野村資本市場クォータリー 2022 Winter

金融・証券規制●●●

米国の外国企業説明責任法と中国におけるデータ統制－求められる国際的に自由なデータ流通の確保－
板津 直孝▮ 要 約 ▮
1.

中国当局は、中国の配車大手の滴滴出行（ディディチューシン）が、2021 年 6月にニューヨーク証券取引所に上場した数日後の 2021 年 7 月に、サイバーセ
キュリティ審査を実施すると公表した。同社が保有するデータが、海外上場に伴い国外に持ち出され、米国政府へ提供されるなどの国家安全保障上のリスクを審査するためである。

2.

データの重要性が強く認識されることで、中国政府は、越境データの流通を制限する「データローカライゼーション規制」を強化し始めている。中国では、2017 年 6 月に施行された「サイバーセキュリティ法」に続き、今後のデータセ
キュリティ管理体制の柱になると思われる「データセキュリティ法」及び「個人情報保護法」が 2021 年に相次いで公布された。

3.

中国がデータ統制の強化を速める背景のひとつには、米国の上下両院が 2020 年
12 月に可決した「外国企業説明責任法」がある。米国証券取引委員会（SEC）に登録する証券を発行する外国企業を監査する監査法人等が、米国公開会社会
計監視委員会（PCAOB）の検査を 3 年連続で受け入れなかった場合、米国のすべての証券取引所で、当該発行体の証券の取引が禁止される。米国で上場している中国企業を監査している中国の監査法人等は、中国当局の見解に基づき、
PCAOB による検査の実施をこれまで拒否し続けている。

4.

今後、米国における中国企業の証券取引禁止の執行懸念もあるが、より大きな問題は、デジタル経済の分断を引き起こすことが懸念されている、中国のデー
タローカライゼーション規制の強化にある。中国は 2021 年 9 月に「環太平洋パートナーシップに関する包括的及び先進的な協定（CPTPP）」への加盟を申請した。加盟国はそこでの交渉などを通じて、中国に対して、国際的に自由なデータ流通を促すことが重要である。

野村資本市場研究所 関連論文等
・板津直孝「データローカライゼーション規制とデジタル経済の分断―強化される越境データの流通制限―」『野村資本市場クォータリー』2021 年秋号。
・関志雄「中国における民営企業への規制強化－アントグループとディディの事例を中心に－」『野村資本市場クォータリー』2021 年秋号。

64

米国の外国企業説明責任法と中国におけるデータ統制 －求められる国際的に自由なデータ流通の確保－

Ⅰ 中国の海外上場企業に対するデータ統制の動向
中国共産党中央弁公庁と国務院弁公庁は、2021 年 7 月 6 日、「法に基づき証券違法行為
を厳重に取り締まる意見」を公表した1。同意見では、中国企業が保有するデータの越境
移転を監視するとともに、中国の証券法を域外適用するための制度を整備し、中国企業の海外上場の規制を強化する措置を講じることを示している。具体的な措置としては、デー
タセキュリティ、越境データの流通、機密情報の管理などに関する規定を整備する。機密保持と記録の管理を強化する規定を速やかに改定するとともに、国外で上場する中国企業に対して情報の安全性についての主体的な責任を負わせ、国境を越えた情報提供メカニズ
ムとプロセスの規範管理を強化するとしている。
同意見の方針の実施に資するものとして最初に注目されたのが、国家インターネット情報弁公室（CAC）が 2021 年 7 月 10 日に公表した、「サイバーセキュリティ審査弁法（网络安全审查办法）」の改正案である。CAC は、同審査弁法の改正に先立って、中国の配車大手の滴滴出行（ディディチューシン）が、2021 年 6 月 30 日にニューヨーク証券取引所に上場した数日後の 2021 年 7 月 2 日に、サイバーセキュリティ審査を実施すると公表していた2。同社が保有するデータが、海外上場に伴い国外に持ち出され、米国政府へ提供されるなどの国家安全保障上のリスクを審査するためである。
中国政府が国外で上場する中国企業に対してもデータ統制を講じる背景には、データの主権を巡る膨大なデータの自国内への囲い込みによる、データセキュリティ管理体制の強化がある。
グローバリゼーションと歩調を合わせたデジタル経済の進展は目覚ましく、国境を越えて移動するデータ量が急速に増大している。個人や企業間でグローバルに流通するデータは、巨大で複雑なビッグデータを形成するまでになった。データの共有や収集の規模が劇的に拡大することで、グローバルなデータ処理が急速に進んでいる。電子的に処理可能な
ビッグデータや人工知能（AI）による分析の根幹となるのがデータであり、データの活用は生産性向上や新たな企業価値の創造に繋がり、経済成長の原動力になることが期待されている。
これまで見過ごされてきたデータの重要性が強く認識されることで、中国政府は、越境
データの流通を制限する「データローカライゼーション（Data Localization）規制」を強化し始めている。要請レベルが最も高いデータローカライゼーション規制では、データを国内に保存することを要請するとともに、データフローに制限があり、データの国外での処理及び保存に対して一定の制限がある3。
調査会社 TS ロンバードは、「データの主権を巡る争いは始まっており、中国は既に体制を整えている。世界各国の政府が、データの重要性と、民間企業等に対するデータの生1

2
3

中共中央办公厅 国务院办公厅印发「关于依法从严打击证券违法活动的意见」2021 年 7 月 6 日。JETRO「中国企業の国外上場への管理強化、域外適⽤のための法規整備」2021 年 7⽉12 日。
The Jamestown Foundation, “Rapidly Implementing a Chinese Data Security Regime,” July 16, 2021.
OECD, “Trade and cross-border data flows,” December 21, 2018.

