中国「データ国外移転安全評価弁法」の仮訳、解説
2022.8.29.
CISTEC 事務局
9 月 1 日より、中国で「データ国外移転安全評価弁法」が施行されます。
原文 http://www.cac.gov.cn/2022-07/07/c_1658811536396503.htm
日本語訳（仮訳）を次ページ以降に記載しますので、ご参照下さい。
尚、意見募集稿と比べた変更箇所を青字で表記しています。

【参考】
ご参考情報として、本弁法に関する法律事務所等の日本語解説を以下に紹介します。
◇西村あさひ法律事務所ニューズレター (2022 年 8 月 15 日号）
https://www.nishimura.com/sites/default/files/newsletter_pdf/ja/newsletter_2
20815_cn.pdf◇企業法律ナビ（2022 年 8 月 22 日）
https://www.corporate-legal.jp/matomes/4936

1

仮訳

青字は意見募集稿と比べた変更箇所
国家インターネット情報弁公室令第 11 号

《データ国外移転安全評価弁法》は、既に 2022 年 5 月 19 日国家インターネット情報弁公室 2022 年第 10 回室務会議が審議、採択し、今ここに公布し、2022 年 9 月 1 日より施行する。
国家インターネット情報弁公室主任 庄栄文
2022 年 7 月 7 日
データ国外移転安全評価弁法
第一条 データ国外移転活動を規範化し、個人情報の権益を保護し、国の安全と社会の公共の利益を守り、データの越境の安全・自由な移動を促進するために、《中華人民共和国サイバーセキュリティ法》、《中華人民共和国データセキュリティ法》、《中華人民共和国個人情報保護法》等の法律・法規に基づき、本弁法を制定する。
第二条

データ処理者が中華人民共和国国内での運営において収集・生成した重要データ及び個人情報を国外に提供する場合の安全評価は、本弁法を適用する。法律・行政法規に別段の規定のある場合は、その規定に従う。
第三条 データ国外移転安全評価は、事前評価と継続的監督の組合せ、及びリスクの自己評価と安全評価の組合せを堅持することにより、データ国外移転の安全リスクを防止し、法に基づいたデータの秩序ある自由な移動を確保する。
第四条

データ処理者が国外にデータを提供する場合に、以下の状況が一つでもある場合

は、所在地の省レベルのインターネット情報部門を通して、国家インターネット情報部門にデータ国外移転安全評価を申請しなければならない：（一）データ処理者が国外に重要データを提供する場合；（二）重要情報インフラ運営者及び 100 万人以上の個人情報を取扱うデータ処理者が国外に個人情報を提供する場合；（三）前年 1 月 1 日から累計で 10 万人の個人情報あるいは 1 万人の機微な個人情報を国外に提供したデータ処理者が国外に個人情報を提供する場合；（四）国家インターネット情報部門が規定するその他のデータ国外移転安全評価を申請する必要がある場合。
2

第五条 データ処理者は、データ国外移転安全評価を申請する前に、データ国外移転リスクの自己評価を実施し、以下の事項を重点的に評価しなければならない：（一）データ国外移転及び国外受領者がデータを処理する目的・範囲・方法等の合法性・正当性・必要性；（二）国外移転データの規模、範囲、種類、機微度、並びにデータ国外移転が国の安全、公共の利益、個人あるいは組織の合法的権益にもたらす恐れのあるリスク；（三）国外受領者が負担を誓約する責任・義務、及び責任・義務を履行する上での管理及び技術措置・能力等が国外移転データの安全性を確保することができるか否か；（四）データ国外移転中及び移転後に改ざん・破壊・漏洩・紛失・移転に遭う、あるいは不法に取得される、不法に利用される等のリスクに際して、個人情報の権益擁護のルートが円滑かどうか等；（五）国外受領者と締結しようとするデータ国外移転に関連する契約あるいはその他の法的効力を有する文書等（以下「法的文書」と総称）がデータの安全性保護の責任・義務を十分に取り決めているか否か；（六）データ国外移転の安全性に影響を与えるおそれのあるその他の事項。
第六条

