Ⅱ-2

保護との一般財団法人日本情報経済社会推進協会

電子情報利活用研究部

客員研究員
主席研究員

柊 紫央璃
寺田 眞治

2021年11月１日、中華人民共和国个人信息保护

従って個人情報を取得し、個人情報の安全を確保し法（以下、「中国個人情報保護法」という。）が施行なければならず、他人の個人情報を違法に収集、利された。また、これを補完するネットワークセキュ用、処理、又は譲渡することは禁止される。」と規リティ管理条例（草案）、データ越境移転安全評価定された。さらに上位となる中華人民共和国民法典

弁法（草案）が11月にパブリックコメントにかけ

は、2021年１月施行においてプライバシー及び個られている。現在の状況は、中国における個人情報人情報保護（第６章）という章が新たに設けられ、保護の基本的な体系がほぼ完成し、実務面での行政プライバシー権の定義が初めて規定される。

法規やガイドラインの整備が急速に進められている

今回施行された個人情報保護法は、この民法典に段階である。本稿では、中国個人情報保護法と補完おける個人情報保護の考えを受け継いで、個人情報する最新の行政法規等について概要を説明するとと処理規則、個人情報越境移転、個人の権利および個もに、日本企業が検討すべき事項について若干の示人情報処理者の義務などに対してさらに具体的に整唆を加えている。

理、規定したものとなっている。さらに草案第２稿からの変更点として、第１条に「憲法に基づき、本１．制定の経緯中国でプライバシー保護や個人情報保護が法制度法を制定する」との記述が追加されており、中国における個人情報保護制度の体系化が一通り整ったと考えられる。

として整備し始められたのは、比較的最近のことである。個人情報保護を明確に示したのは、2009年に可決された刑法改正案（七）にて「個人情報の販売・不正提供罪、個人情報の不正入手罪」を定めた

2.1

適用対象のが端緒と考えられる。その後、2015年の刑法改

中国国内において自然人の個人情報を取り扱う活正案（九）で改正案（七）の２つの罪を個人情報侵動に対し適用される。また、中国国外においても、害罪として合併し、情報セキュリティ管理義務履行

中国国内の自然人の個人情報を取り扱う活動が、以拒否罪を追加している。この頃からさまざまな国の下のいずれかに該当する場合は適用される。

行政機関や地方行政が独自に個人情報保護を目的と（一）国内の自然人に向けて商品又はサービスをする規制を短期間に次々と制定するが、個人情報の提供することを目的としている。

定義も微妙に異なり、個別の問題への対処といった（二）国内の自然人の行為を分析し、評価する。

面が強いものであった。

（三）法律又は行政法規の規定するその他の状況。

体系化の動きは、まず2017年10月に施行された

ただし、自然人は個人または家庭の事務により個民法総則に表れる。第111条において「自然人の個人情報を取り扱うことに関しては、本法を適用され人情報は、法律による保護を受ける。他者の個人情ない。

報を取得する必要がある組織及び個人は、法令に12

２．概要

IT-Report 2021 Winterプライバシー保護規制とデータの利活用

2.2

基本的定義

個人情報

電子的又はその他の方法で記録された、既に識別され又は識別可能な自然人に関する各種情報をいうが、匿名化処理後の情報を含まない。

センシティブ個人情報 一旦漏えいし又は不法に使用されると、容易に自然人の人格的尊厳が侵害され、又は人身、財産安全に危害を受けやすい個人情報を言い、生体識別、宗教信仰、特定身分、医療健康、金融口座、行方所在等の情報、及び14歳に満たない未成年の個人情報を含む。
個人情報の取扱い

個人情報の收集、保存、使用、加工、伝達、提供、公開、削除等を含む。

個人情報取扱者

個人情報の取扱活動において、自らが取扱目的、取扱方法を決定する組織、個人をいう。

匿名化

個人情報が処理を経て、特定の自然人を識別できず、かつ元に復元することをできないようにする過程をいう。

個人情報の取扱いにかかる原則とルール：

開及び透明性の原則（第７条）、個人情報の質と正個人情報保護法の第５条から第10条にかけて、確性の保証（第８条）、セキュリティの保障（第９個人情報の取扱いに関する以下の基本原則が定めら条）、法令遵守・国家安全・公共利益保護（第10条）

