2021年11月11日

JILIS第3回オンライン情報法セミナー
中国個人情報保護法の概要と実務的な対応
TMI総合法律事務所
弁護士

包城 偉豊

アジェンダ1. 個人情報保護法制定までの経過
2. 個人情報保護法における基本概念と諸原則
3. 個人情報処理にあたってのルール
4. 個人情報の越境提供
5. 個人情報に対する個人の権利

6. 個人情報処理者における遵守事項
7. 今後の立法動向
8. ケーススタディ
21．個人情報保護法制定までの経過

3

1-1

個人情報に関する問題の頻発

アプリケーションにおける個人情報セキュリティ上の問題
 個人情報の収集・利用に関するルールが有効に機能していないこと
 個人情報への強制的、頻繁、過剰な要求
 権限外の個人情報の収集
 規範化されていないデータ共有方法と制約の欠如
 ターゲティングサービスの承諾、拒絶ができないこと
 アカウント抹消の困難性
2020年1月中国情報通信研究院「移动互联网应用个人信息安全报告（2019年）」より

4

1-1

個人情報に関する問題の頻発

ネットワーク不良及びスパム情報通報処理センターに寄せられた、APPに関するユーザーからの通報内容（2019年11月～12月）
個人情報セキュリティに関するクレーム

5%
18%

30%

22%
21%
4%
個人情報収集ルール

個人情報の収集

権限申請

カスタマイズ

個人情報の使用

アカウントの解約

個人情報の収集に関する主なクレーム

権限申請に関する主なクレーム

16
14
12
10
8
6
4
2
0

12
10
8
6

授
権
し
な
け
れ
ば
使
用
不
可

権
限
の
過
剰
要
求

頻
繫
な
権
限
申
請

4
2
0

範囲外の収集私的収集

2020年1月中国情報通信研究院「移动互联网应用个人信息安全报告（2019年） 」、2021年2月中国ネットワーク情報センター「第47回中国互联网发展情况统计报告」

5

1-2

個人情報保護関連の主な立法経過

時系列

6

法令

備考

2002年6月

深セン経済特区人材市場条例（深圳经济特区人才市场条例）

個人情報に言及した最初の規範的な法律文書

2003年6月

居民身分証明書法（居民身份证法）

個人情報保護に言及した最初の全人大常務委員会によって定められた法律

2005年

個人情報保護法（専門家提案稿）（中华人民共和国个人信息保护法（专家建议稿））

国務院情報化工作弁公室が学者に依頼して、起草された個人情報保護法の草案

2009年2月

刑法修正案（七）（刑法修正案（七））初めて個人情報を刑法の保護範疇に入れた

2013年6月

電信とネットワークユーザー個人情報保護規定（电信和互联网用户个人
信息保护规定）通信とネットワークユーザーの合法的権益を保護し、ネット情報の安全を守るために制定された法規

2013年10月

消費者権益保護法（消费者权益保护法）

個人情報保護の範囲を消費者権益保護の領域に拡大

2014年

国家情報ネットワーク専門立法計画（2014～2020）（提案）
国家信息网络专项立法计划（2014～2020）（建议）中央ネットワークセキュリティと情報化委員会弁公室が編纂した情報ネットワーク
関連の立法計画

2016年11月

サイバーセキュリティ法（网络安全法）

初めてのサイバー空間管理に係る基本法

2018年9月

十三期全国人大常委会立法計画（十三届全国人大常委会立法规划）

条件が比較的成熟しており、期中に審議すべき法律の中に個人情報保護法

2019年4月

ネットワーク個人情報セキュリティ保護指南（互联网个人信息安全保护
指南）

個人情報の安全保護の管理体制、安全技術措置と業務流れ

2019年10月

児童個人情報ネットワーク保護規定（儿童个人信息网络保护规定）

最初の児童個人情報に関する法律

個人情報保護法（専門家提案稿）（个人信息保护法（专家建议稿））中国人民大学法学院の教授と中国情報通信研究院の研究員が国家社会科学基金の「ネットワークセキュリティ主要立法問題」とのPJの一環で起草された草案

2020年10月

個人情報保護法（草案）（个人信息保护法（草案））

全人代にて審議され、初めて意見募集にかけられた個人情報保護法の草案

2021年1月

民法典

個人情報保護・プライバシーに関する章節の設置

2021年4月

個人情報保護法（草案第二次審議稿）

募集したパブリックコメントに基づき修正された個人情報保護法の草案

2021年9月

データセキュリティ法（数据安全法）

データセキュリティ分野における初の基本法

2021年11月

個人情報保護法（个人信息保护法）

個人情報保護法制定

1-2

個人情報保護関連の主な立法経過
サイバーセキュリティ法制定前
民法総則第111条に個人情報に関する概括的規定。その他、権利侵害責任法（侵权责任法）、消費者権益保護法（消费者权益保护法）その他の行政条例、部門規則で散発的に規定

サイバーセキュリティ法•中国国内におけるネットワーク運営者の行為（個人情報及びデータの取扱を含む）への適用。ネットワーク運営者によるユーザー情報の收集における個人情報保護義務の明記