データ国外移転安全評価を申請する場合は、以下の書類を提出しなければならない：（一）申請書；（二）データ国外移転リスクの自己評価報告書（三）データ処理者と国外受領者が締結しようとする法的文書；（四）安全評価業務に必要とされるその他の資料。
第七条 省レベルのインターネット情報部門は、申請資料を受け取った日より 5 営業日以内に完備性チェックを完了しなければならない。申請資料が整っている場合は、申請資料を国家インターネット情報部門に提出する；申請資料が整っていない場合は、データ処理者に差し戻し、且つ補足する必要がある資料を一括して告知しなければならない。
国家インターネット情報部門は、申請資料を受け取った日より 7 営業日以内に受理するか否かを決定し、且つデータ処理者に書面により通知しなければならない。
第八条 データ国外移転安全評価は、主に以下の事項を含め、データ国外移転活動が国の安全、公共の利益、個人あるいは組織の合法的権益にもたらす恐れのあるリスクを重点的に評価する：（一）データ国外移転の目的、範囲、方法等の合法性、正当性、必要性；（二）国外受領者の所在する国あるいは地域のデータの安全性保護政策・法規及びサイバー3

セキュリティ環境の国外移転データの安全性に対する影響；国外受領者のデータ保護レベ
ルが中華人民共和国の法律・行政法規の規定及び強制性国家標準の要求に達しているか否か；（三）国外移転データの規模、範囲、種類、機微度、並びに国外移転中及び国外移転後に改ざん・破壊・漏洩・紛失・移転に遭う、あるいは不法に取得される、不法に利用される等のリスク；（四）データの安全性及び個人情報の権益が十分且つ効果的に保障を得ることができるか否か；（五）データ処理者と国外受領者が締結しようとする法的文書において、データの安全性保護の責任・義務が十分に取り決められているか否か；（六）中国の法律・行政法規・部門規章の遵守の状況；（七）国家インターネット情報部門が評価を必要と考えるその他の事項。
第九条

データ処理者は国外受領者と締結する法的文書において、少なくとも以下の内容を含めて、データの安全性保護の責任・義務を明確に取り決めなければならない：（一）データ国外移転の目的、方法及びデータの範囲、並びに国外受領者がデータを処理する用途、方法等；（二）国外でのデータの保存場所・期限、および保存期限に達した、取り決めた目的が達成された、あるいは法的文書が終了した後の国外移転データの処理手続き；（三）国外受領者が国外移転データをその他の組織・個人に再移転することに対する拘束力のある要求;（四）国外受領者が実質的支配権あるいは経営範囲に実質的な変化が生じた、あるいは所在する国・地域のデータの安全性保護の政策法規とサイバーセキュリティ環境に変化が生じ、並びにその他の不可抗力な状況が生じて、データの安全性を確保することが困難になった場合に採るべき安全措置；（五）法的文書で取り決めたデータの安全性保護義務に違反した場合の救済措置、違約責任、及び紛争解決方法；（六）国外移転データが改ざん・破壊・漏洩・紛失・移転に遭う、あるいは不法に取得される、不法に利用される等のリスクがある場合、適切に応急処置を実行する要求及び個人が自身の個人情報の権益を守ることを確保するための手段と方法。
第十条 国家インターネット情報部門は、申請を受理した後、申請状況に基づいて国務院の関係部門、省レベルのインターネット情報部門、専門機構等を取りまとめて、安全評価を実施する。
第十一条 安全評価の過程において、データ処理者が提出した申請資料が要求に適合してい4