65

野村資本市場クォータリー 2022 Winter

成と流通を管理する規制の必要性を認識しているのは明白だ」と述べた4。データローカ
ライゼーション規制は、国境を越えるデータの流れに根本的な影響を与え、グローバルな
情報流通を滞らせることから、デジタル経済の分断を引き起こすことが懸念されている。
中国では、今後のデータセキュリティ管理体制の柱になると思われる法律が、2021 年に相次いで公布されている。中国がデータ統制の強化を速めるもうひとつの背景には、米国の連邦議会上下両院が 2020 年 12月 18 日に可決した、「外国企業説明責任法」5がある。
本稿では、中国において相次いで公布されているデータローカライゼーション規制を整理し、中国での越境データの流通制限の現状と、米国で整備が進む、米国で上場している
中国企業の監査に対する監督強化の動向を合わせて概説する。

Ⅱ 中国におけるデータローカライゼーション規制の動向
１．データセキュリティ管理体制の 3 つの柱
データローカライゼーション規制に対して、国際的に関心を集める切っ掛けとなったのが、中国が 2017 年 6 月に施行した「サイバーセキュリティ法」6である。同法が施行されて以降、関連する CAC が制定する実施規定や、国家標準化管理委員会（SAC）が制定する国家標準等が続々と公布されている。しかし、それらの多くが長期に亘ってパブリック
コメントの段階の意見募集稿であり、サイバーセキュリティ法の具体的な解釈については、
現状では明確性を欠いている。
これらの実施規定等が意見募集稿の段階である状況において、中国の全国人民代表大会
常務委員会は、サイバーセキュリティ法に続き、今後の中国におけるデータセキュリティ
管理体制の柱になると思われる法律を相次いで成立させた。同委員会は、2021 年 6 月 10日、「データセキュリティ法」7を可決成立させ、2021 年 9 月 1 日から施行した。2021 年
8 月 20 日には「個人情報保護法」8が成立し、2021 年 11 月 1 日から施行された。

２．サイバーセキュリティ法
サイバーセキュリティ法第 37 条では、データローカライゼーション規制を定めている。
重要情報インフラストラクチャーの運営者が中国国内での運営において収集及び生成した

4

5
6

7

8

66

Tony Munroe and Kevin Yao, “China Steps up Supervision of Overseas-Listed Firms after Didi IPO Drama,” Reuters, July
6, 2021.
Congress.Gov, “Holding Foreign Companies Accountable Act,” December 18, 2020.
全国人民代表大会「网络安全法」2016 年 11 月 7 日。中国日本商会「中華人民共和国サイバーセキュリティ法」
2017 年。
全国人民代表大会「数据安全法」2021 年 6 月 10 日。Covington, “Data Security Law of the People’s Republic ofChina,” June 11, 2021.
全国人民代表大会「个人信息保护法」2021 年 8 月 20 日。Stanford, “Personal Information Protection Law of thePeople's Republic of China,” August 20, 2021.

米国の外国企業説明責任法と中国におけるデータ統制 －求められる国際的に自由なデータ流通の確保－

個人情報及び重要データは、国内で保存しなければならない。同法では、データローカラ
イゼーション規制の対象事業者として重要情報インフラストラクチャーの運営者を、対象データとして個人情報及び重要データを特定している。
サイバーセキュリティ法では、業務の必要性により対象データを国外へ移転する必要のある場合には、国家ネットワーク情報部門が国務院の関係機関と共同して制定する行政上の規則である弁法に従い、安全評価を行わなければならず、安全評価を行う義務がある主
体を、重要情報インフラストラクチャーの運営者に限定している。一方で、CAC が 2017
年 4 月に公表した「個人情報及び重要データ越境移転セキュリティ評価弁法」（意見募集稿）9では、安全評価義務を履行しなければならない主体を、すべてのネットワーク運営者に拡大している。
同評価弁法は、個人情報と重要データの越境移転に関して統一的に規定しているが、CAC はまた、2019 年に独立した弁法である、「データセキュリティ管理弁法」（意見募集稿）10及び「個人情報越境移転セキュリティ評価弁法」（意見募集稿）11を別々に公表している。
サイバーセキュリティ法の具体的な内容は、未だ不明確な点が多いが、意見募集稿等を参照することで、規制の対象となる事業者及びデータの範囲について、おおよその推察をつけることができる。
１）データの越境移転
サイバーセキュリティ法ではデータの越境移転について一定の制限を定めているが、どのような行為が越境移転に該当するのかについては、明文の規定はない。CAC が2017 年 8 月 30 日に公表した、「情報セキュリティ技術

