東京⼤学公共政策⼤学院研究プロジェクト「IT 企業の国際展開をめぐる政策課題」
とりまとめ
2023 年 3 ⽉

プロジェクトの経緯と問題意識
東京⼤学公共政策⼤学院は、2022年に研究プロジェクト「IT企業の国際展開をめぐる政策課題」（担当教員：宗像直⼦教授）を実施した。
⽇本の IT 企業、特にインターネットサービスを⾏う企業（以下「インターネットサービス企業」）は、グローバルな事業の成功のために、⼈材獲得競争に対応し多様な国籍の⼈材が幅広く活躍できる環境を確保する必要がある⼀⽅で、各国のデータガバナンスの違いや経済安全保障の観点を踏まえたデータ管理、リスク管理の⾼度化が求められるようになっている。特に、中国では国家が国⺠に諜報活動への協⼒を法律上義務付けたことから、個⼈が出⾝国と所属企業の板挟みになるのではないかという懸念が発⽣している。
本プロジェクトにおいては、こうした課題について、株式会社メルカリほかインターネットサービス企業有志をメンバーとし、政府、研究者、産業界の有識者（注）の参加を得て、国際情勢や各国政策の把握、経営戦略に適合したリスク管理の基本的考え⽅や着眼点、データガバナンスの具体的なあり⽅（海外での開発拠点の設置、業務委託先の選定、従業員のデータアクセス元の管理など）について議論を⾏った。
議論の中では、国際情勢認識やリスクについての考え⽅に温度差がある点も⾒られたが、本稿では、この問題を深めていく上で重要と思われる論点と今後の課題を公表に馴染む範囲で⽰しておく。
（注）研究会に参加した有識者（敬称略、五⼗⾳順）
伊藤 隆
三菱電機株式会社 経済安全保障統括室 室⻑
内⽥ 了司
経済産業省 通商政策局 国際経済課⻑（当時）佐橋 亮
東京⼤学 東洋⽂化研究所 准教授
佐脇 紀代志 個⼈情報保護委員会事務局 審議官（当時）⽬⿊⿇⾐⼦
商務情報政策局総務課国際室⻑

1

１．経済安全保障をめぐる内外情勢①⽶中対⽴の常態化

⽶中関係においては、⽶国トランプ政権が2017年12⽉の「⽶国国家安全保障戦略2017」において中国を初めて名指しで競争相⼿と位置付けたことを契機として、覇権をめぐる争いが顕在化し、激化している。2018年8⽉に成⽴した「国防授権法2019」が上下両院で共和・⺠主両党の圧倒的⽀持を得ていたことに⽰されるように、対中政策の転換は超党派の⽀持によるものであった。同法には、中国の軍⺠融合戦略を念頭に、輸出・投資規制強化、政府調達制限等が盛り込まれた。その後バイデン政権下では、サプライチェーン強靭化のための国内研究開発・製造⽀援、先進半導体の対中輸出規制強化などが導⼊されている。⽶中対⽴の背景には、中国が既存の国際秩序に挑戦する姿勢を⾏動で⽰し始めたことだけでなく、軍事⼒やこれを⽀える経済⼒の基盤となる先端技術における競争⼒で⽶中が⾁薄したことに対し⽶国が優位を維持しようと動いていることもある。このため、⽶中対⽴は、特定の政権の政策に左右されるものではなく、構造的に定着したものと捉える必要がある。
②⽇本の経済安全保障政策の強化

⽇本は、技術やデータの保護、サプライチェーンの強靱化等を含む経済安全保障政策を導⼊するとともに、東アジアにおける紛争を抑⽌するため、同盟国である⽶国をはじめ、欧州やインド太平洋地域の同志国との結束強化を図っている。岸⽥政権下では、経済安全保障担当⼤⾂が置かれ、経済安全保障推進法が成⽴し、2022年末に策定された「国家安全保障戦略」が安全保障関連分野の諸政策の⼀つとして経済安全保障を位置付けた。⽇本の経済安全保障政策は、今後、国の安全保障政策の不可分の要素として継続的に実施、充実されていくものと捉える必要がある。

