中国、データの越境移転に関する規定を最終決定

2024年3月22日、中国サイバースペース管理局は、データの越境移転の促進と標準化に関する規定(「本規定」)と、セキュリティ評価および標準契約に関するガイドラインの更新(総称して「本ガイドライン」) を公表し、直ちに施行されました。本規定と本ガイドラインは、データの越境移転に関する要件を明確にし、緩和しています。

データの越境移転の追加手続き要件の免除

これまで個人情報を海外に移転する場合、データ取扱者は安全評価に合格する、標準契約を当局に届け出る、または個人情報保護の認証を受ける必要がありました。本規定に基づき、データ取扱者は、次の状況ではそのような要件から免除されます。

• lデータ取扱者が処理中に中国から個人情報または「重要データ」を取り込まない限りにおいて、中国国外から輸入された個人情報の再輸出
• l個人との契約の締結または履行のための個人情報の移転
• l人事管理のための従業員の個人情報の移転
• l緊急時に生命および財産を守るための個人情報の移転
• l重要情報インフラの運営者(「CIIO」)ではないデータ取扱者による当年度100,000人未満の機微情報ではない個人情報の移転
• l登録されたデータ取扱者による自由貿易試験地域のネガティブリストに記載されていない地域におけるデータの移転、および
• l国際貿易、国境を越えた輸送、学術協力、国境を越えた製造、およびマーケティングから生成されたデータに個人情報または「重要データ」が含まれていない場合（関係当局から通知されたり、公表されない限り、そのデータは「重要データ」ではありません）。

追加の手続き要件が適用される場合

例外を除き、次の場合には安全評価が必須です。(i)CIIOが個人情報または「重要データ」を移転する場合、(ii)非CIIOが100万人を超える「重要データ」または個人情報(当年度) を移転する、または10,000人を超える機微情報を移転する場合

例外を除き、以下の場合には、標準契約または認証が必要です。非CIIOが(i)当年度に10万人を超え100万人未満の個人情報を移転する場合、または(ii)10,000人未満の機微情報を移転する場合

次のステップ

本規定と本ガイドラインによりコンプライアンスの負担が大幅に軽減されるため、企業はデータの越境移転を評価し、今後どのような要件を満たす必要があるかを判断する必要があります。

本アラートは、中国のデータ規制に関する重要なトピックであり、その事業において中国から海外に個人情報を移転する日本企業にも大きな影響を有すると考えられることから紹介する次第です。詳細は、Jones Day Alert “China Finalizes Provisions on Cross-Border Data Transfer”（オリジナル英語版）をご参照ください。