データ越境移転セキュリ

ティ評価ガイドライン」（意見募集稿）12では、データの越境移転について詳しく定義している（図表 1）。
データの越境移転の定義としては、ネットワーク運営者がネットワーク等の方式により、中国国内での運営において収集・生成した個人情報及び重要データを、直接に業務、サービス、製品の提供等の方法を通じて、中国国外の機構、組織又は個人に対して提供する 1 回限り又は継続的な活動をいう（第 3 条 7 項）。

CAC「个人信息和重要数据出境安全评估办法」2017 年 4 月 11 日。Covington, “China Seeks Public Comments on
Draft Regulation on Cross-Border Data Transfer,” April 12, 2017.
10 CAC「数据安全管理办法」2019 年 5 月 28 日。Covington, “Measures for Data Security Management (Draft forComments),” May 28, 2019.
11 CAC「个人信息出境安全评估办法」2019 年 6 月 13 日。Covington, “Measures on Security Assessment of the Crossborder Transfer of Personal Information (Draft for comments),” June 13, 2019.
12 CAC「信息安全技术
数据出境安全评估指南」2017 年 8 月 30 日。
967野村資本市場クォータリー 2022 Winter

図表 1

データの越境移転



中国国内で、中国の司法管轄に属さず又は中国国内で登記されていない主体に対して、
個人情報及び重要データを提供する場合



データが中国国外に移転・保存されていないが、中国国外の機構、組織、個人がアクセスして閲覧できる場合（公開情報、Web へのアクセスを除く）



ネットワーク運営者のグループ内部のデータが、中国国内の運営において収集・生成した個人情報と重要データに関わるものであり、中国国内から国外に移転された場合（出所） CAC「信息安全技术 数据出境安全评估指南」2017 年 8 月 25 日及び経済産業省「平成 29 年度内
外一体の経済成長戦略構築にかかる国際経済調査事業（デジタル貿易に関連する規制等に係る調査）調査報告書」2018 年 2 月より野村資本市場研究所作成

２）対象事業者
サイバーセキュリティ法第 31 条では、重要情報インフラストラクチャーの運営者
を、公共通信・情報サービス、エネルギー、交通、水利、金融、公共サービス、電子
行政サービス等の重要な産業及び分野や、ひとたび機能の破壊、喪失又はデータの漏洩に遭遇した場合、国の安全と経済、国民の生活、公共の利益に重大な危害を及ぼす
恐れのあるその他の重要情報インフラストラクチャーの運営者と定義している。
CAC が 2017 年 7 月 11 日に公表した「重要情報インフラセキュリティ保護条例」（意見募集稿）13では、重要情報インフラを具体的に例示している（図表 2）。第 18条では、例示の組織が運営、管理しているネットワーク設備及び情報システムが、ひとたび機能の破壊、喪失又はデータの漏洩に遭遇し、国の安全と経済、国民の生活、公共の利益に危害を及ぼす可能性がある場合、重要情報インフラとして保護される範囲に含まなければならないと定めている。
図表 2

重要情報インフラの例示



政府機関及びエネルギー、金融、交通、水利、衛生医療、教育、社会保険、環境保全、公共事業等の業界及び分野の組織



電信ネットワーク、ラジオ・テレビネットワーク、インターネット等の情報ネットワー
ク並びにクラウドコンピューティング、ビッグデータその他大型公共情報ネットワーク
を提供する組織

国防科学技術工業、大型設備、化学工業、食品・薬品等の業界・分野の科学研究生産組織

ラジオ局、テレビ局、通信社等のニュース組織



その他の重要組織（出所） CAC「关键信息基础设施安全保护条例」2017 年 7 月 11 日及び Covington, “China Seeks Public
Comments on Draft Regulation on the Protection of Critical Information Infrastructure,” July 17, 2017 より
野村資本市場研究所作成

13

68

CAC「关键信息基础设施安全保护条例」2017 年 7 月 11 日。Covington, “China Seeks Public Comments on Draft
Regulation on the Protection of Critical Information Infrastructure,” July 17, 2017.