２．I T企業の事業に直接関連する関連する国内制度の状況①改正個⼈情報保護法の施⾏

2022年4⽉、改正個⼈情報保護法の施⾏により、個⼈データの外国への移転の際、顧客本⼈の同意を根拠に移転させる場合には、同意を取得する際に当該外国の名称などを本⼈に伝えることが求められることとなった（法第⼆⼗⼋条第２項）。基準に適合する体制を整備した事業者への移転など、個⼈データの外国への移転の際に本⼈の同意が求められない場合であっても、事後的

2

に本⼈から開⽰を求められた場合には、移転先の国名などを本⼈に伝えることが求められることとなった（改正個⼈情報保護法第⼆⼗⼋条第３項）。この法改正は経済安全保障の要請に基づくものではないが、経済安全保障の議論における技術・データ保護への注⽬を踏まえると、個⼈データの移転先の評価に当たっては、経済安全保障の観点にも留意する必要がある。
②改正電気通信事業法の成⽴

2022年6⽉、改正電気通信事業法が成⽴した。この改正では、⼀定の規模以上の顧客データ（利⽤者情報）を取り扱う事業者に対し、個⼈情報保護法よりも厳格なガバナンスが新たに義務付けられた。具体的には、適正な取扱が求められる利⽤者情報（個⼈情報より広範）が「特定利⽤者情報」と定義され（法第⼆⼗七条の五）、その内容、利⽤⽬的・⽅法、安全管理、苦情・相談等に関する情報取扱⽅針の公表が義務づけられた（第⼆⼗七条の⼋）。海外のサーバ等を利⽤する場合には、情報取扱⽅針の安全管理の内容として、その外国の名称、その外国の個⼈情報保護制度や外国の第三者が講ずる個⼈情報保護のための措置に関する情報など幅広い事項を記載することが求められる（電気通信事業における個⼈情報保護に関するガイドライン等）。

３．海外の事業環境①ウクライナ侵略後の国際情勢2022年2⽉のロシアによるウクライナ侵略によって、G7を中⼼とした先進国の⾃由主義陣営と、中国やロシア等の権威主義陣営との対⽴が激化しているが、南半球を中⼼とした途上国（グローバルサウス）は、そのどちらにも属さず個々の問題ごとに⾃国の利益を最⼤化する対応を取っている。⽇本のIT企業が開発拠点を設置したり、業務委託したりする国にも、この第3の類型に属するところが多くあり、各国の状況を個別に確認する必要がある。
②データガバナンス・データ流通の国際的な制度調和の動向

⽶・欧・中は、データの⾃由な流通・利⽤による経済効果、⼈権としてのプライバシー保護、国家による情報統制など、それぞれ重視するものに応じて異なる制度・市場を形成している。
⽇本政府は、OECDや多国間協定・個別の経済連携協定（EPA）などを通じて信頼性のある⾃由なデータ流通（DFFT）を促進する取り組みを進めている。各国とも総論は賛成しているが、具体的な取り組みについては、現時点ではベストプラクティスを共有する段階に留まっている。

3

③アジア諸国における事業環境とデジタルルールの⾏⽅

アジア諸国におけるIT事業環境の予⾒可能性を⾼める上で、⾼いレベルのデジタルルールがこれらの国々に広がることが期待される。
・環太平洋パートナーシップに関する包括的及び先進的な協定（CPTPP）には、ASEAN諸国からシンガポール、マレーシア、ベトナム、ブルネイが参加している。ただし、ベトナムでは、個⼈情報に関する規制を厳格化し、国内保存義務と組み合わせた厳しい越境移転規制を導⼊する動きがあることに注意を要する。
・世界貿易機関（WTO）の有志国による「電⼦商取引に関する共同イニシアティブ」（88カ国が参加）は、⽶国・EU・中国が⼀堂に会する世界最⼤のデジタル貿易ルール交渉として注⽬される。
・2022年5⽉のバイデン⽶国⼤統領訪⽇の際に⽴ち上げられたインド太平洋経済枠組（IPEF）は、デジタルルールを貿易の柱の主要テーマの⼀つとしており、今後の展開が注⽬される。
④中国に関わるデータセキュリティ上のリスク

