中国のデータ安全管理規制と輸出管理規制との重畳適用について―ネットワークデータ安全管理条例案等を踏まえての考察
2021.12.20
2021.12.23 一部修正
CISTEC 事務局【ポイント】■ 国外移転局面を含め、輸出管理規制とデータ安全管理規制の重畳適用の可能性大
＜当初、法令内容・経緯から、輸出管理規制に一元化されるのではとの見方があった＞
・データ安全管理 3 法（サイバーセキュリティ法、データ安全法、個人情報保護法）が施行され、順次下位規則案が公開されている。
・データ安全法制では、「重要データ」の国内管理、国外移転管理に関して厳しい手続きを要求している。
・法律においては、「重要データ」の内容は示されていないが、2017 年に全国情報安全標準化技術委員会が公表した「重要データ識別ガイド」案で示されたものがベースとなって下位規則が定められるものと受け止められてきた。
・そして、①中国輸出管理法においては、「技術データ資料」も規制対象となる旨の規定が最終段階で挿入され、②データ安全法においても、「輸出管理は法に基づいて行う」とされ、③下位規則の「データ国外移転安全評価弁法」案でも、「別法に別段の規定ある場合は、それに従う」とされていること、あるいは④上記の 2017 年の「重要データ識別ガイド」案でも輸出管理関連データは含まれていなかったことから、輸出管理関連データについては、輸出管理規制体系で一元的に行われるのではないかとの受け止め方が少なくなかった。
＜しかし、ネットワークデータ安全管理条例案から見て重畳適用の可能性大となった＞
・しかし、11 月 14 日に公表された「ネットワークデータ安全管理条例」案では、「重要データ」が定義された中に、輸出管理品目の技術データや、国家安全や国際競争力に関わる一定分野の新興技術の科学技術成果データが含まれていたことから、それらのデータについては、輸出管理規制とデータ安全管理規制の双方が重畳的に適用される可能性が高くなったと思われる。
・これに伴い、懸念・問題点も生じてくるが、いずれにしても科学技術データに関して
は、輸出管理だけでなくデータ安全管理面での検討、対応が必要となってくると思われる。
■ 懸念、問題点
・輸出管理法令の対象技術よりも広汎な技術、研究成果がデータ安全管理対象となる可1

能性・国内管理、海外移転の両局面ともに、輸出管理とは異なる厳しい管理が求められる可能性・外資等が中国で研究開発を行った場合、研究成果・技術を国外に出せなくなる可能性
・総体国家安全観に立った包括条項が抽象的で、適用が不透明であり予見可能性がない
・中国向け輸出に関する輸出管理上の制約が生じる可能性

