中国における情报保护法
2021年の个人情报保护法（笔滨笔尝）は、个人情报保护に関する中国初の包括的な法律です。非公开个人情报は、民法に基づくプライバシーの権利として保护されており、个人情报における个人の権利は、公开非公开を问わず、笔滨笔尝に基づき保护されています。
个人情报ではないデータを含むデータセキュリティや、サイバーセキュリティは、データセキュリティ法およびサイバーセキュリティ法に基づき规制されています。同二法は、笔滨笔尝とあわせて、中国のデータプライバシーやセキュリティの法制度を构筑しています。
データ権限
データガバナンスの実施や施行の任务を负う主要当局は、中国サイバースペース管理局（颁础颁）です。その他さまざまな业界や地方の规制机関は、履行规则を公布する任务を负っています。
データ分类
パートナー
K&L Gates（香港）
電話: +852 2230 3510
Eメール: amigo.xie@klgates.com
中国のデータに関する国家安全保障や个人情报保护规则を実施するために、リスクや重要性のレベルに応じてデータを等级付けしました。データセキュリティ法は、「分类?等级付けされた」データ保护制度を定め、データをタイプ别にグループ分けし、各グループのデータにそれぞれ异なる重要度を割り当てます。国家データセキュリティ调整机构が、全体の计画策定を実施し、国务院の各部门をまとめて、「重要データ」の目録作成や、重要データの保护强化を図ります。
个人情报保护法では、个人情报とセンシティブ个人情报が区别されています。个人情报とは、电子または他の形式により记録された、识别済または识别可能な自然人に関连する各种の情报を指し、匿名化処理された情报は含みません。センシティブ个人情报とは、漏洩した场合、または违法に使用された场合に、容易に自然人の人格尊厳の侵害、または损害を引き起こす个人情报であり、生物识别、宗教的信仰、医疗?健康、金融口座、行动追跡およびその他同様の情报、および14才未満の未成年者の个人情报を指します。
データ取扱者
データガバナンス制度には、データ管理者やデータ処理者にそれぞれ個別の定義はありません。个人情报保护法（PIPL）では、個人情報取扱者（PIH）を、個人情報の取扱目的、取扱方法 を自ら決定する組織または個人と定義しています。PIHは、個人情報の取り扱いを別の当事者に委託することができますが、下請業者の作為または不作為に対しても責任を負うものとします。PIHは、個人情報の安全性を保護する対策を講じなければならず、第三者処理者が、確実に法令を遵守し、合意目的を逸脱して個人情報の処理を行わないように徹底します。
法的根拠
个人情报保护法（笔滨笔尝）では、个人情报取扱者（笔滨贬）が个人情报を取り扱う际の状况を以下のように规定しています。
- データ主体から法的に正当な同意を取得している场合、
- 契约の缔结または履行に必要な场合、または雇用契约や同様の契约に基づき人事管理を実施する上で必要な场合、
- 法律上の义务の履行に必要な场合、
- 公众卫生上の紧急事态の対応に必要な场合、または紧急状况下において生命、健康または财产の安全の保护に必要な场合、
- ニュース报道、または公共の利益、または、
- 个人情报が个人によって、または法律によってすでに公开済みの场合、当该情报は、合理的な范囲内で処理することができます。
データ越境移転
外国法事务弁护士
K&L Gates（香港）
電話: +852 2230 3518
Eメール: susan.munro@klgates.com
サイバーセキュリティ法には、当局が指名した、重要情报インフラ运営者（颁滨滨翱）が作成し収集した重要データや、个人情报の越境移転に适用される规定があります。一方で、笔滨笔尝には、个人情报の越境移転に関する包括的な枠组が含まれています。
ネットワークデータセキュリティ管理条例（狈顿厂惭）や、データ越境移転安全评価弁法（惭厂础）など、履行规则案や指针案によって、データ越境移転に対処します。复数の事业法令によって、特定の种类のデータの越境移転が制限?禁止されています。个人情报取扱者（笔滨贬）の一般的な要件は以下の通りです。
- 个人情报の越境移転は、法的根拠に基づくものでなければなりません。
- 笔滨贬は、移転された个人情报が、笔滨笔尝で义务付けられている基準と同じ基準で、海外の受领者によって処理および保护されるよう、必要なあらゆる対策を取る必要があります。
- 个人情报が中国本土外に移転される前に、个人情报保护影响评価を実施しなければなりません。
データローカライゼーションや国家安全保障评価に関して、特定の笔滨贬に対して以下の具体的な要件もあります。
- 重要情报インフラ运営者（颁滨滨翱）は、中国での事业活动时に収集および作成した个人情报や重要なデータを保管する必要があります。
- 个人情报の処理が、中国サイバースペース管理局（颁础颁）が规定した基準に达した笔滨贬は、データローカライゼーション要件の対象となります。规则案での现在の基準としてまず挙げられるのは、100万人以上のデータです。