民法典•人格権の一環として、プライバシー権、個人情報に関する規定を一章（８か条）規定

データセキュリティ法データ・コンプライアンスに係る包括的な法令。全ての主体によるネットワーク上のデータ及びそれ以外のデータの取扱活動に適用され、個人情報を含むデータを保護
対象とする
7

1-3

各法律の位置づけイメージ
行政法

民事法

サイバーセキュリティ法

個人情報保護法
データセキュリティ法8

民法典

2．個人情報保護法における基本概念と諸原則

9

2-1

基本的概念

本法の適用対象（本法第3条）
 中国国内における、自然人に係る個人情報の処理行為（原則） 中国国外における、中国国内の自然人に係る一部の個人情報の処理行為（例外）但し、個人又は家庭の事務を取り扱うにあたっての個人情報の処理は、そもそも本法の
適用対象外

10

2-1

基本的概念

個人情報の定義（法第4条第1項）• 電子的又はその他の方式により記録される、既に識別され又は識別が可能な自然人に関連する各種情報• 但し、匿名加工後の情報は含まれない「匿名加工」とは、個人情報を処理することにより、特定の自然人を識別できず、復元できなくするプロセス

Cf．従前の定義
法令

11

定義

サイバーセキュリティ法
第76条第5号

電子又はその他の方式により記録された単独で又はその他の情報とあわせて個人の身分を識別することができる情報。

個人情報セキュリティ規範

電子又はその他の方式により記録された単独で又はその他の情報とあわせて特定の個人の身分を識別することができ、又は活動状況を反映でき
る情報。

民法典
第1034条第1項

電子的又はその他の方法によって記録され、単独で又はその他の情報と組み合わせて、特定の自然人を識別することができる情報。

2-1

基本的概念

センシティブ個人情報（法第28第1項）
一旦漏えい又は違法に使用すると、容易に自然人の人格尊厳が侵害され、又は人身、財産の安全に危害が生じる個人情報をいい、生物識別、宗教・信仰、特定身分、医療健康、金融口座、行動軌跡等の情報及び14歳未満の未成年に係る個人情報
Cf. 第二次審議稿
一旦漏えい又は違法に使用すると、個人が差別を受けるか、人身、財産の安全に重大な危害を被る可能性のある個人情報をいい、種族、民族、宗教・信仰、個人の生体的特徴、医療健康、金融口座、個人の行動歴等の情報を含む。
個人情報セキュリティ規範
一旦漏えい、違法提供、又は濫用すると、容易に自然人の人格尊厳が侵害され、又は人身、財産の安全に損害又は差別的待遇等が生じる個人情報

12

2-1

基本的概念

個人情報の処理（法第4条第2項）
個人情報の収集、保存、使用、加工、移転、提供、公開、削除等を含む

13

2-1

基本的概念

中国国外への域外適用
中国国外における、中国国内の自然人に係る個人情報の処理行為に対して本法が適用されるのは以下のいずれかの事由がある場合• 中国国内の自然人に商品又はサービスを提供することを目的とする場合• 中国国内の自然人の行為を分析、評価する場合• 法律、行政法規に定めるその他の場合

 域外適用される場合…

・中国国内に専門機関又は指定代表を置き、個人情報保護に関連事務処理を行わせること・その名称と連絡先等を関連当局に報告すること
14

2-2

個人情報処理に係る諸原則

個人情報処理者が個人情報の処理をするにあたって遵守すべき諸原則
基本原則

内容

適法、正当、必要、誠実の原則（法第5条）

適法性、正当性、必要性及び信義誠実の原則を遵守
誤導、詐欺、脅迫等の方式によって個人情報を処理してはならない

目的明確と直接関連の原則（法第6条）

個人情報処理の明確で合理的な目的+処理の目的と直接の関連性
個人の権益への影響を最小とする方式
個人情報処理の目的が実現できる最小範囲における個人情報の収集

公開透明の原則（法第7条）

公開、透明性の原則を遵守
個人情報の処理規則を公開し、処理の目的、方式及び範囲を明示する

正確性の原則（法第8条）

個人情報の質を保証
個人情報の不正確性、不完全性による個人の権益への不利な影響発生の回避

セキュリティ保障（法第9条）

個人情報の処理に対する責任を負う
セキュリティを確保するために必要な措置を講じる義務

 処理目的との直接関連
当該個人情報の参与がなければ、商品又はサービスの効能を実現することが不可能であること（個人情報セキュリティ規範5.2）

15

3．個人情報処理にあたってのルール

16

3-1

個人情報処理に係る要件

原則：個人からの同意+告知
例外：個人の同意なく個人情報の処理が可能な場合告知が不要な場合

17

3-2

個人からの同意

個人からの同意に係る条件

草案段階では「意思表示」という位置付け• 個人が十分に事情を知っている前提のもとで、自由意思且つ明確に行われること（本法第14条第1項）• 同意をした個人にはその同意を撤回する権利があり、個人情報処理者は、同意を容易に撤回することができる手段を提供すること（本法第15条第1項）• 個人情報の処理が製品又はサービスの提供に必須となる場合を除き、個人情報処理者は、個人がその個人情報の処理に同意していないこと、同意を撤回したことを理由に、製品又はサービスの提供を拒否してはならないこと（本法第16条）• 取り扱う個人情報が14歳未満の未成年のものに係る場合には、未成年者の父母又は保護者の同意を得ること（本法第31条第1項）