はじめに
１. 中国では、データ安全管理を規制する３法（サイバーセキュリティ法、データ安全法、個人情報保護法）が相次いで施行された後、それらのいくつかの横断的下位規則が順次公表されつつある。
当初、海外移転局面の規制（越境規制）については、データ安全法等の条文からして、輸出管理規制（輸出管理法、対外貿易法体系）にて行うものと思われたが、11 月
14 日に中国サイバースペース管理局(CAC)より公表された横断的下位規則の一つである「ネットワークデータ安全管理条例（意見募集稿）」では、厳しい管理が求められる「重要データ」の定義の中に、以下のような広汎な一項が規定されたため、データ安全管理
規制と輸出管理規制との関係が焦点となってくる。
「輸出管理データ、輸出管理品目に関連する中核技術・設計構想・製造工程等に関連するデータ、暗号・生物・電子情報・人工知能等の分野で国の安全・経済競争力に直接影響を与える科学技術成果データ」
２. この「ネットワークデータ安全管理条例（意見募集稿）」は、GBL 研究所理事・
CIPP/E 浅井敏雄氏によれば、「三法をまとめていわば“rewrite”しかつ三法を超えるような事業者の義務をも定めたものです。従って, これが正式に成立した場合には, 日本
企業の中国ビジネスにも重大な影響を及ぼし得る」とのことであり、輸出管理規制との関係においても、影響を見極める必要があると思われる。
不明確な点が少なくないが、現時点で公表されている法令案をもとに考察を試みる。
【注】データ安全管理 3 法とその関連下位規則による規制の基本的概要等については、各法律事務所等から解説が出されているので、そちらをご参照いただきたい。
（例）◎曽我法律事務所「中国データ安全法 全文和訳」（21 年 6 月）
https://sogalaw.com/archive/210610_ShujuAnquanFa_JP_ver210621.pdf◎西村あさひ法律事務所 「中国「データ安全法」のポイント」（21 年 8 月）
2https://www.nishimura.com/sites/default/files/newsletter_pdf/ja/newsletter_210823_cn.pdf◎CISTEC 事務局「中国当局による『データ国外移転安全評価弁法』の意見募集（仮訳添付）（21 年 11 月）
https://www.cistec.or.jp/service/uschina/44-20211104.pdf◎長島・大野・常松法律事務所「（速報）中国データ越境移転安全評価弁法（パブコメ版）の公布」（21 年 11 月）
https://www.noandt.com/publications/publication20211110-2/◎企業法務ナビ「中国『データ越境移転安全評価規則(意見募集稿)』の公表とその概要」（21 年 11 月 GBL 研究所理事・CIPP/E 浅井敏雄氏による）https://www.corporate-legal.jp/matomes/4521◎企業法務ナビ「中国『ネットワークデータ安全管理条例(意見募集稿)』の公表とその概要」（21 年 12 月 GBL 研究所理事・CIPP/E 浅井敏雄氏による）https://www.corporate-legal.jp/news/4534◎JETRO「中国におけるサイバーセキュリティー、データセキュリティーおよび個
人情報保護の法規制にかかわる対策マニュアル」（21 年 11 月）
https://www.jetro.go.jp/world/reports/2021/02/0c080037fe572f0d.html※ 「データ」の定義について○データ安全法での「データ」の定義
・「電子又はその他の方式による情報についての一切の記録をいう。」（第 3 条）と定義
・数値だけでなく情報全般を含み、電子媒体だけでなく紙媒体も含むように読める。
○「ネットワークデータ安全管理条例（意見募集稿）」での「データ」の定義
・「ネットワークデータ」の略称であり、「電子的方式による全ての情報の記録を指す」（第 73 条）とある。
・データ安全法が対象とする「データ」よりも狭い（紙媒体は含まれない）。
○「データ国外移転安全評価弁法（意見募集稿）」での「データ」の定義
・単に「データ」とあるので、データ安全法のそれと同様。
○全国情報安全標準化技術委員会「サイバーセキュリティ標準実践ガイドライン～データ
分類分級ガイドライン（意見募集稿）」での定義
https://www.tc260.org.cn/upload/2021-09-30/1633014582064034019.pdf
・「データ」：電子的又はその他の方式による全ての情報の記録
・「ネットワークデータ」：ネットワークを通して、収集・保存・伝送・処理及び生成した各種の電子データを指す。

関係法令の分析3

１. 中国での輸出管理規制については、現時点では、次の 2 つの法制がある。
（1）中国輸出管理法に基づくもの※20.12.1 施行ながら、未だ具体的規制対象品目は公表されていない。
「国際的義務の履行」の観点から、ワッセナー・アレンジメント合意品目が中心になると考えられる。
それ以外に、稀少金属等の中国の「安全」「利益・発展」に係る品目が指定されるものと想定されている）（2）外国貿易法による「輸出禁止・輸出制限技術リスト」に基づくもの（20.8 に大幅拡大）
２. 他方、本年 9 月にはデータ安全法が施行されたが、同法では、次のように、輸出管理品
目に係るデータについて、「法に基づいて輸出管理を実施する」と規定されている。
第 25 条 国は、国の安全と利益の擁護及び国際的義務の履行に関わる管理品目に該当するデータについて、法に基づいて、輸出管理を実施する。
3. ここにいう「法」とは、上記「1.」の輸出管理規制法を指すものと解されるが、中国輸出管理法で、最終段階での追加修正により、次の通り、「技術資料等のデータを含むものとする」との部分が確認的に挿入されたことに対応するものと考えられた。
第 2 条 国はデュアルユース品目、軍用品、核及びその他の国の安全と利益の擁護、拡散防止等の国際義務の履行に関わる貨物、技術、サービス等の品目（以下、管理品
目と総称）の輸出管理に対して、本法を適用する。
前項に謂う管理品目には、品目に関わる技術資料等のデータを含むものとする。
４．更にまた、10 月 29 日に公表された 3 法共通の下位規則の一つである「データ国外移転
安全評価弁法（意見募集稿）」でも、別法に別段の規定ある場合は、それに従って規制を受けるとされている。
第２条 データ処理者は、中華人民共和国国内での運営において収集・生成した重要データ及び法に基づいて安全評価を実施する必要がある個人情報を国外に提供する場合
は、本弁法の規定に基づいて、安全評価を実施しなければならない；法律・行政法規に別段の規定のある場合は、その規定に従うものとする。
この弁法案では、「重要データ」の具体的定義、内容は示されていないが、既に 2017 年「国家標準『情報安全技術 データ越境移転の時点で、全国情報安全標準化技術委員会が、セキュリティ評価ガイド』意見募集稿のパブリックコメント募集に関する通知」（2017. 8）「重要データ識別ガイド」を公開しており、これに準じて制定されるもの附録 A として、のと見込まれていた。
◎中国サイバーセキュリティ法のデータ越境移転にかかる「重要データ」の想定範囲
4

