現在、経済のグローバル化に伴い、多国籍企業が世界市場に占める割合は徐々に増加しております。多国籍企業は、経営・管理の目的から、各国に設置された拠点で発生する従業員情報や顧客情報等のデータを、本社へ頻繁に越境移転する必要があり、これにより個人情報の越境提供に関するコンプライアンスのニーズが生じております。また、国内においては『個人情報保護法』等の関連法規が制定され、前述の個人情報の越境提供といったデータ処理行為に対するコンプライアンス要件は、ますます厳格化されております。そこで、本稿では、多国籍企業による個人情報の越境提供に関する関連規定を整理いたしました。下表は、個人情報の越境提供に関連する一部の法規及び官公庁が公表した意見募集稿でございます。

「ネットワークデータ安全管理条例（意見募集稿）」

2021.11.14

「条例」

特殊主体のデータ国外移転に係るセキュリティ評価

「データ国外移転セキュリティ評価弁法」

2022.09.01

「評価弁法」

一般主体のデータ国外移転の前提条件

「個人情報国外移転標準契約規定（意見募集稿）」

2022.06.30

「標準契約」

一般主体のデータ国外移転の前提条件

『サイバーセキュリティ標準実践ガイド—個人情報の越境処理活動におけるセキュリティ認証規範V2.0』

2022.12.16

『認証規範』

個人情報セキュリティ影響評価

『情報セキュリティ技術 個人情報セキュリティ影響評価ガイド（意見募集稿）』

2018.06.11

『評価ガイド』

一、『個人情報保護法』等の法規の効力範囲

『個人情報保護法』第三条

中華人民共和国国内において自然人個人情報を処理する活動には、本法を適用します。

中華人民共和国国外において中華人民共和国国内の自然人個人情報を処理する活動であっても、次の各号のいずれかに該当する場合には、本法を適用します。

（一）国内の自然人に対して製品またはサービスを提供することを目的とする場合

（二）国内の自然人の行動を分析し、評価する場合

（三）法律、行政法規に規定するその他の場合

多国籍企業による個人情報の越境提供に関するコンプライアンスにおいて、まず検討すべきは、かかる行為が国内の関連法規の適用対象となるか否かです。我が国の立法は、属地管轄+保護管轄という立法形式を採用しています。属地管轄に関していえば、中華人民共和国国内において自然人個人情報を処理する限り、処理主体が中国国民であるか中国企業であるかを問わず、『個人情報保護法』等の法規の適用を受けます。したがって、国内の多国籍企業が国外の企業に資料を提供する場合、属地管轄に基づき『個人情報保護法』等の法規の適用を受けます。

次に、保護管轄に関していえば、『個人情報保護法』第三条第二項の規定は、情報処理行為の目的と対象を保護管轄の認定基準としており、これは基本的に中国国内の個人または組織を対象とするすべての情報処理行為を網羅し、その適用範囲は広範です。同時に、『条例』においては「国内の重要データの処理に関わる場合」が補充され、『個人情報保護法』等の法規の適用範囲がさらに拡大する傾向にあります。したがって、多国籍企業グループ内部で送信または処理される情報に、中国国内の組織または個人の情報、あるいはその他の国内の重要データに関わるものが含まれる場合、『個人情報保護法』等の規定による規制を受ける可能性が高いといえます。

二、個人情報の越境提供に関するコンプライアンス要件

（一）個人情報の越境提供の前提条件

1. 特殊主体のセキュリティ評価申告義務

『個人情報保護法』第40条

重要情報インフラ運営者及び個人情報の処理数量が国家インターネット情報部門の定める数量に達する個人情報取扱者は、中華人民共和国国内で収集及び生成された個人情報を国内に保存しなければならない。国外に提供することが真に必要である場合には、国家インターネット情報部門が組織するセキュリティ評価を通過しなければならない。法律、行政法規及び国家インターネット情報部門の規定によりセキュリティ評価を不要とする場合には、その規定に従う。

『個人情報保護法』第40条の規定に基づき、特定の条件を満たす個人情報取扱主体が国外に情報を提供する必要がある場合には、国家インターネット情報部門に申告してセキュリティ評価を受けなければなりません。同時に、『評価弁法』等の規定により、セキュリティ評価に関する内容がさらに詳細に定められています。