れている：合法性、正当性、必要性及び信義誠実

具体的な取扱いルールとして、下記の７つの正当（第５条）、明確かつ合理的な目的及び目的との直接化事由のいずれかに該当しない限り個人情報の取扱関連（第６条第１項）、本人の権利利益への影響がいはできないとしている。

2.3

最小となる方法・範囲の収集（第６条第２項）、公（一）本人の同意を取得している場合（二）～（七）本人の同意が不要な場合 本人が当事者の一方となる契約の締結若しくは履行に必要な場
合、又は適法に制定された労働規章制度及び適法に締結された集団的契約に基づく人事管理を実施する上で必要な場合。
法定の職責又は法定の義務の履行に必要な場合。
突発的な公衆衛生上の事案に対応し、又は緊急状況下において自然人の生命、健康及び財産の安全の保護のために必要な場合。
公共の利益のためメディア報道、世論監督等の行為を実施し、合理的範囲内で個人情報を取り扱う場合。
本法の規定に基づき合理的な範囲で本人が自ら公開し又はその他適法に既に公開済みの個人情報を取り扱う場合。
法律、行政法規の規定するその他の状況。

また、個人情報の取扱いに際し、センシティブ個

さらに、同意の必要の有無にかかわらず告知の義人情報を取り扱う場合や個人情報の越境移転の場合務が課せられている。「目立つ方式で、明確かつ理など、本人の個別的同意または書面による同意を得解しやすい表現を用いて、本人に対し、真実で、正なければならないと法律または行政法規が規定する確でかつ完全に」以下の事項を告知しなければなら場合には、当該規定に従わなければならない。

ない。

IT-Report 2021 Winter13

共通

個人情報取扱者の名称又は姓名及び連絡先
個人情報の取扱目的、取扱方法、取り扱う個人情報の種類及び保存期限
本人が本法の規定する権利を行使する方法及び手続法律及び行政法規が告知すべきと規定するその他の事項

個人情報取扱者の合併、分割、解散、破産宣告 移転先の名称又は姓名及び連絡先等によって個人情報の移転が発生する場合
他の個人情報取扱者に個人情報を提供する場合 受領者の名称又は姓名、連絡先、取扱目的、取扱方法及び個人情報の種類
センシティブ個人情報を取り扱う場合

センシティブ個人情報を取り扱う必要性及び本人の権利利益への影響

越境移転の場合

移転先の名称又は姓名、連絡先、取扱目的、取扱方法、個人情報の種類及び本人が域外移転先に対する権利を行使する方法及び手続等の事項

このように、同意、告知の要件として、いずれも「法「特定の目的及び充分な必要性」および「厳格な保律、行政法規の規定するその他の状況」のようなバ護措置」が定められている。同意および告知に関しスケット条項が設けられているため、今後法律等にては2.3で整理したとおりに通常の事項に加えて特よって追加されるかをウォッチしておく必要がある。

則がある。

たとえば、2021年11月にパブリックコメントが特に注意したいのは、草案第２稿からの変更点と開始されたネットワークセキュリティ管理条例（草して14歳未満の情報がセンシティブ個人情報に含案）において、本人の同意に基づき個人情報を取りまれるようになったことであり、その場合はさらに扱う場合の要件を以下のとおり具体的に提示してい父母またはその他の監護者の同意を取得し、かつ専る（第19条）。

門的な個人情報取扱ルールを設けなければならない（一）取り扱う個人情報は、サービスの提供に必という点である。

要であり、又は法律、行政法規で定める義務の履行のために必要である。
（二）取扱いの目的を達成するための最短期間、最低頻度に限定し、個人の権利・利益への影響が最小となる方法を用いる。

３．その他の主な特徴
3.1

域外適用

中国個人情報保護法は、中国国内の自然人に製品、（三）サービスの提供に必要な個人情報以外の情サービスを提供し、または中国域内の自然人の行為報の提供を拒否したことを理由に、サービを分析し評価する中国国外における個人情報の取扱スの提供を拒否し、又は本人のサービスのいを適用範囲としている。これはGDPRの域外適用正常な利用を妨げてはならない。

規定にきわめて近い考え方で、たとえば日本のゲー同意と告知についても、個人情報の第三者移転のム会社がアプリストアを通じて中国国内の自然人に場合は「個人情報を提供する目的、種類、方法、範ゲームを提供し、個人情報の取扱いを行う場合、直囲、保管期間、保存場所を本人に告知し、かつ本人接適用されることになる。域外適用規定が置かれての同意を個別に取得する」としている。

