中国、越境データ転送規則を明確化：公式Q&Aからの重要なポイント

2025 年 4 月 9 日、中国の Cyberspace Administration （ CAC ）は、国境を越えたデータ転送に関するセキュリティ管理ポリシー（以下「国境を越えたデータ転送に関する Q&A 」）に関する Q&A を発表しました。これは、中国が国境を越えたデータ転送のフレームワークをどのようにして遵守できるかについて、実用的な解釈を提供するものです。 国境を越えたデータ転送に関する Q&A では、データエクスポートのセキュリティ評価、個人情報のエクスポートに関する標準契約、認証メカニズムなど、主要システムの実装の詳細を明確にしています。

この文書は、新しい法律を導入したり、広範な規制緩和を示すものではありませんが、企業、特に多国籍企業にとって課題となっているいくつかの分野について、重要な説明を提供します。「一般データ」が国境を越えて自由に流れる仕組み、個人情報の輸出の必要性を企業がどのように評価すべきか、「重要データ」とは何かについて、 IT 部門は明らかにしています。

特に 、国境を越えたデータ転送に関する Q&A では、企業が不必要なコンプライアンス手順の繰り返しを回避するための対策が導入されています。たとえば、グループ企業がデータエクスポートコンプライアンスのために統合アプリケーションを提出できるようにしたり、セキュリティ評価の有効性を拡張できる条件の概要を示したり、認定された多国籍企業が国境を越えたデータフローごとに新しい契約に繰り返し署名する必要がないことを確認したりできます。

境界を越えた「一般データ」の自由なフロー

国境を越えたデータ転送 Q&A では、「個人情報や重要なデータを含まない一般的なデータは、国境を越えて自由に流れることができる」と述べています。

一般データの取り扱いに関する規制は、サイバーセキュリティ法、データセキュリティ法、個人情報保護法など、中国の主要なデータ法に明示的に規定されておらず、また、国境を越えたデータ転送に関する規制にも明記されていません。

このことは、業界や情報技術の分野におけるデータセキュリティ管理のための対策 （試験的な実装）など、データのセキュリティと輸出に関する業界固有の規制で言及されています。これらの対策では、産業および通信会社がデータセキュリティのために、重要なデータ、コアデータ、一般データの 3 つのカテゴリにデータを編成する必要があります。コアデータと重要データは、中国国内での強制的な国内保管や、輸出前の必要なセキュリティ評価など、より厳格な規制の対象となります。

これらの規制は、一般データが同じ厳しい要件を満たさないことを意味するものと解釈されていますが、テキストでは明示的に確認されていません。したがって、 CAC は、一般的なデータを境界を越えて自由に転送できることを明確にしています。これは、この解釈の妥当性をめぐる不確実性を排除するためです。

しかし、一般データを構成するデータを定義するのは簡単ではないかもしれません。政府が、対象となるデータ型の最終的なリストを公開していないからです。特定の定義に最も近いものは、 2024 年にリリースされたデータ分類基準 [GB/T 43697-2024] にあります。この標準データでは、一般データは「重要なデータとコアデータを除くすべてのデータ」と定義されています。

これらの標準で説明されている「コア」、「重要」、およびその他のデータ型の定義を、次の表にまとめます。


中国のデータ分類基準における主要データ用語の定義
データ	電子形式またはその他の形式での情報の記録。
重要なデータ	特定の分野、グループ、地域に固有のデータ、または特定の精度と規模に達したデータ。一度流出、改ざん、破壊されると、国家の安全、経済運営、社会的安定、公衆衛生、安全が直接危険にさらされる可能性があります。注：組織自体または個人にのみ影響するデータは、一般的に重要なデータとは見なされません。
コアデータ	高精度に到達する高度なカバレッジを持つデータは大規模で、一度不正に使用または共有された場合に、政治的セキュリティに直接影響を与える可能性のあるドメイン、グループ、または地域の特定の深度に達します。注 : 主要なデータには、主に国家安全保障の主要分野、国民経済の生存、人々の生活、主要な公共利益に関連するデータが含まれており、関連する州の各部門が評価し、決定します。
一般データ	その他のデータ（重要なデータおよびコアデータを除く）。
個人情報	電子的またはその他の形態で記録された、特定された、または特定可能な自然者に関連するさまざまな種類の情報。個人情報は、個人情報保護法等の規制にも定められています。

