲裁裁決の承認及び執行に関する条約」の加盟国の仲裁機関
その時点で有効な仲裁規則に従い（仲裁場所）において仲裁を行う。

2． 訴訟。法に従い、中華人民共和国において管轄権を有する人民法院に訴訟を提起するものとする。
（五） 本契約は、関連法律法規の定めに従い解釈されるものであり、関連法律法規の定める権利、義務に抵触するような方法で本契約を解釈してはならない。
（六） 本契約は、正本一式部作成し、双方がそれぞれ部保持し、いずれも同等の法的効力を有する。本契約は（場所）において締結する。

個人情報取扱者
年

月

日

域外受領者
年

月

日
16

別紙一
個人情報の域外提供に関する説明
本契約に基づき、域外に対して提供する個人情報の詳細な約定を以下のとおり行う。
（一） 取扱目的（二） 取扱方法（三） 域外提供する個人情報の規模：（四） 域外提供する個人情報の種類（GB/T35273「情報安全技術 個人情報安全規範」及び関連標準を参照する。）（五） 域外提供するセンシティブ個人情報の種類（GB/T35273「情報安全技術

個人情報安全規範」及び関連標準を参照する。
）（六） 域外受領者が移転する個人情報は以下の中華人民共和国域外の第三者のみに提供する（適用する場合。）。
（七） 移転方法（八） 域外提供後の保存期間：（年月日から年月日）（九） 域外提供後の保存場所：（十） その他の事項（状況により記入する。
）

17

別紙二
双方の約定するその他の条項（ある場合）

18

別紙 5

個人情報保護影響アセスメント報告（雛型）（域外提供版）

個人情報取扱者名称：
年

月

19

（押印）
日

一、アセスメント業務概要
アセスメント業務の展開状況であり、これには開始時間及び終了時間、組織状況、実施過程、実際方法等の内容が含まれる。第三者機関がアセスメントに参加する場合、第三者機関の基本状況及びアセスメントに参加する状況を説明する必要があり、かつ関連資料において第三者機関の押印を必要とする。
二、域外提供活動の全体的状況
個人情報取扱者の基本状況、個人情報の域外提供にかかわる業務及び情報システム、域外提供する個人情報の状況、個人情報取扱者の個人情報保護能力の状況、域外受領者の状況、第三者に対して個人情報を提供するか否か及び標準契約書の各条項の実施状況の確保等について詳細に説明する。次に掲げる事項を含むがそれらに限らない。
（一）個人情報取扱者の基本状況
1． 組織又は個人の基本情報
2． 株式構成及び実質支配者の情報
3． 組織構成に関する情報
4． 個人情報保護機構に関する情報
5． 全体的な業務状況と個人情報状況
6． 域内域外投資状況（二）個人情報域外提供にかかわる業務及び情報システムの状況
1． 個人情報域外提供にかかわる業務の基本状況
2． 個人情報域外提供にかかわる業務の個人情報取得、使用状況
3． 個人情報域外提供にかかわる業務の情報システム状況
4． 個人情報域外提供にかかわるデータセンター（クラウドサービスを含む）の状況
5． 個人情報域外提供ルートに関連する状況（三）域外提供予定の個人情報
1． 個人情報取扱者と域外受領者が個人情報を取扱う目的、範囲、方法、及びその適法性、正当性及び必要性について説明する。
2． 域外提供する個人情報の規模、範囲、種類、センシティブ度、センシティブ個人情報の取扱い及び個人情報を利用して自動化判断を行う状況について説明する。
3． 域外提供を予定する個人情報が域内において保存するシステムプラットホーム、データセンター等の状況、域外提供後に保存されるシステムプラットホーム、データセンター等
4． 個人情報の域外提供後、域外のその他の受領者に提供する状況

20

（四）個人情報取扱者の個人情報を保護する能力について
1． 個人情報安全管理能力、管理組織体制及び制度の構築状況、全プロセス管理、応急処置、個人情報権益保護などの制度及び実施状況を含む。
2． 個人情報安全技術能力、個人情報取得、保存、使用、加工、移転、提供、公開、削除等全プロセスにおいて採用される安全技術措置等を含む。
3． 個人情報保護措置の有効性の証明、例えば、個人情報保護認証、個人情報保護コン
プライアンス監査、インターネット安全等級保護測定等の実施状況。
4． 個人情報保護関連法律法規の遵守状況。
（五）域外受領者の状況
1． 域外受領者の基本状況
2． 域外受領者の個人情報の取扱い用途、方法
3． 域外受領者の個人情報の個人情報保護能力
4． 域外受領者の所在国又は地域の個人情報保護政策、法令状況
5． 域外受領者が個人情報を取扱う全プロセスに対する記載（六）個人情報取扱者において説明が必要と判断するその他の状況
三、予定する域外提供活動の影響アセスメント
以下に掲げる事項について逐一影響アセスメント状況を説明し、アセスメントにおいて発覚した問題及び隠れたリスク、及びこれに対応して採用した是正措置及び是正効果について重点的に説明する。
（一） 個人情報取扱者及び域外受領者が個人情報を取扱う目的、範囲、方法、及びその適法性、正当性及び必要性（二） 域外提供する個人情報の規模、範囲、種類、センシティブ度、個人情報の域外提供
が個人情報権益にきたす可能性のあるリスク（三） 域外受領者が承諾した義務の負担及び義務の履行に対する管理及び技術措置、能力等が個人情報の域外提供の安全を保障できるか（四） 個人情報の域外提供により改ざん、破壊、漏えい、紛失、違法利用等のリスクに遭遇した場合、個人情報の権益を保護するルートがスムーズであるか等（五） 域外受領者の所在国又は地域の個人情報保護政策及び法令が標準契約の履行に対して与える影響（六） その他個人情報の域外提供の安全性に影響を与える事項
四、域外提供活動の影響アセスメントの結論
以上の影響アセスメント状況及び関連是正状況に鑑みて個人情報域外提供活動に対して21

客観的なアセスメント結論を下し、結論を下した理由及び根拠について十分な説明を行う。

22