いることから、中国に関連会社がある企業に留まらず、自社またはグループ会社の非中国企業が適用を

2.4

センシティブ個人情報の取扱いに関する特則

センシティブ個人情報の取扱いの要件として、

14

IT-Report 2021 Winter受けないかについて確認する必要が出てくる。

プライバシー保護規制とデータの利活用

3.2

自動的決定の規制（三）請求者の合法的な身分を検証できるデータ

自動的決定は、コンピュータプログラムを通じて自取扱者は、個人情報を受領する他のデータ

動的に本人の行為習慣、興味、嗜好または経済、健康、取扱者が個人情報を不正に取り扱うリスク信用状況等を分析、評価し、決定を行う活動をいう。

を発見した場合は、個人情報の移転請求に

これは、草案第２稿を審議した際に殊に条項の強対して合理的なリスク提示を行わなければならない。

化を指示された部分で、APIによる過剰な個人情報収集や、それに伴うビッグデータによる差別的な取引価格などの不合理な取引の実施が、近年中国で問

3.4

域外移転のルールとデータ国内保存義務題となっていることが背景にある。GDPR第22条１

すべての個人情報取扱者を対象とした一般的な移項の自動化された意思決定およびプロファイリング

転のルールとしては、必要事項の告知、個別の同意の規制に類似している。の取得に加え、以下の条件のいずれかを満たさなけ

個人情報取扱者が個人情報を利用して自動的決定を行う場合には、「決定の透明度及び結果の公平性・公正性を保障しなければならない。本人に対ればならないとされている。
（一）国家インターネット情報部門による安全評価に合格した場合。

し、取引価格等の取引条件において不合理な差別的（二）国家インターネット情報部門の規定に基づ待遇を実施してはならない。
」との原則を据えた上く専門機構による個人情報保護の認証を得で、「自動的決定の方法によって本人に対し、情報ている場合。

配信、商業的マーケティング活動を実施する場合に（三）国家インターネット情報部門が制定する標は、同時に当該本人の特徴に基づかない選択項目を準的契約を域外の移転先と締結し、双方の提供し、又は本人に対し簡便な拒絶方法を提供しな権利及び義務を約定する場合。

ければならない。」としている（第24条）。

（四）法律、行政法規又は国家インターネット情報部門の規定するその他の条件。

3.3

データポータビリティ権

第45条３項のデータポータビリティに関する規（一）の安全評価に関しては、さっそくデータ越定も最終稿に新たに加えられた内容である。本人が境移転安全評価弁法（草案）がパブリックコメント指定する個人情報取扱者へ当該本人の個人情報を移に出され、11月28日まで意見募集が行われた。
（二）転するよう請求した場合、それが国家インターネッの個人情報保護の認証はまだ詳細が明かされていな

ト情報部門の定める条件に合致していれば、個人情い。
（三）の「標準契約」もまだ策定中のようだが、報取扱者は移転方法を提供しなければならないとさGDPRのSCCとの類似点についても注目したい。

れている。しかし、対象となる個人情報の範囲や具体的な条件、実務面における移転方法の提供をどのさらに、重要情報インフラ運営者および取り扱うように実現するかについては記載されていない。た

個人情報が国家インターネット情報部門の規定するだし、前述のネットワークセキュリティ管理条例数量に達した個人情報取扱者を対象に、第40条では（草案）において、以下のようにある程度の規定が中華人民共和国域内で收集し、または発生した個人提示されている（第24条）。

情報を国内で保存しなければならず、たしかに域外（一）移転請求がなされた個人情報が同意に基づに提供する必要がある場合には、原則的に国家インく場合、又は契約の締結、履行のために収ターネット情報部門による安全評価に合格しなけれ集が必要な個人情報である場合。