米国の外国企業説明責任法と中国におけるデータ統制 －求められる国際的に自由なデータ流通の確保－

しかし、国務院が 2021 年 8 月 17 日に公布した同条例14では、意見募集稿第 18 条の例示は削除された。同条例第 2 条では、本条例が定める重要情報インフラは、公共通
信・情報サービス、エネルギー、交通、水利、金融、公共サービス、電子政府、国防
科学技術工業等の重要な業界及び分野や、ひとたび機能の破壊、喪失又はデータの漏洩に遭遇した場合、国の安全と経済、国民の生活、公共の利益に重大な危害を及ぼす可能性のあるその他の重要なネットワーク施設、情報システム等を指すと定められた。
中国に進出している日本企業において、金融機関、運輸業、通信・情報サービス業
等は、重要情報インフラストラクチャーの運営者に該当する可能性が高い。金融機関が収集する顧客情報には、口座番号、クレジット情報、信用調査情報等の大量の顧客情報及び重要データが含まれている。ひとたび機能の破壊、喪失又はデータの漏洩に遭遇した場合には、重大な影響を及ぼす可能性がある。
日本を含む外国企業であっても重要情報インフラストラクチャーの運営者に該当する場合は、データローカライゼーション規制が適用される。中国国内で収集した個人情報及び重要データを業務の必要性により日本の本社に送信する場合には、国家ネッ
トワーク情報部門が国務院の関係機関と共同して今後制定する行政上の規則である弁法に従い、安全評価を行わなければならない。
３）対象データ
データローカライゼーション規制の対象となるデータは、個人情報及び重要データである。
サイバーセキュリティ法第 76 条では、個人情報とは、電子データその他の方式により記録され、単独又はその他の情報と組み合わせて自然人の個人身分を識別することができる各種情報をいう。これには、自然人の氏名、生年月日、身分証番号、個人の生物識別情報、住所、電話番号等を含むが、これらに限らないとしている。
重要データの定義については、サイバーセキュリティ法に明文の規定はない。「情報セキュリティ技術

データ越境移転セキュリティ評価ガイドライン」（意見募集稿）

では、付録 A「重要データ識別ガイド」において、産業毎の重要データの範囲を提示している。例えば、産業番号 A26 の「電子商取引」では、電子商取引記録及び企業経営データ等が重要データとして具体的に示されている（図表 3）。
データセキュリティ管理弁法（意見募集稿）第 38 条では、重要データとは、漏洩した場合に、国の安全保障、経済的安定、社会の安定、公衆衛生及び安全に直接影響を及ぼす可能性のあるデータであり、例えば、未公表の政府情報、大規模な人口動態に関する情報、遺伝的・健康関連の情報、地理情報、鉱物資源情報等とある。

14

国务院「关键信息基础设施安全保护条例」2021 年 8 月 17 日。Stanford, “Critical Information Infrastructure Security
Protection Regulations,” August 21, 2021.

69

野村資本市場クォータリー 2022 Winter

図表 3 A26「電子商取引」における重要データ


名前、性別、年齢、住所、婚姻、学歴、収入、口座、連絡先などの電子商取引プラットフォームの個人登録情報



会社名、住所、ライセンス番号、事業範囲、口座、連絡先などの 電子商取引プラットフォームの企業登録情報



取引記録、関連する個人の消費習慣や嗜好、事業運営データ



電子商取引当事者の信用履歴と信用評価情報



電子商取引プラットフォーム企業の運営データ



支払情報、融資情報、物流情報などの電子商取引関連のサービス情報

上記のデータを加工して生成された国の経済と国民の生活に関連する国又は地域の経済運営及び産業発展状況の統計分析報告（出所）CAC「数据安全管理办法」2019 年 5 月 28 日及び AppInChina, “Guidelines for Data Cross-Border
Transfer Security Assessment,” May 28, 2017 より野村資本市場研究所作成

４）法的責任サイバーセキュリティ法第 66 条では、重要情報インフラストラクチャーの運営者
が本法第 37 条の規定に違反して、国外でネットワークデータを保存する、又は国外にネットワークデータを提供した場合の法的責任を定めている。
所轄機関は、是正を命じ、警告を行い、違法所得を没収し、5 万元以上 50 万元以下の過料を科し、関連業務の一時停止、営業停止、ウェブサイトの閉鎖、関連の業務許可の取消し又は営業許可の取消しを命じることができる。直接責任を負う主管者及びその他直接の責任者に対しては、1 万元以上 10 万元以下の過料を科することができると定めている。

３．データセキュリティ法
データセキュリティ法は、第 4 条において、データセキュリティを確保するためには、国家全体の安全保障を堅持するとともに、データセキュリティ管理体制を確立し、データの安全保障能力を強化すべきであると定めている。同法は、中国の安全保障を堅持するための法令のひとつであるとともに、国家データセキュリティ戦略（第 5 条）及びデータ基盤の構築を強化するためのビッグデータ戦略（第 14 条）の実施おける関連法でもある。
同法は、中国企業が保有するデータの越境移転を監視するとともに、中国国外で行われるデータ処理に対しても責任を負わせる域外適用を定めていることから、外国企業にも影響を及ぼす。中国においてこれまで公布されたデータの越境移転関連規制の中でも、最も要請の厳しい規制のひとつとなっている。

