中国個人情報保護法のポイントと日本企業が講じるべき対策

3．中国個人情報保護法の主な内容

1）適法な取り扱い

企業は、中国個人情報保護法で定められた適法性の根拠のいずれかに該当する場合にのみ、個人情報を取り扱うことが可能です。適法性の根拠には、「本人同意」「契約の履行」「法定義務の履行」「公衆衛生」「公共の利益」「公表された個人情報の処理」「法令等に定めるその他の事情」の7つが定められていますが、GDPRで定められる「正当な利益」は含まれていません。GDPRと比較すると、「本人同意」を根拠として個人情報を取り扱わなければならない場面が多くなることが想定されます。
「本人同意」を根拠とする場合、その同意は、本人がいつでも容易に撤回できるものでなくてはならないとされています。同意の撤回方法を容易に見つけることが困難な場所で案内するなど、撤回を妨げるようなUIを提供している場合は、中国個人情報保護法に抵触する可能性があるため、注意が必要です。

2）本人への情報提供

企業は、個人情報を取り扱う前に、その内容に関して中国個人情報保護法で求められる事項を、明確かつ分かりやすい言葉で本人に通知しなければなりません。通知すべき項目は、取り扱いの目的だけではなく、処理の方法、個人情報の種類や保管期間、権利行使の方法や手順など、日本の個人情報保護法（以下「日本法」）と比較すると、より詳細な情報の提供が求められます。

3）委託先の管理・監督、共同利用

個人情報の取り扱いを委託する場合、委託先との間で処理目的、期限、処理方法、保護措置などについて、委託契約などにおいて合意しておく必要があります。また同時に、委託処理に関する監督責任を負うことになります。
加えて、日本法で定められる「共同利用」のような概念も認められるため、他の企業と共同で個人情報を取り扱う場合は委託の場合と同様に、事前に個人情報を取り扱う目的や方法、双方の権利義務について合意しなければなりません。

4) 越境移転

中国国内で収集した個人情報を越境移転する場合、以下の①②の対応が求められます。

①本人への必要事項の通知と同意の取得

個人情報の提供先の名称、連絡先、処理目的、処理方法、個人情報の種類、および個人が提供先に対し権利を行使する方法、手続きなどを通知した上で、本人の同意を個別に取得しなければなりません。

②以下のいずれかの措置の実施

a. 国家の安全評価に合格した場合
b. 専門機構による個人情報保護の認証を得ている場合
c. 標準契約に基づいて、域外の提供先と契約を締結した場合
d. 国家インターネット情報部門が規定するその他の条件を満たした場合

移転する個人情報の内容によっては、国家の安全評価が必須となります。「データ国外移転安全評価弁法」（2022年9月1日施行）に従い、まずは国家の安全評価の要否を確認した上で、講じるべき措置の選択が必要です。

5）本人の権利

中国個人情報保護法は本人に対し、知る権利、閲覧権、複製権、撤回権、ポータビリティ、訂正権、削除権などの各種権利を認めています。また、GDPRでは認められていない「死者の権利」も認められています。本人が死亡した場合、その近親者が死者に代わってその権利を行使できるので、注意が必要です。

6）保護措置、監査およびインシデント報告

個人情報の漏洩を防止するため、企業には内部規程の策定、機密度に応じた分類管理、必要に応じた暗号化、仮名化などの実施、従業員教育の実施、インシデントレスポンスプロセスの策定など、ISMS（情報セキュリティマネジメントシステム）で要求される事項と同様の対応が求められます。
安全管理措置については、サイバーセキュリティ法やデータセキュリティ法でもそれぞれ規定されていることから、3法の要件を整理し、講じるべき対策を確認しなければなりません。

7）DPOの任命、代表者の設置

企業は、取り扱う個人情報の件数が一定数量に達した場合、DPO（データ保護責任者）の任命が義務付けられます。また、域外適用の対象となる企業は、中国国内に代表者を設置し、名称、連絡先などを主管当局に届け出なければなりません。

8）個人情報保護影響評価の実施

企業は、以下のいずれかに当てはまる場合、個人情報保護影響評価の実施が求められます。

①センシティブ情報を取り扱う場合
②自動化された意思決定を行う場合
③個人情報の取り扱いを委託する場合、または個人情報を第三者に提供する場合
④国外に個人情報を移転する場合
⑤個人の権利および利益に重大な影響を与える場合

9）違反行為に対する罰則

中国個人情報保護法は、その違反行為に対し、厳格な処罰規定を設けています。サイバーセキュリティ法やデータセキュリティ法と同様に、企業だけでなくその責任者に対しても罰則が科されるリスクがあるため、注意しなければなりません。
法人に対しては、最大で5,000万元または前年度の売上高の5%の罰金が科されるだけではなく、事業の停止や事業許可の取り消しが命じられる場合もあります。