（1）重要情報インフラ運営者

『重要情報インフラセキュリティ保護条例』第2条は、『中華人民共和国ネットワークセキュリティ法』の規定を継承し、重要情報インフラを、公共通信及び情報サービス、エネルギー、交通、水利、金融、公共サービス、電子政府、国防科学技術工業等重要な業界及び分野におけるもの、並びにその他、一旦破壊され、機能を喪失し、又はデータ漏洩が発生した場合に、国家安全、国計民生、公共利益に重大な危害を及ぼすおそれがある重要なネットワーク施設、情報システム等と定義しています。

（2）個人情報の処理数量が規定数量に達する場合

「個人情報保護法」がセキュリティ評価の要件を定めたことを受け、「評価弁法」はセキュリティ評価の具体的な事項について規定しています。「評価弁法」第4条の規定によれば、100万人以上の個人情報を処理する場合、または前年の1月1日から累計で10万人の個人情報若しくは1万人の機微個人情報を国外に提供するデータ取扱者が国外にデータを提供する際には、所在地の省級ネット情報部門を通じて国家ネット情報部門にデータ越境セキュリティ評価を申請する必要があります。

（3）データ越境リスク自己評価

「評価弁法」第5条の規定によれば、データ取扱者はデータ越境セキュリティ評価を申請する前30日以内に、データ越境リスク自己評価を完了し、セキュリティ評価を申請する際にデータ越境リスク自己評価報告書を併せて提出しなければなりません。データ越境リスク自己評価には、以下の内容を含めるものとします。

データ越境のリスク及び保護措置

越境データの規模、範囲、種類、機密性の程度、データ越境が国家安全、公共利益、個人又は組織の正当な権益にもたらす可能性のあるリスク

国外受領者が約束した責任及び義務、並びに当該責任及び義務を履行するための管理上及び技術上の措置、能力等が越境データの安全性を確保できるか否か

データ越境中及び越境後における改ざん、破壊、漏洩、紛失、移転、又は不正取得、不正利用等のリスク、並びに個人情報の権益を維持するための経路が確保されているか否か等

データ越境に関する契約上の合意

国外受領者と締結しようとするデータ越境に関する契約その他法的効力を有する文書等（以下「法的文書」と総称する）において、データの安全保護に関する責任及び義務が十分に定められているか否か

その他の内容

その他データ越境の安全性に影響を及ぼす可能性のある事項

（4）データ越境安全評価の評価事項

「評価弁法」第8条の規定によれば、データ越境安全評価の具体的な内容は、データ越境リスク自己評価の内容と類似性を有しており、具体的には以下のとおりです。

国家ネット情報部門が評価を必要とすると判断するその他の事項

2. 特殊主体以外の個人情報の越境移転の前提条件

『個人情報保護法』第三十八条の規定

個人情報取扱者は、業務等の必要により、中華人民共和国の境外に個人情報を提供することが真に必要である場合には、次の各号のいずれかの条件を満たさなければならない。

（一）本法第四十条の規定に従い、国家ネット情報部門が組織する安全評価を通過すること。

（二）国家ネット情報部門の規定に従い、専門機関による個人情報保護認証を取得すること。

（三）国家ネット情報部門が制定した標準契約に従い、境外の受領者と契約を締結し、双方の権利及び義務を定めること。

（四）法律、行政法規又は国家ネット情報部門が規定するその他の条件。

中華人民共和国が締結又は加入する国際条約又は協定に、中華人民共和国の境外への個人情報の提供の条件等について規定がある場合には、その規定に従って執行することができる。

個人情報取扱者は、境外の受領者による個人情報の取扱活動が本法に定める個人情報保護基準に達することを確保するため、必要な措置を講じなければならない。

特殊主体以外の主体による個人情報の越境移転に関して、『個人情報保護法』は事前規制のモデルを採用しています。特殊主体が必ず安全評価を受けなければならないのとは異なり、特殊主体以外の主体は、国家ネット情報弁公室の規定に従い専門機関による認証を取得するか、又は国家ネット情報弁公室が制定した標準契約に従い境外の受領者と契約を締結することを選択することができます。

