中国国家インターネット情報弁公室は、大規模な個人情報取扱者に厳格なプライバシー管理を求める50条の規則案について意見を募集している。締め切りは2026年9月7日で、現時点では施行されていない。[5][7] 対象は、1,000万人超の個人情報を扱う事業者に加え、国家安全保障や経済、社会、公衆衛生・安全に重大な影響を及ぼすサービスを提供する事業者にも及ぶ可能性がある。 主な提案は、中国国内でのデータ保存、厳格な個別同意、経営層による個人情報保護責任、そして少なくとも7人・3分の2以上を外部委員とする監督委員会の設置だ。 What does China’s Cyberspace Administration propose in its 50-article draft regulation on large platforms’ handling of personal information— Illustrative image for China’s proposed rules on large personal-information handlers. AI プロンプト Create a landscape editorial hero image for this Studio Global article: What does China’s Cyberspace Administration propose in its 50-article draft regulation on large platforms’ handling of personal information—. Article summary: China’s Cyberspace Administration (CAC) is consulting on a 50-article draft, the *Provisions on Personal Information Protection for Large Personal Information Handlers*. It consolidates two earlier proposals and is not y. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
openai.com 中国の国家インターネット情報弁公室（CAC）は2026年8月7日、「大規模な個人情報取扱者の個人情報保護に関する規定（意見募集案）」を公表した。全50条で構成され、過去に公表された2つのCAC案を統合したものだが、まだ最終規則ではなく、施行もされていない。
この案が対象とするのは、極めて大規模な個人情報を扱う事業者や、その事業が中国の国家安全保障、経済、社会、公衆衛生または安全に大きな影響を及ぼし得る事業者だ。対象に指定されれば、日常的なデータ収集だけでなく、登録、国内保存、越境提供、報告、監督体制まで幅広い対応が求められることになる。
意見募集の期限と提出方法
意見の提出期限は2026年9月7日 。メールの場合は shujuju@cac.gov.cn 宛て、郵送の場合は以下の宛先に送付する。封筒には今回の意見募集に関する文書であることを明記する必要がある。
人々も尋ねます 「中国の「50条案」で大規模プラットフォームの個人情報管理はどう変わるのか」の短い答えは何ですか? 中国国家インターネット情報弁公室は、大規模な個人情報取扱者に厳格なプライバシー管理を求める50条の規則案について意見を募集している。締め切りは2026年9月7日で、現時点では施行されていない。[5][7]
最初に検証する重要なポイントは何ですか? 中国国家インターネット情報弁公室は、大規模な個人情報取扱者に厳格なプライバシー管理を求める50条の規則案について意見を募集している。締め切りは2026年9月7日で、現時点では施行されていない。[5][7] 対象は、1,000万人超の個人情報を扱う事業者に加え、国家安全保障や経済、社会、公衆衛生・安全に重大な影響を及ぼすサービスを提供する事業者にも及ぶ可能性がある。
次の実践では何をすればいいでしょうか？ 主な提案は、中国国内でのデータ保存、厳格な個別同意、経営層による個人情報保護責任、そして少なくとも7人・3分の2以上を外部委員とする監督委員会の設置だ。
中国国家インターネット情報弁公室は、大規模な個人情報取扱者に厳格なプライバシー管理を求める50条の規則案について意見を募集している。締め切りは2026年9月7日で、現時点では施行されていない。[5][7] 対象は、1,000万人超の個人情報を扱う事業者に加え、国家安全保障や経済、社会、公衆衛生・安全に重大な影響を及ぼすサービスを提供する事業者にも及ぶ可能性がある。 主な提案は、中国国内でのデータ保存、厳格な個別同意、経営層による個人情報保護責任、そして少なくとも7人・3分の2以上を外部委員とする監督委員会の設置だ。 