中国：「小型個人情報処理者個人情報保護簡素化措置規定」の施行 ― 中小規模現地法人における個人情報保護コンプライアンス負担の軽減 ―

「中国：「小型個人情報処理者個人情報保護簡素化措置規定」の施行 ― 中小規模現地法人における個人情報保護コンプライアンス負担の軽減 ―」についてニューズレターを発行いたしました。こちらの内容は以下のPDFからもご覧いただけます。
→中国：「小型個人情報処理者個人情報保護簡素化措置規定」の施行 ― 中小規模現地法人における個人情報保護コンプライアンス負担の軽減 ―

中国：「小型個人情報処理者個人情報保護簡素化措置規定」の施行
― 中小規模現地法人における個人情報保護コンプライアンス負担の軽減 ―

2026年10月
One Asia Lawyers Group
中国大湾区プラクティスチーム
森　仁司（日本法）
馮　逸倫（中国法）

はじめに

2026年7月22日、国家インターネット情報弁公室（網信弁）及び公安部は「小型個人情報処理者個人情報保護簡素化措置規定」（第25号令、以下「本規定」）を公布し、同年9月1日より施行されています。全22条から構成されています。

本規定は、中国における中小零細企業の負担軽減を目的として、小規模個人情報処理者向けに個人情報保護義務の履行方法を簡素化するものです。もっとも、その趣旨は個人情報保護の水準を引き下げることではなく、処理者の規模・能力に見合った「相応の負担」で義務を履行させる点にあるとされています。

本規定の対象となる「小規模個人情報処理者」は、日本の親会社と情報を共有する機会の多い中国の中小規模現地法人にもあてはまるものであり、個人情報処理規則（プライバシーポリシー）の整備や個人情報保護影響評価（PIA）、コンプライアンス監査の実施方法に直接関わる内容です。以下、その概要と実務上の留意点をご説明します。

１　「小規模個人情報処理者」の定義と、紛らわしい「２つの10万人」

本規定にいう「小規模個人情報処理者」とは、処理する個人情報が10万人に満たない個人情報処理者を指します（第2条）。

この「10万人未満」という数え方について、網信弁が公布時に行った記者質問応答で、次のように明確にされています。
「10万人に満たないとは、10万人という数自体を含まず、個人情報処理者が現時点で処理している自然人の数を累計して計算するものであり、既に削除した個人情報は含まない。」
つまりこれは、ある時点における保有残高（ストック）の考え方であり、「毎年1月1日から起算してリセットする」ものではありません。また、この10万人にはセンシティブ個人情報を含み、処理する個人情報全体が対象であり、越境移転分に限定されません。

ここで注意が必要なのは、本規定第10条第1項第5号に定める個人情報の越境移転に関する別の10万人基準（安全評価・標準契約・認証の免除要件としての基準）と混同しないことです。同条の基準は、「当年1月1日から起算して累計で国外に提供する個人情報が10万人未満（センシティブ個人情報を除く）」というものであり、①毎年リセットされる年次累計方式であること、②非センシティブ個人情報のみを対象とし、センシティブ個人情報の越境移転はこの免除の対象とならない点、③越境移転分のみを対象としている点、のいずれにおいても「小規模個人情報処理者」（本規定第2条）の定義とは性質が異なります。

同じ「10万人」という数字が、本規定の中で異なる2つの意味で使われているため、社内の個人情報保護担当者間でも混同が生じやすい点にご留意ください。

なお、グループ全体の規模が大きくても、中国現地法人単体が処理する個人情報が10万人未満であれば、当該現地法人が小規模個人情報処理者としての簡素化措置の適用を主張できる余地があります。もっとも、本来10万人を超える処理活動を人為的に複数の主体に分割し、小規模個人情報処理者としての取扱いを免れるような行為は、監督当局に認められない可能性が高いと考えられます。

２　個人情報処理規則・告知・同意の簡素化（第4条～第8条）

（１）個人情報処理規則（プライバシーポリシー）の簡素化（第4条・第5条・第8条）

個人情報保護法（以下「個保法」といいます。）第17条は、個人情報の処理に先立つ告知義務を定めていますが、告知の具体的な方法までは限定していません。もっとも、処理者が告知義務を履行したことを証明できるようにしておく必要があることから、実務上は、告知事項をまとめた「個人情報処理規則」を作成・公開する方法が広く用いられています。これが、実務上「プライバシーポリシー」と呼ばれるものです。

本規定第4条は、小規模個人情報処理者について、この処理規則の内容と公開方法の双方を大幅に簡素化しています。

• ・内容面：最低限記載すべき事項は、①処理者の名称・氏名、②権利行使の受理部門又は担当者及び連絡先、③処理目的、④処理方法、⑤個人情報の種類、⑥保存期間等、の6項目で足ります（条文上「等」とされており、これらに限定列挙されているものではない点にご留意ください）。
• ・公開方法：オフラインで個人情報を収集する場合は、事業所の目立つ場所に公告を掲示する等の簡便な方法で、オンラインで収集する場合は、サービス規約、アプリのポップアップ、ウェブサイト公告等の方法で、プライバシーポリシーを公開すれば足ります。ただし、14歳未満の未成年者の個人情報を処理する場合は、専用の個人情報処理規則を別途定める必要があります。

