大規模な個人情報取扱事業者がコンプライアンス上で注意すべき点は？
2026. 8. 18
大規模な個人情報取扱事業者がコンプライアンス上で注意すべき点は？
Q：大規模な個人情報取扱事業者がコンプライアンス上で注意すべき点は？
A：2026年8月7日に国家インターネット情報弁公室は「大規模な個人情報取扱者による個人情報保護規定（意見募集稿）」（以下「規定」という）を公表し、社会に向けて意見募集を開始しました。意見提出期限は2026年9月7日です。本「規定」は、これまで公表された2つの意見募集稿の「個人情報保護法」と「ネットワークデータ安全管理条例」を統合したうえで、大規模な個人情報取扱活動を対象とした具体的な実施細則を定めたものとして位置付けられます。また、最終版と本「規定」との間には大きな変更はありません。したがって、中国において事業を展開し、多数のユーザーの個人情報を取り扱う外資系企業にとって、本「規定」は、その影響を早期に評価し、必要な対応を検討すべき重要な規制文書といえます。このことを踏まえて、本「規定」の概要について以下のとおり簡潔に紹介します。
一、適用範囲と認定制度
「規定」では、「大規模な個人情報取扱者」を以下のいずれかの条件を満たす主体として定義しています。①1,000万人を超える自然人の個人情報を取り扱う者。②個人情報の取扱いを伴う重要なネットワークサービスを提供する者、又はその事業範囲に複数の個人情報取扱に関連する事業を含む者。③個人情報取扱活動が、国家安全保障、経済運営、社会安定、公共衛生及び安全に重大な影響を及ぼす者。
上記の条件を満たす企業は、自主的に申告を行う必要があり、国家インターネット情報主管部門が電信主管部門、公安部門等と連携して対象企業リストを確定し、公告します。認定を受けた後、6か月以上継続して認定要件を満たさなくなった場合には、認定変更の申請を行うことができます。
二、取扱ルールを具体化
「規定」は、「個人情報保護法」の規定を踏まえて、個人情報の取扱いに関する要求事項をより具体化しています。具体的には、個人情報の収集については、最小限必要な範囲の原則を遵守する必要があります。また、取扱ルールについては、構造化されたリスト形式により、機能ごとに、データ収集の目的、方法、種類、権限の利用頻度、組み込まれているSDKの名称、バージョン及び運営者等の情報を項目別に明示する必要があります。さらに、他の個人情報取扱者への個人情報の提供、個人情報の国外移転、個人情報の公開、センシティブ個人情報の取扱い等においては、個別の同意を取得する必要があります。パーソナライズド・レコメンド機能については、利用者が容易に当該機能を停止できる仕組みを提供するとともに、ユーザータグの削除機能を実装する必要があります。個人情報の移転請求については、本人確認を行った上で、30営業日以内に一般的に利用される形式又は機械可読形式により対応を完了しなければなりません。
三、データローカライゼーションとデータセンターに関する要件
「規定」は、中国国内での事業運営において収集・生成された個人情報について、中国国内に保存する必要があることを明確化しています。さらに、データの保存先となるデータセンターについては中国国内に設置することを求めるとともに、その管理主体の法定代表者又は実質的支配者が中国国籍を有することを要求しています。第三者のデータセンターに委託する場合には、書面による契約を締結して双方の権利義務を明確に定める必要があります。本規定は、海外親会社が統一的に管理するクラウドインフラストラクチャ又はグローバルデータセンターサービスを利用している中国国内の外資系企業に対して、直接的な影響を及ぼす可能性があります。
四、ガバナンス体制と監督委員会
「規定」は、経営層のメンバー1名を個人情報保護責任者として指定することを求めています。当該責任者は、安全リスクが存在する意思決定について省級のインターネット情報主管部門に直接報告することができます。特に注目される点として、企業は認定を受けた日から6か月以内に個人情報保護監督委員会を設置する必要があります。同委員会は7名以上かつ奇数の委員で構成され、外部委員の割合が3分の2以上でなければなりません。また、責任者は外部委員が務める必要があり、かつ高度な個人情報保護コンプライアンス監査能力を有することが求められます。外部委員は独立性要件を満たす必要があり、同時に3社を超えて兼任することはできません。任期は3年間とし、連続再任は2期までとされます。また、少なくとも6か月に1回会議を開催し、コンプライアンス制度、センシティブ個人情報の保護、データ越境移転、自動化意思決定等の計11項目について監督を行うことが求められます。
五、評価、監査と報告義務
自動化意思決定又はセンシティブ個人情報の取扱いを伴う新たな製品、サービス又は機能の提供を開始する場合には、事前に個人情報保護影響評価を実施し、評価完了後15営業日以内に国家インターネット情報主管部門へ届出を行う必要があります。また、企業は少なくとも2年に1回コンプライアンス監査を実施するとともに、毎年リスク評価を実施する必要もあります。第三者機関に監査を委託する場合、当該機関は中国国内で登録されている必要があります。さらに、企業は毎年上半期に、個人情報保護に関する社会的責任報告書を公表しなければなりません。
このため、当該「規定」の適用対象となる可能性がある外資系企業においては、早急に以下のような対応措置を実施することを推奨します。
1. 適用性評価とギャップ分析の早期実施
企業は、中国国内における事業活動で取り扱う自然人の個人情報の件数を速やかに整理し、1,000万人の基準に満たしているか否かを判断するとともに、自社の事業類型が「重要なネットワークサービス」と認定される可能性があるかについて評価することを推奨します。既に基準に近づいている、又は基準を満たしている場合には、「規定」の各要求事項に照らしてコンプライアンス上のギャップ分析を実施し、特にデータセンターの管理主体の国籍に関する要件、SDKリストの開示、個人情報移転請求権の実現方法等のこれまで具体的な内容が明確化されていなかった分野について重点的に確認する必要があります。
2. データローカライゼーションと越境移転体制の見直し
海外親会社のクラウドサービス又はグローバル統一データプラットフォームを利用している企業については、中国国内で収集した個人情報を中国国内に所在しかつ要件を満たすデータセンターへ移行する必要があるか否かを評価する必要があります。また、個人情報の国外移転が必要となる場合には、データ越境安全評価、個人情報保護標準契約の締結と届出、又は個人情報保護認証等の適法な手続を経ていることを確認するとともに、国外受領者の個人情報保護能力について継続的な評価メカニズムを構築する必要があります。
3. 監督委員会の設置に向けた事前準備
企業は、認定を受ける前の段階から、独立性要件及び専門的資格要件を満たす外部委員の候補者の選定を早期に開始することを推奨します。
4. 影響評価と製品リリース時のコンプライアンスプロセスの整備
個人情報保護影響評価を製品開発及びリリースプロセスに組み込み、特にアルゴリズムによるレコメンド、ユーザープロファイリング、センシティブ個人情報の取扱いを伴う機能については、リリース前に評価を完了するとともに、届出手続きに必要な期間を確保することが求められます。また、監督当局による検査に対応するために、操作ログ及び権限承認記録を適切に保存する仕組みを構築することを推奨します。
5. 意見募集への積極的な参加
意見募集期間は、企業が合理的な懸念事項を表明する重要な機会です。データセンターの管理主体に関する国籍要件の具体的な適用基準、監督委員会の外部委員に関する資格認定基準、コンプライアンス監査機関の中国国内登録要件と国際的な監査実務との整合性等の論点について、外資系企業は、書面による意見提出を通じて立法プロセスに直接参加し、制度の運用における明確性及び実務上の実行可能性の向上を促すことができます。