18

3-2

個人からの同意

個別の同意と書面の同意
法令が「個別の同意」又は「書面の同意」の取得義務を課している場合には、当該規定に従わなければならない（法第14条第1項）

個別の同意
•
•
•
•
•

個人情報処理者からその他の個人情報処理者への個人情報の提供（本法第23条）
個人情報処理者による個人情報の公開（本法第25条）
個人情報処理者が公共場所に設置される画像収集設備、又は個人身分識別設備を通じて収集されるものを公共安全以外の目的に使用する場合（本法第26条）
個人情報処理者がセンシティブ個人情報を取り扱う場合（本法第29条）
個人情報処理者による個人情報の越境移転（本法第39条）
個別同意の方法？

193-2

個人からの同意

同意の再取得
以下の各場合には、個人から同意の再取得することが必要• 個人情報処理の目的、処理方式及び処理する個人情報の種類に変更が生じた場合（本法第14条第2項）• 合併、分割、解散、破産宣告等の原因により個人情報の移転が必要な場合
で、個人情報の受領者が当初の処理目的及び処理方法を変更する場合（本法第22条）• 個人情報処理者が、自ら処理した個人情報を他の個人情報処理者に提供する
場合で、個人情報の受領者が当初の処理目的又は処理方法を変更する場合（本法第23条）

20

3-2

個人からの同意

同意が不要な場合
以下のいずれかに該当する場合、個人からの同意を得ずに個人情報の処理をすることが可能（本法第13条）、但し、この場合でも告知義務は当然には免れない。

21

1.

個人を一方の当事者とする契約の締結又は履行に必要な場合、又は法に基づき制定された内部規定及び法により締結された集団契約に基づき、人力資源管理を実施するために必要な場合

2.

法定の職責又は法定の義務の履行に必要な場合

3.

突発的公衆衛生事件への対処又は緊急事態下における自然人の生命・健康や財産の安全の保護に
必要な場合

4.

公共の利益のための報道、世論監督等の行為をするために合理的な範囲内で個人情報を処理する
場合

5.

本法の規定に基づき合理的な範囲内で、個人が自ら公開し又はその他適法に公開された個人情報を処理する場合

6.

法律、行政法規に定めるその他の場合

個別同意の取得義務？

3-3

告知

告知の要件
個人情報の処理をする前に、目立つ方式により、明確で分かりやすい文言で、真実、正確、完全に以下の事項を個人に告知すること（本法第17条第1項）
1.
2.
3.
4.
5.
6.
7.
8.

22

個人情報処理者の名称又は氏名及び連絡先情報
個人情報処理の目的、処理方式、処理する個人情報の種類、保存期間
個人が本法に規定する権利を行使する方法及びプロセス
法律、行政法規にて告知すべきと定められたその他の事項（個人情報処理者の合併、分割等が生じた場合）個人情報の受領者の名称又は氏名、連絡方法（本法第22条）（他の個人情報処理者に提供する場合）受領者の名称又は氏名、連絡先情報、処理の目的、処理
方式及び個人情報の種類（本法第23条）（センシティブ個人情報を処理する場合）センシティブ個人情報を取り扱う必要性及び個人権益への影響（本法第30条）（越境提供がある場合）中国国外の情報受領者の名称、連絡方法、処理目的、処理方法、個人情報の種類及び個人が国外の情報受領者に対して本法に定める権利を行使する方法とプロセス等の事項（本法第39条）

3-3

告知

告知が不要な場合
以下の場合には告知が不要
1.

個人情報処理者が個人情報を処理するにあたり、秘密を保持すべきこと又は告知が不要であること
が法律、行政法規で規定されている場合（本法第18条第1項）

2.

緊急事態下において自然人の生命・健康及び財産の安全を保護するために速やかに個人に告知することができない場合（本法第18条第2項）

23

但し、緊急事態が収まった
後速やかに告知が必要

3-4

保存期間

個人情報の保存期間は、個人情報処理目的実現のために最短期間とする必要（法19条）
以下の場合には、個人情報処理者において自主的に個人情報の削除をする必要（本法第47条第1項第1号、第2号）
1.
2.

24

個人情報処理者においては、個人情報の処理の目的が実現、実現不能、不要となった場合
商品やサービスの提供を停止した場合又は保存期間が満了した場合

3-5

個人情報の共同処理・委託処理

個人情報の共同処理（法第20条）
複数の個人情報処理者が共同で個人情報の目的、処理方法を決定する場合• 各自の権利義務について合意をすること• 共同で個人情報処理をしたことによって個人に生じた損害について、共同で責任を負う

個人情報の委託処理（法第21条）

個人情報処理者が他の個人情報処理者に個人情報処理を委託する場合• 受託者と委託にかかる処理の目的、期限、処理方式、個人情報の種類、保護措置、双方の権利及び義務等について合意すること
定期的な監査の実施等• 受託者の個人情報処理活動を監督すること
25

3-6

特殊な取り扱い規則（自動意思決定）

自動意思決定とはコンピュータープログラムにより、個人の行為・習慣、関心・嗜好又は経済、健康、信用の状況等につき自動的な分析、評価をし、意思決定を行う活動（本法第73条第2号）
例）位置情報を用いたタクシー配車、信用情報に基づいた融資実行の決定