ばならないとしている。重要情報インフラについて個（二）移転請求がなされた個人情報が本人の情報又人情報保護法では定義の扱いがないが、2017年６月

は請求者が合法的に入手した他人の情報であ施行のサイバーセキュリティ法によると「公共通信・り、かつ他人の意思に反していない場合。

情報サービス、エネルギー、交通、水利、金融、公IT-Report 2021 Winter15

共サービス、電子政府等の重要な産業及び分野、並無秩序なデータの流出を阻止する意味合いの方が大びにひとたび機能の破壊、喪失又はデータの漏えいきいと考えられている。特に最近締付けを厳しくしてに遭遇した場合、国の安全、国民経済と民生、公共いる中国国内のプラットフォーム事業者や新興の大企の利益に重大な危害を与え得るその他の重要情報イ業をターゲットにしていると思われる。したがって、ンフラの運営者」とされている（第31条）。また、規ただちに日本企業に対して取締まりが行われるかと言定する数量は、前述のデータ越境移転安全評価弁法

えば、その可能性は現時点ではさほど大きくはないとを見ると「取り扱った個人情報が100万人に達した個見られている。しかし、法律制定時の見せしめ的な一人情報取扱者が越境移転する場合」（第４条第３号）、斉取締まり、対外環境の悪化などさまざまな不確実性「累計で10万人以上の個人情報又は１万人以上の機を勘案すると、あまり良い言い方ではないが「不運な」微な個人情報を越境移転した個人情報取扱者」（第４

状況に陥る企業が出てくるのも避けられないだろう。

条第４号）とあり、これが目安となると考えられる。

法律の遵守は当然のことなので、本来「不運」とネットワークデータセキュリティ管理条例（草は言えないが、この法律だけで具体的で明確な対応案）でも、データ越境移転安全評価に合格しなけれを行うことは現実的には困難である。今後策定さればならない対象者を「越境データに重要データが含る補完的な、あるいは領域別、場合によっては地域まれている場合（第37条第１号）、重要情報インフ別の法律、行政法規、さらにはガイドラインが出てラ事業者、及び100万人以上の個人情報を取り扱うくるまでは想定されるリスク範囲を大きく設定してデータ取扱事業者（第37条第２号）としている。

対応するしかないのが実態である。過去に制定されさらにデータ越境移転セキュリティ管理の章（第５たさまざまな規定も参考にはなるが、本法律に合わ章）が設けられており、個人情報の越境移転に際し、せて改定されたり無効にされたりするものもあると国外のデータ受領者の関連情報などを本人に通知す思われるので、実効性を十分に見極める必要がある。

るだけでなく、個別の同意を得なければならないとしまた、現地の政策動向や国際環境変化などの外部ている。また、同管理条例の草案では、データ越境移の情報に注意を払うことは当然のことではあるが、現転する場合のデータ取扱者の義務が明確に規定され地従業員に対する教育や個人情報を扱う委託事業者ており（第39条、40条）、国によって「データ越境移の管理など、ガバナンスの強化も必須である。中国サ転セキュリティゲートウェイ」を設置する（第41条）

イバーセキュリティ法が2017年６月に施行されて以コンセプトが打ち立てられていることにも注目したい。

降、個人情報を含むデータセキュリティに関する規定やガイドラインが大量に策定されている。同様に今回の個人情報保護法に合わせて、本稿でも触れているよ４．今後の動向と日本企業の対応

うに個人情報の安全管理措置に該当するセキュリティに関連する規定の策定が相次いで予定されている。企中国個人情報保護法は基本的な方向性と原則を定業は取扱いのルールを策定するだけではなく、これをめたものであり、外形的にはEUのGDPRに類似してい遵守できる体制の確立が喫緊の課題となるであろう。

る。すでにGDPR対応をしている企業にとっては比較16的整合性を取りやすいように一見思われるが、実態と中国のプライバシー保護、個人情報保護に関するしては排他的傾向が強いものとなっている。それは本

基本的な法体系の確立が、今回の個人情報保護法の法律のバスケット条項に基づき別途策定される法律や施行で一応の完成に達したと考えられる。今後は、行政法規に表れており、いわゆるデータローカライ

この法体系の下にあらゆる領域において実効的な整ゼーションと言われるデータの国内保存義務や越境移備が急速に進められることが想定される。中国の法転について、厳しい規定が多くみられることからも明制度の普及や執行のスピードはきわめて速いことからかだ。ただし、これらは必ずしも国外の事業者の締ら、各企業もこれを見越した対応が必要であり、リ出しを図るためのものではなく、国内の事業者によるスクマネジメントの最大のポイントになるであろう。

IT-Report 2021 Winter