TLDR; 以下は、中国の「データ越境安全評価弁法」（数据出境安全评估办法、国家インターネット情報弁公室〔CAC〕令第11号、2022年7月7日公布・2022年9月1日施行）の英訳版を、さらに日本語に訳したものです。
貴社が個人情報または何らかの「重要データ」を中国本土の外——親会社、海外のクラウドリージョン、または第三者の受託処理者——へ移す場合、本弁法は、その移転が、より軽い経路ではなく、まず政府が実施する安全評価を通過しなければならないのはいつかを定めるものです。本弁法は、個人情報保護法（PIPL）の越境移転ルール、データ安全法のデータ分類の仕組み、そしてサイバーセキュリティ法の重要情報インフラ制度を運用に落とし込み、国家インターネット情報弁公室（CAC）への届出を義務付ける明確なしきい値を設けます。多くの国際事業者にとって、これは最も重大なデータコンプライアンスのチェックポイントであり、データが国外へ出る前に十分な余裕をもって専門家に確認すべきものです。
データ越境安全評価弁法（国家インターネット情報弁公室令第11号により2022年7月7日公布；2022年9月1日施行）
第1条。 本弁法は、データ越境活動を規範化し、個人情報に係る権利利益を保護し、国家安全と社会公共の利益を守り、データの安全かつ自由な越境流通を促進するため、「中華人民共和国サイバーセキュリティ法」、「中華人民共和国データ安全法」、「中華人民共和国個人情報保護法」その他の法律・法規に基づいて制定する。
第2条。 本弁法は、データ取扱者が中華人民共和国の領域内における業務の過程で収集・生成し、海外の受領者に提供する重要データおよび個人情報の安全評価に適用する。法律または行政法規に別段の定めがある場合には、その定めによる。
第3条。 データ越境の安全評価は、事前評価と継続的監督の結合、ならびにリスクの自己評価と安全評価の結合を堅持し、データ越境の安全上のリスクを防ぎ、データの合法・秩序ある自由な流通を確保する。
第4条。 データ取扱者が次のいずれかの事由により海外の受領者にデータを提供する場合には、所在地の省級インターネット情報部門を通じて、国家インターネット情報部門にデータ越境の安全評価を申告しなければならない：
（1）データ取扱者が重要データを海外の受領者に提供する場合；
（2）重要情報インフラ運営者、または100万人を超える個人の個人情報を取り扱うデータ取扱者が、個人情報を海外の受領者に提供する場合；
（3）前年の1月1日から累計で、10万人の個人情報または1万人のセンシティブ個人情報を海外の受領者に提供したデータ取扱者が、個人情報を海外の受領者に提供する場合；
（4）その他、国家インターネット情報部門が定める、データ越境の安全評価を申告しなければならない事由。
第5条。 データ越境の安全評価を申告する前に、データ取扱者はデータ越境のリスクについて自己評価を実施し、次の各事項を重点的に検討しなければならない：
（1）データ越境の目的・範囲・方法、および海外の受領者によるデータ処理の、合法性・正当性・必要性；
（2）越境するデータの規模・範囲・種類・センシティブ度、ならびにデータ越境が国家安全、公共の利益、個人または組織の適法な権利利益に及ぼし得るリスク；
（3）海外の受領者が引き受けることを約束する責任・義務、ならびにその責任・義務を履行するための管理上・技術上の措置・能力が、越境データの安全を確保できるか否か；
（4）越境の最中およびその後に、データが改ざん・毀損・漏えい・滅失・移転され、または不法に取得・不法に利用されるリスク、ならびに個人情報に係る権利利益を保護する経路が妨げられていないか等；
（5）海外の受領者と締結するデータ越境関連の契約その他の法的拘束力を有する文書（以下「法的文書」と総称する）が、データ安全保護の責任・義務を十分に定めているか否か；
（6）その他、データ越境の安全に影響し得る事項。
第6条。 データ越境の安全評価を申告するには、次の資料を提出しなければならない：
（1）申告書；
（2）データ越境のリスクに関する自己評価報告書；
（3）データ取扱者と海外の受領者との間で締結する法的文書；
（4）安全評価業務に必要なその他の資料。
第7条。 省級インターネット情報部門は、申告資料を受領した日から5営業日以内に完全性の確認を完了しなければならない。申告資料が完全である場合には、これを国家インターネット情報部門に送付する；申告資料が不完全である場合には、これをデータ取扱者に返却し、補充を要する資料を一回で通知する。
国家インターネット情報部門は、申告資料を受領した日から7営業日以内に、申告を受理するか否かを決定し、データ取扱者に書面で通知しなければならない。
第8条。 データ越境の安全評価は、データ越境活動が国家安全、公共の利益、個人または組織の適法な権利利益に及ぼし得るリスクの評価を重点とし、主に次の各事項を含む：
（1）データ越境の目的・範囲・方法の、合法性・正当性・必要性；
（2）海外の受領者が所在する国または地域のデータ安全保護の政策・法律・法規およびサイバーセキュリティ環境が越境データの安全に及ぼす影響；ならびに海外の受領者のデータ保護の水準が、中華人民共和国の法律・行政法規および強制性国家標準の要件を満たすか否か；
（3）越境するデータの規模・範囲・種類・センシティブ度、ならびに越境の最中およびその後に、それが改ざん・毀損・漏えい・滅失・移転され、または不法に取得・不法に利用されるリスク；
（4）データの安全および個人情報に係る権利利益を十分かつ有効に守ることができるか否か；
（5）データ取扱者と海外の受領者との間で締結する法的文書が、データ安全保護の責任・義務を十分に定めているか否か；
（6）中国の法律・行政法規・部門規則の遵守；
（7）その他、国家インターネット情報部門が評価を必要と認める事項。
