中国、個人情報域外移転標準契約届出ガイドラインを公布

ガイドラインは、同じく2023年6月1日に施行された個人情報域外移転標準契約弁法に基づく標準契約の要件と届出手続きに関する主要な詳細を示しています。

データ取扱者が移転する個人情報の量又は性質から安全評価を受けることを求められない限り、標準契約は中国から個人情報を域外に移転する場合に利用することができます。

データ取扱者は、標準契約の効力発生日から10営業日以内に省レベルの中国サイバースペース管理局に標準契約及び必要資料を届け出る必要があります。

ガイドラインには、以下の内容を含む届出のための必要資料のひな型が示されています。

• 国境を超える処理活動のあらゆる側面についてかなり高いレベルの詳細を求める個人情報保護影響評価、及び
• 特に、全ての個人情報の取扱いは中国法を遵守していること、提出資料は正確かつ完全であること、及び個人情報保護影響評価は届出日の3か月までに完了し、完了後重要な変更はないことを個人情報取扱者が確認する誓約書

個人情報域外移転標準契約弁法の下では中国サイバースペース管理局の承認は必要ありませんが、ガイドラインには、中国サイバースペース管理局が全ての届出を審査し、届出を受理する前に却下する裁量を有していると述べられています。届出を却下する場合、中国サイバースペース管理局は理由を示さなければならず、また補充資料を求めることができます。届出が最終的に却下された場合、異議申立ての手続きはありません。中国サイバースペース管理局の審査は、提出物の完全性を確実にすることに重点が置かれると思われますが、ガイドラインはさらに実質的な審査も可能としています。

企業が域外移転を法令に適応させるために2023年12月1日まで6か月間の猶予期間が設けられています。法令を遵守しない企業は個人情報保護法に基づく罰則の対象となり、この罰則には多額の罰金や全ての個人情報の移転の停止が含まれます。

まだ法令への対応を行っていない企業は、個人情報の移転に関する混乱を防ぐために、個人情報域外移転標準契約弁法及びガイドラインの観点から既存の中国における個人情報の移転に関する取り決めを直ちに確認する必要があります。

本アラートは、中国からの個人情報の越境移転を行う企業にとって重要なトピックと考えられることから紹介する次第です。詳細は、Jones Day Alert “China Issues Guidance on Filing of the Standard Contract for Cross-Border Transfers of Personal Information”（オリジナル英語版）をご参照ください。