「データ越境流動の促進と規範に関する規定」全訳

国家インターネット情報弁公室令

第16号

「データ越境流動の促進と規範に関する規定」は、2023年11月28日に開催された国家インターネット情報弁公室第26回室務会議で審議・採択され、ここに公布し、公布の日から施行する。

国家インターネット情報弁公室主任 荘栄文

2024年3月22日

データ越境流動の促進と規範に関する規定

第1条 データの安全の保障、個人情報の権利・利益保護、法に基づいた秩序あるデータ流動促進のため、「中華人民共和国サイバーセキュリティ法」、「中華人民共和国データセキュリティ法」、「中華人民共和国個人情報保護法」等の法律法規に基づき、越境データ安全評価、個人情報越境標準契約、個人情報保護認証等を含むデータの越境制度整備に関して、本規程を制定する。

第2条 データを扱う者は、関連規定に従って重要なデータを特定し、申告しなければならない。 また、関連部門または地域から重要データとして通知または公表されていない場合、重要データとして越境データ安全評価の申告を行う必要はない。

第3条国際貿易、越境輸送、学術協力、越境生産および製造販売活動等において収集及び生成されたデータを中国国外へ提供する場合で、個人情報または重要データを含まないものは、越境データ安全評価の申告、個人情報越境標準契約の締結、及び個人情報保護認証の取得が免除される。

第4条 データを扱う者が、中国国外で収集及び生成した個人情報を国内で処理するために送信し、処理完了後に国外へ提供する場合で、かつ、これらの処理の過程で中国国内に関する個人情報又は重要データが引き入られていない場合は、越境データ安全評価の申」、個人情報越境標準契約の締結、及び個人情報保護認証の取得が免除される。

第5条 データを扱う者が、個人情報を中国国外に提供する場合において、次の各号の一に該当するときは、越境データ安全評価の申告、個人情報越境標準契約の締結、及び個人情報保護認証の取得が免除される。

(1) 越境EC、越境輸送、越境送金、越境決済、越境口座開設、航空券やホテルの予約、ビザの申請、試験サービスなど、本人が当事者となる契約の締結および履行のために、個人情報を中国国外に提供することが必要とされる場合。

(2) 法に基づき制定された労働規則及び労働協約に従い、越境人事管理を実施するため、従業員の個人情報を国外へ提供することが必要とされる場合。

(3) 緊急時に、自然人の生命、健康および財産の安全を保護するために、個人情報を国外に提供することが必要とされる場合。

(4) 重要情報インフラの運営者以外のデータを取り扱う者が、当該年の1月1日以降、中国国外に提供した個人情報（敏感個人情報を除く）の累計が10万人未満である場合。

前項の中国国外に提供される個人情報には、重要データは含まれない。

第6条 自由貿易試験区域では、国家データ分類・等級別保護制度の枠組みの下で、自ら、越境データ安全評価、個人情報越境標準契約、個人情報保護認証管理の範囲に含める必要のあるデータリスト（以下、「ネガティブリスト」という）を作成し、省級サイバーセキュリティ・情報化委員会の承認を得た後、国家インターネット情報部門および国家データ管理部門に届け出ることができる。

データを扱う者が自由貿易試験区域内から中国国外へネガティブリスト外のデータを提供する場合は、越境データ安全評価の申告、個人情報越境標準契約の締結及び個人情報保護認証の取得が免除される。

第7条 データを扱う者が中国国外にデータを提供する場合、次の各号の一に該当する場合、所在地の省級インターネット情報部門を通じて、国家インターネット情報部門に対し、越境データ安全評価の申告を行わなければならない。

（1) 重要情報インフラ運営者が個人情報または重要データを中国国外に提供する場合。

（2) 重要情報インフラ運営者以外のデータを扱う者が、重要データを中国国外に提供する場合、または当該年の1月1日以降の累計で100万人以上の個人情報（敏感個人情報を除く）若しくは、1万人以上の敏感個人情報を中国国外に提供する場合。

本規定第3条、第4条、第5条および第6条に規定する内容に該当する場合には、当該規定を適用する。

第8条 重要情報インフラ事業者以外のデータを扱う者が、当該年の1月1日以降、中国国外に提供する個人情報(敏感個人情報を除く)の数が10万人以上、100万人未満、または敏感個人情報の数が1万人未満の場合、法令に基づき、当該国外受取人との間で個人情報越境標準契約の締結または個人情報保護認証の取得を行わなければならない。

本規定第3条、第4条、第5条および第6条に規定する内容に該当する場合には、当該規定を適用する。

第9条 越境データ安全評価の結果の有効期間は、評価結果の日から起算して3年間とする。 有効期間満了後、引き続きデータの越境活動を行う必要があり、かつ、越境データ安全評価の申告を行う必要がない場合、データを扱う者は、有効期間が満了する前60営業日以内に、所在地の省級インターネット情報部門を通じて国家インターネット情報部門へ評価結果の有効期間延長を申請することができる。 国家インターネット情報部門の承認があれば、審査結果の有効期間を3年間延長できる。

第10条データを扱う者が個人情報を中国国外に提供する場合、法律および行政法規の規定に従い、通知、本人の同意の取得、個人情報保護への影響評価などの義務を履行しなければならない。

第11条 データを扱う者が中国国外へデータを提供する場合、法律法規の規定を遵守し、データの安全保護義務を履行し、技術的措置およびその他の必要な措置を講じることで、越境データの安全を保護しなければならない。データの安全が脅かされる事態が発生し、または発生するおそれがある場合、救済措置を講じ、速やかに省級以上のインターネット情報部門およびその他の関係機関に報告しなければならない。

第12条 各地のインターネット情報部門は、データを扱う者によるデータ越境活動に対して指導と監督を強化し、越境データ安全評価制度を健全かつ完全なものとし、評価プロセスを最適化し、事前・中間・事後におけるチェーン全体、及び全領域に対する監督を強化し、データ越境活動にハイリスクが見つかった場合や安全を脅かす事態が発生した場合は、データを扱う者に対して是正を要求し、潜在的危険を除去しなければならず、是正を拒否しまたは重大な結果を引き起こした場合、法に基づき法的の責任を追及するものとする。

第13条 2022年7月7日に公布された「越境データ安全評価弁法」（国家インターネット情報弁公室令第11号）、2023年2月22日に公布された「個人情報越境標準契約弁法」（国家インターネット情報弁公室令第13号）等の関連規定が本規定と矛盾する場合、本規定を適用する。

第14条 本規定は公布の日から施行する。

以上