2017年国家情報法第7条により、中国国⺠は国家の諜報活動に協⼒する義務を負うこととなった。また、2017年サイバーセキュリティ法、2020年暗号法、2021年データセキュリティ法など⼀連のデータ関連法が制定され、中国国内で活動する企業のデータは、国内保存が義務付けられると共に、国家安全保障上の理由があれば中国政府が随時アクセスできることとされた。これを受け、⽶国政府は、2020年12⽉に、⽶国企業にデータセキュリティに関する警告情報を発出し、中国が軍⺠融合戦略の下、国家ぐるみでデータ窃取を⾏なっており、中国関連企業からデータサービスや機器を調達したり、中国関連企業が開発したソフトウェアや機器にデータを保存したりする場合に、経済的、レピュテーション上、法的リスクがあることを認識し、デューデリジェンスによってリスクを軽減すべきとしている。
⑤中国に関わるその他のリスク

⽇本企業の中国事業拠点については、⽶国企業同様、有事の際の社員の拘束・資産の接収などのリスクを想定する必要がある。平時における強制技術移転のリスクや供給網における過度の対中依存などの経済安全保障上のセンシティビティは、業種や事業活動の態様によって異なる。中国事業を有する企業においては、今後起こりうるシナリオを具体的に想定し、対応策を検討する動きが⾒られる。

4

４．結論：事業運営上の指針・論点

上記の情勢変化を踏まえ、⽇本のインターネットサービス企業は、海外市場進出、海外⼈材の活⽤等に当たって、経済安全保障の視点を踏まえたリスク管理がこれまで以上に求められている。その際、以下の点に留意する必要がある。
①⽶中対⽴を契機として顕在化した経済安全保障の要請は、⻑期的に継続する。国際秩序の安定は、リスクを下げる役割を果たしてきたが、秩序が流動化している現在、新しい均衡が形成されるまでの間、不安定で予測可能性の低い状況が続く。
②特定の国や地域からのアクセスを特別に制限することについて、多様性を重視している社内において、外国籍の社員にどう説明するか難しいとの声が多く聞かれた。データアクセス管理については、国籍に基づく形式ではなくリスク管理上の必要性という実質から社内で実施すべきものを決定することで、従業員が納得できる説明を⾏いやすくなるのではないか。
③経済安全保障の視点を踏まえたリスク管理は、各企業が⾃社の事業特性や社会からの期待を踏まえ、⾃ら実質的なリスクを評価し、⾃社の経営戦略に適合する形で⾏うものであること。その際、例えば「あらゆるデータを国内で保管する」（政府はこれを求めていない）といった形式的な基準でリスクを過度に回避することなく、他⽅、例えば、法令を遵守さえしていれば⼤丈夫だと考えてリスクを過度に受容することなく、各社が実質的に適切な判断を⾏えるよう、今後、企業の課題や事例を官⺠で共有し、分析の観点を充実させることが期待される。
④海外の事業環境に影響を与えるWTO等の国際ルールや国際情勢についての理解を深めると共に、⾃ら望ましい国際ルールを検討し、政府に働きかけていくことが今後の課題である。国際ルールやトレンドの理解にあたっては、個社での情報収集には限界があるため、経済界/産業界として、業界団体による勉強会などを通じて、広く情報が共有される体制や機会を提供することが重要である。また、「経済安全保障基本⽅針」（第１章第⼆節（３）事業者との連携）に⽰される通り、各社の⾃発的な⾏動が促進されるよう、政府として、官⺠の適切なコミュニケーションや情報提供体制の構築に努めていくことも今後の課題である。
以上

5