中国の個人情報保護法は国際組織にどう影響するか
PIPLは、中国にいる人々の個人情報を処理する国際組織に、同意・目的限定・越境移転の義務を課し、域外適用の効力を持ちます。中国の内側で配信することは、越境のレイテンシを取り除くことであると同時に、訪問者のデータをPIPLの下に置くことでもあります——パフォーマンスとコンプライアンスは二つの別プロジェクトではなく、一つのアーキテクチャです。
一次情報源が示していること
| 事実 | 一次情報源 |
|---|---|
| PIPLは、取扱者が中国の外にいる場合でも、中国にいる個人の個人情報の処理に適用される。 | NPC — 個人情報保護法（公式テキスト） |
| 個人情報の越境移転は同法の下で条件とメカニズムの対象となり、中国の訪問者データが本土を出る方法を制約する。 | NPC — 個人情報保護法（公式テキスト） |
| 21YunBoxの配信は、設計上、訪問者の実クライアントIPを国境の向こうへ転送しないため、オリジンは固定の配信IPを見て、個人データはコンプライアントな境界の内側にとどまる。 | 21YunBox — China Website Optimizer |
情報源は21YunBox コンプライアンスチームが2026年9月22日に確認しました。
要点：2021年11月、中国はGDPRにあたる自国版の法——個人情報保護法（PIPL）——を施行しました。中国のPIPLは、中国で収集した個人情報を収集・取り扱う多くの外国企業に影響します。本稿ではGDPRとPIPLの相違点と類似点を概観し、貴社が中国のPIPLに適合し続けるための要件を取り上げます。
2021年10月、Yahoo Inc.は中国からの撤退を発表しました。これは1か月足らずのうちに中国事業を縮小した二社目のよく知られた米国テック企業で、MicrosoftのLinkedInソーシャルネットワーキングサイトの閉鎖に続くものです。
LinkedInは、「著しく厳しくなった事業環境と、より大きなコンプライアンス要件に直面して」、中国での事業を停止すると決めたと述べました。
YahooとLinkedInの中国からの撤退はいずれも、2021年11月1日に施行された中国の改正個人情報保護法（PIPL）と時期が重なります。
本稿では、PIPLとそのデータ処理・同意の要件を分解し、GDPRと比べてどうかを見て、貴社の外国企業がどうコンプライアンスを確保できるかを論じます。
個人情報保護法とは何か
個人情報保護法（英語）——PIPLとも呼ばれる——は、中国初の包括的なデータ保護法です。
PIPLは、中国政府に広範な執行能力を与える枠組みの形成を助け——その結果、中国で事業を行う国際企業にとってより規制された環境をもたらします。
その枠組みは、規模と範囲の点で欧州連合の一般データ保護規則（GDPR）に似ています。どちらの法も次を求めます：
- データの収集と処理の合法的な目的
- データ処理への消費者の同意
- 消費者に自らの情報へのアクセスまたは削除の権利を与えること
ただし、GDPRとの重要な相違点が、国際企業の越境データ移転の扱いに影響します。
主要な定義
個人情報 とは、電子的またはその他の方法で記録される、識別された、または識別可能な個人に関わるあらゆる種類の情報とデータです。
個人情報の取り扱い（または処理） には、個人情報の収集・保存・使用・加工・伝送・提供・公開・削除などが含まれます。
個人情報取扱者 とは、個人情報の取り扱い活動において、取り扱いの目的と方法を自律的に決定する組織および個人を指します。
個人情報保護法の目的は何か
同法の第1条（英語）は、PIPLの目的を次のとおり定めています：
- 個人情報の権利利益を保護すること
- 個人情報の取り扱い活動を規範化すること
- 個人情報の合理的な利用を促進すること
第2条に記された法の目的は、中国国民の個人情報に法的保護を与えることで、「いかなる組織または個人も、国民の個人情報の権利利益を侵害してはならない」と述べます。
PIPLは誰に適用されるか
第3条（英語）は、同法が「中華人民共和国の国境内の個人の個人情報を取り扱う」あらゆる組織または企業に適用されると定めています。
中国で個人情報を収集・処理するにはどんな同意が必要か
PIPLが求める同意はGDPRに非常に似ています。同法の第2章（英語）は、ユーザーの同意は、承知のうえで明示的に与えられた場合にのみ有効とみなされると規定します。つまり貴社の組織は、個人情報の処理方法と意図された用途の全容を、明確で分かりやすい言葉で個人に提供しなければなりません。
ユーザーはいつでも同意を撤回する権利を持ち、貴社の組織はそのための容易な選択肢を提供しなければなりません。
実務上は、GDPR適合のために用意した同意バナーとオプトアウトが、PIPLの要件を満たす可能性が高いということです。
個人情報の処理を通じて個人にマーケティングを行う場合にも同意が必要です。PIPLはまた、企業が個人データをターゲティングしない選択肢を消費者に提供するか、データの処理を断る手段を提供しなければならないと規定します。
処理方法または意図された用途がいつでも変わる場合、貴社の組織はデータを処理するために個人から改めて許可を得なければなりません。
中国でのデータ処理にどんな要件と制約があるか
組織が個人情報処理の合法的な根拠を証明したうえで、PIPLは処理を規律する一連の要件と制約を定めており、中国で事業を行う国際組織向けの特別なルールも含みます。
これらのルールには次が含まれます：
-
中国に拠点を置く組織は、データコンプライアンスのための専門機関を設けるか、代表者を任命しなければならない。