一般データの定義における重要な開発は 、国境を越えたデータ転送を容易にするための規制である、国境を越えたデータフローの促進と標準化を目的とした規制がリリースされたことであり、 2024 年 3 月 22 日に発効しました。これらの規制では、中国の自由貿易圏 (FTZ) が、企業が自由に地域から輸出できる一般データのカタログを作成できることが規定されています。

2024 年 5 月、上海 FTZ は一般データリストを公開する最初のゾーンであり、自動車、バイオ医薬品、および投資信託分野の企業に最初のバッチが適用されました。このシステムでは、上海 FTZ に拠点を置く企業が、一般データリストに記載されている目的のいずれかで中国からデータをエクスポートする必要がある場合、追加のコンプライアンス手順を実施することなく、そのようなことが可能です。

しかし、ほとんどの場合、国境を越えたデータ転送を容易にするための対策を実施している FTZ は、若干異なるアプローチを採用しています。これまでのところ、天津、北京、上海、浙江 FTZs、海南自由貿易港（ＦＰＴ）だけでなく、自動車、医薬品、小売、民間航空など、１７業種に及ぶデータの否定的リストも発表した。再保険、深海産業、および種子産業。このシステムでは、自由にエクスポートできない個人情報の種類や量が業界固有のデータリストにリストされ、リストに含まれていないデータは自由にゾーンからエクスポートできます。

国境を越えたデータ転送 Q&A では、負のリストに含まれていないデータは、該当する FTZ から自由に国外にエクスポートできることも改めて説明します。今後は、一般データを定義するのではなく、さまざまな業界のデータの負のリストを実装するように選択する FTZ が増える可能性があります。

FTZ の否定リストと、拡大する業界固有のリストの一貫性を確保しますリスト

国境を越えたデータ転送に関する Q&A では、 FTZ はデータエクスポート用に独自のデータ否定リストを作成することが許可されているが、これらのリストは国家データ分類および等級保護システムフレームワークの下に作成する必要があることが繰り返し示されている。さらに、中国のデータ関連法、規格、規制の一貫性とコンプライアンスを確保するため、これらのリストは強力な承認プロセスを経ています。これには、地方サイバーセキュリティおよび情報化委員会の承認、国家サイバーセキュリティおよび情報技術部門および国家データ管理部門への提出、 CAC および国家データ管理部門による最終レビューが含まれます。また、負のリストを作成する過程で、関連する権限のある部門の意見を求められる。

異なる FTZ 間での負のリストの実装を容易にするため、クロスボーダーデータ転送 Q&A では、ある FTZ がすでに特定の業界または分野に対して負のリストを発行している場合、他の FTZ は新しいリストを作成するのではなく、このリストを参照できると記述しています。これにより、異なる FTZ 間の継続性と、国家データ分類および等級保護システムへの準拠が実現します。

また、北京、上海、天津、海南、浙江などで導入されたデータに基づいて、さらに FTZ がデータに否定的なリストを公開することも示唆しています。 国境を越えたデータ転送に関する Q&A では、 CAC が FTZ が特定の産業開発ニーズに合わせてこのようなリストを開発するために積極的に誘導していることが明らかになります。

個人情報の輸出の必要性を判断する

中国から特定量の個人情報を輸出する手順の 1 つは、輸出が会社の業務に必要かどうかを評価することです。たとえば、大量の個人情報を輸出しようとする企業は、 CAC によるセキュリティ評価を必要とするため、「国境を越えたデータ転送の目的、範囲、方法の合法性、正当性、および必要性を評価するなど、自己評価を行う必要があります。海外の受信者によるデータ処理を行うことができます」と述べています。 CAC のセキュリティ評価自体には、「データエクスポートの方法、範囲、目的の合法性、正当性、および必要性」の評価も含まれます。