70

米国の外国企業説明責任法と中国におけるデータ統制 －求められる国際的に自由なデータ流通の確保－

１）適用範囲データセキュリティ法は、中国国内における「データ処理活動」に適用される。
「データ」とは、電子的又はその他の形式で情報が記録されたものであり、「データ処理」とは、データの収集、保存、利用、加工、移転、提供、開示等と定義されている（第 3 条）。
域外適用については、中国国外で行われるデータ処理活動により、中国の国家安全、
公共利益又は公民、組織の合法的な権益を害した場合、法律に基づき責任を追及すると定め、同法が域外適用されることを明記している（第 2 条）。
２）データローカライゼーション規制
データセキュリティ法におけるデータローカライゼーション規制については、重要データの越境移転規制、データの輸出規制、司法手続きにおけるデータの越境移転規制がそれぞれ定められている（図表 4）。第 31 条では、重要情報インフラストラク
チャーの運営者に該当しなくても、今後成立する他の重要データの越境移転規制が、その他のデータ処理者に対して適用されることを明記している。サイバーセキュリ
ティ法と異なり、規制対象がその他のデータ処理者にまで拡大される予定であることから、企業は今後制定される重要データの越境移転規制に注視する必要がある。
重要データの具体的な定義については、データセキュリティ法成立時点においても未公表である。同法第 21 条では、各地区及び各部門は、当該地区、当該部門及び関連する産業や分野の重要データの具体的なリストを制定すると定めている。
図表 4

データセキュリティ法におけるデータローカライゼーション規制



重要データの越境移転規制（第 31 条）
重要情報インフラストラクチャーの運営者が、中国国内での運営中に収集、生成した重要データの越境移転については、「サイバーセキュリティ法」の規定が適用される。その他のデータ処理者が中国国内での運営中に収集、生成した重要データの越境移転について
は、国家ネットワーク情報部門と国務院の関連部門によって制定される規定による。



データの輸出規制（第 25 条）
国の安全及び利益の維持、国際義務の履行に関わる規制項目に該当するデータは、法律に基づき輸出規制を実施する。



司法手続きにおけるデータの越境移転規制（第 36 条）
中国の所轄機関は、関連する法律、中国が締結又は参加する国際条約及び協定、平等互恵の原則に基づき、外国の司法機関又は法執行機関によるデータの提供の要求を処理する。国内の組織及び個人は、中国の所轄機関の認可なしに、中国国内に保存されている
データを外国の司法機関又は法執行機関に提供してはならない。

（出所）全国人民代表大会「数据安全法」2021 年 6 月 10 日及び Covington, “Data Security Law of the People’s
Republic of China,” June 11, 2021 より野村資本市場研究所作成

71

野村資本市場クォータリー 2022 Winter３）法的責任
データセキュリティ法は、第 31 条及び第 36 条に違反し、国外にデータを提供した
場合の法的責任を定めている。
第 31 条に違反した場合、所轄機関は、是正を命じ、警告を行い、10 万元以上 100
万元以下の罰金を科すことができ、直接の責任者及びその他の直接の責任者に対して1 万元以上 10 万元以下の罰金を科すことができる。深刻な違反の場合、100 万元以上
1,000 万元以下の罰金を科し、関連業務の停止、営業停止、関連業務の許可又は営業の許可の取消しを命じることができ、直接の責任者及びその他の直接の責任者に対して 10 万元以上 100 万元以下の罰金を科すことができると定めている（第 46 条）。
第 36 条に違反した場合、所轄機関は、警告を行い、10 万元以上 100 万元以下の罰金を科すことができ、直接の責任者及びその他の直接の責任者に対して 1 万元以上 10万元以下の罰金を科すことができる。違反が重大な結果をもたらす場合、100 万元以
上 500 万元以下の罰金を科し、関連業務の停止、営業停止、関連業務の許可又は営業の許可の取消しを命じることができ、直接の責任者及びその他の直接の責任者に対して 5 万元以上 50 万元以下の罰金を科すことができると定めている（第 48 条）。

４．個人情報保護法
個人情報保護法は、2021 年 8 月に成立し 2021 年 11 月 1 日から施行され、中国としては初めての統一的な個人情報保護を定めた法律となる。同法は、消費者のプライバシーを重視するとともに、個人情報のデータローカライゼーション規制を強化している。サイバー
セキュリティ法第 37 条で定める重要情報インフラストラクチャーの運営者の他に、一定の個人情報取扱者も、データローカライゼーション規制の対象となる。個人情報取扱者とは、個人情報の取扱活動において、取扱目的及び取扱方法を自主的に決定する組織又は個人をいう（第 73 条）。
個人情報保護法の法的責任では、サイバーセキュリティ法やデータセキュリティ法と比較して、高額な罰金を定めている。
１）適用範囲
個人情報保護法は、中国国内における自然人の「個人情報を処理する活動」に適用される（第 3 条）。
「個人情報」とは、電子的又はその他の方式により記録され、識別された又は識別可能な自然人に関する各種情報であり、匿名化処理された情報を含まない。匿名化とは、特定の自然人を識別することができず、かつ、復元することができないように取り扱う個人情報の過程をいう（第 73 条）。「個人情報の処理」には、個人情報の収集、保管、利用、加工、移転、提供、開示等が含まれる（第 4 条）。
域外適用については、図表 5 のいずれの場合にも、中国国外において国内の自然人