自動意思決定に係る規則• 意思決定の透明性並びに処理結果の公平性及び公正性を確保し、個人の取引価格等の取引条件において差別的な待遇をしてはならない（本法第24条第1項）• 自動意思決定が個人の権益に重大な影響を及ぼす場合、個人は個人情報処理者に説明を要求することができ、かつ、個人情報処理者の自動意思決定の方法のみを通じた決定の実施を拒絶することができる（本法第24条第3項）

26

3-6

特殊な取り扱い規則（自動意思決定）

ビジネスマーケティングに対する拒絶権
自動意思決定によるプッシュ型情報通知、ビジネスマーケティング（特定の個人のWEB閲
覧履歴、趣味興味、消費履歴と習慣等の個人情報に基づいて、当該個人に情報内容、商品又はサービスの検索結果等を表示すること）を行う場合には、個人に対して個人の特徴を対象としない旨の選択肢を同時に提供し、もしくは個人に対して簡便な拒絶方法を提供することが必要（本法第24条第2項）

27

3-6

特殊な取り扱い規則（センシティブ個人情報）

センシティブ個人情報の処理に関する特則• 個人情報の処理にあたっては、特定の目的と十分な必要性を有し、且つ厳格な保護措置を講じていること（本法第28条第2項）• 個人情報の処理にあたっては、原則として個別の同意を取得すること（本法第29条）• 個人情報の処理にかかる告知事項として、さらにセンシティブ個人情報を取り扱う必要性及び個人の権益への影響を追加すること（本法第30条）
14歳未満の未成年に係る個人情報については更に…
• 未成年者の父母その他の保護者の同意を得ること• 個人情報の処理に関する特別な規定を設けること

28

4．個人情報の越境提供

29

4-1

個人情報の越境提供に関するルール

個人情報の越境提供（本法第38条第1項）
個人情報処理者が、業務等の必要性により、中国国外に向けて個人情報を提供すること
国家機関による中国国外への越境提供
中国国外の司法機関や行政機関への越境提供

本法第36条にて規定
本法第41条にて規定

本条項の適用対象は、中国の国家機関以外の個人情報処理者による、中国国外の国家機関以外の者（主として企業、組織）への提供
例えば• 日系企業の中国関連会社から日本本社への個人情報（顧客、従業員含む）の移転• 中国と日本の企業間の越境取引（EC、医療、保健、旅行など）における個人情報の提供、収集• 中国国外のサーバー、データセンターでの個人情報の保存
 中国国内の各国大使館への移転？
 中国国内のデータに中国国外からア
クセスできる場合？

30

4-2

越境提供に係る一般的要件

必要な措置と情報受領者の水準要求（法第38条第3項）
個人情報処理者が必要な措置を講じて、国外の受領者による個人情報の処理活動が本法に定める個人情報保護基準に達していることを保障すること（≠中国と同等の個人情報保護水準）

越境提供に関する告知と単独同意

中国国外の受領者の氏名・名称、連絡方法、処理目的、処理方法、個人情報の種類及び個人が国外の情報受領者に対して本法に定める権利を行使する方法とプロセス等の事項を告知

31

受領者が多数に亘る可能性がある場合は？

4-2

越境提供に係る一般的要件

事前の個人情報保護影響評価（本法第55条、第56条）
個人情報の越境提供を行う場合、個人情報処理者において、事前に以下の内容を含む個
人情報保護影響評価の実施と処理状況の記録が必要• 個人情報の処理目的、処理方法等の適法性、正当性、必要性• 個人権益に対する影響及びセキュリティリスク• 講じている一切の保護措置の適法性、有効性とリスクレベルとの均衡性

32

4-3

越境提供に係る個別要件

個人情報処理者の属性に応じて、異なる要件を充足する必要がある
主体

個別要件

重要情報インフラ運営者

以下の全ての要件を満たすこと。
1. 中国国内で収集、発生した個人情報を国内で保存すること
2. 国家ネットワーク情報部門によるセキュリティ評価を通過すること処理する個人情報の数量が国家ネット
ワーク情報部門の定める数量に達している個人情報処理者
その他の個人情報処理者

33

以下のいずれかの要件を満たすこと。
1. 国家ネットワーク情報部門によるセキュリティ評価を通過すること
2. 国家ネットワーク情報部門の定める規定に基づき、専門機関
により個人情報保護認証を実施すること
3. 国家ネットワーク情報部門の定める標準契約を、国外の受領者と締結すること
4. 法律、行政法規又は国家ネットワーク情報部門が定めたその
他の条件

4-4

越境提供に係る個別要件（重要情報インフラ）

重要情報インフラ運営者「重要情報インフラ」について本法上は定義は置かれていない
法令

定義

サイバーセキュリティ法
网络安全法
第31条

公共通信と情報サービス、エネルギー、交通、水利、金融、公共サービス、電子政務等の重要な業界及び領域その他の情報インフラであって、一旦その機能破壊、喪失又はデータ漏えいが発生すると、国家安全、国の経済と人民の生活、公共利益に重大な危険をもたらすもの

