中国、個人情報の越境移転に関する標準契約弁法を公布

個人情報保護法（以下「PIPL」といいます）に基づき、現在個人情報取扱者は、個人情報（以下「PI」といいます）を中国国外に移転する前に、次のいずれかの手続要件を満たす必要があります。

• CACによるセキュリティ評価（以下「セキュリティ評価」といいます）に合格すること
• CAC認定機関からPI保護証明書を取得すること、又は
• データ受領者と標準契約（以下「SC」といいます）を締結すること

本弁法に以下の事項が定められています。

• 両当事者は、本弁法に添付されたSCの雛形を使用すること。両当事者はSCに抵触しない限り、条項を追加することができます。
• 個人情報取扱者は、SCが発効してから１０営業日以内に関連するPIリスク評価と共に、省レベルのCACにSCを提出すること、及び
• 中国国外の受領者は、外国政府からSCに基づいて譲渡されたPIの提供要請を受けた場合、直ちに個人情報取扱者に通知すること。

CACの承認は必要ありませんが、CACはPIの移転がコンプライアンスに反すると判断した場合、審査し、修正を要求する権利を有します。

SCは、PI取扱者が移転されるデータの量又は性質により、セキュリティ評価を受ける必要がない場合にのみ使用することができます。本弁法は、個人情報取扱者が、セキュリティ評価の要件を回避するためにPIの移転を分割又はその他の方法で構成してはならないことを明示的に規定しています。

本弁法は2023年6月1日に発効します。2023年6月1日以前に発生した移転も含め、企業に法令を遵守した越境移転を行わせるために、2023年12月1日までの6ヶ月間、さらに猶予期間が設けられています。法令に従わなかった企業は、PIPLに基づく罰則の対象となり、是正命令やPI移転の停止から、最高5000万人民元又はPI取扱者の前年の売上高の5％を上限とする罰金まで幅広い罰則に処せられる可能性があります。

本弁法は、中国からPIを移転するほぼ全ての組織に影響を与えることになります。まだ実施していない企業は本弁法に照らして、既存のPI移転の取り決めを直ちに見直す必要があります。

本アラートは、中国からの個人情報の越境移転に関して企業が対応する必要があるため、紹介する次第です。詳細は、Jones Day Alert “China Finalizes Measures on the Standard Contract for Cross-Border Transfers of Personal Information”（オリジナル英語版）をご参照ください。