72

米国の外国企業説明責任法と中国におけるデータ統制 －求められる国際的に自由なデータ流通の確保－

図表 5

個人情報保護法の域外適用



国内の自然人に製品又はサービスを提供することを目的とする場合



国内の自然人の行動の分析又は評価を行う場合

その他法令又は行政法規で定める場合（出所）全国人民代表大会「个人信息保护法」2021 年 8 月 20 日及び Stanford, “Personal Information Protection
Law of the People's Republic of China,” August 20, 2021 より野村資本市場研究所作成の個人情報を処理する活動について、同法が適用されることを明記している（第 3条）。したがって、日本を含む外国企業が電子商取引で、国境を越えて直接中国国内の消費者に商品やサービスを提供する場合も、同法の適用対象となる。
個人情報保護法の適用を受ける中国国外の個人情報取扱者は、中国国内において取扱う個人情報に関する事項を担当する専任の組織を設置するか、又は中国国内の代表者を指名し、当該組織の名称又は代表者の氏名、連絡方法等を個人情報保護の職務と責任を果たす部署に報告することが義務付けられている（第 53 条）。
２）データローカライゼーション規制
個人情報保護法におけるデータローカライゼーション規制は、「重要情報インフラ運営者」及び「取扱う個人情報が国家ネットワーク情報部門の規定する数量に達した
個人情報取扱者」、「その他の個人情報取扱者」によって要請内容が異なる。
重要情報インフラ運営者の定義は、前述のサイバーセキュリティ法第 31 条による。
取扱う個人情報が国家ネットワーク情報部門の規定する数量に達した個人情報取扱者については、個人情報保護法が成立した時点では、定義を定めた規定は公布されていない。個人情報及び重要データ越境移転セキュリティ評価弁法（意見募集稿）を参考にすると、50 万人以上の個人情報が含まれている又は累積されている場合、データの越境移転のセキュリティ評価を実施するとしている（第 9 条第 1 項）。
（１）重要情報インフラ運営者及び一定の数量に達した個人情報取扱者
個人情報保護法は、重要情報インフラ運営者及び取扱う個人情報が国家ネットワー
ク情報部門の規定する数量に達した個人情報取扱者に対しては、中国国内で収集し生成した個人情報の国内保存義務を課している。個人情報を越境移転する必要がある場
合は、国家ネットワーク情報部門による安全評価に合格しなければならないとしている（第 40 条）。
（２）一般の個人情報取扱者
上記（１）のいずれにも該当しない一般の個人情報取扱者に対しては、中国国内で収集し生成した個人情報の国内保存義務を課していない。業務上の必要性から、中国

73

野村資本市場クォータリー 2022 Winter

図表 6

個人情報の越境移転の条件



国家ネットワーク情報部門による安全評価に合格する。



国家ネットワーク情報部門の規定に基づく専門機関の個人情報保護認証を受ける。



国家ネットワーク情報部門が制定した標準契約に基づき、越境移転先と両当事者の権利と義務を規定した契約を締結する。



法律、行政法規又は国家ネットワーク情報部門が定めるその他の条件。

（出所）全国人民代表大会「个人信息保护法」2021 年 8 月 20 日及び Stanford, “Personal Information Protection
Law of the People's Republic of China,” August 20, 2021 より野村資本市場研究所作成

国外に個人情報を提供する必要がある場合は、第 38 条で定める以下のいずれかの条件を満たす必要がある（図表 6）。
３）法的責任個人情報保護法の法的責任では、サイバーセキュリティ法やデータセキュリティ法と比較して高額な罰金を定めており、同法に重大な違反をした場合は、5,000 万元以
下又は前年度売上高の 5％以下の罰金を科すとしている。欧州連合（EU）で 2018 年
5 月 25 日 に 施 行 さ れ た 「 一 般 デ ー タ 保 護 規 則 （GDPR、General Data Protection
Regulation）」とは異なり、個人情報保護法では前年度売上高が全世界売上高を指すのか、中国における売上高を指すのかを特定していない。
また、関連事業の停止又は是正のための事業の停止を命じ、関連する事業許可の取消又は事業許可の取消を所轄機関に通知することができるとしている（第 66 条）。

Ⅲ 懸念されるデジタル経済の分断と今後の課題
中国がデータローカライゼーション規制を強化する背景には、国家安全保障の強化がある。CAC が 2021 年 7 月 10 日に公表した「サイバーセキュリティ審査弁法」（改正草案意見募集稿）15第 10 条では、国家安全保障上のリスクを評価することに焦点を当てていると明記している。同意見募集稿では、具体的なリスク要因として、「核心データ、重要デー
タ又は大量の個人情報が窃取、漏洩、毀損若しくは不法に利用され、又は国外に持ち出されるリスク」と「国外上場後に、重要情報インフラ、核心データ、重要データ又は大量の個人情報が外国政府による影響を受け、制御され、悪用されるリスク」を特定している。
同意見募集稿では、国家安全法に加えて、前述したサイバーセキュリティ法及びデータ
セキュリティ法を上位法としており（第 1 条）、法に基づき証券違法行為を厳重に取り締まる意見に則した措置が講じられている。国外で上場する中国企業に対して、データセ

1574

CAC「网络安全审查办法」2021 年 7 月 10 日。Stanford, “Cybersecurity Review Measures (Revised, Draft forComment),” July 12, 2021.