（株式会社クララオンラインコンサルティングチーム 17 年 10 月）
https://www.clara.jp/wp-content/uploads/2017/10/20171030_importantdataguidelines_Claraonline.pdf

そこでの「重要データ」の定義、内容には、輸出管理関連の技術データ等は記載されていなかった。
（注）「重要データ識別ガイド」案については、その後、2021 年 9 月に、中国国家標準化管理委員会より新たな案が公表され、パブコメが募集された（後述）。
https://www.cnnews.today/showArticle?main_id=957e9d7975b0d8c2189487a47c530a39

5. これらの一連の法令の規定と経緯からすれば、「輸出管理品目に関する技術資料等のデータ」の海外移転については、データ安全法上の「重要データ」としてではなく、輸出管理法で一元的に対応することを想定しているように思われた。
「ネットワークデータ安全管
６. しかし、その後の 11 月 14 日に、別途の下位規則として、
理条例（意見募集稿）」が公表された。その附則第 73 条で、「重要データ」の具体的定義がなされているが、ここでは、次のように輸出管理関連の一連のデータも規定されている。
更に、総体国家安全観に基づくものと思われる包括条項も規定されている（「7.」）。
第 73 条 本条例の下記用語の意味：（中略）（三）重要データとは、ひとたび改ざん、破壊、漏洩あるいは違法に取得、違法に利用された場合に、国の安全・公共の利益に危害を及ぼすおそれのあるデータを指す。
1.（略）
2.輸出管理データ、輸出管理品目に関連する中核技術・設計構想・製造工程等に関連するデータ、暗号・生物・電子情報・人工知能等の分野で国の安全・経済
競争力に直接影響を与える科学技術成果データ；
3.～6.（略）7.国の政治、国土、軍事、経済、文化、社会、科学技術、生態、資源、核施設、海外の利益、生物、宇宙、極地、深海等の安全に影響を与える恐れのあるその他のデータ。
（以下略）
7.

これは、全国情報安全標準化技術委員会が起草し、中国国家標準化管理委員会が、9 月
23 日に国家標準としての「重要データ識別ガイドライン」案を公開した中に規定された「科学技術関連」の「重要データ」と類似している。
https://www.cnnews.today/showArticle?main_id=957e9d7975b0d8c2189487a47c530a39◎中倫法律事務所「《重要数据识别指南（征求意见稿）》概览」（21.11.2）
http://www.zhonglun.com/Content/2021/11-02/1113533717.html
5

5.4 科学技術関連について
a)輸出管理データに関わるもの。以下のデータは重要データに属する:国の輸出管理リストに掲載される品目について、これらの品目の設計原理、製造工程、製造方法等を説明する情報およびソースコー
ド、集積回路レイアウト、技術構想、重要パラメータ、実験データ、テストレポート。
b) 特別な知的財産権を含む。 武器や装備、暗号技術、バイオテクノロジーなど、防衛、
国家安全保障に関連する非機密の知的財産権を記述するデータ、および重要な経済的価値を持つ未公開の知的成果を記述するデータ。
c) 主要な発明の発見を含む。 科学研究や産業実践の過程で生まれた論文、報告書、実験データなどは、戦略的または経済的価値が重要なデータに属する。
「国家データ安全業務調整体制は、関係部門が重要データリ
8. データ安全法第 21 条では、ストを制定し、重要データに対する保護を強化するよう統一的に計画・調整する。」と規定されている。今回の条例は、その「計画・調整」の一環として、「ネットワークデータ」（＝電子的な情報）に関して行われたものと思われるが、この定義内容そのものが、ネッ
トワークデータの管理の対象となってくるのか、それとも、今後、これを踏まえて、各部門と各地域とがより具体的に細目を規定するものだけが管理の対象になってくるのかが必ずしも明確ではない。
ただ、「輸出管理品目」の具体的対象は輸出管理法で決まってくるであろうし、「国の安全・経済競争力に直接影響を与える暗号、生物、電子情報、人工知能等の分野の科学技術
成果データ」をこれ以上細分化することは考えにくい（「技術輸出禁止・輸出制限技術リスト」でも、細かいスペックが示されているわけではない）。
※

