一、 はじめに

データセキュリティは国家安全保障の重要な構成要素であり、データの国外移転は個人情報の安全に関わるだけでなく、国家安全保障及び社会公共利益にも関わります。2022年7月7日、国家インターネット情報弁公室は「データ国外移転安全評価弁法」（以下「評価弁法」という）を公布し、2022年9月1日から施行されました。「評価弁法」の制定は、「サイバーセキュリティ法」、「データセキュリティ法」、「個人情報保護法」におけるデータ国外移転に関する関連規定を実施し、データ国外移転活動を規範化し、個人情報の権益を保護し、国家安全保障及び社会公共利益を維持し、データの国境を越えた安全かつ自由な流れを促進することを目的としています。本稿では、企業の観点から「評価弁法」について解説します。

二、 法的規定

「評価弁法」では、データ処理者が国外に提供する、中華人民共和国国内における運営において収集及び生成された重要データ及び個人情報の安全評価について、本弁法を適用することが明確にされています。同時に、「評価弁法」では、データ国外移転安全評価を申告すべき場合、及びデータ国外移転安全評価の具体的な要件、評価手続き、監督管理制度、法的責任、コンプライアンス是正要求等が規定されています。

以下では、適用範囲、データ国外移転の状況、及びデータ国外移転の安全評価の三つの側面から、法的規定について解説します。

1.適用範囲

「評価弁法」の関連規定に基づき[①]、4つの状況に該当する場合、所在地の省級ネット情報部門を通じて国家ネット情報部門にデータ安全評価を申告しなければなりません。

（1）データ処理者が国外に対して重要データを提供すること。

重要データとは、通常、改ざん、破壊、漏えい、又は不正取得、不正利用等が行われた場合に、国家安全、経済運営、社会の安定、公衆の健康及び安全等を害するおそれがある資料をいいます。ただし、『データ安全法』では、重要データの目録は各地域及び各部門が責任を持って確認することとされています。したがって、異なる業種・分野に従事する企業は、所在地及び所在業種の関連部門の規定に基づき、安全評価を実施する必要がある重要データを確定する必要があります。

（2）重要情報インフラ運営者及び100万人以上の個人情報を処理するデータ処理者が国外に対して個人情報を提供すること。

（3）前年の1月1日から累計で国外に対して10万人分の個人情報又は1万人分の機微個人情報を提供したデータ処理者が、国外に対して個人情報を提供すること。

（4）国家インターネット情報弁公室の規定に基づき、データ国外移転安全評価の申告が必要とされるその他の状況。

このうち重点となるのは、重要データの認定、重要情報インフラ運営者の認定、機微個人情報の認定です。

Ø重要データ

通常、改ざん、破壊、漏えい、又は不正取得、不正利用等が行われた場合に、国家安全、経済運営、社会の安定、公衆の健康及び安全等を害するおそれがある資料をいいます。ただし、『データ安全法』では、重要データの目録は各地域及び各部門が責任を持って確認することとされています[②]。したがって、異なる業種・分野に従事する企業は、所在地及び所在業種の関連部門の規定に基づき、安全評価を実施する必要がある重要データを確定する必要があります。

Ø重要情報インフラ運営者

「重要情報インフラ安全保護条例」の関連規定に基づき、重要業界及び分野の主管部門、監督管理部門は安全保護業務を担当する部門として、運営者の認定を行い、認定結果を遅滞なく運営者に通知することとされています[③]。従いまして、企業が保護工作部門から通知を受領した場合、当該企業は重要情報インフラ運営者に該当することとなります。

Øセンシティブ個人情報

センシティブ個人情報の認定は、「個人情報保護法」におけるセンシティブ個人情報に関する定義に基づき行うことができます[④]。また、「情報安全技術 個人情報安全規範」に列挙されている個人センシティブ情報、例えば個人財産情報、個人健康生理情報、個人生体識別情報、個人身分情報等に基づいて認定することも可能です。センシティブ個人情報は、利用される状況に応じて認定されるべきものでもあります。

2.データ越境移転の状況

「評価弁法」に関する記者会見での説明によれば、データ越境活動には主に以下のものが含まれます。一つ目は、データ処理者が国内における運営において収集及び生成したデータを国外に伝送し、又は国外に保存することです。二つ目は、データ処理者が収集及び生成したデータを国内に保存しているものの、国外の機関、組織又は個人がこれにアクセスし、又は呼び出すことができることです。

同時に、<『ネットワークセキュリティ審査弁法』、『データセキュリティ法』、『個人情報保護法』、『ネットワークセキュリティ法』の関連規定に基づき[⑤]、データ越境の具体的な状況は、主に以下のものを含みます：（1）海外上場；（2）域外の司法機関又は執行機関による取得；（3）域外における域内情報の収集；（4）域外へのデータ提供；（5）その他のデータ越境の状況。