なお、商業用不動産・産業団地（第5条）やネットワークプラットフォーム（第8条）内で事業を行う場合、それぞれが定める統一規則に従うことで、自ら処理規則を作成する手間を省ける仕組みも用意されています。

（２）規則の公開を通じた告知義務・同意取得の簡素化（第6条・第7条）

第6条・第7条は、公開されたプライバシーポリシーをもって、告知義務の履行及び同意の取得の手続とみなす仕組みを定めています。次の2条件を満たす場合、プライバシーポリシーを公開するだけで個別の告知は不要とされます。

（一）処理する個人情報（センシティブ個人情報を除く）が、商品・サービスの提供に必要な範囲内であること
（二）当該情報を他の個人情報処理者に提供せず、かつ公開しないこと、及びその旨をプライバシーポリシーの中で明示していること

なお、この方法による場合、プライバシーポリシーは、太字、文字の拡大、色分け等の目立つ方法でユーザーに示し、かつ閲覧・保存しやすいものとする必要があります。
このとき、本人がプライバシーポリシーを了知した上で、商品・サービスを得るために自発的に必要な個人情報を提供した場合、その提供行為自体をもって、公開されたプライバシーポリシーに従った処理への同意があったものとして扱うことができます。従来、実務上はチェックボックスへのチェックや同意ボタンのクリック等による明示的な同意取得が標準的な方法とされてきましたが、本規定により、小規模個人情報処理者については、そうした形式的な同意取得の手続を別途設ける必要がなくなった点が、実務上は使いやすい簡素化といえます（ただし、特定目的でのセンシティブ個人情報の処理には、引き続き個別同意が必要です）。

もっとも、上記（二）の条件との関係で、中国現地法人が従業員や顧客の個人情報を日本本社等に提供している場合は、個保法第23条にいう「他の個人情報処理者への提供」に該当するため、第6条・第7条の簡素化措置は利用できない点に注意が必要です。これに対し、ITベンダー等への委託処理（個保法第21条）については、受託者は処理目的・処理方法を自ら決定する「個人情報処理者」（同法第73条第1号）に当たらないことから、委託契約を締結し委託の範囲内で処理させる限り、それのみをもって上記の条件を欠くことにはならないと解する余地があります。

３　コンプライアンス監査・個人情報保護影響評価（PIA）の簡素化（第13条・第14条）

多くの日系現地法人にとって、本規定がもたらす実務上最も大きな変化は、コンプライアンス監査及び個人情報保護影響評価（PIA）の実施方法そのものが簡素化された点にあります。

従来、コンプライアンス監査は、国家標準GB/T 46903-2025「データセキュリティ技術　個人情報保護コンプライアンス監査要求」等を参照して実施されるのが一般的であり、相応の工数を要していました。センシティブ個人情報の処理や個人情報の越境移転等の際に要求される（個保法第55条）個人情報保護影響評価についても、国家標準GB/T 39335-2020「情報セキュリティ技術　個人情報安全影響評価ガイドライン」等を参照するのが一般的であり、データマッピング分析、リスク源の特定、本人権益への影響分析、安全リスクの総合分析など、複数のステップを要する複雑な作業でした。

本規定は、小規模個人情報処理者について、これらを以下のとおり大幅に簡素化しました。

別紙１（監査）はコンプライアンス監査の実施頻度についても少なくとも5年に1回（第13条）で足りるとされ、監査記録は少なくとも5年間保存する必要があります。ただし、未成年者の個人情報の処理に関するコンプライアンス監査について法律・行政法規に別段の定めがある場合はそれに従うものとされており（第13条第2項）、「未成年者ネットワーク保護条例」第37条は、未成年者の個人情報を処理する者に対し、毎年コンプライアンス監査を実施し網信部門等に報告することを求めています。

なお、従来、処理する個人情報が1,000万人以下の処理者については、コンプライアンス監査を定期的に実施すること自体は義務とされていたものの、その具体的な頻度までは定められておらず、各社が合理的に判断するほかありませんでした（1,000万人超の処理者には「少なくとも2年に1回」という具体的な下限が別途定められています）。今回、小規模個人情報処理者について「少なくとも5年に1回」という具体的な頻度の下限が明記されたことで、実務上の予見可能性が高まったといえます。

また、第17条は、個人情報保護認証を取得した小規模個人情報処理者について、認証の有効期間中はコンプライアンス監査の実施が免除されると定めており、認証取得のインセンティブとしても機能しています。