さらに、企業はデータのエクスポートだけでなく、あらゆる処理活動に個人情報処理の必要性を提示する必要があります。具体的には、第 6 条では、「個人情報の処理は、明確かつ合理的な目的を持ち、データ処理の目的に直接関係し、個人の権利・利益に与える影響が最も少ない方法で行われるものとする。個人情報の収集は、データ処理の目的を達成するために必要な最小限の範囲に限定され、個人情報の過剰な収集は許可されません。」

また、第 19 条では、「法令等の規定がない限り、個人情報の保持期間は、データ処理の目的を達成するために必要な最短の期間とする。」と規定している。

国境を越えたデータ転送に関する Q&A では、法的条項に基づき、個人情報の輸出が「必要」かどうかを決定する 4 つの重要な要素があると説明しています。

データ処理の目的に直接関係があるかどうか。
個人の権利や利益への影響を最小限に抑えるかどうか。
その目的に必要な最小範囲に制限されるかどうか。
データ保持期間が、その目的を達成するために必要な期間に短縮されているかどうか。

国境を越えたデータ転送に関する Q&A では、データエクスポートのセキュリティ評価中に、 CAC は企業固有のビジネスコンテキストと処理ニーズに基づいてエクスポートの必要性を評価することに注意しています。これには、輸出自体の必要性、関係者の人数、転送される個人データの量の評価が含まれます。

最後に、業界規制機関と連携して、 CAC は、国境を越えたデータ転送に関するよりターゲットを絞ったポリシーガイダンスを提供するために、特定の業界の輸出シナリオとデータ範囲要件を詳細化および明確化し続けることを説明します。

重要なデータに関する重要なデータと規制を特定する方法を明確にするエクスポート

国境を越えたデータ転送に関して、外国企業が最も複雑な分野の 1 つは、どのデータが「重要」データと見なされているかを評価することです。

中国のデータセキュリティ法では、「重要」と分類されたデータは、エクスポートする前に CAC によるセキュリティ評価を受ける必要があります。

しかし、政府は重要なデータと見なされるデータの最終的なリストを公表していないため、どのデータが適格かを正確に判断することは困難です。

2025 年 1 月 1 日に発効したネットワークデータセキュリティ管理規則では、「特定のフィールド、特定のグループ、特定の地域のデータ」、または特定の精度と規模に達するデータ」として重要なデータの一般的な定義を示しています。これにより、国家の安全、経済運営、社会的安定、公衆衛生、安全が改ざん、破壊、漏洩、不正入手、不正使用された場合に、直接的に危険にさらされる可能性があります」と述べています。

また、上記のデータ分類基準では、企業が重要なデータを特定するための広範な方法についても説明しています。

一般的に重要なデータのエクスポートは制限されていますが、国境を越えたデータ転送に関する Q&A では、重要なデータをエクスポートできるシナリオがいくつかあることが明らかになっています。特に、データの転送が国家のセキュリティや公共の利益を危険にさらすことがないとデータエクスポートのセキュリティ評価が判断した場合、エクスポートできます。

国境を越えたデータ転送に関する Q&A によると、 CAC は 2025 年 3 月現在、 298 件のデータエクスポートセキュリティ評価をレビューしています。そのうち 44 件は重要なデータで、 7 件は拒否されました。拒否率は 15.9% でした。この 44 のアプリケーションには、 509 の重要なデータ項目が含まれていました。そのうち 325 件は輸出承認済みで、全体の 63.9 ％に相当します。

また、国境を越えたデータ転送に関する Q&A では 、国境を越えたデータフローの推進と標準化に関する規制 で、企業が重要なデータを事前に宣言した場合、関連する規制に従って、また、関連する機関や地域によってデータが特定されたり、重要と公に指定されたりしていない場合、データエクスポートセキュリティ評価を受ける必要はありません。