実際、既に今年の 10 月 1 日より施行されている「自動車データセキュリティ管理に関する若干の規
定（試行）
」でも、
「重要データ」に含まれる具体例として、「軍事管理区域、国防科学工業に係る機関、県レベル以上の党及び政府機関等の重要・機微なエリアでの地理情報、人流情報、車両流量情報などのデータ／車両流量、運送情報など経済進行状況を反映するデータ／自動車充電ネットワークの運行
データ／顔認証やナンバープレートなどに関する情報を含む車外動画、画像データ／個人情報の主体
が 10 万人以上に及ぶ個人情報／国家インターネット情報部門と国務院発展改革、工業及び情報化、
公安、交通運輸に関連する部門が明確にする、国家安全、公共利益又は個人・組織の適法な利益に影響を及ぼす可能性のあるその他のデータ」の 6 件を規定しており、それ以上に細分化しているわけではない。

「重要データ」の中に、「輸出管理品目」と新興
9. いずれにしても、上記条例案によって、技術に関する科学技術成果の一連のデータが含まれてきたことから、それらのデータ安
全管理規制と、輸出管理法や対外貿易法下の「技術輸出禁止・輸出制限技術リスト」に基づく輸出管理規制との重畳適用の可能性が、論点となってきた。
6

「輸出管理」と「データ安全管理」とは目的や管理内容が異なるほ
10. 法令内容を見れば、か、輸出管理品目に含まれないと思われる科学技術データも対象となることが明らかになったことから、内容的に重なる部分はあるとしても、輸出管理規制とは別途、データ安
全管理規制による管理が必要になる可能性が高いと見て、対応の準備が必要となってきたと思われる。
11. それぞれの規制の国内管理、国外移転管理の内容を見てみると、以下の通り。
（1）国内での管理
・国内での管理局面は、データ安全管理法では、データ処理活動(データの収集、保存、使用、加工、送信、提供、公開等)に関して、データ処理者にデータ安全保護義務も課し、リスク評価と当局への報告・審査、越境の場合の評価・審査を求めている。
・「ネットワークデータ安全管理条例（意見募集稿）」で規定されている管理内容のポイン
トをまとめると、以下の通り（参考 1 の抄訳参照）。
①データ安全保護義務
・法律・法規に基づき、全過程でのデータ安全管理制度の構築・整備
・データ安全教育・研修の組織・実施・必要となる技術的措置等の実施②国内保存義務及び国外提供の場合の国家インターネット情報部門にデータ安全評
価を申請③「重要データ」と判明した場合は、識別してから 15 営業日以内に、地級市の市レベルのインターネット情報部門に対して、データ処理の目的等を届出義務④重要データを取扱う企業は、毎年 1 回はデータ安全評価を実施し、当局に報告。
・輸出管理法の下位規則は、唯一、「内部コンプライアンス・ガイドライン」と指導意見とが告知されているが（21 年 5 月公表）
、そこでは、内部審査はエンドユース、エンド
ユーザーについての懸念性チェックが中心である。データ処理活動に係る評価等は求められていない。
https://www.cistec.or.jp/service/china_law/20210510.pdf（2）国外移転における管理
・輸出管理法では、エンドユーザー等からの管理品目の最終用途証明書等の取得等が求められている。エンドユーザー、最終用途が変更される恐れがある場合には当局への報告が必要となる。
・他方、「データ国外移転安全評価弁法（意見募集稿）」では、データ国外移転リスクの自己評価と当局への安全評価申請等について詳細な要件が規定され（第５～8 条）、更に、国外受領者間との間で締結が求められる契約内容もまた、詳細に規定されている（第 9条）。
7https://www.cistec.or.jp/service/uschina/44-20211104.pdf
・「ネットワークデータ安全管理条例（意見募集稿）」においても、上記弁法と同趣旨の「データ国外提供安全管理」との規定が盛り込まれている（第 35 条）
https://www.corporate-legal.jp/news/4534
同条例の対象は、「ネットワークデータ」（電子的情報）が対象であるが、「データ」
全般の国外移転について規制する「データ国外移転安全評価弁法」での手続きとの関係は不明である。データ安全法施行後間もない時点での短期間でまとめられた下位規則案であるため、十分整理されていない可能性もある。
・いずれもしても、輸出管理とデータ安全管理に関する規制では、手続きの趣旨は重複する面はあるとしても、それぞれの管理手続を踏む必要があると思われる。

