容易 照合 性

個人情報・パーソナルデータに関すること（４）提供元・提供先基準説 執筆者：弁護士 森進吾 中国の個人情報保護法（以下「本法」という。 ）は、2021年8月20日に成立し、11 月1日に施行される [1]。 本法は、「サイバーセキュリティ法 [2]」と「データ安全法 [3]」とともに、中国のデータ保護の基本法として位置付けられている。 本法に関する論点は多岐に渡るが、特に注目を集めている点は、 1 中国の国内企業だけではなく、中国ビジネスを営む日本企業にも適用される可能性があるという点と、 2 中国国内で収集した個人情報を国外へ移転する場合に厳しい規制を受けるという点ではないかと思われる。 そこで、以下では、中国ビジネスを営む日本企業及び日系中国企業が留意すべきポイントという観点から、特に重要度が高いと思われる規制の概要について速報的な説明を行う。 [1 なお、同法名称の日本語訳としては、「サイバーセキュリティ法」のほか、「ネットワーク安全法」又は「インターネット安全法」と翻訳される場合がある。 第１ 日本企業に対する本法の適用可能性（域外適用）について 本法は、中国国内で個人情報を処理 [ 4 ]する活動に適用される（第3条1項）。 本法でいう個人情報とは、「電子的又はその他の方式により記録され、自然人に関する識別された又は識別可能な各種情報」をいい [5]、匿名化された情報は除かれている（第4条）。 そのため、例えば、いわゆる越境EC制度を利用して中国の消費者に向け商品を輸出する日本企業や、中国国内の個人に向け中国語（簡体字）のウェブサイトを通じて日本のホテル・旅行サービスを提供する日本企業等に対して本法が適用される可能性が高い。 第２ 個人情報の処理に関する主な規制 個人情報の処理に関する規制については、例えば以下のような規制を受ける。 なお、本稿の性質上、簡略的な説明に止める。 １ 個人情報の処理にかかる同意取得とその例外 本法は、個人情報を処理するためには個人の同意が必要であることを原則としつつ、法令に基づく人事管理を実施するために必要な場合又は本人が自ら開示した個人情報を合理的な範囲内で処理する場合等においては、同意は不要としている（第13条、第25条、第27条等）。 なお、一旦同意を取得したとしても、個人は同意を撤回する権利を有しているし（第47条1項3号）、個人情報の処理者は撤回の簡便な方法を提供する義務を負っている点（第15条1項）にも留意が必要である。 ２ プライバシーポリシー等による情報提供義務 個人情報の処理者は、個人情報を処理する前に、当該個人に本法に定める事項を明確かつ分かりやすい内容で通知しなければならない。 また、プライバシーポリシーの策定を通じて通知する場合には、プライバシーポリシーを公開し、容易に検索又は保存できる措置を講じなければならない（第17条3項）。 更に、個人情報の処理者が第三者に対して個人情報を提供する場合には、当該個人情報の本人に対し、受取人の名称・連絡先・処理目的・処理方法・個人情報の種類を通知したうえで、個別の同意を取得する必要がある（第23条）。 他方で、個人情報の処理者が当初に同意を得た処理目的・処理方法等の範囲内であれば、本人の同意なしに、個人情報の処理を第三者に委託することができる（第21条） [ 7]。 【本法の適用を受ける日本企業との関係】 いわゆる越境ECプラットフォーム [8]を利用してEC店舗を出店している日本企業は、ECプラットフォーム上で用意されたプライバシーポリシーに基づき中国消費者の個人情報を取得したうえで処理していると思われる。 そのため、ECプラットフォーム上のプライバシーポリシーが定める個人情報の処理の目的・方法、処理する個人情報の種類、保存期間等に留意して個人情報を処理する必要がある。 他方で、自社のウェブサイトを通じて、中国国内の個人に向けて日本向のホテル・旅行サービスを提供する日本企業等は、中国語（簡体字）によるプライバシーポリシーを自社で策定してウェブサイトで公表する等の対策が必要になる。 ３ 安全管理措置及び個人情報保護責任者の設置・届出義務 個人情報の処理者は、個人情報の処理目的・方法、セキュリティリスク等を踏まえて、各種の安全措置を講じなければならない。 また、国家ネットワーク情報部門の定める数量に達する個人情報の処理者は、個人情報保護の責任者の連絡先情報を開示したうえで、監督機関に提出する必要がある（第52条）。 ただし、この「国家ネットワーク情報部門の定める数量」に関する定めは公開されていない。 【本法の適用を受ける日本企業との関係】 本法の適用を受ける日本企業は、中国の監督機関へ向けた説明用として、中国語で内部管理システ