技術標準策定に外国企業が参加すること

国境を越えたデータ転送に関する Q&A では、業界標準と技術標準の開発に外国企業が参加できる 2 つの主要な方法を取り上げています。

第一に、外国企業は、国家情報安全標準化技術委員会の下で作業部会のメンバーになることができる。メンバーとして国内企業と同等の権利と責任を持ち、初期のドラフトから最終レビューまで、標準化プロセスのすべてに参加し、あらゆる段階で積極的にアイデアやフィードバックを提供することができます。

第二に、外国企業は、公の協議のために公表された草案基準についてのコメントを検討し、提出することで、提案された基準の洗練の間にその見解を考慮することができる。

個人情報の輸出を合理化する方法

国境を越えたデータ転送 Q&A では、企業の個人情報輸出のプロセスを容易にするためのいくつかの対策を導入しています。

まず、会社に類似した業務目的とデータエクスポートシナリオを持つ複数の子会社がある場合、親会社は、データエクスポートセキュリティ評価のために統合アプリケーションを送信したり、すべての子会社の代わりに標準契約の署名など、適用可能なその他のコンプライアンス手順を完了したりできます。これにより、各子会社のコンプライアンスの負担と管理作業の負担が大幅に軽減されます。

ただし、このアプローチは、子会社がすでにコンプライアンス要件を満たしている場合にのみ有効です。 1 つの子会社が、規制のしきい値を下回る個人情報を処理する場合、セキュリティ評価やその他の手順をトリガーすることなく、データをエクスポートできます。このような場合、複数の子会社からのデータを統合すると、意図せず合計容量がしきい値を超えて増加し、追加のコンプライアンス義務が生じる可能性があります。

また、 CAC は個人情報のエクスポートに関する認証システムの導入にも取り組んでおり、サードパーティの専門機関が国境を越えたデータ転送活動を認定できるようにしています。認定を取得すると、国内企業または海外の受領者は、認定の範囲内でデータをエクスポートできます。

また、認定された多国籍グループは、海外の各子会社と個別の標準契約に署名することなく、個人情報を国境を越えて内部的に転送することができます。
これらの方法を使用すると、大規模な多国籍企業の国境を越えたデータフローを大幅に促進できます。特に、マルチ機関が新しい輸出シナリオやデータタイプごとに新しい標準契約を締結するのではなく、グループ全体の認定に頼ることができるため、運用が大幅に合理化されます。これにより、法的な複雑さが軽減され、ビジネスプロセスが加速され、中国を拠点とする企業とその海外の関連会社との間でのコラボレーションが効率化されます。

データエクスポートセキュリティ評価の有効期間を延長する結果

国境を越えたデータ転送に関する Q&A では、国境を越えたデータフローの推進と標準化に関する規制の下で、データ輸出のセキュリティ評価結果の有効期間が 2 年から 3 年に延長されたことが明らかになっています。つまり、企業がセキュリティ評価に合格した後も、再申請を行わずに、最大 3 年間個人情報のエクスポートを継続できます。

3 年の終わりに、データのエクスポートを継続したいと考えており、新しいアプリケーションが必要な重大な変更（データ型の大幅な変更、処理目的、または受領者）に申請して、元の評価結果の有効性を延長することができます。この拡張アプリケーションは、元の有効期限日の 60 営業日前までに、会社のローカル（州レベル） CAC オフィスを通じて提出する必要があります。 CAC の承認を受けた場合、有効期間はさらに 3 年間延長される可能性があります。

現在、 CAC は拡張手順の調整中であり、関係者からのフィードバックを収集しています。また、ポリシー文書の更新によりプロセスを明確化し、正式化することで、企業が長期的なデータエクスポート活動を容易に管理できるようにします。

セキュリティ評価は、国境を越えた個人情報の転送に最も厳しいコンプライアンスメカニズムです。複数年にわたる拡張を可能にすることで、企業が再適用する頻度を減らすことで、コンプライアンスの負担を大幅に軽減できます。これにより、特に大量の個人情報や重要なデータを扱う企業にとって、国境を越えた業務の継続性を維持しながら、時間を節約し、管理コストを削減することができます。