（1）個人情報保護認証

『認証規範』は2022年12月16日に発効し、個人情報保護認証に関する内容をさらに詳細に規定しました。特筆すべき点として、『認証規範』は、国外の個人情報取扱者が、国内に設置した専門機関又は指定した代表者を通じて認証を申請し、法的責任を負うことができることを明確にしています。これは、越境データ転送のニーズがある多国籍企業にとって、個人情報保護認証が情報処理のコンプライアンスを確保する重要な手段となり得ることを示唆しています。

（2）国家網信部門が制定した標準契約

国家インターネット情報弁公室は2022年6月30日に『標準契約』を公表しました。『標準契約』は、個人情報の国外提供の目的及び範囲、事前の個別同意の取得等の内容について規定しています。契約内容は以下のとおり要約されます。

なお、情報処理者による情報処理契約の内容は、個人情報の国外提供におけるコンプライアンスの鍵であり、内容が充実した情報処理契約は、企業が個人情報の国外提供過程におけるほとんどの法的リスクを回避することを可能にします。したがって、「標準契約」は、個人情報保護法第38条の規定を満たすために用いられるだけでなく、多国籍企業が情報処理に関わるその他の場面においても、「標準契約」の内容を参照して契約を締結することができます。

（二）個人情報セキュリティ影響評価

『個人情報保護法』第55条の規定

次の各号のいずれかに該当する場合、個人情報取扱者は事前に個人情報保護影響評価を実施し、その取扱状況を記録しなければならない。……四）個人情報を国外に提供する場合…

個人情報セキュリティ影響評価とは、個人情報取扱活動を対象として、その適法性及びコンプライアンスの程度を検証し、個人情報主体の正当な権益に損害を与える各種リスクを判断し、個人情報主体を保護するための各種措置の有効性を評価するプロセスをいいます。個人情報保護影響評価報告書は、少なくとも3年間保存しなければなりません。『個人情報保護法』第55条の規定によれば、個人情報取扱者が情報の越境移転を行う必要がある場合、前述の前提条件を満たすことに加えて、別途個人情報セキュリティ影響評価を実施しなければなりません。現在、全国情報安全標準化技術委員会は2018年6月11日に『評価ガイドライン』を公表し、評価の実施や評価内容等について参考文書を提供しています。

（三）単独同意

『個人情報保護法』第39条

個人情報取扱者が中華人民共和国の国外に個人情報を提供する場合、個人に対し、国外の受領者の名称又は氏名、連絡先、取扱目的、取扱方法、個人情報の種類、及び個人が国外の受領者に対して本法に定める権利を行使する方法及び手続き等の事項を告知し、かつ、個人の単独同意を取得しなければならない。

単独同意とは、『条例』第七十三条の規定によれば、データ処理者が具体的なデータ処理活動を実施する際に、各個人情報について個別に個人の同意を取得しなければならず、複数の個人情報や複数の処理活動に係る同意を一括して求めてはならないことを意味します。したがって、従来のように企業が個別の依頼ページを通じて全ての個人情報の処理許可を一括して求めていた方法では、現行の『個人情報保護法』の要件を満たすことができなくなっています。

特筆すべき点として、『個人情報保護法』第十三条には、個人の同意を取得する必要のない例外的事項が規定されています。すなわち、個人情報が、個人を一方当事者とする契約の締結又は履行に必要不可欠である場合、又は法令に基づき制定された労働規則及び法令に基づき締結された団体協約に従って人事管理を実施するために必要不可欠である場合には、個人情報処理者は個人の同意を取得する必要はありません。多国籍企業が会社管理などの目的で従業員の個人情報を企業内で国境を越えて移転する場合、一定程度「法令に基づき制定された労働規則及び団体協約に従った人事管理の実施に必要不可欠」という要件を満たすため、かかる状況において個人の単独同意を取得する必要があるか否かという問題が生じます。現時点では、この問題に関して法的拘束力を有する規定や解釈は存在しません。本稿では、一方で『個人情報保護法』第三十九条に規定される「単独同意」は、同法第十三条に規定される「同意」よりも高い要件を課すものであり、包含関係又は被包含関係にはないため、「同意」の免除条件を当然に「単独同意」に適用することはできないと考えます。他方で、情報の越境移転の場面においては、個人情報の保護により重点を置くべきです。したがって、慎重を期す観点から、本稿は企業に対し、かかる状況において従業員と個別に「同意書」などの授権文書を締結することにより、潜在的な法的リスクを回避することを推奨します。