三、 データ越境安全評価の実務

1.データ越境安全評価のプロセス

『評価弁法』の関連規定に基づき[⑥]、企業は、必要なクロスボーダー移転が『評価弁法』の適用範囲に該当することを確認した後、まずデータ越境リスクの自己評価を実施する必要があります。重点的に評価すべき事項は以下のとおりです。

（1）データ越境及び国外の受領者によるデータ処理の目的、範囲、方法等の合法性、正当性、必要性

（2）越境データの規模、範囲、種類、機密性の程度、データ越境が国家安全、公共利益、個人又は組織の合法的権益にもたらす可能性のあるリスク

（3）国外の受領者が約束した責任及び義務、並びに当該責任及び義務を履行するための管理上及び技術上の措置、能力等が越境データの安全を保障できるか否か

（4）データ越境中及び越境後に改ざん、破壊、漏洩、紛失、移転、又は不正取得、不正利用等が行われるリスク、個人情報の権益を維持するための経路が確保されているか等

（5）国外の受領者と締結しようとするデータ越境に関する契約その他法的効力を有する文書等（以下、総称して「法的文書」といいます）において、データセキュリティ保護の責任及び義務が十分に定められているか否か

（6）その他データ越境安全に影響を及ぼす可能性のある事項。

自己評価を経た後、企業は省級ネット情報部門に申告資料を提出しなければなりません。省級ネット情報部門は、申告資料を受け取った日から5営業日以内に完全性の確認を完了するものとします。申告資料が揃っている場合は、当該資料を国家ネット情報部門に送付します。申告資料が揃っていない場合は、データ取扱者に差し戻し、補足すべき資料を一括して通知しなければなりません。国家ネット情報部門は、申告資料を受け取った日から7営業日以内に、受理するか否かを決定し、データ取扱者に書面で通知するものとします[⑦]。

安全評価の過程において、データ取扱者が提出した申告資料が要求に適合しないことが判明した場合、国家ネット情報部門はその補充または訂正を求めることができます。データ取扱者が正当な理由なく補充または訂正を行わない場合、国家ネット情報部門は安全評価を終了することができます。国家ネット情報部門は、受理後45営業日以内に安全評価を完了します。状況が複雑であるか、または資料の補充・訂正が必要な場合には、期間を延長し、データ取扱者に予想される延長期間を通知するものとします[⑧]。

データ越境安全評価の結果の有効期間は2年間です。データ取扱者が評価結果に異議がある場合、評価結果を受け取った日から15営業日以内に国家ネット情報部門に再評価を申請することができます。有効期間が満了したが、データ越境活動を継続して行う必要がある場合、企業は有効期間満了の60営業日前までに改めて評価を申請しなければなりません[⑨]。

2.資料越境安全評価の申告資料

「評価弁法」の関連規定に基づき[⑩]、データ越境移転に係る安全評価を申告する際には、以下の資料を提出しなければなりません。

（1）申告書（誓約書及び申告表を含む）

（2）データ越境移転に係るリスク自己評価報告書（申告前3ヶ月以内に作成されている必要があります）

（3）データ取扱者と国外受領者との間で締結を予定している法的文書（契約書、社内規程等を含む）。

（4）安全評価業務に必要なその他の資料（上記3点の資料を補足するための資料）

四、 結び

以上の「評価弁法」の解釈を通じて、データ越境移転に係る安全評価業務が既に規範化・手続化されていることが分かります。関連企業は、データの越境移転を行う際に、安全評価を事前に計画し、自らのコンプライアンス体制を強化して適法状態を維持しなければ、通常の事業運営に支障をきたす可能性があります。「評価弁法」は、個人情報の安全のみならず、国家安全及び社会公共の利益をも保障するものです。

[①]「データ越境移転安全評価弁法」第4条

[②]「中華人民共和国データ安全法」第21条第1項及び第3項

[③]「重要情報基盤施設安全保護条例」第8条

[④]「中華人民共和国個人情報保護法」第28条

[⑤]「サイバーセキュリティ審査弁法」第7条、「中華人民共和国データセキュリティ法」第36条、「中華人民共和国個人情報保護法」第3条第2項

[⑥]「データ越境移転セキュリティ評価弁法」第5条

[⑦]「データ越境移転セキュリティ評価弁法」第7条

[⑧]「データ越境移転セキュリティ評価弁法」第11条、第12条

[⑨]「データ越境移転セキュリティ評価弁法」第13条、第14条

[⑩]「データ越境安全評価弁法」第6条