1. パブリックコメント案のポイント

中国国家インターネット情報弁公室（CAC）が、2023年9月28日に、「国境を越えたデータの流れの規制と促進に関する規定」（规范和促进数据跨境流动规定（征求意见稿））のパブリックコメント案を公開しました。これは、データ越境安全評価弁法（U&Pニューズレター）や個人情報越境標準契約弁法（U&Pニューズレター）などのデータ越境移転に関する規制の実施に関する規定であるとされています。

日本企業に影響が大きいものとして、概要、以下のとおりの定めがあります。

1. 次のいずれかに該当する場合は、安全評価の申告、個人情報保護認証、標準契約の締結は不要
   (i) 国境を越えたショッピング、国境を越えた送金、航空券やホテルの予約、ビザの手続など、本人が当事者となる契約の締結または履行のために、国外に個人情報を提供しなければならない場合
   (ii) 従業員の個人情報を国外に提供する必要がある場合において、法令に基づき策定された就業規則および法令に基づき締結された労働協約に基づき、人事管理を実施する場合
   (iii) 自然人等の生命、健康、財産等を保護するため、緊急に国外に個人情報を提供する必要がある場合
2. 1年以内の個人情報の国外提供が1万人に満たないと予想される場合、安全評価、個人情報保護認証、標準契約の締結は不要（ただし、個人の同意に基づいて個人情報を国外に提供する場合は、同意は必要）
3. 1年以内に個人情報の国外提供が1万人以上100万人未満であり、国外に個人情報を提供する者が標準契約を締結し省インターネット情報部門に提出するか、個人情報保護認証に合格した場合、安全評価を申告しないことができる。100万人以上である場合、安全評価が必要。（同意は別途必要）
4. 自由貿易地域のネガティブリストから除外され、州のインターネット規制当局によって承認されたデータも、安全評価、個人情報保護認証、標準契約は不要
5. データ越境安全評価弁法、個人情報越境標準契約弁法その他の関連規定が本規定と矛盾する場合、本規定が適用される

2. 実務上の影響

中国個人情報保護法の下では、中国からの個人情報の越境移転については、(1)安全評価を通過する、(2)個人情報保護認証を取得する、(3)標準契約を締結する、(4)その他法令が定める方法のいずれかによらなければならないとされています（特集記事（前編）、（後編））。
このうち、(3)に当たる個人情報越境標準契約弁法が2023年6月1日に施行され、是正期間が6か月間（2023年11月30日）とされていたため、多くの日本企業が、11月30日までに標準契約を締結して当局に届け出るための作業を進めてきました。
ところが、その直前の2023年9月28日になって、契約の締結又は履行のための越境移転や、1年間の国外提供が1万人に満たない場合などには、標準契約の締結は必要ないとする規定のパブリックコメント案が公表された形となります。
パブリックコメント期間は2023年10月15日となっていますので、正式版が公布されるのはそれよりも先ということになります。日本企業の対応は悩ましいところですが、正式版でどのような定めになるのかが見通せない以上、11月30日までに届出を完了するスケジュールで進めている企業は、そのまま作業を進めるのが安全であるように思われます。

ニューズレターのメール配信はこちら