現在、経済グローバル化に伴い、多国籍企業は世界市場におけるシェアを徐々に拡大している。経営・管理の目的で、多国籍企業は各国に設立した拠点で発生した従業員情報、顧客情報などのデータを国境を越えて本社へ頻繁に 전송해야 한다。これにより、個人情報の跨境提供に関するコンプライアンスのニーズが生じている。同様に、国内の『個人情報保護法』等相关法の施行に伴い、前述の個人情報跨境提供などのデータ處理行為に対するコンプライアンス要件が日益厳しくなっている。したがって、本稿では多国籍企業の個人情報跨境提供に関する関連規定を整理した。下表は個人情報の跨境提供に関わる関連法規および公式发布的征求意见稿である：

一、《個人情報保護法》等法規の効力範囲

『中国個人情報保護法』第三条

中華人民共和国境内において自然人の個人情報を処理する活動に、本法を適用する。

中華人民共和国境外において中華人民共和国境内自然人の個人情報を処理する活動に、以下の情形のいずれかに該当する場合にも、本法を適用する：

（一）境内自然人に製品若しくはサービスを提供することを目的とすること；

（二）境内自然人の行為を分析・評価すること；

（三）法律・行政法規が規定するその他の情形。

跨国公司の個人情報の越境提供コンプライアンスについて、まず検討すべきはかかる行為が国内関連法規の拘束を受けるか否かである。我が国の立法は属地管轄+保護管轄の立法モデルを採用している。属地管轄に関しては、中華人民共和国境内において自然人の個人情報を処理する限り、処理主体が中国公民又は中国企业であるか否かにかかわらず、『中国個人情報保護法』等の法規の拘束を受ける。因此、境内にある跨国公司が境外にある企业提供に資料を提供する場合は、属地管轄に基づき『中国個人情報保護法』等の法規の拘束を受ける。

次に保護管轄に関して、『中国個人情報保護法』第三条第二項の規定は情報処理行為の目的と対象を保護管轄の認定基準としており、これは基本上、中国境内の個人又は組織に対する全ての情報処理行為を網羅しており、その適用範囲は広い。同時に、『条例』は「境内重要データ処理，涉及的情形」を補完し、『中国個人情報保護法』等の法規の適用範囲がさらに拡大する傾向を示している。因此、跨国公司グループ内で転送又は処理される情報に中国境内の組織又は個人の情報又はその他の境内に関わる重要データが含まれる場合、『中国個人情報保護法』等の規定による規制的を受ける可能性が高い。

二、個人情報保護の越境提供に関するコンプライアンス要件

（一）個人情報保護の越境提供の前提条件

1. 特殊主体的セキュリティ評価申告義務

『個保法』第四十条

重要情報インフラ運営者および国家インターネット情報部門が規定する数量以上の個人情報保護を取り扱う個人情報保護処理者は、中華人民共和国域内で収集・生成した個人情報保護を域内に保存しなければならない。境外への提供が必要な場合は、国家インターネット情報部門が组织实施するセキュリティ評価を経なければならない。法律、行政法規および国家インターネット情報部門が規定によりセキュリティ評価を省略できる場合は、その規定に従う。

『個保法』第四十条の規定に基づき、特定の条件を満たす個人情報保護処理者が情報を境外に提供する場合は、国家インターネット情報部門にセキュリティ評価の実施を申告しなければならない。同時に、『評価方法』等の規定により、セキュリティ評価的相关内容がさらに詳細化されている。

（1）重要情報インフラ運営者

《重要情報インフラ安全保護条例》第二条は、『中華人民共和国ネットワーク安全法』の規定を継承し、重要情報インフラを公共通信と情報サービス、エネルギー、交通、水利、金融、公共サービス、電子政务、国防科学技術工業等の重要業界・分野、およびその他の毁損、功能喪失又はデータ漏洩が発生した場合、国家安全、国計民生、公共利益に重大な危害を及ぼす可能性のある重要ネットワーク施設、情報システム等と定義している。

（2）規定数量に達した個人情報を処理する者

「個人情報保護法」が安全評価の要件を提起した後、「評価辦法」は安全評価の詳細な事項を規定している。「評価辦法」第四条の規定によれば、100万人以上の個人情報を取り扱う場合、または前年1月1日から累計で境外に10万人以上の個人情報または1万人以上のセンシティブ個人情報を境外に提供するデータ処理者は、所轄の省級インターネット情報部門を通じて国家インターネット情報部門にデータ越境安全評価の申請をしなければならない。

（3）データ越境リスク自己評価

「評価辦法」第五条の規定によれば、データ処理者はデータ越境安全評価を申請する前に30日以内にデータ越境リスク自己評価を完了しなければならず、安全評価を申請する際にデータ越境リスク自己評価報告書を添付して提出しなければならない。データ越境リスク自己評価には以下の内容が含まれていなければならない。