考えられる懸念・問題点
上記の関係法令の分析を踏まえると、懸念・問題点として、次のようなものが考えられる。
１. 輸出管理法令の対象技術よりも広汎な技術、研究成果がデータ安全管理対象となる可能
性・「輸出管理品目」は、中国輸出管理法で定義されている。
「デュアルユース品目、軍用品、核及びその他の国の安全と利益の擁護、拡散防止等の国際義務の履行に関わる貨物、技術、サービス等の品目」であり、ワッセナー・アレンジメントを始めとした国際輸出管理レジームでの合意品目に準じた製品・技術が主たる対象となると想定されている。
・本条例では、それらの管理品目だけでなく、「暗号、生物、電子情報、人工知能等分野で国の安全・経済競争力に直接影響を与える科学技術成果データ」と規定されており、米国の「新興技術」的なものが広く包含されている。
・これらの新興技術的な品目は、対外貿易法での「輸出禁止・輸出制限技術リスト」等の品目も対象が想定されるが、基礎科学分野での研究成果や、公開技術であるはずの特許技術も対象となってくる可能性がある（秘密特許だけが規制対象となる可能性も考えられる）。
・「重要データ」については、各部門、各地域が個別に決定することとされているため、本条例に示されたものに限られず、より広汎なものとなる可能性がある。
２. 国内管理、海外移転の両局面とも、輸出管理とは異なる厳しい管理が求められる可能性
・既に述べたように、同じ「輸出管理品目」、新興技術的な品目であっても、輸出管理規制で求められる管理実務と、データ安全管理規制で求められる管理実務とは、重複する部分はあるとしても、後者のデータ安全管理規制の方が広汎だと思われる。
8

・海外移転に際しては、「データ越境移転安全評価弁法」、「ネットワーク安全管理条例」の越境移転規制部分の成案に従っての細かな管理が求められる。
・中国から技術資料等のデータの国外移転を行う場合には、手続き的に複雑なオペレーシ
ョンが必要になってくる恐れがある。技術提供先との関係での手続き負担は増すと思われる。
３. 外資等が中国で研究開発を行った場合、研究成果、技術を中国外に出せなくなる可能性
・もともと、中国輸出管理法によっても、対外貿易法に基づく「輸出禁止・輸出制限技術リスト」によっても、「国家の安全」「中国の利益・発展」が許可の上での観点となっているため、外国企業が中国に研究開発拠点を設けてその開発成果を本国企業とシェアしようとしても困難が生じる可能性は指摘されていた。
今回の条例案は、国家安全法制の一環であり、上記の懸念は更に増幅されることになると思われる。
・AI 開発や医薬の治験等に見られるように、人口の多さが開発上有利になるがために、
中国で技術・研究開発拠点を置くこととした場合、上記リスクが生じるおそれがある。
・「国の安全・経済競争力に直接影響を与える・・・分野の科学技術成果データ」と規定されたことにより、外国人研究者が中国の大学・研究機関等で研究する場合に、それらの研究開発成果を中国外に移転、共有することについても、大きな制約がかかる懸念がある。
４. 総体国家安全観に立った包括条項が抽象的で適用が不透明であり、予見可能性がない
・条例案の「重要データ」の定義では、「国の政治、国土、軍事、経済、文化、社会、科
学技術、生態、資源、核施設、海外の利益、生物、宇宙、極地、深海等の安全に影響を与える恐れのあるその他のデータ」との包括条項が規定されている。
・これは総体国家安全観に立ったものと考えられるが、茫漠とし過ぎており、これがこのまま適用されるのか、それとも各部門、各地域がブレイクダウンしたデータを示す事になるのか不明である。
・この抽象的規定のまま「データ安全」の自己評価を課せられても、運用は困難である。
５. 中国向け輸出に関する輸出管理上の制約が生じる可能性
・データ安全法第 36 条では、次のように規定されている。
第三十六条 中華人民共和国の主管機関は、関係法律及び中華人民共和国が締結し、若しくは参加した国際条約若しくは協定に基づき、又は平等互恵原則に従い、外国の司法又は法律執行機関のデータ提供に関する請求を取り扱う。
中華人民共和国の主管機関の承認を経なければ、中華人民共和国国内の組織又は個人は、外国の司法又は法律執行機関に対し、中華人民共和国国内に保存されている
9データを提供してはならない。
・前段の要件が後段に係るのかどうかは明確でないが、後段に係らないとすると、企業の自主活動への制約になり得るとの指摘がある。
・輸出管理面においても、例えば日本からの対中輸出に関する輸出管理上必要な情報（エンドユース、エンドユーザーチェックに必要な情報等）が得られにくくなる可能性がある。
・米国商務省 BIS は、北京、香港等に拠点を設けて、輸出後の事後的なエンドユース・エンドユーザーチェックを行っており、そこで確証が得られない場合には、Unverified
List に掲載して全件個別許可にする等の厳しい措置を講じている。今後、これが難しくなるとすると、Unverified List 掲載企業が増え、再輸出規制を通じて、日本企業による輸出にも制約がかかる可能性もあり得る。
・また、軍民融合戦略は、様々な形で進められており、官民・軍民の資本面での関係（混合所有制、黄金株的出資等）や、中国共産党の指導の徹底のための組織内党支部の関与等の状況についての情報が得にくくなる可能性がある。