What does China’s Cyberspace Administration propose in its 50-article draft regulation on large platforms’ handling of personal information— Illustrative image for China’s proposed rules on large personal-information handlers. AI プロンプト Create a landscape editorial hero image for this Studio Global article: What does China’s Cyberspace Administration propose in its 50-article draft regulation on large platforms’ handling of personal information—. Article summary: China’s Cyberspace Administration (CAC) is consulting on a 50-article draft, the *Provisions on Personal Information Protection for Large Personal Information Handlers*. It consolidates two earlier proposals and is not y. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
openai.com 中国の国家インターネット情報弁公室（CAC）は2026年8月7日、「大規模な個人情報取扱者の個人情報保護に関する規定（意見募集案）」を公表した。全50条で構成され、過去に公表された2つのCAC案を統合したものだが、まだ最終規則ではなく、施行もされていない。
この案が対象とするのは、極めて大規模な個人情報を扱う事業者や、その事業が中国の国家安全保障、経済、社会、公衆衛生または安全に大きな影響を及ぼし得る事業者だ。対象に指定されれば、日常的なデータ収集だけでなく、登録、国内保存、越境提供、報告、監督体制まで幅広い対応が求められることになる。
意見募集の期限と提出方法
意見の提出期限は2026年9月7日 。メールの場合は shujuju@cac.gov.cn 宛て、郵送の場合は以下の宛先に送付する。封筒には今回の意見募集に関する文書であることを明記する必要がある。
人々も尋ねます 「中国の「50条案」で大規模プラットフォームの個人情報管理はどう変わるのか」の短い答えは何ですか? 中国国家インターネット情報弁公室は、大規模な個人情報取扱者に厳格なプライバシー管理を求める50条の規則案について意見を募集している。締め切りは2026年9月7日で、現時点では施行されていない。[5][7]
最初に検証する重要なポイントは何ですか? 中国国家インターネット情報弁公室は、大規模な個人情報取扱者に厳格なプライバシー管理を求める50条の規則案について意見を募集している。締め切りは2026年9月7日で、現時点では施行されていない。[5][7] 対象は、1,000万人超の個人情報を扱う事業者に加え、国家安全保障や経済、社会、公衆衛生・安全に重大な影響を及ぼすサービスを提供する事業者にも及ぶ可能性がある。
次の実践では何をすればいいでしょうか？ 主な提案は、中国国内でのデータ保存、厳格な個別同意、経営層による個人情報保護責任、そして少なくとも7人・3分の2以上を外部委員とする監督委員会の設置だ。
中国北京市海淀区阜成路15号
これはあくまでパブリックコメント段階の案であり、現時点で確定した法的義務ではない。第50条にも施行日は記載されていない。
「大規模な個人情報取扱者」の判断基準 案は単一の人数基準だけで対象を決めず、複数の要素を総合的に評価する仕組みを示している。主な判断要素は次の通りだ。
1,000万人を超える自然人 に関する個人情報を取り扱っていること個人情報処理を伴う重要なオンラインサービスを提供している、または関連する複数の事業分野を運営していること
国家安全保障、経済活動、社会の安定、公衆衛生または安全に重大な影響を及ぼしていること
1,000万人超の個人情報を扱う事業者や、広範な基準に該当すると自己評価した事業者は、省レベルのCACを通じて指定申請を行う必要がある。国家CACは関係当局とともに対象事業者を決定し、そのリストを公表する。該当する可能性があるにもかかわらず申請していない事業者に対して、当局が手続きを求めることもできる。
つまり、利用者数だけでは明確に線引きできない影響力の大きいプラットフォームも、対象に含まれる可能性がある。
外国企業・個人への制限も想定 中国国民の個人情報に関する権利を侵害したり、中国の国家安全保障または公共利益を脅かしたりする個人情報処理活動を行う外国の組織・個人について、国家のサイバー空間当局が公表リストに掲載できるとする規定も盛り込まれた。
リストに掲載された組織・個人には、中国から個人情報を受け取ることについて、制限や禁止措置が取られる可能性がある。
この規定は、データを中国国外へ移転する中国側の事業者だけでなく、移転先となる海外の受領者にも影響し得る。企業にとっては、通常のプライバシー審査だけでなく、受領者の活動が中国の権利保護や国家安全保障、公共利益にどう関係するかも確認する必要が生じる可能性がある。
