中国の「50条案」で大規模プラットフォームの個人情報管理はどう変わるのか

つまり、利用者数だけでは明確に線引きできない影響力の大きいプラットフォームも、対象に含まれる可能性がある。

外国企業・個人への制限も想定

中国国民の個人情報に関する権利を侵害したり、中国の国家安全保障または公共利益を脅かしたりする個人情報処理活動を行う外国の組織・個人について、国家のサイバー空間当局が公表リストに掲載できるとする規定も盛り込まれた。

リストに掲載された組織・個人には、中国から個人情報を受け取ることについて、制限や禁止措置が取られる可能性がある。

この規定は、データを中国国外へ移転する中国側の事業者だけでなく、移転先となる海外の受領者にも影響し得る。企業にとっては、通常のプライバシー審査だけでなく、受領者の活動が中国の権利保護や国家安全保障、公共利益にどう関係するかも確認する必要が生じる可能性がある。

適法な処理と個別同意を要求

対象となる取扱者は、適法性、正当性、必要性、誠実性の原則に従って個人情報を処理することが求められる。収集する情報は、当該製品・サービスに必要な範囲に限られ、過剰であってはならない。

同意を法的根拠とする場合、次のような高リスクの処理について、個別の同意を取得する必要がある。

• 他の個人情報取扱者への提供
• 中国国外への提供
• 公開
• センシティブな個人情報の処理

処理の目的、方法、情報の種類を変更する場合は、改めて同意を取得しなければならない。また、本人が同意を撤回しやすい仕組みも求められる。

14歳未満の子どもの個人情報を処理する場合は、親またはその他の後見人の同意が必要となる。事業者は、後見人が同意を与えたり撤回したりできる利用しやすい仕組みを整備しなければならない。

中国国内での保存とデータセンター要件

中国国内での事業活動を通じて収集・生成された個人情報は、中国国内に保存することが求められる。利用するデータセンターも中国国内に所在し、関係する国家政策や基準に適合しなければならない。

さらに、データセンターの管理主体について、法定代表者または実質的な支配者が中国国民であることも要件として示されている。

データセンターの運営事業者にも、次のような責任が課される想定だ。

• 内部管理制度とインシデント対応計画の整備
• セキュリティ上の脆弱性の特定と是正
• 必要に応じたプラットフォームおよび当局への通知
• 情報漏えいなどの事故対応への協力

外部のクラウドやデータセンターを利用する企業にとって、インフラの選定は単なるIT調達の問題ではなくなる。契約内容、運用状況、事故時の連絡・対応体制まで含めた継続的な監督が、コンプライアンスの中心課題となり得る。

越境移転は可能だが、追加要件付き

中国国内保存の原則は、あらゆる国外提供を自動的に禁止するものではない。事業上、本当に必要な場合には、適用される中国のデータ輸出手続きを踏み、必要な個別同意を取得したうえで、越境提供を行える余地が残されている。

企業は今後、中国国内にデータを保存することと、海外の受領者へデータを提供することを明確に区別する必要がある。前者は基本的な保存要件、後者は追加の法的・手続き上の管理対象となるためだ。

経営層を含む社内責任体制を強化

案は、個人情報保護を担当する責任者を経営層から置くことを求めている。報道によれば、この役職には中国国籍、外国の永住権または長期滞在資格を持たないこと、個人情報保護に関する専門知識、関連経験などの条件が示されている。

このほか、次のような社内管理体制も提案されている。

• コンプライアンス部門と責任の所在を明確にした直接的な管理体制
• 定期的な個人情報保護影響評価
• 定期的なコンプライアンス監査
• 情報処理活動とセキュリティ上の脆弱性の監視
• リスクの特定と是正手続き
• 苦情を申し立て、個人の権利を行使するための実効的な窓口
• 年次の個人情報保護社会的責任報告書の公表

未成年者については、特別な保護措置も重視されている。子どもの情報を扱う場面で、保護者の同意を取得・撤回できる実用的な仕組みを整えることが求められる。

外部委員が中心となる監督委員会

今回の案で特に構造的な変化となり得るのが、個人情報保護監督委員会の設置だ。対象となる取扱者は、自社の個人情報処理を独立して監督する委員会を設けることになる。

委員会には、次の要件が示されている。

• 委員数は奇数であること
• 少なくとも7人で構成すること
• 事業規模と利用者数に応じた人数とすること
• 委員の3分の2以上を外部委員とすること
• 外部委員を委員長とし、個人情報保護のコンプライアンス監査に関する高度な能力を持たせること

外部委員には、独立性、信頼性、関連するコンプライアンス業務の経験が求められる。また、原則として同時に務められる大規模取扱者は3社以内とされる。

委員会の役割は、個人情報保護に関するコンプライアンスや重要事項の監督、社内方針や高リスク処理の審査、意見・提言の提出、報告と監督を通じた説明責任の支援などだ。事業者は委員会が機能するために必要な人員・予算などの資源も提供しなければならない。

これは、単にプライバシー責任者を1人任命する制度ではない。外部委員を中心とする独立した監督層を設け、個人情報保護を企業の説明責任の仕組みに正式に組み込む提案といえる。

対象になり得る企業が今すべきこと

現時点での優先課題は、利用者数の基準だけでなく、事業の重要性や社会的影響に関する広範な基準にも該当するかを評価し、2026年9月7日までに意見を準備することだ。

対象となる可能性がある企業は、少なくとも次の項目を整理しておくとよい。

1. 取り扱っている個人の数と情報の種類
2. 主要サービス、事業分野、公共利益への影響
3. 中国国内の個人情報の保存場所と、関係するデータセンターの管理主体
4. センシティブ情報、第三者提供、公開、国外提供に関する同意フロー
5. 越境移転の手続きと海外の受領者
6. 経営層の責任体制と監査の仕組み
7. 監督委員会に必要な独立性、委員構成、予算・人員

今回の規則案は今後修正される可能性がある。ただ、その方向性は明確だ。中国は、最も多くの個人情報を扱い、社会的影響も大きい事業者に対して、国内インフラ、経営層の責任、継続的なリスク管理、そして外部の専門家を中心とするプライバシー監督を組み合わせた、より厳格な管理体制を求めようとしている。