-
越境データ移転は、国家インターネット情報弁公室（CAC）の承認のために提出しなければならない。
-
中国で事業を行う外国企業は、PIPLコンプライアンスの責任を負う現地代表者を任命しなければならない。
-
管理者と処理者の間でデータ処理契約が必要である。
-
組織は、センシティブデータの処理、データの海外移転、またはセンシティブデータの自動意思決定への使用の前に、リスク評価を実施しなければならない。
-
データ取扱者は、データを中国本土内でローカライズしなければならない。
中国で事業を行う国際組織へのPIPLの影響
国際組織が越境データ移転をどう扱わねばならないかについての中国の方針は、PIPLの第3章に記されているとおり、GDPRより制限的です。
第40条は、貴社の組織が「中国の国境内で収集・生成した個人情報を国内に保存しなければならない」と定めています。
貴社の組織が本当に個人情報を中国の外に提供する必要がある場合、第38条（英語）がデータを持ち出すために必要な手続きを定めており、次のいずれかを含みます：
- 本法第40条に従い、国家のサイバーセキュリティおよび情報化部門が組織する安全評価に合格すること
- 国家のサイバーセキュリティおよび情報化部門の規定に従い、専門機関による個人情報保護認証を受けること
- 国家のインターネット情報化部門が策定する標準契約に従って外国の受領側と契約を締結し、双方の権利と責任を取り決めること
- 法律もしくは行政法規、または国家のサイバーセキュリティおよび情報化部門が定めるその他の条件
法的責任
第7章（英語）は、コンプライアンス違反の組織への法的責任と罰則を記しています。
この新しい法への違反は、国際企業の中国での事業能力に大きく影響し得ます。
貴社の外国企業が中国への進出の機会を検討していると想像してください。もし貴社のWebサイトが中国で個人データにアクセスし、PIPLの要件に違反すると、貴社は「ブラックリストに載せられ」、中国市場への参入を妨げられ得ます。したがってPIPLは、中国で個人データにアクセスするあらゆる外国企業に、コンプライアンスを確保するために必要な保護措置を講じるよう迫ります。
すでに中国で事業を行う企業は、別のリスクに直面します。違反は、事業許可の喪失と、最大で5,000万元または年間売上高の5%という重大な金銭的罰則のリスクに企業をさらします。
国際組織はどうコンプライアンスを保てるか
TeslaはどうやってPIPLに適合しているか
電気自動車の巨人Teslaのような国際組織は、法に適合し続けるために自前のデータセンターを設けました。
Teslaが中国本土内で生成するデータは、それらのサーバー上でローカライズされます。このTeslaの動きは、データの越境移転と、中国のサイバーセキュリティ当局による安全評価を回避します。
貴社は中国版GDPRにどう適合し続けられるか
Teslaのように自前のデータセンターを建てるのが現実的でなく、しかもYahooやLinkedInと違って中国で事業を続けるつもりなら、大丈夫です。適合し続けるための選択肢がいくつかあります：
選択肢1：従来のVPS（Virtual Private Server）によるWebサイトホスティングの手法
代行会社を雇うか社内の技術リソースを活用して、組織のすべてのセンシティブデータを、アリババクラウド・テンセントクラウド・AWS China・Azure Chinaといった現地のクラウドプロバイダーに保存します。この選択肢はサーバーでできることをより多くコントロールできる傾向がありますが、サーバーの運用と保守に高いコストをもたらすため、諸刃の剣でもあります。
選択肢2：21YunBoxでモダンなJamstackを中国で活用する
多くの機敏なスタートアップと企業がJamstackアーキテクチャ（英語）を広く採用してきました。21YunBoxは、貴社のJamstackを、中国の法を破ることなく中国で公開できる数少ないプロバイダーの一つです。
さらに21YunBox Analytics（英語）は、中国で使えないGoogle Analyticsやその他の第三者分析プログラムを解決する、完全にコンプライアントなソリューションをマーケティング部門に提供します。Webサイトに追跡コードやスクリプトを設置する必要がないため、21YunBox AnalyticsはWeb分析に不利益なく、サイトに完全なコンプライアンスをもたらします。
選択肢3：ノーコードまたはローコードの手法
正当な業務上の目的でデータを中国の外（英語）へ移す必要がある場合、前述のとおりPIPL第3章（英語）が手段を提供します。
個人データを合法的に中国の外へ移すには安全評価が必要です。安全評価は、事業許可やICPライセンスを取得するようなものと考えてください。誠実な事業を営み、データが正当な業務上の目的のためであれば、安全評価は難しくないはずです。
当社は、データ移転の技術面から安全評価（英語）を通じて貴社を支援できます。そして安全評価の書類が承認されれば、当社のWebsite Performance Optimizer（英語）が、貴社のサイトが中国でコンプライアントに動くことを確実にします。
よくあるご質問
PIPLの下で同意は必要ですか？
一般にはい——PIPLは中国にいる個人の個人情報の処理に同意と目的限定の要件を定めており、国際組織も対象に含まれます。
中国の訪問者データをグローバルプラットフォームへ送れますか？
越境移転はPIPLの下で制限されます。コンプライアントな中国配信は、実クライアントIPを国境の向こうへ転送するのではなく、訪問者データを境界の内側に保ちます。