中国当局による「データ国外移転安全評価弁法」の意見募集（仮訳添付）
2021.11.4.
CISTEC 事務局
中国の国家インターネット情報弁公室より、10 月 29 日付けで「データ出境安全評価弁法（意見募集稿）」が公表された（意見提出は 11 月 28 日迄）。
http://www.cac.gov.cn/2021-10/29/c_1637102874600858.htm
本弁法は、データを国外移転する場合の安全評価手続きを定めたもので、「サイバーセキュリティ法(2017 年 6 月施行)」「データセキュリティ法(2021 年 9 月施行)」「個人情報保護法(2021 年 11 月施行)」等の下位規則の位置づけとなる。
例えば、「データセキュリティ法」の第 31 条で、重要インフラ運営者以外の一般の企業が個人情報や重要データの国外提供する場合の規制について、別途弁法を制定すると規定。また「個人情報保護法」の第 40 条で、一般の企業が一定の数量の個人情報を扱う場合に、国内保存や国外提供する場合の安全評価が義務付けられると規定。
これらを踏まえて、今般「データ出境安全評価弁法（意見募集稿）」が公表されたもの。
「データ出境安全評価弁法（意見募集稿）」及び意見公開募集通知の日本語訳(仮訳)は、次ページ以降の通り。

1

仮訳
国家インターネット情報弁公室の《データ国外移転安全評価弁法（意見募集稿）》の意見公開募集に関する通知
データ国外移転活動を規範化し、個人情報の権益を保護し、国の安全と社会の公共の利益を守り、データの越境の安全、自由な移動を促進するために、《中華人民共和国サイバーセキュリティ法》、《中華人民共和国データセキュリティ法》、《中華人民共和国個人情報保護法》等の法律法規に基づき、当弁公室は《データ国外移転安全評価弁法（意見募集稿）》を起草した。今ここに社会に向けて意見を公開募集する。公衆は以下の手段と方式を通じてフィードバック意見を提出することができる：
１．中華人民共和国司法部、中国政府法制信息網（www.moj.gov.cn、www.chinalaw.gov.cn）に登録し、トップページのメインメニューの“立法意見募集”欄に進み意見を提出する。
２．電子メール方式を通じて送付する：（送付先）shujuju@cac.gov.cn。
３．書状方式を通じて意見を郵送する：（送付先）北京市西城区車公庄大街 11 号国家イン
ターネット情報弁公室ネットワークデータ管理局、郵便番号 100044、
また、封筒に“データ国外移転安全評価弁法意見募集”と明記すること。
意見フィードバックの期限は 2021 年 11 月 28 日迄とする。
付属文書：データ国外移転安全評価弁法（意見募集稿）
国家インターネット情報弁公室
2021 年 10 月 29 日

データ国外移転安全評価弁法(意見募集稿）
第一条 データ国外移転活動を規範化し、個人情報の権益を保護し、国の安全と社会の公共の利益を守り、データの越境の安全、自由な移動を促進するために、《中華人民共和国サイバーセキュリティ法》、《中華人民共和国データセキュリティ法》、《中華人民共和国個人情報保護法》等の法律法規に基づき、本弁法を制定する。
第二条 データ処理者は、中華人民共和国国内での運営において収集・生成した重要データ及び法に基づいて安全評価を実施する必要がある個人情報を国外に提供する場合は、本弁法の規定に基づいて、安全評価を実施しなければならない；法律・行政法規に別段の規定のある場合は、その規定に従うものとする。
2

第三条 データ国外移転安全評価は、事前評価と継続的監督の組合せ、およびリスクの自己評価とセキュリティ評価の組合せを堅持することにより、データ国外移転リスクを防止し、法に基づいたデータの秩序ある自由な移動を確保する。
第四条