重要情報インフラセキュリティ保護条例
关键信息基础设施安全保护条例
第2条

公共通信と情報サービス、エネルギー、交通、水利、金融、公共サービス、電子政
務、国防科技工業等の重要な業界、領域の、及び一旦その機能破壊、喪失又はデー
タ漏えいが発生すると、国家安全、国の経済と人民の生活、公共利益に重大な危険をもたらす可能性のある重要ネットワーク施設、情報システム等処理する個人情報の数量が一定の数量に達した個人情報処理者
現状では、国家ネットワーク情報部門による数量基準は定められていない
但し、後述する「データ越境移転セキュリティ評価弁法」
34

4-4

越境提供に係る個別要件（重要情報インフラ）

データローカライゼーション義務
中国国内で収集、発生した個人情報を国内で保存すること
中国国内における個人情報の保存に関しては、データセキュリティ法及び下位法令の定めにしたがった
データセキュリティ制度の構築が必要

35

4-4

越境提供に係る個別要件（重要情報インフラ）

セキュリティ評価
国家ネットワーク情報部門によるセキュリティ評価を通過すること※但し、法令の定めによりセキュリティ評価を行うことが不要とされている場合は不要

36

4-4

越境提供に係る個別要件（重要情報インフラ）

データ越境移転セキュリティ評価弁法（意見募集稿）
項目

内容

適用対象（第2条）

データ処理者が中国国内で収集し、発生した重要データ及び個人情報

セキュリティ評価実施対象（第4条）

データ処理者によるデータの越境移転において以下のいずれかの事由がある場合

重要情報インフラ運営者が収集し、発生する個人情報と重要データ

越境移転するデータに重要データを含む場合
処理する個人情報が100万人に達する個人情報処理者が国外に個人情報を越境提供する場合

国外に累計で10万人以上の個人情報又は1万人以上のセンシティブ個人情報を提供した場合

国家ネットワーク情報部門の定めるその他の場合

事前評価（第5条）

•
•

•
•
•
•
セキュリティ評価における重点評価事項（第8条）

•
•

•
•
•
•
37

データの越境移転及び国外受領者におけるデータ処理の目的、範囲、方法等の適法性等
越境移転するデータの数量、範囲、種類、センシティブ性、データの越境移転による国家安全、公共利益、個人又は組織の権益に与えるリスク
データ処理者がデータ移転の過程における管理及び技術措置、能力等
データ受領者が負う責任義務、責任義務の履行に係る管理、技術措置、能力等
データの越境移転及び再移転後のセキュリティインシデントリスク
データ受領者と締結した契約における、データセキュリティ保護責任義務の十分性
データの越境移転の目的、範囲、方法等の適法性等
データ受領者の所在国又は地区におけるデータセキュリティ保護政策法規及び及びサイバーセキュリティ環境の越境
移転したデータセキュリティに対する影響、国外受領者のデータ保護水準が中国の法令及び強制的国家基準の定める要求に達しているか否か
越境移転するデータの数量、範囲、種類、センシティブ性、データの越境移転中及び後のリスク
データセキュリティ及び個人情報権益保護への十分かつ有効な保障の有無
データ処理者とデータ受領者における契約で定めたデータセキュリティ保護責任義務の十分性
中国の関係法令の遵守状況等

4-4

越境提供に係る個別要件（重要情報インフラ）

データ処理者とデータ受領者が締結する契約で定めるべき事項（第9条）

越境移転の目的、方法、データ範囲、国外の受領者におけるデータ処理の用途、方法等
データの国内における保存場所、期限、及び保存期間の満了、契約目的の達成又は契約終了後における越境済みデータの処理措置
国外受領者における、他の組織、個人への再度の移転を制限する条項
国外受領者の実質支配者もしくは経営範囲の実質的な変更が生じた場合、又は所在国家、地区の法律環境に変化が生じ、データセキュリティの確保が困難となった場合に講じるべきセキュリティ措置
データセキュリティ保護義務に反した場合の違約責任と、法的拘束力を有し且つ執行力を有する紛争解決条項
データ漏えい等のリスクが生じた場合い、速やかに救済措置を講じ、且つ、個人がその情報権益を守るためのスムーズなルートの保障








• 国家ネットワーク情報部門がセキュリティ評価の申請資料を受領した日から7営業日以内に受理/不受理決定（第7条）• 受理決定の通知日から原則として45営業日以内にセキュリティ評価を完了し、書面で通知（第11条）• データ越境移転評価の有効期限は2年間で、有効期限経過後は要再度セキュリティ評価実施（第12条）

38

4-5

越境提供に係る個別要件（その他）

重要情報インフラ運営者等以外の個人情報処理者による越境提供の場合、以下のいずれかの要件を満たす必要がある••••

国家ネットワーク情報部門によるセキュリティ評価を通過すること
国家ネットワーク情報部門の定める規定に基づき、専門機関により個人情報保護認証を実施すること
国家ネットワーク情報部門の定める標準契約を、国外の受領者と締結すること
法律、行政法規又は国家ネットワーク情報部門が定めたその他の条件
 個人情報保護認証の内容？
 標準契約？

39

4-6

越境移転に関する整理

法令名称
サイバーセキュリティ法
第37条

データセキュリティ法
第31条

義務主体

移転対象

越境移転

重要情報インフラ運営者

中国国内の運営活動において収集・発生した個人情報及び重要データ

1. 中国国内で収集、発生した個人情報等の重要データを国内で保存すること
2. 国家ネットワーク情報部門及び国務院所管部門が制定
する越境移転安全評価弁法によるセキュリティ評価

重要情報インフラ運営者
その他のデータ取扱者

中国国内の運営活動において収集・発生した重要デー
タ40

その他の個人情報取扱者

国家ネットワーク情報部門及び国務院所管部門が制定する越境移転安全評価弁法を適用
1.