個人情報保護影響評価は、個保法第55条が定める5類型の処理活動（別紙２記載の5類型と同じ）に該当する場合に限り、事前に実施すべきものであり、コンプライアンス監査のような定期的な義務ではありません。別紙２（PIA）は、該当する処理活動を行う前に評価結論を記録すれば足り、評価記録は個保法第56条所定の従来どおり少なくとも3年間保存する必要があります。

４　その他の簡素化措置

このほか、本規定には次のような簡素化措置が盛り込まれています。

• ・組織再編時の告知方法の明確化（第9条）：合併・分割・解散等により個人情報を移転する場合、事業所への掲示やショートメッセージ等の簡便な方法で、受領者の名称・連絡先を告知することができます。
• ・権利行使の受理窓口の簡素化（第11条）：本人による権利行使の申請を受け付ける部門又は担当者及びその連絡先を公開すれば足ります。
• ・サービス廃止後に削除できない場合の救済ルート（第12条）：製品・サービスの停止後に個人情報を削除する能力が確かにない場合、所管部門等に報告し、支援を求めることができます。
• ・管理制度・緊急対応計画の簡素化（第15条）：独立した個人情報保護管理制度や安全事件緊急対応計画を別途策定する必要はなく、既存の組織管理文書の中に関連する要求事項を明記すれば足ります。
• ・データ漏洩時の通知方法の簡素化（第16条）：客観的事情により他の方法で本人に通知することが困難な場合に限り、事業所への掲示やウェブサイト公告等の簡便な方法で本人への通知に代えることができます（所管部門への通知等の義務は従来どおりです）。

５　個人情報の越境移転に関する規定（第10条）――既存の免除事由の確認的な明記

本規定第10条は、個人情報の越境移転について、安全評価の申告・標準契約の締結・個人情報保護認証のいずれも不要となる6つの免除事由（契約の締結・履行、越境人事管理、緊急事態における生命・財産の保護、法定職責又は法定義務の履行、年間累計10万人未満〔センシティブ個人情報を除く〕、その他網信部門が定める条件）を列挙しています。

もっとも、これらの免除事由のうち、契約の締結・履行、越境人事管理、緊急事態及び年間累計10万人未満の各事由は、2024年3月に既に施行されている「データの越境移転の促進及び規範化に関する規定」第5条に、法定職責・法定義務の履行は2025年1月1日に施行された「ネットワークデータ安全管理条例」第35条第1項第6号に、それぞれ既に定められている内容を、小規模個人情報処理者向けに改めて確認的に明記したものであり、本規定によって新設された免除事由ではありません。

実務上特に注意すべきは、安全評価・標準契約・認証という3点セットの免除は、告知義務や個人情報保護影響評価までも免除するものではないという点です。また、各免除事由に該当する場合でも、現実に国外へ提供する個人情報の範囲が「確かに必要」な限度を超えていないか、個別に判断する必要があります。なお、個別同意の要否は、人事管理等の処理の適法性の根拠によって異なります。

さらに、懲戒調査等、通常の人事管理と性質の異なる場面については、そもそも越境人事管理の免除事由に該当するといえるか自体が不確実であり、別途の検討を要します。

６　違反行為に対する処罰の緩和（第18条・第19条）

本規定は、小規模個人情報処理者による個人情報保護法令違反について、処罰の運用面でも配慮を示しています。

違法行為が軽微で速やかに是正され、かつ有害な結果が生じていない場合、又は主観的な過誤がなかったことを証明する証拠がある場合等は、処罰を科さないものとされています（第18条第1項）。また、初めての違反であり、危害の結果が軽微で速やかに是正された場合は、処罰を科さないことができます（同条第2項）。なお、処罰を科さない場合でも、当局は状況に応じて呼出し面談や注意喚起書の送付等の監督措置を講じることとされています（同条第3項）。

自ら違法行為の危害を解消・軽減した場合、自ら当局が未だ把握していない違法行為を申告した場合、個人情報安全事件の発生時に速やかに本人へ通知して是正措置を講じ、かつ自ら関係部門に通知した場合、保護部門による違法行為の調査に協力し功績があった場合等は、処罰を軽くし、又は減軽するものとされています（第19条）。

他方で、第21条は、網信部門・公安機関等が抜き取り評価や監査報告等の方法により小規模個人情報処理者の義務履行状況を監督検査できることを定めるとともに、個人情報を違法に処理し、又は個人情報安全事件を繰り返し発生させた場合には、関係法令に基づき処分を受け、信用記録への記載・公示の対象となり得るとしています。簡素化措置は監督の緩和を意味するものではない点にご留意ください。

最後に

以上、本規定について、特に日本本社及び中国現地法人において留意すべき事項についてご説明いたしました。以下、本文に記載した内容に基づき、チェックリストを示します。

【チェックリスト】

本件に関しさらにご質問等ございましたら、当事務所までお気軽にお問い合わせください。

※本ニューズレターは中国法に関する一般的な法令情報を提供するものであり、具体的なアドバイスや法的意見を提供するものではありません。