米国の外国企業説明責任法と中国におけるデータ統制 －求められる国際的に自由なデータ流通の確保－

キュリティについての主体的な責任を負わせ、越境データの流通規制などに関する規定の整備が進められている。
前述の通り、中国がデータ統制の強化を急ぐ他の背景には、米国の連邦議会上下両院が2020 年 12 月 18 日に可決した、「外国企業説明責任法」がある。同法は、米国で上場する
外国企業に米国の会計監査基準の遵守を求めるものである。具体的には、米国証券取引委
員会（SEC）に登録する証券を発行する外国企業を監査する監査法人等が、米国公開会社
会計監視委員会（PCAOB）の検査を 3 年連続で受け入れなかった場合、米国のすべての証券取引所で、当該発行体の証券の取引が禁止される。
PCAOB は、SEC に登録する証券を発行する公開会社の監査を監視するために、2002 年
米国企業改革法（SOX 法、Sarbanes-Oxley Act）に基づき設立された。その目的は、投資家を保護し、有益で正確かつ独立した監査報告書の作成における公共の利益を促進するた
めに、公開企業の監査を監督することにある。したがって、公開企業の監査法人等は
PCAOB に登録することが求められ、PCAOB による定期的な検査が義務付けられている。
PCAOB が外国企業説明責任法に基づき、2021 年 5 月 13 日に公表した規則案（PCAOB
Rule 6100）16によると、PCAOB はこれまで、中国本土と香港の 2 つの管轄区域を除くすべての管轄区域で検査を行うことができている。80 以上の管轄区域の 830 以上の非米国監査法人等が、PCAOB に登録されている。これらの監査法人等のうち、40 以上の管轄区域に属する 200 社以上が、発行体を監査することを選択しているため、3 年ごとに PCAOBの検査を受けている。そして、PCAOB は、2021 年 6 月 30 日時点で、SOX 法及び PCAOB
規則に基づき検査の実施が義務付けられている管轄区域のうち、中国本土と香港の 2 つの管轄区域を除くすべての管轄区域で、PCAOB 登録監査法人等に対して検査を行うことができている（図表 7）。
図表 7

PCAOB による管轄区域での検査の状況（注）検査が実施できている管轄区域、 検査の実施が拒否されている管轄区域、（出所）PCAOB, “International,” June 30, 2021 より野村資本市場研究所作成
16

米国

PCAOB, “Proposed Rule Governing Board Determinations Under the Holding Foreign Companies Accountable Act,” May
13, 2021.

75

野村資本市場クォータリー 2022 Winter

PCAOB が検査を実施するためには、登録監査法人等及びその関連者から文書及び情報を入手しなければならず、登録監査法人等及びその関連者は PCAOB の要請に従わなければならない。しかし、PCAOB は、米国で上場する中国関連企業の監査資料の入手や、
PCAOB に登録されている中国本土及び香港の監査法人等に対する現地での検査を、中国当局の見解のために長い間実施できていない。
SEC に登録する証券を発行する公開会社の監査において、2021 年 3 月末に終了する 12 ヵ
月の事業年度に発行された監査報告書の数は、中国本土の監査法人等で 165、香港の監査法人等で 48 に上り、当該発行体の 2021 年 3 月末時点の時価総額は、合計で 2 兆 1 千億ドルになる。
ジョン・ケネディ上院議員とクリス・バン・ホーレン上院議員は、2020 年 12 月 2 日、
SEC の監督に従うことを拒否しながらも米国の証券取引所で取引をする外国企業から、米国の投資家等を保護する声明を公表し、外国企業説明責任法案を提出した17。米国の上下両院で 20 20 年 12 月 18 日に可決した同法案は、中国を念頭に置き、検査未実施の年度中の発行体に対して、情報開示の要件を追加している（図表 8）。
中国に本社を置くカフェチェーン大手のラッキンコーヒー（瑞幸咖啡）は、2019 年 5 月に米国のナスダック（NASDAQ）に上場した。しかし、不正会計が露呈し、2020 年 6 月に上場廃止となった。同社は、急成長と収益性向上による利益予想の達成を見せかけるた
めに、収益、費用、純営業損失を大きく虚偽記載して投資家を欺いたとして、不正会計を調査した SEC へ、2020 年 12 月に 1 億 8 千万ドルの和解金を支払うことで合意した18。同社は 2021 年 2 月、米国の裁判所に連邦破産法第 15 条の適用を申請したと発表した19。
同社の会計監査を担当していたのは中国の PCAOB 登録監査法人であり、米国で上場する中国企業の監査に対して、PCAOB よる監督の強化がますます求められてきている。
PCAOB によって 2021 年 5 月 13 日に公表された規則案は、PCAOB が監督活動を実施するのに必要なアクセスを、外国の監督機関が拒否したような状況に対処するものであり、