重要情報インフラ運営者等
個人情報保護法
第38条

サイバーセキュリティ法の関連規定を適用する

2.
中国国内で収集・発生した
個人情報

中国国内で収集、発生した個人情報を国内で保存すること
国家ネットワーク情報部門によるセキュリティ評価

以下のいずれか• 国家ネットワーク情報部門によるセキュリティ評価• 専門機構による個人情報保護認証• 標準契約の締結• その他

5．個人情報に対する個人の権利

41

5-1

個人情報に対する個人の権利まとめ権利

同意撤回権（本法第15条）

個人情報処理に対する同意を撤回する権利

自動意思決定に関する権利（第24条）

自動意思決定が個人の権益に重大な影響を及ぼす場合、個人情報処理者に対して説明を求める権利
自動意思決定を拒絶する権利

知情権（本法第44条）
決定権（本法第44条）
制限権（本法第44条）
拒絶権（本法第44条）

閲覧権（本法第45条）
複製権（本法第45条）

42

内容

個人情報処理活動に関して知り（告知と対応）、それを前提として、個人情報処理に関する決定をする権利

個人情報処理活動を制限又は拒絶する権利

個人情報処理者に対して、個人情報へのアクセス、複製を求める権利

データポータビリティ権（第45条）

個人情報処理者に対して、個人が指定する他の個人情報処理者に当該個人情報を移転するよう求める権利

更正権（本法第46条）

個人情報処理者に対して、その処理する個人情報の不正確さ、不完全さに対して更正、補充を求める権利

削除権（本法第47条）

個人情報処理者が自主的に個人情報の削除をしない場合に、当該個人情報の削除を求める権利

説明の要求権（本法第48条）

個人情報処理者に対して、個人情報処理規則についての説明を求める権利

5-2

個別の権利

データポータビリティ権
個人情報処理者に対して、個人が指定する他の個人情報処理者に当該個人情報を移転するよう求める権利（本法第45条第3項）
個人情報処理者は、国家ネットワーク情報部門の定める条件を満たす場合に、移転のルートを提供する
 対象となる個人情報の範囲？
 必要な条件？
 移転ルートの提供？

43

5-2

個別の権利

削除権
以下の事由があるにもかかわらず、個人情報処理者が自ら個人情報の削除をしない場合に、個人情報処理者に対して個人情報の削除を求める権利（本法第47条第3項）






個人情報処理の目的が実現、実現不可、個人情報処理の目的上不要となった場合
個人情報処理者が商品又はサービスの提供を停止、又は保存期間が満了した場合
個人が同意を撤回した場合
個人情報処理者が法令に反して個人情報を処理した場合
法律、行政法規の定めるその他の状況

但し、以下のいずれかの場合、保存及び必要なセキュリティ保護措置を講じる以外の個
人情報処理を停止すれば足りる。


44

法令の定める個人情報の保存期間が満了していない場合
個人情報を削除することが技術的に困難な場合

5-3

権利行使を受けた場合

個人情報処理者においては、個人からの権利行使を受けた場合の受理と処理メカニズムの構築をし、個人からの権利行使を拒絶する場合には、その理由を説明する必要がある（本法第50条）
概要

考えられる対応例

個人情報へのアクセスと個人情報のコピーを 個人情報の類型、情報の由来、目的、第三者提供した場合は当該第三者の身分や類型取得する方法の提供の提供
個人自らによる更正、補充方法の提供又は責任者へ更正、補充を依頼する場合には、情報の更正、補充のための方法の提供
その連絡方法等の提供と当該依頼への対応
法定の要件を満たす場合における個人自らによる削除方法の提供又は責任者へ削除を
情報の削除のための方法の提供
依頼する場合には、その連絡方法等の提供と当該依頼への対応
例えば自動意思決定によるプッシュ広告、ビジネスマーケティング広告の受信停止の同意撤回のための方法の提供ための方法の提供
個人自らによるアカウント抹消方法又は責任者へアカウント抹消を依頼する場合には、アカウント抹消方法の提供
その連絡方法等の提供と当該依頼への対応
個人へのクレーム提出方法の提供、クレーム管理メカニズム、一定の合理的時間内の権利行使の拒絶をする場合の対応
クレーム対応管理等

45

5-4

死者の個人情報

自然人が死亡した場合、自然人が生前に別途の合意等をしているような場合を除き、当該自然人の親族は、原則としてその適法、正当な利益のために、死者の個人情報に対して閲
覧、複製、更正、削除等の権利を行使することができる（本法第49条）
 親族が行使しうる権利の範囲？
 親族が権利を行使できる期間？

