ス ポ ッ ト研 究

中国サイバーセキュリティ法に関する実務的な課題と対応
2019年２月８日、海外投融資情報財団（JOI）、渥美坂井法律事務所・外国法共同事業、株式会社インターネットイニシアティブ（IIJ）は、国際協力銀行（JBIC）の後援を得て、表題のセミナーを開催いたしました。本稿では当日の概要を一部とりまとめてお届けします（文責：渥美坂井法律事務所・外国法共同事業、株式会社インターネットイニシアティブ）。

１． 中国サイバーセキュリティ法の動向（要旨）
はじめに

CS法では、これらの事業者に対してインターネット上の安全保護措置や、個人情報の保護などを求めているが、GDPR、日本の個人情報保護法と異なり、個人情報に限定されない規定もあることに注意が必要である。
さらに、実務的には個人情報安全規範における要求への対応が求められることにも留意が必要になる。

欧州一般データ保護規則（GDPR）の施行に伴い、同規範は国家標準であるので、法令そのものではない

昨年度は個人データの取り扱いに関して、GDPR対応が、国家標準に従った場合は、CS法の要求を満たすとして社内体制の整備を進めた企業が多かった。そのものと判断される。同規範の内容は、ユーザーのアク後、本年には中国サイバーセキュリティ法（CS法）対セス権、削除権などの重視も含めてGDPRに近い面が応に対する関心が高まっており、本稿では、CS法に関ある。

する法令の概要と実務を紹介する。

CS 法の概要

越境移転およびデータローカライゼー
ションの規制

まず、CS法は2017年６月１日に施行されたが、関CS法における義務のうち重要なものとして、越境連する規定の中には意見募集稿の公表段階にとどまる移転およびデータローカライゼーションがある。まず、ものもあり、今後さらに具体的な規制の内容が固まっ重要情報インフラの運営者には、「中国国内での運営てくる面がある。CS法の適用対象は、「中国国内におにおいて収集および発生した個人情報および重要けるネットワークの構築、運営、維持および使用、並データを、中国国内で保存しなければならない」（37条）

びにサイバーセキュリティの監督管理」である（２条）。とデータローカライゼーションが規定されている。こCS法が適用される重要な類型として「ネットワーク運の点、実務的には、個人情報と重要データ越境移転営者」、「重要インフラ運営者」があり、それぞれ次の安全評価弁法（意見募集稿）２条において、ネットとおり定義されている。

ワーク運営者までデータローカライゼーション義務が課されていることが重要である。この弁法は上位法規「ネットワーク運営者」とは、「ネットワークの所有CS法との矛盾に関する批判が国内外からなされてお者、管理者およびネットワークサービス提供者」（76条

り、修正の可能性があるが、ネットワーク運営者まで３号。なお、76条１号にはネットワークが定義されてデータローカライゼーションが拡大される可能性にはいる）をいう。他方で、「重要インフラ運営者」とは、十分留意が必要である。また、「重要データ」の範囲「公共通信および情報サービス、エネルギー、交通、は、データ越境移転安全評価ガイドライン（意見募集

水利、金融、公共サービス、電子政務などの重要な業

稿）3.5条、付録Ａでも定義が詳細な定義案が示され界および分野、並びにその他一旦機能が破壊され、喪ている。

失し、またはデータが漏洩すると国の安全、国の経済と人民の生活、公共の利益に深刻な危害が及ぶ恐れのさらに、CS法37条では「業務上の必要により、確ある重要情報インフラ」（31条）を運営する者である。

かに国外に提供する必要がある場合、国家インター50

2019.3

【スポット研究】中国サイバーセキュリティ法に関する実務的な課題と対応

ネット情報部門が国務院関連部門とともに制定した規則にしたがって、安全評価を行う必要がある」とされており、越境移転に関する制限が課されている。個人

２．パネルディスカッション

稿）18条によれば、個人情報主体の同意を得ていない

パネリスト：
松岡 史朗

または個人の権益を侵害する可能性がある場合や、国（渥美坂井法律事務所・外国法共同事業 パートナー）の政治、経済、科学技術、国防などに安全リスクをも李 天一（IIJ Global Solutions China Inc.

たらし、国の安全に影響を及ぼし、社会の公共利益を副総経理 技術統括部長）

情報と重要データ越境移転安全評価弁法（意見募集いる。さらに、個人情報と重要データ越境移転安全評

モデレーター：
宮岡 泰治（株式会社インターネットイニシアティ

価弁法（意見募集稿）９条およびデータ越境移転安全

ブ ビジネスリスクコンサルティング本部 プリンシ評価ガイドライン（意見募集稿）4.3.2条においては、パルコンサルタント）

損害する恐れがある場合などに越境移転が禁止されて政府主管部門による安全評価が必要になる場合（重要インフラ事業者の個人情報または重要データの国外移転の場合など）が定められている。

直近の立法の動向
2019年に個人情報安全規範を改正するための意見募集稿が公布され、注目を集めている。意見募集稿によれば、改正される主な点は以下の３点であり、規制強化が図られている。

