2022 年 7 月 5 日
One Asia Lawyers 中国大湾区プラクティスチーム

中国個人情報保護法 Q&A（第 6 回）

2022 年夏、弊所からは、本稿及びシンガポール個人情報保護法に関する内容を含む、アジア・インド・オセアニア各国における個人情報保護法制を幅広くカバーした Q&A 形式の書籍「アジアの個人情報保護法（仮）」を中央経済社様より出版予定となっております。本 NL 記事と併せ、是非ともお手に取っていただき、ご参考いただければ幸いと考えております。
本稿執筆の背景については、第 1 回記事の冒頭をご参照ください。
Q：個人情報を第三者に開示することはできるのでしょうか？できる場合，どの様な義務があるのでしょうか。
狭義における第三者への開示とは，ある個人情報処理者が，他の個人情報処理者にその取り扱う個人情報を開示することを指す。これについて「個人情報保護法」は，個人情報処理者が法定条件を満たす前提のもと，他の個人情報処理者に個人情報を開示することを認めている。
具体的には，以下の二つの状況である。
１. 他の個人情報処理者に個人情報を提供する一般的な状況（23 条）「個人情報保護法」23 条によれば，「個人情報処理者が他の個人情報処理者に自身が取り扱う個人情報を提供する場合，個人に受領者の名称又は氏名，連絡先，取扱い目的，取扱い方式及び個人情報の種類を通知しなければならず，かつ，個人の単独の同意を取得しなければならない。受領者は，前述の取扱い目的，取扱い方法及び個人情報の種類等の範囲内にて個人情報を取扱うものとする。受領者が元の取扱い目的，取扱い方法を変更する場合，本法の規定に基づき，改めて個人の同意を取得しなければならない。」
ここから分かるとおり，「個人情報保護法」は，他の個人情報処理者に個人情報を提供する一般的な状況において，なおも「通知・同意」のルールを遵守するよう明確に定めており，個人に受領者の名称又は氏名，連絡先，取扱い目的，取扱い方法及び個人情報の種類を通知し，かつ，個人の「単独」の同意を取得しなければならない。
受領者にとっては，前述の個人の単独の同意を取得した目的，方法及び種類に基づき個人情報を取り扱わなければならず，個人からの同意を取得せずにいかなる変更もしてはならない。
注意を要するのは，「サイバーセキュリティ法」42 条及び「民法典」1038 条も個人の同意を取得せずに他人に個人情報を不法に提供してはならないと規定しているが，そこでは「加工を通じて特定個人を識別不可能にし，かつ，復原不可能にした場合は除外する」，すなわち，匿名化された個人情報は除外すると強調している点である。「個人情報保護法」は，これらの法律のようにこの例外状況を強調してはいないが，「個人情報保護法」は匿名化処理された情報は個人情報に該当しないと明記している（第２回記事を参照）。よって，「個人情報保護法」施行下においても，その他の個人情報処理者に匿名化処理された個人情報を提供することは本条の規制を受けないと言え，上記の各法律からの実質的な変更はしていない。