適法な処理と個別同意を要求 対象となる取扱者は、適法性、正当性、必要性、誠実性の原則に従って個人情報を処理することが求められる。収集する情報は、当該製品・サービスに必要な範囲に限られ、過剰であってはならない。
同意を法的根拠とする場合、次のような高リスクの処理について、個別の同意を取得する必要がある。
他の個人情報取扱者への提供
中国国外への提供
公開
センシティブな個人情報の処理
処理の目的、方法、情報の種類を変更する場合は、改めて同意を取得しなければならない。また、本人が同意を撤回しやすい仕組みも求められる。
14歳未満の子どもの個人情報を処理する場合は、親またはその他の後見人の同意が必要となる。事業者は、後見人が同意を与えたり撤回したりできる利用しやすい仕組みを整備しなければならない。
中国国内での保存とデータセンター要件 中国国内での事業活動を通じて収集・生成された個人情報は、中国国内に保存することが求められる。利用するデータセンターも中国国内に所在し、関係する国家政策や基準に適合しなければならない。
さらに、データセンターの管理主体について、法定代表者または実質的な支配者が中国国民であることも要件として示されている。
データセンターの運営事業者にも、次のような責任が課される想定だ。
内部管理制度とインシデント対応計画の整備
セキュリティ上の脆弱性の特定と是正
必要に応じたプラットフォームおよび当局への通知
情報漏えいなどの事故対応への協力
外部のクラウドやデータセンターを利用する企業にとって、インフラの選定は単なるIT調達の問題ではなくなる。契約内容、運用状況、事故時の連絡・対応体制まで含めた継続的な監督が、コンプライアンスの中心課題となり得る。
越境移転は可能だが、追加要件付き 中国国内保存の原則は、あらゆる国外提供を自動的に禁止するものではない。事業上、本当に必要な場合には、適用される中国のデータ輸出手続きを踏み、必要な個別同意を取得したうえで、越境提供を行える余地が残されている。
企業は今後、中国国内にデータを保存することと、海外の受領者へデータを提供することを明確に区別する必要がある。前者は基本的な保存要件、後者は追加の法的・手続き上の管理対象となるためだ。
経営層を含む社内責任体制を強化 案は、個人情報保護を担当する責任者を経営層から置くことを求めている。報道によれば、この役職には中国国籍、外国の永住権または長期滞在資格を持たないこと、個人情報保護に関する専門知識、関連経験などの条件が示されている。
コンプライアンス部門と責任の所在を明確にした直接的な管理体制
定期的な個人情報保護影響評価
定期的なコンプライアンス監査
情報処理活動とセキュリティ上の脆弱性の監視
リスクの特定と是正手続き
苦情を申し立て、個人の権利を行使するための実効的な窓口
年次の個人情報保護社会的責任報告書の公表
未成年者については、特別な保護措置も重視されている。子どもの情報を扱う場面で、保護者の同意を取得・撤回できる実用的な仕組みを整えることが求められる。
外部委員が中心となる監督委員会 今回の案で特に構造的な変化となり得るのが、個人情報保護監督委員会の設置だ。対象となる取扱者は、自社の個人情報処理を独立して監督する委員会を設けることになる。
委員会には、次の要件が示されている。
委員数は奇数であること
少なくとも7人 で構成すること事業規模と利用者数に応じた人数とすること
委員の3分の2以上を外部委員 とすること
外部委員を委員長とし、個人情報保護のコンプライアンス監査に関する高度な能力を持たせること
外部委員には、独立性、信頼性、関連するコンプライアンス業務の経験が求められる。また、原則として同時に務められる大規模取扱者は3社以内とされる。
委員会の役割は、個人情報保護に関するコンプライアンスや重要事項の監督、社内方針や高リスク処理の審査、意見・提言の提出、報告と監督を通じた説明責任の支援などだ。事業者は委員会が機能するために必要な人員・予算などの資源も提供しなければならない。
これは、単にプライバシー責任者を1人任命する制度ではない。外部委員を中心とする独立した監督層を設け、個人情報保護を企業の説明責任の仕組みに正式に組み込む提案といえる。
対象になり得る企業が今すべきこと 現時点での優先課題は、利用者数の基準だけでなく、事業の重要性や社会的影響に関する広範な基準にも該当するかを評価し、2026年9月7日までに意見を準備することだ。
対象となる可能性がある企業は、少なくとも次の項目を整理しておくとよい。
取り扱っている個人の数と情報の種類
主要サービス、事業分野、公共利益への影響
中国国内の個人情報の保存場所と、関係するデータセンターの管理主体
センシティブ情報、第三者提供、公開、国外提供に関する同意フロー
越境移転の手続きと海外の受領者
経営層の責任体制と監査の仕組み
監督委員会に必要な独立性、委員構成、予算・人員
今回の規則案は今後修正される可能性がある。ただ、その方向性は明確だ。中国は、最も多くの個人情報を扱い、社会的影響も大きい事業者に対して、国内インフラ、経営層の責任、継続的なリスク管理、そして外部の専門家を中心とするプライバシー監督を組み合わせた、より厳格な管理体制を求めようとしている。
obsidianri.com China: CAC Consults on Large Personal Information Handler ...