- 金融机関は、法律および中华人民银行によって明确に许可された场合を除いて、个人の金融情报を海外に提供することはできません。
- 个人情报の処理が、法定基準に达した颁滨滨翱もしくは笔滨贬が、海外の受领者にかかる情报を提供することを意図している场合、国家安全保障评価の基準をクリアしなければなりません。
- 移転予定のデータに「重要データ」が含まれている场合、规则案によって、国家安全保障评価要件が他の笔滨贬にも拡大适用されます。
- データ越境移転安全评価弁法（惭厂础）案では、国家安全保障评価要件が、10万人以上の个人情报、または1万人以上の「センシティブ个人情报」の海外への移転に适用されます。これらの基準は、累积ベースで适用されます。
国家安全保障评価が不要な场合、笔滨贬は、指定された専门机関から个人情报保护に関する証明书を取得するか、または中国サイバースペース管理局（颁础颁）が义务付けている标準条项を含むデータ移転契约を、海外の受领者と缔结する必要があります。ネットワークデータセキュリティ管理条例（狈顿厂惭）案によって、これらの要件が、非个人データの取扱者に拡大适用されます。
いかなる个人または组织も、最初に関係当局からの承诺を得ずに、中国本土にあるデータを外国の法执行机関や司法机関に提供することはできません。
违反と责任
个人情报保护法（笔滨笔尝）は、违反行為に対して以下のような罚则および処罚を设けています。
- 最初の罚则として、是正命令、警告、违法所得の没収、サービス停止などがあります。
- 是正されない场合は、违反行為1件につき最大100万元（15万米ドル）、および违反行為を引き起こした、あるいは别途违反行為の责任を负う个人に対して1万元から10万元までの罚金が科されます。
- 重大な违反行為については、最大5,000万元、または前年度の収益の5%、业务停止、または営业许可証の取り消しが科されます。责任者は10万元から100万元の罚金、および管理职などの役职への就任を禁じられます。
- 个人情报取扱者（笔滨贬）は、データ主体が损害を被った场合、个人情报の権利を侵害していない旨を証明しなければなりません。笔滨贬がこの証明をできない场合、笔滨贬は、不法行為の责任を负い、被った损失または利益に基づく损害赔偿、もしくは别途裁判所が决定する损害赔偿に対して责任を负う可能性があります。
- 笔滨贬が、多数の人々の権利を侵害した场合、中国サイバースペース管理局（颁础颁）は、検察官または特定の组织に、笔滨贬を告诉する権限を与えます。
- データセキュリティ法およびサイバーセキュリティ法も、违反行為に関する処罚を设けています。
情报漏洩
サイバーセキュリティ法では、等级保护制度を実施しています。データ漏洩が発生した际に、データガバナンス制度では、データ取扱者やネットワーク运用者に対して、速やかに紧急时対応策を开始し、対応する改善策を取り、必要に応じてデータ主体に通知し、当该事件に関して中国サイバースペース管理局（颁础颁）や関连规制当局に报告することを义务付けています。
「国家サイバーセキュリティー事件緊急対応策（the National Contingency Plans for Cyber Security Incidents）」および「公共インターネットネットワーク安全突発事件緊急対応策（the Emergency Response Plan for Unexpected Network Security Incidents of the Public Internet）」に基づき、サイバーセキュリティ事件は、（1）特に重大、（2）重大、（3）比較的重大、（4）普通の4等級に分類されています。 こうした規則には、規制当局、監視および早期警戒システム、非常通報?報告システム、調査および評価、ならびに保護措置に関する細則も定められています。
データ保护责任者
个人情报保护法（PIPL）では、データ保护责任者（DPO）の任命が義務付けられており、以下の役割および責任が規定されています。
- 个人情报取扱者（笔滨贬）のデータ処理活动、保护措置などの管理、
- 笔滨贬の主任への直接报告、
- 個人的な責任として、違反行為の重大性に応じて、1万元から100万元までの罰金が科されます。データ保护责任者（DPO）は、上級職からの解雇、国家の社会信用ファイルへの違反情報の記録、違反行為の公表などに加えて、最悪の場合は行政拘禁または刑事訴追を受けるリスクもあります。
- PIPLでは、DPOの任務について詳細に規定していませんが、役割に関する指針については、個人情報安全規範（PIS specification）で確認することができます。
K&L GATES
44/F Edinburgh Tower, The Landmark
15 Queen’s Road Central, Hong Kong
電話: +852 2230 3500
