中国におけるデータプロテクション規制の最新動向（個人情報国外移転標準契約規定の制定及びインターネット安全法の改正に関するパブコメ）

1. 個人情報国外移転標準契約規定パブコメ

(1) 概要

　個人情報保護法上、個人情報を中国外に移転させるには、（個人情報主体の同意を得るほか）中国の個人情報処理事業者※2は、①個人情報保護法第40条により国家ネットワーク情報部門の安全評価に合格した場合、②国家ネットワーク情報部門の規定に基づき専門機構の個人情報保護認証を受けた場合、③国家ネットワーク情報部門が制定する標準契約に基づき、国外受取事業者と契約を締結し、双方の権利義務を約定した場合、又は④法律、行政法規又は国家ネットワーク情報部門の規定する他の条件に適合する場合に該当する必要があるが、個人情報国外移転標準契約規定パブコメは、③の標準契約に関するものである。

　個人情報国外移転標準契約規定パブコメによれば、③を満たすためには、以下の通り、一定の条件及び手続を充足し又はこれを履行し、標準契約を締結する必要があるとされている。

(2) 標準契約の締結により個人情報を国外移転させるための条件及び手続

　個人情報国外移転標準契約規定パブコメによれば、標準契約の締結により個人情報を国外移転させるには、個人情報処理事業者は、(i)基幹情報インフラ運営者でないこと、(ii)処理する個人情報が100万人未満であること、(iii)前年1月1日から国外に提供した個人情報が10万人に達しないこと、(iv) 前年1月1日から国外に提供したセンシティブ個人情報※3が1万人に達しないことという条件を満たすとともに、個人情報の国外移転前に自ら個人情報保護影響評価を行い、標準契約の効力発生日から10営業日以内に、その所在地である地方のインターネット情報部門に対し、標準契約及び個人情報保護影響評価を届け出る必要があるとされる。

　標準契約の締結により個人情報を国外移転させる場合、上記条件を満たす必要があり、上記影響評価及び届出を行う必要があるので、遺漏しないよう留意が必要である。

(3) 標準契約の内容

　個人情報国外移転標準契約規定パブコメによれば、個人情報処理事業者と国外受取事業者との間の標準契約においては、(i) 個人情報処理事業者及び国外受取事業者の基本情報、(ii) 個人情報国外移転の目的、範囲、種類、機密性、数量、方法、保管期間、保管場所等、(iii) 個人情報処理事業者及び国外受取事業者の個人情報保護に関する責任及び義務並びに個人情報の国外移転に伴い発生しうる安全上のリスクを防止するために講じる技術的及び管理的措置等、(iv) 国外受取事業者の所在する国又は地域の個人情報保護に関する政策や規制が、この契約条件の遵守に与える影響、(v) 個人情報主体の権利、個人情報主体の権利を保護する方法及び手段、(vi) 救済措置、契約の解除、契約違反の責任、紛争解決等を定めることとされ、個人情報国外移転標準契約規定パブコメにおいて、雛形も公表されている。この雛形については、中国に進出する日系企業にとって、以下の点に留意が必要であると思われる。

（個人情報主体との関係）

　標準契約は、個人情報処理事業者及び国外受取事業者と個人情報主体との関係について、GDPRのStandard Contractual Clauses（SCC）におけるThird-Party Beneficiary条項（日本でいう第三者のための契約）に基づき個人情報主体に個人情報処理事業者及び国外受取事業者に対する権利を直接与える構成と類似の構成を採用しており※4、これに基づき、個人情報主体は、個人情報処理事業者及び国外受取事業者に対し標準契約に基づいて一定の権利を直接行使でき、個人情報処理事業者及び国外受取事業者は、一方が標準契約に違反し個人情報主体に与えた損害について連帯責任を負うとされている。そのため、いずれか一方に個人情報の漏洩などが発生し個人情報保護主体に損害が生じた場合は、個人情報処理事業者及び国外受取事業者は、個人情報主体から中国で賠償請求を受け、訴訟提起されうることになる（ちなみに、標準契約においては、国外受取事業者は、個人情報主体に関する紛争の解決について中国法を適用することに同意し、管轄は中国民事訴訟法により確定するとされている。）。

（中国の監督当局との関係）

　標準契約においては、国外受取事業者は、関連法規の要求に従い、個人情報保護処理記録（3年間保存）を中国の監督当局に提供するとともに、中国の監督当局からの質問に答え、検査に協力し、その措置に従い、必要な行為を行ったという書面証明を提供するなどの中国の監督当局からの監督管理を受けるとされ、しかも、個人情報主体による中国の監督当局への苦情に関する請求を受けうるとされている。このため、国外受取事業者は、中国外に所在するとしても、標準契約の履行として、中国の監督当局からの一定の要求や措置に協力する義務を負い、これに協力しないと標準契約の違反として個人情報主体から責任を追及されうることになる。

2. インターネット安全法改正パブコメ

　2022年9月12日に公表されたインターネット安全法改正のパブリックコメントにおいては、主として、同法違反の行為に対する処罰が強化されている。改正にかかる規定は多岐に渡るが、中国に進出する日系企業において注意が必要と思われる主要な点は以下の通りである。なお、インターネット安全法上、各規定の適用主体は、主として、インターネット運営者※5、基幹情報インフラ運営者※6、その他に分けることができるが、以下では、多くの日系の中国子会社が該当しうると思われるインターネット運営者に関する内容を中心として紹介する※7。

(1) インターネット運営者に対する処罰強化

　インターネット安全法改正パブコメでは、インターネット運営者による以下の①②の義務違反について、以下の処罰を行うとされている。

① インターネット運営安全保護義務違反

　インターネット安全法第21条（サイバーセキュリティ等級保護制度に基づき保護義務を履行すること）など※8に規定するインターネット運営安全保護義務に違反し又はインターネット運営安全への危害等の結果を生じさせた場合

② インターネット情報安全保護義務違反

　インターネット安全法第47条（ユーザーによる法律等の禁止する情報の公表等を発見した場合その消去等の措置をとること）など※9に規定するインターネット情報安全保護義務に違反し又は関連部門の要求に応じて法律等が禁止する情報について消去等の措置などをとらない場合

インターネット安全法改正パブコメにおける①、②共通の処罰規定

(2) 留意点

　インターネット安全法改正のパブコメ版では改正前と比べて、処罰が大幅に強化されている。例えば、①のインターネット安全法第21条（サイバーセキュリティ等級保護制度に基づき保護義務を履行すること）を例とすると、改正前は、当該義務違反の処罰は是正命令等のほか、会社への過料額は10万元以下とされていたが、インターネット安全法改正のパブコメ版では、過料額上限は、5000万元以下又は前年度営業額の5％以下（情状が特に深刻な場合）に引き上げられるとともに、従来規定のなかった批評通報※10、営業許可取消等の処分も規定が設けられている。

　このように、インターネット安全法違反については、批評通報（公表）によるレピュテーションへの影響が生じたり、多額の過料に処されたり、営業許可が取り消され事業が継続できなくなるなどリスクが高まる可能性があるので、留意が必要である。

　本項で紹介した個人情報国外移転標準契約規定パブコメ及びインターネット安全法改正のパブコメ版については、内容が確定しているものでもなく、施行時期も不明であるが、施行された後は少なくない影響がありうるところであるので、引き続き注視しておくことが必要であると思われる。