中国北京市海淀区阜成路15号
これはあくまでパブリックコメント段階の案であり、現時点で確定した法的義務ではない。第50条にも施行日は記載されていない。
「大規模な個人情報取扱者」の判断基準 案は単一の人数基準だけで対象を決めず、複数の要素を総合的に評価する仕組みを示している。主な判断要素は次の通りだ。
1,000万人を超える自然人 に関する個人情報を取り扱っていること個人情報処理を伴う重要なオンラインサービスを提供している、または関連する複数の事業分野を運営していること
国家安全保障、経済活動、社会の安定、公衆衛生または安全に重大な影響を及ぼしていること
1,000万人超の個人情報を扱う事業者や、広範な基準に該当すると自己評価した事業者は、省レベルのCACを通じて指定申請を行う必要がある。国家CACは関係当局とともに対象事業者を決定し、そのリストを公表する。該当する可能性があるにもかかわらず申請していない事業者に対して、当局が手続きを求めることもできる。
つまり、利用者数だけでは明確に線引きできない影響力の大きいプラットフォームも、対象に含まれる可能性がある。
外国企業・個人への制限も想定 中国国民の個人情報に関する権利を侵害したり、中国の国家安全保障または公共利益を脅かしたりする個人情報処理活動を行う外国の組織・個人について、国家のサイバー空間当局が公表リストに掲載できるとする規定も盛り込まれた。
リストに掲載された組織・個人には、中国から個人情報を受け取ることについて、制限や禁止措置が取られる可能性がある。
この規定は、データを中国国外へ移転する中国側の事業者だけでなく、移転先となる海外の受領者にも影響し得る。企業にとっては、通常のプライバシー審査だけでなく、受領者の活動が中国の権利保護や国家安全保障、公共利益にどう関係するかも確認する必要が生じる可能性がある。
適法な処理と個別同意を要求 対象となる取扱者は、適法性、正当性、必要性、誠実性の原則に従って個人情報を処理することが求められる。収集する情報は、当該製品・サービスに必要な範囲に限られ、過剰であってはならない。
同意を法的根拠とする場合、次のような高リスクの処理について、個別の同意を取得する必要がある。
他の個人情報取扱者への提供
中国国外への提供
公開
センシティブな個人情報の処理
処理の目的、方法、情報の種類を変更する場合は、改めて同意を取得しなければならない。また、本人が同意を撤回しやすい仕組みも求められる。
14歳未満の子どもの個人情報を処理する場合は、親またはその他の後見人の同意が必要となる。事業者は、後見人が同意を与えたり撤回したりできる利用しやすい仕組みを整備しなければならない。
中国国内での保存とデータセンター要件 中国国内での事業活動を通じて収集・生成された個人情報は、中国国内に保存することが求められる。利用するデータセンターも中国国内に所在し、関係する国家政策や基準に適合しなければならない。
さらに、データセンターの管理主体について、法定代表者または実質的な支配者が中国国民であることも要件として示されている。
データセンターの運営事業者にも、次のような責任が課される想定だ。
内部管理制度とインシデント対応計画の整備
セキュリティ上の脆弱性の特定と是正
必要に応じたプラットフォームおよび当局への通知
情報漏えいなどの事故対応への協力
外部のクラウドやデータセンターを利用する企業にとって、インフラの選定は単なるIT調達の問題ではなくなる。契約内容、運用状況、事故時の連絡・対応体制まで含めた継続的な監督が、コンプライアンスの中心課題となり得る。