46

6．個人情報処理者における遵守事項

47

6-1

個人情報処理者の義務まとめ

分類

一般的要件

概要

内部管理制度の構築（第51条）

内部管理制度、オペレーション規程の制定等による、個人情報処理のコンプライアンス確保、漏えい事故等の防止

コンプライアンス監査（第54条）

個人情報処理に対する定期的なコンプライアンス監査の実施

個人情報保護影響評価の実施（第55条）

一定の事由がある場合の事前の個人情報保護影響評価の実施

セキュリティインシデント対応（第57条）

セキュリティインシデントが発生した場合の救済措置の実施＋通知

組織上の責任者の設置（法第52条、第53条）
特則処理する個人情報の数量が一定基準に達した個人情報処理者における個人情報保護責任者の設置
中国国外の個人情報処理者の中国国内における専門機関又は指定代表の設置

個人情報保護コンプライアンスシステムの構築、プラット
重要インターネットプラットフォームサービス提供
フォーム内の製品又はサービス提供者による個人情報の取り扱者に関する特則（本法第58条）
い規範と個人情報の保護義務を明確にすること等
個人情報処理の受託者に係る特則（本法第59条）

48

具体的内容

処理する個人情報に係るセキュリティ保障に必要な措置を講じ
ること等

6-2

内部管理制度の構築

個人情報処理者は、個人情報処理の目的、方法、個人情報の種類及び個人の権益に与える影響と潜在的なセキュリティリスクに基づき、個人情報処理活動の適法性を確保する措置を講じ、且つ、権限のないアクセス及び個人情報の漏えい、改ざん、逸失を防止しなければならない（本法第51条）

適法性確保のための措置







49

内部管理制度、オペレーション規程の制定
個人情報に対する分類管理
暗号化、非識別化等の安全技術措置の実施
個人情報処理権限の合理的な確定、従業員への定期的なセキュリティ教育と研修の実施
個人情報セキュリティインシデントの緊急対応方法の制定と組織
法律、行政法規の定めるその他の措置

6-3

コンプライアンス監査

個人情報処理者は、その個人情報処理の法令遵守状況について定期的にコンプライアンス
監査をしなければならない（本法第54条）
Cf.個人情報セキュリティ規範11.7• 個人情報保護政策、関連規定、安全措置の有効性• 自動化監査システムを構築し、個人情報処理活動の監視、記録をすること• 監査プロセスの過程における記録は、セキュリティインシデントへの処置、緊急対応及び事後調査における手がかりになること• 監査結果への、権限のないアクセス、改ざん、削除を防止すること• 監査過程にて発見された個人情報の違法な使用、濫用等の状況に速やかに対応すること• 監査記録と保存期間が法令の定めを満たしていること
 監査の主体？
 監査の方法？
 監査の頻度？

50

6-4

個人情報保護影響評価の実施

以下のいずれかの事由がある場合、個人情報処理者においては事前の個人情報保護評価を実施し、処理状況について記録をすることが必要（本法第55条）






センシティブ個人情報を処理する場合
個人情報を用いて自動意思決定を行う場合
個人情報の委託処理、他の個人情報処理者への個人情報の提供、個人情報の公開をする場合
個人情報の越境提供をする場合
その他、個人の権益に対して重大な影響を及ぼす個人情報処理活動をする場合実施すべき個人情報保護影響評価の内容




51

個人情報の処理目的、処理方法等の適法性、正当性、必要性
個人権益に対する影響及びセキュリティリスク
講じている一切の保護措置の適法性、有効性とリスクレベルとの均衡性

6-5

セキュリティインシデント対応

個人情報の漏洩、改ざん、逸失が発生し、又は発生する可能性がある場合、個人情報処理者においては、直ちに救済措置を講じ、且つ個人及び個人情報保護職責部門に対して、以下の内容を含む通知をすることが必要（本法第57条第1項）



漏洩、改ざん、逸失が生じ又は生じる可能性のある個人情報の種類、原因及び生じうる損害
個人情報処理者が講じる救済措置と、危害を軽減するために個人が講じることができる措置
個人情報処理者の連絡方法

個人情報処理者の講じる措置によって個人情報の漏洩、改ざん、逸失により生じる危害を有効に回避することができる場合には、個人への通知は不要
但し、個人情報保護職責部門において、危害が発生する可能性があると認める場合には、個人への通知をするよう個人情報処理者に求めることができる

52

6-6

特則的規定

責任者の設置主体

必要な対応

処理する個人情報の数量が国家ネット
ワーク情報部門の定める数量に達した個
人情報処理者• 個人情報保護責任者を指定し、個人情報処理活動及び講じている保護措置等の監督について責任を負わせること• その連絡方法を公開し、その氏名と連絡方法等を個人情報保護部門に報告すること

中国国外の個人情報処理者• 中国国内に専門機関を設立し、又は代表を指名し、個人情報保護関連事務を行わせること• 機関の名称又は代表者の氏名、連絡方法等を、個人情報保護部門に報告すること

53

6-6

特則的規定

重要インターネットプラットフォームサービス提供者対象となる個人情報処理者は以下の要件を満たす者
1. 重要インターネットプラットフォームサービスを提供していること
2. ユーザー数が膨大であること
3. 業務類型が複雑であること