図表 8

検査未実施の年度中の発行体に対する情報開示の追加要件



当該登録監査法人等が対象期間内に当該発行体に係る監査報告書を作成したこと。



外国の管轄区域内の政府機関によって所有されている発行体の株式の割合。



当該登録監査法人等に関わる外国の政府機関が、当該発行体に対して支配的財務持分を有するか否か。



取締役会の構成員である中国共産党の各役員の氏名。



発行体の定款に中国共産党規約が含まれているか否か。

（出所）Congress.Gov, “Holding Foreign Companies Accountable Act,” December 18, 2020 より野村資本市場
研究所作成

17

Kennedy.Senate.Gov, “House passes Kennedy, Van Hollen bill to protect Americans from fraudulent foreign companies,”
December 20, 2020.
18 SEC, “Luckin Coffee Agrees to Pay $180 Million Penalty to Settle Accounting Fraud Charges,” December 16, 2021.
19 Katanga Johnson, “China's Luckin Coffee seeks U.S. Chapter 15 bankruptcy protection,” Reuters, February 5, 2021.

76米国の外国企業説明責任法と中国におけるデータ統制 －求められる国際的に自由なデータ流通の確保－

PCAOB は 2021 年 9 月 22 日、同規則案を採択した。PCAOB は、同規則案が SEC によって承認された場合、直ちに発効するとしている。同規則の発効後は外国企業説明責任法に基づき、PCAOB の検査を 3 年連続で受け入れなかった場合、米国のすべての証券取引所で、発行体である外国企業の証券の取引が禁止されることになる。
今後、米国における中国企業の証券取引禁止の執行懸念もあるが、より大きな問題は、越境データの流通を制限する中国のデータローカライゼーション規制の強化にある。デー
タローカライゼーション規制は、デジタル経済の分断を引き起こすことが懸念されているからである。
企業は、データを利用して価値を生み出している。多くの企業は、データが国境を越えて自由に流通することで、その価値を最大化することができる。デジタル化されたサービスを提供している企業は、生産コストが高い場合でも、流通コストが極めて低いという傾向があり、物理的な生産と配送の制約が残る伝統的な貿易に従事している企業に比べて、増大する需要に容易に対応することができる。また、現地拠点で提供していた多くのサービスが、国境を越えて提供できるようになり、異なる国に子会社を設立しなくても済むよ
うになる。
データローカライゼーション規制は、データ集約型サービスがもたらす経済的な生産性と革新性に大きな影響を及ぼす。データローカライゼーション規制の要請レベルに従って、現地雇用とインフラ投資のコスト、グローバルなデータ統合計画の中断による効率性喪失に伴うコスト、要請内容の不透明性に伴う規制対応コスト等、企業活動上のコストと非効率性が様々な形で発生するからである。データローカライゼーション規制は、経済に深刻なマイナスの影響を及ぼすという試算もある20。
2018 年 12 月に発効した「環太平洋パートナーシップに関する包括的及び先進的な協定（CPTPP）」では、第 14 章「電子商取引」において、データローカライゼーション規制の抑止を定めており、国際的な越境データの自由な流通の確保を図っている。具体的には、
第 11 条「情報の電子的手段による国境を越える移転」において、各締約国は、情報の電子的手段による国境を越える移転を許可するとし、第 13 条「コンピュータ関連設備の設置」では、いずれの締約国も、自国の領域において事業を遂行するための条件として、対象者に対し、当該領域においてコンピュータ関連設備を利用し又は設置することを要求してはならないと定めている。CPTPP は、データローカライゼーション規制の抑止に関して、「サービスの貿易に関する一般協定（GATS、General Agreement on Trade in Services）」
よりも明確な規律を定めている。
中国は、データローカライゼーション規制を強化する一方で、2021 年 9 月 16 日、CPTPPへの加盟を正式に申請した。同協定には、中国にとってデータ統制の抑止などに関する高いハードルが定められていることから、加盟国との交渉が難航することが懸念されている。
中国が CPTTP への加盟の意欲を見せるのであれば、デジタル時代の競争力の源泉であり「21 世紀の石油」と呼ばれているデータは、過度な国家安全保障に傾くことなく、プラ
20

ECIPE, “The Cost Of Data Localisation : Friendly Fire On Economic Recovery,” May 2014.

77野村資本市場クォータリー 2022 Winterイバシーや知的財産などのデータの安全性を確保しながら、原則として国内外において自由に流通させることが必要である。中国がデータローカライゼーション規制の抑止に向けて方針転換することが、国際的に自由なデータ流通の促進を目指す上でも重要であると言える。

78