10

参考 1
「ネットワークデータ安全管理条例（意見募集稿）」（21.11.14）における「重要データ」
関連部分（仮訳）

ネットワークデータ安全管理条例 (意見募集稿）
第十三条 データ処理者が以下の活動を行う場合は、国の関連規定に基づいてネットワーク
安全審査を申請しなければならない：（一） 国の安全、経済の発展、公共の利益に関わる大量のデータ資源を収集・掌握するイ
ンターネットプラットフォーム運営者が行う合併、再編、分割が、国の安全に影響を与える、あるいは影響を与える恐れがある場合；（二） 100 万人以上の個人情報を取扱うデータ処理者が国外で上場する場合；（三）データ処理者が香港で上場し、それが国の安全に影響を与える、あるいは影響を与える恐れがある場合；（四）国の安全に影響を与える、あるいは影響を与える恐れがあるその他のデータ処理活動。
大規模インターネットプラットフォーム運営者が国外で本部あるいは運営センター、R＆Dセンターを設立する場合は、国家インターネット情報部門及び主管部門に報告しなければならない。
第二十九条 重要データ処理者は、重要データを識別してから 15 営業日以内に、地級市の市レベルのインターネット情報部門に届出なければならず、届出内容は以下を含むものとする：（一）データ処理者の基本情報、データ安全管理機構の情報、データ安全責任者の氏名と連絡先等；（二）データ処理の目的、方法、範囲、種類、保存期間、保存場所等（データ内容自体を除く）；（三）国家インターネット情報部門及び主管・監督管理部門が規定するその他の届出内容。
データ処理の目的、範囲、種類及びデータ安全保護措置等に重大な変更があった場合は、再度届出しなければならない。
部門職責分業に基づいて、インターネット情報部門と関係部門は届出情報を共有する。

11

第三十条 重要データ処理者は、データ安全研修計画を策定し、毎年全従業員にデータ安全
教育研修を組織し、実施しなければならず、データ安全に関連する技術及び管理職員に対する毎年の教育研修時間は 20 時間以上でなければならい。
第三十一条 重要データ処理者は、安全で信頼できるネットワーク製品及びサービスの調達を優先しなければならい。
第三十二条 重要データを処理する、あるいは国外で上場するデータ処理者は、自身で、あるいはデータ安全サービス機構に委託して、毎年 1 回はデータ安全評価を実施しなければならず、且つ、毎年 1 月 31 日より前に、地級市の市レベルのインターネット情報部門に前
年度のデータ安全評価報告を、届出なければならず、年度データ安全評価報告の内容は以下を含むものとする：（一）重要データの処理状況；（二）データ安全リスクの発生及び対処措置；（三）データ安全管理制度、データバックアップ、暗号化、アクセス制御等の安全防護措置、及び管理制度の実施状況と防護措置の有効性；（四）国のデータ安全法律・行政法規及び標準の遂行状況；（五）データ安全事件の発生及びそれの対処状況；（六）重要データの共有、取引、委託処理、国外提供の安全評価状況；（七）データ安全に関連する苦情申立及び対処状況；（八）国家インターネット情報部門及び主管・監督管理部門が明確にするその他のデータ安全状況。
データ処理者は、リスク評価報告を少なくとも 3 年間保持しなければならない。
部門職責分業に基づいて、インターネット情報部門と関係部門は報告情報を共有する。
データ処理者が重要データを共有、取引、委託処理、国外提供する場合の安全評価を実施す
る場合、以下の内容を含むものとする：（一）データの共有、取引、委託処理、国外提供、及びデータ受領者がデータを処理する目
的、方法、範囲等が、合法、正当、必要であるか否か；（二）データの共有、取引、委託処理、国外提供が漏洩・毀損・改ざん・悪用されるリスク、及び国の安全、経済の発展、公共の利益にもたらすリスク；（三）データ受領者の誠信状況、法令遵守状況、国外政府機関との協力関係、中国政府により制裁がされているか否等の背景の状況、誓約・負担する責任及び責任を履行する能力
等が、データ安全を有効に保障できるか否か；
12