データ処理者が国外にデータを提供する場合に、以下の状況が一つでも当たる場

合は、所在地の省レベルのインターネット情報部門を通して国家インターネット情報部門にデータ国外移転安全評価を申請しなければならない。
（一）重要情報インフラ運営者が収集・生成した個人情報および重要なデータ；（二）国外移転データに重要データが含まれる場合；（三）100 万人に達する個人情報を取扱う個人情報処理者が国外に個人情報を提供する場
合；（四）累計で 10 万人以上の個人情報あるいは 1 万人以上の機微個人情報を国外に提供する場合。
（五）国家インターネット情報部門が規定するその他のデータ国外移転安全評価を申請する必要がある場合。
第五条 データ処理者は、国外にデータを提供する前に、前もってデータ国外移転リスクの自己評価を行わなければならず、以下の事項を重点的に評価するものとする：（一）データ国外移転及び国外受領者がデータを処理する目的・範囲・方法等の合法性・正当性・必要性；（二）国外移転データの数量、範囲、種類、機微程度、並びにデータ国外移転が国の安全、公共の利益、個人あるいは組織の合法的権益にもたらす恐れのあるリスク；（三）データ処理者のデータ移転段階における管理及び技術措置、能力等が、データの漏洩、毀損等のリスクを防止できるか否か；（四）国外受領者が誓約・負担する責任・義務、及び責任・義務を履行する上での管理及び技術措置、能力等が、国外移転データの安全を保障できるか否か；（五）データ国外移転及び再移転後の漏洩・毀損・改ざん・悪用等のリスク、並びに個人が個人情報の権益を守るためのルートが円滑かどうか等；（六）国外受領者と締結したデータ国外移転関連に関係する契約が、データの安全保護の責任・義務を十分に取り決めているか否か。
第六条

データ国外移転安全評価を申請する場合は、以下の書類を提出しなければならな

い：3

（一）申請書；（二）データ国外移転リスクの自己評価報告（三）データ処理者と国外受領者が締結しようとする契約あるいはその他の法的効力を有する文書等（以下「契約」と総称）；（四）安全評価業務上必要とするその他の書類。
第七条 国家インターネット情報部門は、申請書類を受け取った日より 7 営業日以内に評価を受理するか否かを決定し、且つ書面通知形式により受理結果をフィードバックする。
第八条 データ国外移転安全評価は、データ国外移転活動が国の安全、公共の利益、個人あるいは組織の合法的権益にもたらす恐れのあるリスクを重点的に評価し、主に以下の事項を含むものとする：（一）データ国外移転の目的、範囲、方法等の合法性、正当性、必要性；（二）国外受領者の所在する国あるいは地域のデータ安全保護政策・法規及びインターネッ
ト安全環境の国外移転データの安全に対する影響；国外受領者のデータ保護レベルが中華人民共和国の法律・行政法規の規定及び強制性国家標準の要求に達しているか否か；（三）国外移転データの数量、範囲、種類、機微程度、並びに国外移転中及び国外移転後の漏洩、改ざん、紛失、破壊、移転あるいは不法に取得される、不法に利用される等のリスク；（四）データの安全及び個人情報の権益が十分に効果的に保障されることができるか否か；（五）データ処理者と国外受領者が締結した契約において、データの安全保護の責任・義務を十分に取り決められているか否か；（六）中国の法律・行政法規・部門規章の遵守の状況；（七）国家インターネット情報部門が評価を必要と考えるその他の事項。
第九条 データ処理者と国外受領者が締結する契約は、データの安全保護の責任・義務を十分に取り決めて、以下の内容を含まなければならないが、これに限定されるものではない：（一）データ国外移転の目的、方法及びデータの範囲、並びに国外受領者がデータを処理する用途、方法等；（二）国外でのデータの保存場所、期間、および保存期間に達した、取り決めた目的が達成された、あるいは契約が終了した後の国外移転データの処理手順；（三）国外受領者が国外移転データをその他の組織・個人に再移転することを規制する制約条項。
（四）国外受領者が、実質支配権あるいは経営範囲に実質的な変化が生じた場合、あるいは所在する国・地域の法的環境に変化が生じたことにより、データの安全を保障することが困難になった場合に、講じなければならない安全措置；
4

