中国における「個人情報越境標準契約弁法」の発表について
中国における「個人情報越境標準契約弁法」の発表についてニュースレターを発行いたしました。 PDF版は以下からご確認ください。
中国「個人情報越境標準契約弁法」の発表
2023年3月
１．はじめに
ご存じの通り、中国においては2021年11月より、個人情報に関する包括的なルールである「個人情報保護法」が施行されているところ、2023年2月24日、個人情報の越境移転に対するルールである「個人情報越境標準契約弁法」（个人信息出境标准合同办法）（以下「本弁法」）が、国家インターネット情報局（国家互联网信息办公室）より発表されました[1]。 本弁法は、個人情報の越境移転にかかる標準契約の適用範囲、締結条件、届出要件等を規定し、標準契約書のひな型を明確にし、海外での個人情報提供の具体的な指針を示すもので、2023年6月1日から施行される予定となっています。
中国の個人情報保護法においては、個人情報の越境移転について基本的な規定が設けられており、国のインターネット情報部門が策定した標準契約に基づいて契約を締結することが個人情報を国外に移転する適法な方法の一つとなっていたところ、2022年6月には、標準契約の「意見募集稿」が発表されていました。本弁法により、その内容が正式に発表されたことになります。
２．標準契約により越境移転が認められる条件
本弁法においては、標準契約を締結することにより個人情報を海外に移転する個人情報取扱事業者は、次の条件を同時に満たさなければならないことを明確にしました。
|
①重要情報インフラ事業者でないこと ②取り扱う個人情報が100万人未満であること ③前年の1月1日から海外へ移転した個人情報が10万人未満であること ④前年の1月1日から海外で提供した敏感な個人情報が1万人未満であること |
また、個人情報取扱事業者は、上記の数量基準をクリアするために分量を分割して移転する等の措置を採らないことも求められています。
更に、本弁法においては、個人情報の海外提供の前に、主に次のような内容に関して個人情報保護の影響評価を行わなければなりません。
|
①個人情報処理事業者及び海外の受取人の個人情報の取扱いの目的、範囲及び方法の適法性、正当性及び必要性 ②越境移転される個人情報の規模、範囲、種類及び敏感さの程度、並びに個人情報の越境移転が個人情報に関する権利・利益に及ぼす可能性のあるリスク ③海外の受取人が負うべき義務、及びその義務を履行するための管理・技術的措置と能力が、移転される個人情報の安全性を保証できるか否か ④越境移転後の個人情報の改ざん、破損、漏えい、紛失、不正使用等のリスク、個人情報の権利・利益を保護するためのルートが開かれているかどうか ⑤海外の受取人の国又は地域の個人情報保護政策及び規制が標準契約の履行に及ぼす影響、等 |
３．付属の標準契約フォーマット
本弁法には標準契約のフォーマットが付属していますが、その主な内容は、契約の定義と基本要素、個人情報処理者と海外受領者の契約上の義務、海外受領者の国や地域の個人情報保護に関する政策や規制が契約の履行に与える影響、個人情報主体の権利と関連救済、更に契約の解除、契約違反の責任、紛争解決、個人情報の設計等について記載されています。また、実際の越境移転時における状況の詳細（処理の目的、方法、規模、移転方法等）の説明文書も添付されています。
また、本弁法においては、付属の標準契約フォーマットに厳格に従わなければならないと規定される一方で、国家インターネット情報局は、実際の状況に応じて、附属書を調整することができるとされます。更に個人情報の処理者は、海外の受信者とその他の条件を合意することができるが、標準契約と矛盾しないようにしなければならず、個人情報の越境移転は標準契約の発効後にのみ実施できることを明確にしています。
４．標準契約の締結手続き等
本弁法に基づき、個人情報取扱者が標準契約の発効日から10営業日以内に、地方（省級）のインターネット情報部門に標準契約を提出しなければならないと規定しています。 提出する資料には、標準契約書と個人情報保護に関する影響評価報告書が含まれます。
また、本弁法上、次のような場合には、標準契約の有効期間中に、個人情報処理業者が個人情報保護に関する影響評価を新たに実施し、標準契約を補足又は再締結し、提出手続きを行わなければならないとされています。
|
①国外で提供する個人情報の目的、範囲、種類、感度、方法及び保管場所、国外の受領者による個人情報の使用又は取扱い方法に変更があった場合、若しくは標準契約の延長があった場合 ②海外受領者の所在する国や地域の個人情報保護政策や規制に変更があり、個人情報の権利・利益に影響を及ぼす可能性がある場合 ③その他個人情報の権利・利益に影響を及ぼす可能性がある場合 |
このほか、本弁法の実施前に個人情報の越境移転が既に行われていた場合で、本弁法の規定を遵守していないときは、本弁法の施行日から6ヶ月以内に是正するべきことが明確となった点にも留意が必要と言えます。
５．まとめ
日本企業をはじめとする外国企業が、中国において収集した個人情報を海外へ移転（域外移転）する機会は非常に多く、その際の遵法手続きとしての標準契約を締結すべき場面もかなり多く想定されていましたが、本弁法の発表により、中国の当局における公式なスタンスが明らかになりました。従前は「意見募集稿」等を参考に、暫定的な内容の契約等により対応していたケースも少なくなかったと思われますが、今後は本弁法に従うべきことが明確になり、実務上の不透明さは減少したと言えます。
また、暫定的な契約を締結していた場合でも、本弁法に沿わない内容を含む場合には、今後、その点に関する修正が求められる点にも注意が必要と言えます。
[1] http://www.cac.gov.cn/2023-02/24/c_1678884830036813.htm