ないことが判明した場合、国家インターネット情報部門は、それらに補足あるいは訂正することを要求することができる。データ処理者が正当な理由なく、補足あるいは訂正をしない場合は、国家インターネット情報部門は、安全評価を終了することができる。
データ処理者は、提出した資料の信憑性に責任を負い、故意に虚偽の資料を提出した場合は、評価不合格に準拠して処理し、且つ法に基づいて相応の法的責任を追及する。
第十二条

国家インターネット情報部門は、データ処理者に書面による受理通知書を発出した日より 45 営業日以内にデータ国外移転安全評価を完了しなければならない；
状況が複雑な場合、あるいは資料を補足・訂正する必要がある場合は、適宜延長し、且つ延長が見込まれる期間をデータ処理者に告知することができる。
評価結果は、書面によりデータ処理者に通知しなければならない。
第十三条

データ処理者が評価結果に対して異議がある場合は、評価結果を受け取ってから 15 営業日以内に国家インターネット情報部門に再評価を申請することができ、再評価結果を最終結論とする。
第十四条 データ国外移転評価合格の結果の有効期間は 2 年とし、評価結果の発行日より起算する。有効期間内に以下の状況が一つでも発生した場合には、データ処理者は評価を再申請しなければならない：（一）国外にデータを提供する目的、方法、範囲、種類及び国外受領者がデータを処理する
用途、方法に変化が生じて国外移転データの安全性に影響を及ぼす場合、あるいは個人情報及び重要データの国外での保存期限を延長する場合：（二）国外受領者の所在する国・地域のデータの安全性保護の政策法規とサイバーセキュリ
ティ環境に変化が生じ、並びにその他の不可抗力な状況が生じて、データ処理者あるいは国外受領者の実質的支配権に変化が生じる、データ処理者と国外受領者の法的文書が変更される等により、国外移転データの安全性に影響を及ぼす場合；（三）国外移転データの安全性に影響を及ぼすその他の状況が発生した場合。
有効期間が満了し、データ国外移転活動を継続して行う必要がある場合は、データ処理者は有効期間が満了する 60 営業日前までに評価を再申請しなければならない。
第十五条 安全評価業務に関与する関係機構と人員は、職務履行中に知り得た国家秘密、個人のプライバシー、個人情報、商業秘密、機密ビジネス情報等のデータに対して、法に基づいて秘密保守としなければならず、漏洩あるいは不法に他人に提供、不法に使用してはならない。

5

第十六条

いかなる組織と個人も、データ処理者が本弁法に違反して国外にデータを提供することを発見した場合は、省レベル以上のインターネット情報部門に通報することができる。
第十七条 国家インターネット情報部門は、既に評価に合格したデータ国外移転活動が、実際の処理過程においてデータ国外移転安全管理要求に適合していないことを発見した場合、データ処理者にデータ国外移転活動を終了するよう書面で通知しなければならない。デー
タ処理者は、データ国外移転活動を継続して行う必要がある場合は、要求に基づいて是正し、且つ是正が完了した後に評価を再申請しなければならない。
第十八条 本弁法の規定に違反した場合は、《中華人民共和国サイバーセキュリティ法》、《中華人民共和国データセキュリティ法》、《中華人民共和国個人情報保護法》等の法律・法規に基づき処理する；犯罪を構成する場合は、法に基づいて刑事責任を追及する。
第十九条 本弁法に謂う重要データとは、ひとたび改ざん、破壊、漏洩あるいは不法取得、不法利用等に遭った場合に、国の安全、経済の運行、社会の安定、公共の健康及び安全等に危害を及ぼすおそれのあるデータを指す。
第二十条 本弁法は 2022 年 9 月 1 日より施行する。本弁法が施行される以前に既に実施されたデータ国外移転活動であり、本弁法の規定に適合していないものは、本弁法施行日より6 ヶ月以内に是正を完了しなければならない。

（仮訳：CISTEC 国際関係専門委員会 海外法制度分科会委員
ヤマハ発動機株式会社 貿易管理部安全保障貿易管理グループ 樫原 薫）

6