1

このほか，受領者が中国国外の第三者である場合，個人情報の越境提供にかかわることになる。そこで，本法 23 条のほか，個人情報越境提供に関連する規定も遵守しなければならない。
この点については，具体的には次回以降記事を参照されたい。
２. 合併，分割，解散，破産宣告を受けた等の原因により個人情報を移転する特殊な状況（22 条）「個人情報保護法」22 条によれば，「個人情報処理者が合併，分割，解散，破産宣告を受けた等の原因により個人情報を移転する必要があるとき，個人に受領者の名称又は氏名及び連絡先を通知しなければならない。受領者は引続き個人情報処理者の義務を履行するものとする。受領者が元の取扱い目的，取扱い方法を変更する場合，本法の規定に従い改めて個人の同意を取得しなければならない。
」すなわち，(1) 個人情報処理者に合併，分割，解散，破産宣告を受ける等の法定状況が発生し，個人情報を移転せざるを得ない場合のみ本条が適用される。これらの状況を除き，原則として他の個人情報処理者に個人情報を移転するときは，１．で論じた一般状況が適用される。
(2) 元の個人情報処理者は個人に対し通知義務を負うのみで，個人の同意を取得する必要はない。通知すべき内容は，受領者の名称又は氏名及び連絡先である。
(3) 個人情報を受領する個人情報処理者は，受領者として元の個人情報処理者の権利と義務を承継する。
「個人情報保護法」14 条２項に基づき一般の個人情報処理者が個人情報取扱いについて変更しようとするときの条件と同じく，受領者が元の個人情報処理者から取得した個人情報の取扱い目的，取扱い方法の変更を希望する場合，改めて個人の同意を取得しなければならない。
広義の第三者への開示は，個人情報処理者以外の第三者に開示する状況も含まれ，個人情報の公開，及び受託者への個人情報の委託を含む。前者について，「個人情報保護法」25 条は，個人の単独の同意を取得した場合を除き，個人情報処理者は個人情報を公開してはならないと明確に定めている。後者については，「個人情報保護法」の規定に適合すれば，第三者に個人情報の取扱いを委託することができる。具体的には次回以降記事を参照されたい。
また、狭義の第三者への開示か広義の第三者への開示かにかかわらず，「個人情報保護法」
55 条によれば，個人情報処理者が個人情報の取扱いを第三者に委託する場合，他の個人情報処理者に個人情報を提供する場合、又は個人情報を公開する場合には，個人情報処理者は事前に個人情報保護に及ぼす影響を評価する義務を負う。具体的には第３回記事を参照されたい。
Q：個人情報を保管するにあたって，どのような義務があるでしょうか。また，保管期間についての制限はあるのでしょうか。
個人情報の保管にあたって，個人情報処理者は，大きく分けて，１．セキュリティ保護義務及び２．保管期間に関する制限を受ける。
１．個人情報に対するセキュリティ保護義務（51 条）
個人情報処理者は個人情報を保管するとき，セキュリティ保護義務を負わなければならない。個人情報処理者は個人情報を保護する第一の責任者である。個人情報処理者はその個人情報処理活動に対し責任を負い，かつ，その取り扱う個人情報の安全を保護するために必要な措置を講じる必要がある。
「個人情報保護法」51 条によれば，「個人情報処理者は個人情報の取扱い目的，取扱い方法，個人情報の種類及び個人の権益に与える影響，存在しうるセキュリティリスク等に基づき，以下に掲げる措置を講じて個人情報取扱い活動が法律，行政法規の規定に適合することを確保し，かつ，未授権のアクセス及び個人情報の漏洩，改竄，逸失を防止する。」とされる。
同条は，具体的に以下の措置を明記している。

2

(1)
(2)
(3)
(4)

内部管理制度及びそのオペレーション規程を制定する。
個人情報に対し分類管理を実施する。
相応の暗号化，非識別化等の安全技術措置を講じる。
個人情報取扱いの操作権限を合理的に確定し，従事者に対するセキュリティ教育と研修を定期的に実施する。
(5) 個人情報セキュリティ事件の応急対策案を制定し実施を手配する。
(6) 法律，行政法規が規定するその他の措置「個人情報保護法」が発布されるまで，実務において比較的高い参考価値があった「個人情報安全規範」も個人情報の保管に対する要求を定めている。同規範６.２条は個人情報処理者が個人情報を収集した後，直ちに非識別化処理を行い，かつ，技術的措置及び管理面の措置を講じて個人情報の安全を保障することを要求した。同６.３条は，敏感個人情報について，暗号化等のセキュリティ措置を講じ，かつ，個人生体識別情報と個人身分情報は分けて保管することを要求した。これらの要求と「個人情報保護法」が要求する措置は矛盾せず，かつ，個人情報に対し分類管理を実施するという措置は細分化されたと言える。
「法律，行政法規が規定するその他の措置」については，今後，個人情報保護領域の法規，規則が発布される可能性があるほか，サイバーセキュリティ，データセキュリティ等その他の領域の立法における措置，要求にも注意する必要がある。例えば，「サイバーセキュリティ法」21 条は，ネットワーク運営者はサイバーセキュリティ等級保護制度の要求に基づき，「コンピュータウィルス及びサイバー攻撃，ネットワーク侵入等サイバーセキュリティに危害を及ぼす行為から防御する技術的措置」，「ネットワーク運行状況，ネットワークセキュリティ事件をモニタリング，記録する技術的措置を講じ，かつ規定に基づき関連するネットログを６ヶ月以上保管する」等を含む法定のセキュリティ保護義務を履行し，ネットワークが干渉，破壊又は未授権のアクセスを受けることがないよう保障し，ネットワークデータの漏洩，窃取，改竄されることを防止するよう規定する。個人情報処理者がネットワークを通じて個人情報を保管するとき，「サイバーセキュリティ法」及び関連する規則，標準の要求する措置を講じなければならない。
セキュリティ保護義務のほか，保管する個人情報に漏洩，改竄又は逸失が生じたとき，個人情報処理者は，救済措置，個人への通知，個人情報保護職責履行部門への通知等を含む応急対応義務を負わなければならない（詳細は次回以降記事を参照されたい）。
２．保管期間に関する制限「個人情報保護法」は必要最小限度の原則を適用し，６条１項は「個人情報の取扱いは，明確，合理的な目的を備えなければならず，かつ，取扱い目的と直接関係し，個人の権益に及ぼす影響が最小の方法を採用しなければならない。」と規定する。個人情報の保管期間にもこの原則が適用される。
「個人情報保護法」19 条は，「法律，行政法規に特段の規定がある場合を除き，個人情報の保管期間は取扱い目的を実現するために必要な最短時間とする。」と規定している。「取扱い目的を実現するために必要な最短時間」を判断する要素は，目下のところ不明確である。
上記「法律，行政法規に特段の規定がある場合」については，各種の法律法規に散見される。例えば，「労働契約法 50 条」は，解除又は終了した労働契約書本文を少なくとも２年保存して照会に備えることを雇用主に要求しており，当該契約には必然的に労働者個人の個人情報が含まれる。よって，このとき労働関係が終了していても，雇用主である個人情報処理者は，労働者の個人情報を取扱う必要性はほぼないが，法律上はなおも労働者の関連個人情報を少なくとも２年間は保管することが雇用主に要求される。また，業界及び領域によっては，個人情報保管期間について特殊な要求が設けられることもある。例えば「電子商取引法」31 条は，電子商取引プラットフォーム経営者に対し，取引完了日から起算して３年間は取引情報を保管す3ることを要求している。また「与信業管理条例」16 条は，与信機構による個人不良情報の保管期間は不良行為又は事件が終了した日から起算して５年とし，５年を超過したときは削除することを明確に規定している。
以上＜注記＞
本資料に関し、以下の点ご了解ください。
・ 今後の政府発表や解釈の明確化にともない、本資料は変更となる可能性がございます。
・ 本資料の使用によって生じたいかなる損害についても、弊所は責任を負いません。

