一、 はじめに

データセキュリティは国家安全保障の重要な構成部分であり、データの越境送出は個人の情報セキュリティのみならず、国家安全保障と社会公共の利益にも関わる。2022年7月7日、国家インターネット情報弁公室は『データ越境送出安全評価弁法』（以下『評価弁法』と略称）を公布し、2022年9月1日から施行された。『評価弁法』の制定は、『サイバーセキュリティ法』『データセキュリティ法』『個人情報保護法』におけるデータ越境送出に関する関連規定を実施し、データ越境送出活動を規範化し、個人情報权益を保護し、国家安全保障と社会公共の利益を維持し、データ跨境の安全かつ自由な流動を促進することを目的としている。本稿では企業の視点から『評価弁法』を解説する。

二、 法的規定

『評価弁法』は、データ処理者が中華人民共和国国内で運営中に収集・生成した重要データ及び個人情報を境外に 제공하는場合の安全評価について明記している。また、『評価弁法』はデータ越境送出安全評価の申告が必要な情形、ならび安全評価の具体的要求、評価程序、監督管理制度、法的責任、合規改善要求などを規定している。

以下では、適用範囲、越境送出の情形、ならび越境送出安全評価の三つの方面から法的規定の解説を行う。

1.適用範囲

「評価方法」の関連規定に基づき[①]、以下の4つの情形に該当する場合には、所在地の省レベルのサイバー空間部門を通じて国家サイバー空間部門に対してデータ越境移転セキュリティ評価の申請を行う必要がある：

（1）データ処理者が国外に重要データを提供する場合；

重要データとは、一般的に、改ざん、破壊、漏洩、または不正取得・不正利用等された場合、国家安全保障、経済運行、社会安定、公共の健康と安全等を害する可能性がある資料を指す。ただし、「データセキュリティ法」では重要データの目次は各地域及各部門が責任を負って確認するとされている。因此、不同行业领域的企业，需要根据所在地以及所在行业的相关部门的规定确定所需要进行安全评估的重要データについては、各企業が異なる業界分野に携わっている場合、所在地及び所在業界の関連部門の相談に基づいて、セキュリティ評価が必要な重要データを確定する必要がある。

（2）重要情報インフラ運営者および100万人以上の個人情報を処理するデータ処理者が国外に 개인정보を提供する場合；

（3）前年1月1日から累計で国外に10万人分の個人情報または1万人分の敏感的個人情報を提供したデータ処理者が国外に 개인정보を提供する場合；

（4）国家サイバー空間部門が規定するその他データ越境移転セキュリティ評価の申請が必要な情形。

その中の重点は重要データの認定、重要情報インフラ運営者の認定、敏感な個人情報の認定である。

Ø重要データ

一般的に、改ざん、破壊、漏洩または不正取得・不正利用等により、国家安全保障、経済運行、社会安定、公共の健康と安全等を害するおそれのあるデータをいう。ただし、『データセキュリティ法』においては、重要データの目次は各地域および各部門が責任を負って確認することとされている[②]。したがって、異なる業界分野に従事する企業は、所在する地域および所在業界の関連部門的规定に基づき、セキュリティ評価が必要となる重要データを確定する必要がある。

Ø重要情報インフラ運営者

『重要情報インフラセキュリティ保護条例』の関連規定に基づき、重要業界・分野の主管部門、監督管理部門はセキュリティ保護業務の部門として運営者の認定を担当し、認定結果を速やかに運営者に通知する[③]。したがって、企業が保護業務部門から通知を受けた場合、当該企業は重要情報インフラ運営者に該当する。

Ø敏感個人情報

敏感個人情報の認定は、『個人情報保護法』における敏感個人情報の関連定義に基づいて認定することができる[④]。同時に、『情報セキュリティ技術 個人情報安全規範』に記載されている個人敏感情報、例えれば個人財産情報、個人健康生理情報、個人生体識別情報、個人身分情報などを参考にすることができる。敏感個人情報も、使用されるシナリオに基づいて認定されるべきである。

2.データ越境の場合

『評価法子』記者ブリーフィングによると、データ越境活動は主に以下の通りである：一是国内での運営において収集・生成されたデータを境外に 전송・保存すること。二是収集・生成したデータを国内に保存し、境外の機構、組織或个人がアクセス又は呼び出すこと。

また、『サイバーセキュリティ審査辨法』『データ安全法』『個人情報保護法』『サイバーセキュリティ法』の関連規定に基づき、資料の出国先の具体情况は以下の通りです：（1）海外上場；（2）海外司法・執法機関による調取；（3）海外での国内情報の収集；（4）海外へのデータ提供；（5）その他の資料出国情形。