最後に行われたパネルディスカッションでは「最新動向と今後の行方」と題して、日本企業が頻繁に目にする実務的な課題について、ディスカッション形式により、掘り下げて議論を行いました。以下に各トピックとパネリストのコメントをレポートします。

今後の中国サイバーセキュリティ法の行方
松岡弁護士 意見募集稿となっている関連法が多いのが現在の中国サイバーセキュリティ法の特徴です①個人情報強制収集の禁止の強化（禁止範囲の拡大）が、意見募集稿が正式に施行される時期を見極める必②配信者による個人情報の個性化に基づくプッシュ型要があります。さらに中国サイバーセキュリティ法自広告の明示義務、および情報主体によるプッシュ型体はすでに施行されており、施行された法律に従って広告の拒否権利の明確化監査をしてくることもあるということを留意いただき③第三者が他社のサービスを通じて商品やサービスをたいです。

提供し、第三者による個人情報の収集が合意した範囲を越える場合、当該他社は第三者による個人情報李 注意が必要な点として、今までは意見募集稿からへのアクセスを遮断することができること施行まで時間がかかるケースが多かったのですが、2019年１月に国家インターネット情報弁公室（CAC）

上記の個人情報安全規範の意見募集稿のほか、「全によって最も古いもので、2012年から出されていた20国情報セキュリティ標準化技術委員会」（個人情報安全数個の意見募集稿が正式に施行されたという中国現地規範を制定した委員会）は、2018年年末以降、CS法の最新動向があります。ここからも中国政府のこの法に関するいくつかの規則の意見募集稿を公表した。た律に対する本気度がうかがえます。

とえば、「ネットワーク安全欠陥の標識と表示規範」、「情報セキュリティ事件管理 第２部：事件対応計画と準備ガイドライン」、「情報セキュリティ管理システム審査ガイドライン」、「ネットワーク安全欠陥の分類

流動的な今の状況下で、日本企業が留意すべきポイントと等級ガイドライン」、「ネットワーク安全欠陥の管理

松岡弁護士 少なくとも中国サイバーセキュリティ法規範」などの意見募集稿である。それらの意見募集稿と個人情報安全規範は施行されていますので、施行さは、CS法のさまざまな側面を具体的に定めている。

れている部分の対応は少なくともお願いしたいと思います。

2019.351

李 個人情報および重要データ保護制度の部分で補の中国拠点のほう、特にIT部門において中国サイバー足させていただきます。CACが出している個人情報おセキュリティ法 の 遵 守 は 網 絡 安 全 等 級 保 護 制 度

よび重要データ越境転送セキュリティ評価規則、デー（MLPS）の遵守であると誤解をしている傾向がありま

タ越境転送セキュリティ評価ガイドラインは、まだ意す。MLPSは中国サイバーセキュリティ法の一部であ見募集稿フェーズですがパブリックコメントの募集自り、MLPSだけではすべての遵守にはならない点に注

体はすでに終わっています。可能性は否定できません

意が必要です。

が、以後内容が大きく変わることはないと思われます。
したがって、今から着手できるところは進めたほうが宮岡 日本企業からのお問い合わせの多い国外へのよいでしょう。

データ持ち出し規制について、コメントをお願いします。

日本企業による対応状況について李

松岡弁護士 2017、2018年とGDPR対応を行ってきの部分について、2018年10月末ごろから2019年１月

ましたが、日本の担当者側ではまだ中国サイバーセ初旬にかけて、中国サイバーセキュリティ法を意識しキュリティ法まで手が回っておらず、何から手をつけて修正している事例が複数ありました。またGDPRにてよいのかわからないのが現状のようです。日本企業

ならい個人情報保護に関するWebサイトの対応を進めの中国子会社は中国サイバーセキュリティ法対応にあている日系企業もあるようです。

製 造 業 か つB to Cの日本 企 業 の中国 拠 点で、Webサイトの個人情報収集の約款やプライバシー保護まり自発的ではないため、日本本社がリードしないと中国サイバーセキュリティ法対応は難しいでしょう。

松岡弁護士 先月、上海の複数の大手法律事務所の一方中国の内資企業は対応に熱心ではないわけではな弁護士と話す機会がありましたが、域外移転をどう取いと理解しています。

り扱うかという点で考え方が分かれました。１つめは意見募集稿がそのまま施行される可能性が高いため、

李 普段、中国上海を中心にこの分野のコンサルティクライアントに対応してもらうことにしているというのング業務を行っていますが、日本企業の中国拠点と日が１つめの考え方。２つめの考え方は、現状意見募集

本本社の法務、経営企画、IT部門の取組姿勢は大きく稿にすぎないため、そこまでクライアントに負担を求乖離しており、日本側のほうが積極的に対応しようとしめるのはおかしいという考え方。中国国内の弁護士でています。ただ、松岡弁護士のおっしゃるとおり、リソーも対応方法について考え方や意見が分かれます。