（四）データ受領者と締結した関連する契約におけるデータ安全に関わる要件は、データ受領者がデータ安全保護を履行することを有効に制約しているか否か；（五）；データ処理過程における管理及び技術措置等が、データの漏洩、毀損等のリスクを防止できるか否か。
評価により、国の安全、経済の発展、公共の利益に危害を及ぼす恐れがあると考えられる場
合は、データ処理者は、データを共有、取引、委託処理、国外提供してはならない。
第三十三条 データを共有、取引、委託処理、国外提供するデータ処理者は、地級市の市レベル以上の主管部門の同意を得なければならず、主管部門が明確でない場合は、地級市の市レベル以上のインターネット情報部門の同意を得なければならない。
第三十四条 国家機関及び重要情報インフラ運営者が調達したクラウドコンピューティン
グサービスは、国家インターネット情報部門が国務院の関係部と協力して組織する安全評
価に合格しなければならない。
第三十五条 データ処理者が業務等の必要により、中華人民共和国国外にデータを提供する
必要性が確かにある場合は, 以下の条件のいずれかを満たさなければならない：(一) 国家インターネット情報部門が行うデータ国外移転安全評価に合格すること；(二）データ処理者とデータ受領者の両者が, 国家インターネット情報部門が認定した専門機構が実施する個人情報保護認証に合格すること；(三）国家インターネット情報部門が策定する標準契約に関する規定に基づいて、国外のデータ受領者と契約を締結し、両者の権利及び義務を取り決めること；(四）法律, 行政規則あるいは国家インターネット情報部門が定めるその他の条件。
データ処理者が、個人を当事者とする契約の締結・履行に必要とされる当事者の個人情報を
中国国外に提供する場合、あるいは個人の生命・健康及び財産の安全を保護するために、個人情報を国外に提供する必要がある場合を除く。
第七十三条 本条例の下記用語の意味：（一）ネットワークデータ（「データ」と略）とは、電子的方式による全ての情報の記録を指す。
（二）データ処理活動とは、データの収集・保存・使用・加工・伝送・提供・公開・削除等の活動を指す。
（三）重要データとは、ひとたび改ざん、破壊、漏洩あるいは違法に取得、違法に利用され
13

