TLDR; 以下は、中国の「データ越境流動の促進・規範化に関する規定」（促进和规范数据跨境流动规定、国家インターネット情報弁公室〔CAC〕令第16号、2023年11月28日採択・2024年3月22日施行）の英訳版を、さらに日本語に訳したものです。
貴社が顧客・従業員・業務上のデータを中国本土の外へ移す場合、本規定は、どの越境経路を取らなければならないか——そして多くの一般的なケースでは、そもそも経路が必要かどうか——を定める2024年のルールです。国家インターネット情報弁公室（CAC）が令第16号として公布した本規定は、データ越境安全評価弁法、個人情報越境標準契約弁法、および個人情報保護認証を発動させるしきい値を緩和・明確化し、個人情報保護法（PIPL）が定める基本的な義務の上に、免除規定と自由貿易試験区（FTZ）のネガティブリストを加えます。各経路がいつ適用されるかを変えるものであるため、これらが修正する各弁法と併せて読むべきものです。
データ越境流動の促進・規範化に関する規定（2023年11月28日採択、国家インターネット情報弁公室令第16号により2024年3月22日公布・施行）
第1条。 データ安全を守り、個人情報に係る権利利益を保護し、データの合法・秩序ある自由な流通を促進するため、「中華人民共和国サイバーセキュリティ法」、「中華人民共和国データ安全法」、「中華人民共和国個人情報保護法」その他の法律・法規に基づき、データ越境安全評価、個人情報越境標準契約、個人情報保護認証を含む越境移転制度の実施に関して、本規定を制定する。
第2条。 データ取扱者は、関連規定に従って重要データを識別し届け出なければならない。関連する部門または地域によって重要データとして通知または公表されていないデータについては、データ取扱者は、データ越境安全評価のためにこれを重要データとして申告することを要しない。
第3条。 国際貿易、越境運送、学術協力、多国籍での製造、マーケティング等の活動において収集・生成されたデータを海外に提供する場合であって、当該データが個人情報または重要データを含まないときは、データ越境安全評価の申告、個人情報越境標準契約の締結、個人情報保護認証の取得を免除される。
第4条。 データ取扱者が海外で収集・生成した個人情報を中国国内に伝送して処理し、その後海外に提供する場合であって、処理の過程で国内の個人情報または重要データが新たに組み入れられないときは、データ越境安全評価の申告、個人情報越境標準契約の締結、個人情報保護認証の取得を免除される。
第5条。 データ取扱者が個人情報を海外に提供する場合であって、次の各号のいずれかに該当するときは、データ越境安全評価の申告、個人情報越境標準契約の締結、個人情報保護認証の取得を免除される：
（1）越境ショッピング、越境配送、越境送金、越境決済、越境口座開設、航空券・ホテル予約、ビザ手続、試験サービス等、個人が当事者となる契約の締結または履行のために、個人情報を海外に提供することが真に必要な場合；
（2）法に基づき制定した労働規則および法に基づき締結した団体契約に従って越境的な人的資源管理を行うために、従業員の個人情報を海外に提供することが真に必要な場合；
（3）緊急の事態において自然人の生命・健康・財産の安全を保護するために、個人情報を海外に提供することが真に必要な場合；
（4）重要情報インフラ運営者以外のデータ取扱者が、当年の1月1日から累計で、10万人未満の個人の個人情報（センシティブ個人情報を含まない）を海外に提供した場合。
前項でいう海外に提供する個人情報には、重要データは含まれない。
第6条。 国家のデータ分類・等級別保護制度の枠組みの中で、自由貿易試験区は、データ越境安全評価、個人情報越境標準契約、個人情報保護認証の管理の対象に組み入れる必要がある区域内のデータの一覧（以下「ネガティブリスト」という）を自ら作成することができる。省級のサイバーセキュリティ・情報化委員会の承認を経たうえで、当該一覧は国家インターネット情報部門および国家データ部門に届け出るものとする。