ス不足や進め方に不安があるなどの理由から、日系企業で対応しきれないところがあります。進め方に対する不安への対策として、まずはそれぞれの自社の立ち位リスクベース・アプローチについて置といった現状把握から着手していただくことで、自社

李 現地の中国人弁護士にも確認しましたが、GDPRが遵守すべき義務が明確になってくると考えます。

同様、リスクベース・アプローチという考え方は中国当局にも許容されているようです。ただし、リスクベー

宮岡 サイバーセキュリティ等級保護条例について、ス・アプローチに至る判断経緯について、説明責任を実際は２等級以下にもかかわらず、中国当局による抜中国当局に求められることがあるため、判断の妥当性打ち監査や取り締りへの対策として、３等級の認定資について立証できるレベルの適切かつ十分なドキュメ

格取得を検討している日系企業もあるという話が李さンテーション（文書化）を日系企業は実施する必要がんの講演にありましたがコメントをお願いします。

あるようです。なお、意見募集稿段階でも法令順守に関する事前準備に必要な情報は明記されており、中国李 より上位の等級の認定資格を取得すること自体は当局に指摘されてから後手の対応を行うことはよろし問題ありません。ただし、実行可能性の観点から２級くないかと思われます。リスクを事前に極小化しておから３級に上がると、情報セキュリティ分野のテクニくというリスクマネジメントの観点からも、自発的にでカル面と体制面でさらなる対応が求められます。このきることから先手の対応をしておくべきというのが望ため、そのコストや人的リソースを実際にどうカバーましいかと考えます。

するかが日系企業の課題となります。また、日本企業
52

2019.3

【スポット研究】中国サイバーセキュリティ法に関する実務的な課題と対応

初期アセスメントの重要性についてるときは、海外子会社から日本本社に対して、顧客

松岡弁護士 初期アセスメントですが、上海の弁護士とが必要です。GDPR対応を通じて、個人データの国にはギャップアナリシス、GDPRではデータマッピン

際移転に伴うリスクを認識され、欧州以外の国のルーデータ、従業員データ（個人データ）を移転させるこ

グ、日本語ではデータの洗い出しだと思います。そのルはどうなのかというご相談をいただくようになりま

結果、法律と現状とのギャップにどのようなリスクがした。GDPRの影響や大量の個人データを扱うビジネあるかを日本企業は判断する必要があります。ドキュスの発展により、欧州以外の国でも強い制裁、強い行メンテーションはゴールですが、現時点では法令と現政指導が行われる傾向があります。この時代の変化を実のギャップさえ把握できていない企業も多いので、ご説明し、欧州以外の国のルールも遵守していただく

まずはギャップを正確に把握し、リスクを認識するこようお願いすることが多くあります。とが重要と考えます。

李 主に製造業の傾向となりますが、まずは経営レベ
宮岡 李さんが講演の中で触れた、現在中国の日系企ルでのリスクマネジメントとしてガバナンス強化を進業向けに多数提供している初期アセスメントとアドバ

めて、IT対応が必要になれば後からIT部門が動くとイザリーサービスの概要について補足説明をお願いしいうパターンがひとつ。もうひとつは今まで未対応ます。

だったITのインフラの設計、セキュリティレベルの強化を、法令遵守という観点からIT部門が主導権を握

李 確かに中国サイバーセキュリティ法は不確定要素る。そして中国国内の子会社に対してさらにITガバナが多い法律であるため、費用対効果の観点からも、よンスを利かせていくというパターンがあります。中国

り正確な状況把握をしておけば無駄な対応を回避でき現地発の対応であればIT部門主導、日本発の対応でると考えたのが、初期アセスメントサービスの主な目あれば法務、経営企画部門主導という傾向があります。

的になります。初期アセスメントや、その後行う詳細アセスメントといった定型サービスとは別に、よろず相宮岡 本日会場の皆さんは法務、コンプライアンス、談窓口的な立場で、クライアントの個別事情に即した経営企画関連の部署の方が多く、ITや情報システム関テイラーメイドの対応をするのがアドバイザリーサー

連部署の方は少ないのですが、中国サイバーセキュリ

ビスになり、最近お問い合わせが多くなっています。

ティ法対応においてはGDPRとは異なり、IT的側面も日本本社による中国を含む海外拠点のガバナンス強化における留意点軽視できないものになっています。このため、今後日本側と中国側が実効性のあるかたちでいかに融合していくかが、重要なポイントになるようです。


松岡弁護士 海外子会社管理や経営の方向性を決め<本稿の執筆担当者>
渥美坂井法律事務所・外国法共同事業
落合 孝文
弁護士・パートナー

松岡 史朗
弁護士・パートナー

徐楊
中国法律職業資格取得※・
アソシエイト※ただし、外国法事務弁護士の登録はない

IIJ Global Solutions
China Inc.

株式会社インターネットイニシアティブ

李 天一
副総経理
技術統括部長宮岡 泰治
ビジネスリスクコンサル
ティング本部 プリンシパ
ルコンサルタント＜問い合わせ先＞渥美坂井法律事務所・外国法共同事業 E-mail：info@aplaw.jp

2019.353