た場合に、国の安全・公共の利益に危害を及ぼすおそれのあるデータを指す。
1.未公開の政府業務データ・業務秘密・情報データ及び法執行・司法データ；
2.輸出管理データ、輸出管理品目に関わる中核技術・設計構想・製造技工等に関連するデー
タ、及び国の安全・経済競争力に直接影響を与える暗号、生物、電子情報、人工知能等分
野の科学技術成果データ；
3.国の法律・行政法規・部門規章で保護あるいは拡散を抑制する必要があることを明確に規定する国の経済的運用データ・重要産業の業務データ・統計データ等；
4.工業・電気通信・エネルギー・交通・水利・金融・国防科学技術工業、税関、税務等の重点産業及び分野における安全生産・運用のデータ、ならびに基幹系統コンポーネント・設
備サプライチェーンのデータ；
5.国の関連部門が規定する規模あるいは精度に達する遺伝子・地理・鉱物資源・気象等の人
口と健康、自然資源と環境に関わる国の基礎データ；
6.国のインフラ・重要情報インフラの建設・運用及びそれらの安全データ、ならびに国防施設・軍事管理区域・国防科学研究生産部門等、重要な機密区域の地理的位置・安全保障状
況等のデータ；7.国の政治、国土、軍事、経済、文化、社会、科学技術、生態、資源、核施設、海外の利益、生物、宇宙、極地、深海等の安全に影響を与える恐れのあるその他のデータ。
（四）核心データとは、国の安全、国民経済の命脈、重要な国民生活及び重大な公共の利益等に関わるデータを指す。
（五）データ処理者とは、データ処理活動における処理目的及び処理方法を自主的に決定する個人及び組織を指す。
（六）公共データとは、国家機関及び法律・行政法規により授権された公共事務を管理する
職能を備えた組織が公共管理職責を履行する、あるいは公共サービスを提供する過程
において収集及び産出した公共の利益等に関わる各種のデータ、及びその他の組織が公共サービスを提供するにおいて収集及び産出した公共の利益等に関わる各種のデー
タを指す。
（七）委託処理とは、データ処理者が、取り決められた目的及び方法に基づいて、第三者に実施を委託するデータ処理活動を指す。
（八）個別の同意とは、データ処理者が特定のデータ処理活動を実施する場合において、各
個人情報毎に個人の同意を取得することを指し、複数の個人情報、複数の処理活動に対する一括の同意は含まない。
（九）インターネットプラットフォーム運営者とは、ユーザーに情報発信、社交、取引、支払い、AV 等のインターネットプラットフォームサービスを提供するデータ処理者を指す。
（十）大規模インターネットプラットフォーム運営者とは、ユーザーが 5,000 万人を超え、14

大量の個人情報及び重要データを取り扱い、強力な社会的動員能力及び市場支配的地位を備えたインターネットプラットフォーム運営者を指す。
（十一）データ越境安全ゲートウェイとは、国外の反動的ウェブサイト及び有害な情報へのアクセスを遮断し、国外からのサイバー攻撃を防止し、国境を越えたネットワークデー
タ送信を管理し、国境を越えたサイバー犯罪を防止する、捜査する、取り締まる重要安
全インフラを指す。
（十二）公開情報とは、データ処理者が公共サービスを提供する過程において収集及び産出
した公共伝播特性を備えた情報を指す。公開発信された情報、再転送可能な情報、明確な受取人がない情報等が含まれる。
仮訳： 樫原 薫（CISTEC 国際関係専門委員会 海外法制度分科会委員、前 CISTEC 主任研究員、現ヤマ
ハ発動機）

参考 2
中国国家標準化管理委員会が公表した「重要データ識別ガイドライン」案（21.9.23）における「科学技術関連」の「重要データ」
5.4 科学技術関連について
a)輸出管理データに関わるもの。以下のデータは重要データに属する:国の輸出管理リストに掲載される品目について、これらの品目の設計原理、製造工程、製造方法等を表す情報およびソースコード、集積回路レイアウト、技術構想、重要パラ
メータ、実験データ、テストレポート。
b) 特別な知的財産権に関わるもの。以下のデータは重要データに属する:
国防、国の安全に関連する非機密の知的財産権を表したデータであり、例えば武器装備、
暗号技術、バイオテクノロジー等に関わるデータ:及び大きな経済的価値があり、非公開の知的成果表したデータ。
c) 主要な発明発見に関わるもの。 科学研究、産業実践の過程で生成され、大きな戦略的意義あるいは経済的価値を持つ論文、報告書、実験データ等は重要データに属する。
d) 国家科学技術計画に関わるもの。以下の特性を持つ国家科学技術計画に関連するデー
タは重要データに属する：
15

1)計画及び実施過程で生成された国の安全に直接関連する国家科学技術計画(国家重大特定事業、重点研究開発計画を含む)プロジェクト、及び国の安全及び経済社会発展の利益に関わるデータは重要データに属する。例えば実現可能性研究報告書、建設構
想、科学的データ、未公開の科学技術報告書等。
2)国家科学技術計画の管理の過程で収集・生成された国の安全と社会公共の利益に影響を及ぼす可能性のある情報は重要データに属する。
3)国家科学技術、国民経済等の各種状況を真実・正確に反映できる国家大型科学儀器活動情報は重要データに属する。
仮訳：樫原 薫（CISTEC 国際関係専門委員会 海外法制度分科会委員、前 CISTEC 主任研究員、現ヤマハ発動機）

16