越境移転は可能だが、追加要件付き 中国国内保存の原則は、あらゆる国外提供を自動的に禁止するものではない。事業上、本当に必要な場合には、適用される中国のデータ輸出手続きを踏み、必要な個別同意を取得したうえで、越境提供を行える余地が残されている。
企業は今後、中国国内にデータを保存することと、海外の受領者へデータを提供することを明確に区別する必要がある。前者は基本的な保存要件、後者は追加の法的・手続き上の管理対象となるためだ。
経営層を含む社内責任体制を強化 案は、個人情報保護を担当する責任者を経営層から置くことを求めている。報道によれば、この役職には中国国籍、外国の永住権または長期滞在資格を持たないこと、個人情報保護に関する専門知識、関連経験などの条件が示されている。
コンプライアンス部門と責任の所在を明確にした直接的な管理体制
定期的な個人情報保護影響評価
定期的なコンプライアンス監査
情報処理活動とセキュリティ上の脆弱性の監視
リスクの特定と是正手続き
苦情を申し立て、個人の権利を行使するための実効的な窓口
年次の個人情報保護社会的責任報告書の公表
未成年者については、特別な保護措置も重視されている。子どもの情報を扱う場面で、保護者の同意を取得・撤回できる実用的な仕組みを整えることが求められる。
外部委員が中心となる監督委員会 今回の案で特に構造的な変化となり得るのが、個人情報保護監督委員会の設置だ。対象となる取扱者は、自社の個人情報処理を独立して監督する委員会を設けることになる。
委員会には、次の要件が示されている。
委員数は奇数であること
少なくとも7人 で構成すること事業規模と利用者数に応じた人数とすること
委員の3分の2以上を外部委員 とすること
外部委員を委員長とし、個人情報保護のコンプライアンス監査に関する高度な能力を持たせること
外部委員には、独立性、信頼性、関連するコンプライアンス業務の経験が求められる。また、原則として同時に務められる大規模取扱者は3社以内とされる。
委員会の役割は、個人情報保護に関するコンプライアンスや重要事項の監督、社内方針や高リスク処理の審査、意見・提言の提出、報告と監督を通じた説明責任の支援などだ。事業者は委員会が機能するために必要な人員・予算などの資源も提供しなければならない。
これは、単にプライバシー責任者を1人任命する制度ではない。外部委員を中心とする独立した監督層を設け、個人情報保護を企業の説明責任の仕組みに正式に組み込む提案といえる。
対象になり得る企業が今すべきこと 現時点での優先課題は、利用者数の基準だけでなく、事業の重要性や社会的影響に関する広範な基準にも該当するかを評価し、2026年9月7日までに意見を準備することだ。
対象となる可能性がある企業は、少なくとも次の項目を整理しておくとよい。
取り扱っている個人の数と情報の種類
主要サービス、事業分野、公共利益への影響
中国国内の個人情報の保存場所と、関係するデータセンターの管理主体
センシティブ情報、第三者提供、公開、国外提供に関する同意フロー
越境移転の手続きと海外の受領者
経営層の責任体制と監査の仕組み
監督委員会に必要な独立性、委員構成、予算・人員
今回の規則案は今後修正される可能性がある。ただ、その方向性は明確だ。中国は、最も多くの個人情報を扱い、社会的影響も大きい事業者に対して、国内インフラ、経営層の責任、継続的なリスク管理、そして外部の専門家を中心とするプライバシー監督を組み合わせた、より厳格な管理体制を求めようとしている。
obsidianri.com China: CAC Consults on Large Personal Information Handler ... 