第9条。 データ取扱者は、海外の受領者と締結する法的文書において、データ安全保護の責任・義務を明確に定めなければならず、少なくとも次の各事項を含む：
（1）データ越境の目的・方法・範囲、ならびに海外の受領者によるデータ処理の用途・方法；
（2）データの海外における保存の場所および期間、ならびに保存期間に達したとき、約定した目的が達成されたとき、または法的文書が終了したときに越境データを取り扱う措置；
（3）海外の受領者が越境データを他の組織または個人へ再移転することに対する拘束的要件；
（4）海外の受領者の実際の支配もしくは事業範囲に実質的な変更が生じたとき、その所在する国もしくは地域のデータ安全保護の政策・法律・法規およびサイバーセキュリティ環境に変更が生じたとき、またはその他の不可抗力の事由が発生して、データの安全の確保が困難となったときに講ずべき安全措置；
（5）法的文書に定めるデータ安全保護義務に違反した場合の是正措置・違約責任・紛争解決の方法；
（6）越境データが改ざん・毀損・漏えい・滅失・移転され、または不法に取得・不法に利用されるリスクにさらされた場合に緊急対応を適切に行うための要件、ならびに個人がその個人情報に係る権利利益を保護する能力を確保する経路・方法。
第10条。 国家インターネット情報部門は、申告を受理した後、申告の状況に基づき、国務院の関係部門、省級インターネット情報部門、専門機関その他を組織して安全評価を実施する。
第11条。 安全評価の過程で、データ取扱者が提出した申告資料が要件を満たさないことが判明した場合には、国家インターネット情報部門はその補充または訂正を求めることができる。データ取扱者が正当な理由なく補充または訂正をしない場合には、国家インターネット情報部門は安全評価を打ち切ることができる。
データ取扱者は、提出する資料の真実性について責任を負う。故意に虚偽の資料を提出した場合には、評価に不合格であったものとして取り扱い、法に基づき相応の法的責任を追及する。
第12条。 国家インターネット情報部門は、データ取扱者に受理の書面通知を発した日から45営業日以内に、データ越境の安全評価を完了しなければならない；状況が複雑であるとき、または資料の補充・訂正を要するときは、期間を適宜延長することができ、延長見込み期間をデータ取扱者に通知するものとする。
評価結果は、書面でデータ取扱者に通知する。
第13条。 データ取扱者は、評価結果に異議がある場合には、評価結果を受領してから15営業日以内に、国家インターネット情報部門に再評価を申請することができる；再評価の結果を最終とする。
第14条。 データ越境の安全評価に合格した結果は、評価結果が発行された日から起算して2年間有効とする。有効期間内に次のいずれかの事由が生じた場合には、データ取扱者は改めて評価を申告しなければならない：
（1）海外の受領者に提供するデータの目的・方法・範囲・種類、または海外の受領者によるデータ処理の用途・方法に、越境データの安全に影響する変更が生じたとき、または個人情報・重要データの海外における保存期間が延長されたとき；
（2）海外の受領者が所在する国もしくは地域のデータ安全保護の政策・法律・法規およびサイバーセキュリティ環境に変更が生じたとき、その他の不可抗力の事由が発生したとき、データ取扱者もしくは海外の受領者の実際の支配に変更が生じたとき、またはデータ取扱者と海外の受領者との間の法的文書に変更が生じて、越境データの安全に影響するとき；
（3）その他、越境データの安全に影響する事由が生じたとき。
有効期間が満了し、なおデータ越境活動を継続する必要がある場合には、データ取扱者は、有効期間の満了前60営業日までに改めて評価を申告しなければならない。
第15条。 安全評価業務に参加する関係機関および人員は、職務の遂行において知り得た国家秘密・個人のプライバシー・個人情報・商業秘密・秘密の業務情報その他のデータを法に基づき秘密として保持しなければならず、これを漏らし、不法に他人に提供し、または不法に利用してはならない。
第16条。 いかなる組織または個人も、データ取扱者が本弁法に違反して海外の受領者にデータを提供していることを発見した場合には、省級以上のインターネット情報部門に通報することができる。
第17条。 国家インターネット情報部門は、既に評価に合格したデータ越境活動が、実際の処理の過程で越境データの安全管理の要件をもはや満たさなくなったことを発見した場合には、データ取扱者に書面で通知してデータ越境活動を停止させる。データ取扱者がデータ越境活動を継続する必要がある場合には、要求に従って是正を行い、是正の完了後に改めて評価を申告しなければならない。
第18条。 本弁法の規定に違反する行為は、「中華人民共和国サイバーセキュリティ法」、「中華人民共和国データ安全法」、「中華人民共和国個人情報保護法」その他の法律・法規に従って処理する；犯罪を構成する場合には、法に基づき刑事責任を追及する。
第19条。 本弁法でいう「重要データ」とは、ひとたび改ざん・毀損・漏えいされ、または不法に取得・不法に利用された場合に、国家安全、経済の運営、社会の安定、公衆の健康・安全等を危うくし得るデータをいう。
第20条。 本弁法は、2022年9月1日から施行する。本弁法の施行前に既に行われているデータ越境活動であって本弁法の規定に適合しないものは、本弁法の施行日から6か月以内に是正を完了しなければならない。
結び
原文は国家インターネット情報弁公室により中国語で公布されたものであり、当社がこれを英語に翻訳したものが上記の内容です。本翻訳は迅速な理解のためにのみ提供されるものであり、ご自身の判断と責任においてご利用ください——現行の要件は必ず有資格の専門家にご確認ください。
当社チームによるさらなるサポートが必要な場合は、今すぐお問い合わせください（英語）。当社の専門家が、中国での事業展開を基盤から法令適合に保つお手伝いをします。