自由貿易試験区内のデータ取扱者が、ネガティブリスト外のデータを海外に提供する場合には、データ越境安全評価の申告、個人情報越境標準契約の締結、個人情報保護認証の取得を免除され得る。
第7条。 データ取扱者がデータを海外に提供する場合であって、次の各号のいずれかに該当するときは、所在地の省級インターネット情報部門を通じて、国家インターネット情報部門にデータ越境安全評価を申告しなければならない：
（1）重要情報インフラ運営者が個人情報または重要データを海外に提供する場合；
（2）重要情報インフラ運営者以外のデータ取扱者が重要データを海外に提供する場合、または当年の1月1日から累計で、100万人以上の個人の個人情報（センシティブ個人情報を含まない）もしくは1万人以上の個人のセンシティブ個人情報を海外に提供した場合。
本規定第3条、第4条、第5条または第6条に定める事由に該当する場合には、それらの規定を適用する。
第8条。 重要情報インフラ運営者以外のデータ取扱者が、当年の1月1日から累計で、10万人以上100万人未満の個人の個人情報（センシティブ個人情報を含まない）、または1万人未満の個人のセンシティブ個人情報を海外に提供した場合には、法に基づき、海外の受領者と個人情報越境標準契約を締結し、または個人情報保護認証を取得しなければならない。
本規定第3条、第4条、第5条または第6条に定める事由に該当する場合には、それらの規定を適用する。
第9条。 データ越境安全評価に合格した結果は、評価結果が発行された日から起算して3年間有効とする。有効期間の満了時になお越境移転活動を継続する必要があり、かつデータ越境安全評価の再申告を要する事由が生じていない場合には、データ取扱者は、有効期間の満了前60営業日以内に、所在地の省級インターネット情報部門を通じて、国家インターネット情報部門に対し評価結果の有効期間の延長を申請することができる。国家インターネット情報部門の承認を得て、評価結果の有効期間を3年延長することができる。
第10条。 データ取扱者は、個人情報を海外に提供するにあたり、法律・行政法規の規定に従って、通知、個人の個別の同意の取得、個人情報保護影響評価の実施等の義務を履行しなければならない。
第11条。 データ取扱者は、データを海外に提供するにあたり、法律・法規の規定を遵守し、データ安全保護義務を履行し、技術的措置その他の必要な措置を講じて越境移転の安全を守らなければならない。データ安全インシデントが発生し、または発生するおそれがある場合には、是正措置を講じ、速やかに省級以上のインターネット情報部門その他の関連主管機関に報告しなければならない。
第12条。 各地のインターネット情報部門は、データ取扱者の越境移転活動に対する指導・監督を強化し、データ越境安全評価制度を整備・充実させ、評価プロセスを最適化しなければならない。事前・事中・事後の全チェーン・全領域にわたる監督を強化し、越境移転活動が比較的大きなリスクを有し、またはデータ安全インシデントが発生したことを発見した場合には、データ取扱者に是正を求め、潜在的な危険を除去させなければならない。データ取扱者が是正を拒否し、または重大な結果を生じさせた場合には、法に基づき法的責任を追及する。
第13条。 2022年7月7日に公布された「データ越境安全評価弁法」（国家インターネット情報弁公室令第11号）、2023年2月22日に公布された「個人情報越境標準契約弁法」（国家インターネット情報弁公室令第13号）等の関連規定が本規定と一致しない場合には、本規定を適用する。
第14条。 本規定は、公布の日から施行する。
結び
原文は国家インターネット情報弁公室により中国語で公布されたものであり、当社がこれを英語に翻訳したものが上記の内容です。本翻訳は迅速な理解のためにのみ提供されるものであり、ご自身の判断と責任においてご利用ください——現行の要件は必ず有資格の専門家にご確認ください。
当社チームによるさらなるサポートが必要な場合は、今すぐお問い合わせください（英語）。当社の専門家が、中国での事業展開を基盤から法令適合に保つお手伝いをします。