（4）データ越境移転安全評価の評価事項

「評価弁法」第8条の規定によれば、データ越境移転安全評価の内容はデータ越境移転リスク自己評価の内容と類似性が存在する。具体的には以下の通りである：

2. 非特殊主体の個人情報越境提供の前提条件

『個人情報保護法』第三十八条の規定

個人情報処理者は業務等の必要性から、中華人民共和国境外に個人情報を提供する必要がある場合、以下の条件のいずれかを満たさなければならない。

（一）本法第四十条に基づき、サイバー情報部門が组织实施するセキュリティ評価に合格すること。

（二）サイバー情報部門的规定に基づき、专业機関による個人情報保護認証を受けること。

（三）サイバー情報部門が策定した標準契約に基づき、境外受信者と契約を締結し、双方の権利義務を约定すること。

（四）法律、行政法規またはサイバー情報部門が規定するその他の条件。

中華人民共和国が締結または参加した国際条約、協定に、中華人民共和国境外への個人情報提供の条件等について規定がある場合は、その規定に従い执行することができる。

個人情報処理者は、境外受信者による個人情報處理の活動が本法に規定される個人情報保護基準に達することを保障するため、必要的措置を講じなければならない。

特殊対象以外に対する個人情報越境転送については、『個人情報保護法』は事前監督モデルを採用している。特殊対象は 반드시セキュリティ評価を受けなければならないのに対し、特殊対象以外は、サイバー情報弁公室の規定に基づき専門機関による認証を受けるか、またはサイバー情報弁公室が策定した標準契約に基づいて境外受信者と契約を締結するかを選択することができる。

（1）個人情報保護認証

『認証規範』は2022年12月16日に施行され、個人情報保護認証的相关内容をさらに詳細化した。注目すべきは、『認証規範』は境外の個人情報処理者がその者が域内に設置した専門機関または指定代表を通じて認証を申請し、法令上の責任を負うことを明確に示したしていることである。これは跨境データ送信の需要を持つ多国籍企業にとって、個人情報保護認証が情報処理のコンプライアンスを確保する重要な手段となりうることを示唆している。

（2）国家互聯網信息辨公室が策定した標準契約

国家互聯網情報辨公室は2022年6月30日に『標準契約』を公布了。『標準契約』は個人情報域外送信の目的や範囲、事前の個別同意の取得等内容規定した。契約の主な内容は以下の通りである：

注意すべきは、情報処理者の情報処理契約における取決めが個人情報越境提供コンプライアンスの鍵となっており、内容を完善した情報処理契約は企業が個人情報越境提供过程中的法的リスクの大部分を回避できることを示している。因此、『標準契約』は『個人情報保護法』第三十八条の規定を満たすためだけでなく、跨国企業が情報処理に関する他の場面においても『標準契約』の内容を参照して契約を締結することができる。

（二）個人情報セキュリティ影響評価

『個人情報保護法』第五十五条の規定

次のいずれかに 해당하는 경우、個人情報処理者は事前に個人情報保護影響評価を行い、処理状況について記録しなければならない：……四）境外への個人情報提供…

個人情報セキュリティ影響評価とは、個人情報処理活動について、その適法性・合规性を検証し、情報主体の合法的権益への損害をもたらす各样的リスクを判断し、情報主体の保護に使用される各项措置の有効性を評価するプロセスである。個人情報保護影響評価報告は、最低3年間保存しなければならない。「個人情報保護法」第55条の規定により、個人情報処理者が情報の越境移転を必要とする場合、前述の前提条件を満たすことに加え、別に個人情報セキュリティ影響評価を行わなければならない。目前、全国情報セキュリティ標準化技術委員会は2018年6月11日に「評価ガイド」を公布し、評価実施・評価内容等方面で参考テキストを提供している。

（三）個別同意

「個人情報保護法」第39条

個人情報処理者が中華人民共和国境外に個人情報を提供する場合は、個人に対し、境外接受者の名称または氏名、連絡先、処理目的、処理方式個人情報の種類、および個人境外接受者に対して本法规定的権利を行使する方法と程序等信息を告知し、かつ個人の個別同意を取得しなければならない。

個別同意とは、「条例」第73条の規定により、データ処理者が具体的なデータ処理活動を展開する際、各個人情報について個別に個人の同意を取得しなければならず、複数の個人情報や複数の処理活動を対象とした同意を一括して求めることはできないことをいう。したがって、企業がかつて单独的リクエストページで一度にすべての個人情報の処理授權を求めた做法は、現行の「個人情報保護法」の要件を満たさなくなった。

注目すべきことに、『中国個人情報保護法』第十三条は、個人の同意の取得に関する例外的情形を規定している。すなわち、個人情報が本人を一方当事者とする契約の締結・履行に必要な場合、または法に定める労働規程及び法に基づいて締結された団体協約に基づいて人的資源管理を実施するために必要な場合には、個人情報処理者は個人の同意を取得する必要がない。グローバル企業が、社内の管理等の需要により、企業内で従業員の個人情報を越境移転する場合には、一定の程度上記「労働規程及び法に基づいて締結された団体協約に基づいて人的資源管理を実施するために必要な」要件を満たことになる。因此，就该问题尚不存在有法律约束力的规定或解釈。本文认为，一方面《个保法》第三十九条规定的“单独同意”相较于《个保法》第十三条规定的“同意”有更高的要求，不是包含与被包含的关系，因此对“同意”的豁免条件不能当然地适用于“单独同意”。另一方面，在跨境信息传输的场合应当更倾向于个人信息的保护。因此出于谨慎考虑，本文建议企业在上述情形下以与员工单独签订“授权同意书”等授权档的方式规避潜在的法律リスク。