One Asia Lawyers では、中国深圳に関連組織の駐在員事務所を開設し、大湾区プラクティスチームを組成しております。中国は、14 億人超という世界第 1 位の人口を擁し、これまでの「世界の工場」という生産拠点から「世界最大規模の市場」となっています。コロナ禍において唯一「一人勝ち」状態となり、経済成長を続けている唯一の国です。そのため、近年、M&A 等の投資案件や中国への輸出関連が益々増加しております。
また、香港、マカオ、広東省の 9 都市（広州、深圳、佛山、東莞、恵州、中山、江門、珠海、肇慶）を含めた粤港澳大湾区（グレーターベイエリア）構想は、2017 年に中国政府・香港・マカオ・広東省の 4 者によって「広東・香港・マカオ協力深化によるグレーターベイエリア建設推進枠組み協定」が締結されたことにより、開発が進展しており、規制緩和や投資恩典が与えられます。加えて、一帯一路の出発地としても極めて重要な場所となっていることから、上記駐在員事務所を拠点として、大湾区エリアや一帯一路の最新の規制や法令情報を獲得、共有して参ります。更には、昨今の香港の問題により、大湾区に中華圏投資、輸出の統括機能を集約する動きがあるほか、中国最南端の海南省への投資や海南自由貿易区への相談も増えてきている等の背景も踏まえ、華南エリアを中心として、中華圏全体の情報収集も各中華圏法域の専門家と協働しながら、行って参ります。
本記事やご相談に関するご照会は以下までお願い致します。
tomoyoshi.ina@oneasia.legal

伊奈知芳

One Asia Lawyers 中国大湾区プラクティスチーム

弁護士登録後、日本における対中国クロスボーダー投資案件を主要業務とするブティック型法律事務所に約 8 年間勤務。同所入所直後より主に中国案件に関与し、2010 年より同所上海事務所代表として常駐。2013 年より同所首席代表弁護士として勤務する。

4

同所在職中は、主に日系クライアントに対する対中国・アジア進出、企業再編（50 件以上のM&A を含む。）、撤退案件全般に関する各種法的アドバイスの提供のほか、各種案件に伴う労務問題の処理、税関問題の処理、債権回収案件への対応等に携わる。
2015 年、同所を退職後、シンガポール国立大学法学部大学院（LL.M.）へ留学。2016 年、同大学院を卒業（Master’s Degree を取得）後、One Asia Lawyers の設立に参画。以後一貫してシンガポールをベースとし、東南アジア及び中国を中心とするクロスボーダーM&A 案件のほか、労務、知財、コンプライアンスその他一般企業法務案件、及びシンガポールに関わる国際離婚、相続案件等に幅広く携わっている。特に、シンガポールを中心とした個人情報保護法制に関する案件については、講演・執筆活動も多数行っている。tomoyoshi. ina@oneasia.legal
なお、本連載は、世澤律師事務所上海事務所の董輝律師及び郭添一律師の協力を得ています（http://www.broadbright.com/）。

5