第二次審議稿では「基礎的インターネットプラット
フォームサービス」という用語課される義務• 国家の規定にしたがって個人情報保護コンプライアンスシステムを構築すること（主に外部者により構成される独立機関を設立し、個人情報保護状況の監督を行うこと）• 公開、公平、公正の原則にしたがって、プラットフォームの規則を制定し、プラットフォーム内の製品
又はサービス提供者による個人情報の取り扱い規範と個人情報の保護義務を明確にすること• 重大な法令違反をして個人情報の処理をするプラットフォーム内の製品又はサービス提供者に対して、サービスの提供を停止すること• 個人情報保護社会責任報告を定期的に発行し、社会の監督を受けること
54

6-6

特則的規定

個人情報処理の受託者

個人情報処理の受託者≠個人情報処理者（個人情報処理の目的や方法を決定できない）
しかし、個人情報保護の観点から以下の義務が課されている••処理する個人情報に係るセキュリティ保障に必要な措置を講じること
個人情報処理者が法定の義務を履行することに協力すべきこと
•
•

55

例えば、
コンプライアンス監査への協力
個人情報保護影響評価への協力

6-7

罰則等

本法に違反した個人情報処理への処罰（本法第66条）• 個人情報保護職責部門による是正命令、警告、違法所得の没収、違法な個人情報処理を行ったアプリケーションプログラムの提供サービスの停止又は終了の命令• これに対応しなかった場合には100万元以下の過料の併科、直接責任を負う者に対して1万元以上10万元以下の過料• 情状が重大な場合、省級以上の個人情報保護職責部門による是正命令、違法所得の没収及び5000万元以下又は前年度売上高の5％以下の過料の併科• 業務の一時停止、業務停止、関連する許認可、営業許可証の取り消しの併科• 直接責任を負う者に対して10万元以上100万元以下の過料、一定期間、関連企業における董事、監事、高級管理人員、個人情報保護責任者への就任の禁止命令

56

6-7

罰則等

民事上の責任（本法第69条）• 個人情報の処理にあたって個人情報権益に損害を与えた場合、個人情報処理者が自らの過失がないことの証明ができない限り、損害賠償等の不法行為責任を負う• 損害賠償責任は、個人が被った損失又は個人情報処理者が得た利益によって確定するのを原則とし、これらの確定が困難な場合には、実際の状況に基づいて賠償金額を確定する

57

7．今後の立法動向

58

7 近時のデータ、個人情報関連法令の制定状況
法令名公布（公表）日時

概要

ネットワークセキュリティ審査弁法（修正草 2021年7月10日
案意見募集稿）（意見募集期限：7月 未施行25日）
网络安全审理办法（修订草案征求意见稿）

重要情報インフラ運営者の購買したネットワーク商品及びサービス及びデータ処理者の展開するデータ活動が国家安全に影響を及ぼし、又は及ぼす可能性がある場合に行われるネットワークセキュリティ審査に関する規定

重要情報インフラセキュリティ保護条例
关键信息基础设施安全保护条例

2021年7月30日

施行

重要情報インフラの認定、重要情報インフラ運営者の責任義務等に関する規定

自動車データセキュリティ管理の若干規定（試行）
2021年8月16日
汽车数据安全管理若干规定（试行）施行

自動車データ（自動車の設計、生産、販売、使用、メンテ
ナンス等の過程における個人情報と重要データ）の処理に
関する規律

未施行

サイバーセキュリティ法、データセキュリティ法で定められた「重要データ」の認定に関する国家基準、ガイドライン

重要データ識別ガイドライン（意見募集稿）
2021年9月23日
重要数据识别指南（征求意见稿）59

状態

工業と情報化領域データセキュリティ管理弁
2021年9月30日
法（試行）（意見募集稿）（意見募集期限：10月 未施行
工业和信息化领域数据安全管理办法（试行）30日）（征求意见稿）

中国国内における工業及び電信データ処理活動に伴い収集、発生するデータの処理等に関する規定

データ越境移転セキュリティ評価弁法（意見 2021年10月29日
募集稿）（意見募集期限：11月 未施行
28日）
数据出境安全评估办法（征求意见稿）

データ処理者による重要データ及び個人情報の越境提供を行う場合のセキュリティ評価に関する規定

8．ケーススタディ

60

8 ケーススタディ①
事例①
日本で設立された会社Aは、企業と求職者とのマッチングサービスを提供する会社である。当該サービスは、原則として日本国内に居住する個人が利用することを想定したものであるが、日本国外の個人もアクセス、利用することが可能である。
現状、中国国内に居住する個人もユーザーとして登録されており、その個人情報がA社によって収集され、且つ、マッチングの申し込みをした企業に対しても提供されている。
• 会社Aとして、中国個人情報保護法上どのような対応をする必要があるか？

61

8 ケーススタディ②
事例②
日本で設立された会社Bは、中国国内にその子会社である会社Cを設立している。
会社Cと労働関係を有する従業員の個人情報については、会社Bのシステムを通じて中国から日本へと吸い上げられ、会社Bにおいても保存、管理されている。
• この場合、会社Cの従業員からは、会社Cから会社Bへの個人情報の移転につき同意が必要か？

62