三、 データ出国安全評価の実施

1.データ出国安全評価のフロー

『評価辨法』の関連規定に基づき[⑥]、企業が跨境転送が『評価辨法』の適用範囲に該当することを確認した後、まずデータ出国リスク自己評価を実施する必要があります。重点的に評価する事項は以下の通りです：

（1）データが境外に提供される際および境外の受領者がデータを処理する目的、範囲、方法等の適法性、正当性、必要性；

（2）提供されるデータの規模、範囲、種類、機微さの程度、境外へのデータ提供が国家安全、公共の利益、個人または組織の合法的權益にもたらし得るリスク；

（3）境外の受領者が引き受けることを約束した責任義務、および当該責任義務を履行するための管理的・技術的措置や能力等が、提供されるデータの安全保障に資するか否か；

（4）データの境外提供中および提供後に、改竄、毀損、漏えい、丢失、移転または不正取得、不正利用等のリスクがあること、および個人情報の権利保護の通道が畅通与否；

（5）境外の受領者と締結しようとするデータ境外提供に関連する契約書その他の法的効力を有する文書（以下総称して法的文書という）が、データの安全保護に関する責任義務を十分に約定しているか否か；

（6）データの境外提供の安全に影響し得るその他の事項。

自己評価を行った後、企業は省級ネット情報部門に申告書類を提出するものとし、省級ネット情報部門は申告書類を受理した日から5営業日以内に完备性查验を完了しなければならない。申告書類が齐全している場合は、国家ネット情報部門に送付するものとし、申告書類が齐全していない場合は、データ処理者に退回し、一括して補足が必要な書類を告知するものとする。国家ネット情報部門は申告書類を受理した日から7営業日以内に、受理与否を決定し、データ処理者に書面により通知しなければならない[⑦]。

セキュリティ評価的过程中において、データ処理者が提出した申告書類が要件を満たしていない場合、国家ネット网通信部門は補足または訂正を求めることができます。データ処理者が正当な理由なく補足または訂正を行わない場合、国家ネット网通信部門はセキュリティ評価を終了することができます。国家ネット网通信部門は受理後45営業日以内にセキュリティ評価を完了します。状況複雑な場合、または補足・訂正材料が必要な場合は、延長となり、データ処理者には延長が見込まれる時間が通知されます[⑧]。

データ出国セキュリティ評価の結果の有効期間は2年です。データ処理者が評価結果に異議がある場合には、評価結果受領後15営業日以内に国家ネット网通信部門に再評価を申請することができます。有効期間満了後においてもデータ出国活動を継続する必要がある場合、企業は有効期間満了前60営業日以内に再申告評価を行う必要があります[⑨]。

2.データ出国セキュリティ評価の申告書類

『評価辦法』の関連規定に基づき[⑩]、データ越境輸出安全評価の申報にあたっては、以下の資料を提出しなければならない：

（1）申報書（誓約書、申報表を含む）；

（2）データ越境輸出リスク自己評価報告（申報前三ヶ月以内に完了する必要がある）；

（3）データ処理者と境外受領者が締結を予定する法律文書（契約書、社内規則等であってもよい）；

（4）安全評価作業に必要なその他の資料（上記三つの資料を補足するその他の資料）。

四、 結語

以上、『評価辦法』の解読を通じて、データ越境輸出安全評価工作是既に規範化・程序化されていることがわかる。関連企業はデータの越境伝送を行う際、安全評価，提前計画し、自社の規制を強化してコンプライアンス状態に到達する必要があります。そうでないと 정상な経営に影響を及ぼすことになる。『評価辦法』が保障するのは個人の情報セキュリティだけでなく、国家安全および社会公共の利益でもある。

[①]『データ越境安全評価弁法』第4条

[②]『中華人民共和国データ安全法』第21条第1項、第3項

[③]『重要情報インフラ保護条例』第8条

[④]『中華人民共和国個人情報保護法』第28条

[⑤]『サイバーセキュリティ審査弁法』第7条。『中華人民共和国データ安全法』第36条。『中華人民共和国個人情報保護法』第3条第2項

[⑥]『データ越境安全評価弁法』第5条

[⑦]「データ越境安全保障評価辨法」第7条

[⑧]「データ越境安全保障評価辨法」第11条・第12条

[⑨]「データ越境安全保障評価辨法」第13条・第14条

[⑩]「データ越境安全保障評価辨法」第6条