（五）データの安全保護義務に違反した場合の違約責任、及び拘束力があり、且つ執行可能な紛争解決条項；（六）データの漏洩等のリスクが発生した場合、適切に応急処置を実行し、且つ個人が個人情報の権益を守るために確保する円滑なルート。
第十条 国家インターネット情報部門は、申請を受理した後、業界主管部門、国務院の関係部門、省レベルのインターネット情報部門、専門機構等を取りまとめて、安全評価を実施する。
重要データの国外移転については、国家インターネット情報部門が関連する業界主管部門に意見を求めるものとする。
第十一条 国家インターネット情報部門は、書面による受理通知を発出した日より 45 営業日以内にデータ国外移転安全評価を完了するものする；
状況が複雑な場合あるいは補足書類が必要な場合は、適切に延長することができるが、一般的に 60 営業日を超えないものとする。
評価結果は、書面形式を以てデータ処理者に通知するものとする。
第十二条 データ国外移転評価の結果の有効期間は 2 年間とする。有効期間中に以下の状況が一つでも発生した場合には、データ処理者は評価を再申請しなければならない：（一）国外にデータを提供する目的、方法、範囲、種類及び国外受領者がデータを処理する用途、方法に変化が生じた場合、あるいは個人情報及び重要データの国外での保存期間が延長された場合：（二）国外受領者の所在する国・地域の法的環境に変化が生じたり、データ処理者あるいは国外受領者の実質支配権に変化が生じたり、データ処理者と国外受領者の契約が変更される等により、国外移転データの安全に影響を及ぼす恐れがある場合；（三）国外移転データの安全に影響を及ぼすその他の状況が発生した場合。
データ処理者は、有効期間が満了し、元のデータ国外移転活動を継続して行う必要がある場
合は、有効期間が満了する 60 営業日前に評価を再申請する必要しなければならない。
本条の規定に基づいて評価を再申請しなかった場合は、データ国外移転活動を停止しなければならない。
第十三条 データ処理者は、本弁法の規定に基づいて、評価書類を提出しなければならず、書類が完備していない、あるいは要件に適合していない場合は、速やかに補足あるいは訂正
5

しなければならない。補足あるいは訂正を拒否した場合は、国家インターネット情報部門は、安全評価を終了することができる；データ処理者は、提出した書類の信憑性に責任を負い、故意に虚偽の書類を提出した場合については、評価不合格に準拠して処理するものとする。
第十四条 安全評価業務に関与する関係機構と人員は、職務履行中に知り得た国家秘密、個人のプライバシー、個人情報、商業秘密、秘密保守ビジネス情報等データに対して、法に基づいて秘密保守とし、漏洩あるいは不法に他人に提供してはならない。
第十五条

いかなる組織と個人も、データ処理者が本弁法の規定に基づいて評価を行うことをせずに国外にデータを提供することを発見した場合は、省レベル以上のインターネット情報部門に訴え出る、通報することができる。
第十六条 国家インターネット情報部門は、既に評価に合格したデータ国外移転活動が、実際の処理過程においてデータ国外移転安全管理要件に適合していないことを発見した場合、評価結果を取り消し、且つデータ処理者に書面で通知しなければならず、データ処理者は、データ国外移転活動を終了しなければならない。
データ国外移転活動を継続して行う必要がある場合は、データ処理者は要求に基づいて修正を行い、且つ修正が完了した後に評価を再申請しなければならない。
第十七条

本弁法の規定に違反した場合は、《中華人民共和国サイバーセキュリティ法》、《中華人民共和国データセキュリティ法》、《中華人民共和国個人情報保護法》等の法律法規の規定に基づき処理する；犯罪を構成する場合は、法に基づいて刑事責任を追及する。
第十八条 本弁法は○○年○○月○○日より施行する。

仮訳： 樫原 薫（CISTEC 国際関係専門委員会 海外法制度分科会委員、前 CISTEC 主任研究員、
現ヤマハ発動機）

6