中国の越境データ移転：規則は実際に何と定めているか

中国の越境データ規則を扱う英語の要約の多くは、2021年時点の体系を説明してそこで止まっています。そこに挙げられる3つのコンプライアンス経路は本物ですが、そのうえで2024年の法令が、普通の企業の大きな部分をその3つすべてから免除しました——そして「規制の範囲内」か「免除」かの違いは、具体的で数えられる一つの数字です。

このページは、要となる条文を引用し、それぞれが、中国本土のユーザーに届くWebサイトやアプリを運用する外国企業にとって何を意味するかを述べます。全文は末尾にリンクしています。ここに書かれたことは、原文を読むことや中国の法的助言を受けることの代わりにはなりません。

法令：《中华人民共和国个人信息保护法》 ——個人情報保護法（PIPL）、2021年11月1日施行、第3章が越境の章。そして 《促进和规范数据跨境流动规定》 ——データ越境流動の促進と規範化に関する規定、国家インターネット情報弁公室（CAC）令第16号、2024年3月22日施行。

法は、どのサーバーより先に貴社に及ぶ

第三条 在中华人民共和国境内处理自然人个人信息的活动，适用本法。

在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，有下列情形之一的，也适用本法：（一）以向境内自然人提供产品或者服务为目的；（二）分析、评估境内自然人的行为；（三）法律、行政法规规定的其他情形。

第3条。本法は、中華人民共和国の領域内における自然人の個人情報の取扱いに適用する。領域外における領域内の自然人の個人情報の取扱いであって、次のいずれかに該当するものにも適用する：（一）領域内の自然人に製品またはサービスを提供することを目的とする場合；（二）領域内の自然人の行為を分析・評価する場合；（三）法律・行政法規が定めるその他の事情。

実務上：これが人を驚かせる条文です。PIPLは、中国にインフラを置くことで発動されるのではありません。中国の人々に狙いを定めることで発動されます。フランクフルトで完全にホストされ、中国の法人も本土のサーバーも持たないサイトでも、中国のユーザーにマーケティングしたり、その行動に分析を走らせたりすれば、この法の範囲内にあります。中国国内から配信しないという決定は、そこから抜け出させてはくれません。同じことがサイトの背後のツールにも当てはまります。763サービスの中国コンプライアンス調査のために2026年10月に各ベンダー自身のドキュメントに照らして確認したところ、755件が個人データを保持しており、中国本土のユーザーにとってそれは下記の条文の下での越境移転でした。

個人情報を外へ送るには、3つの経路のいずれかが要る

第三十八条 个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：（一）依照本法第四十条的规定通过国家网信部门组织的安全评估；（二）按照国家网信部门的规定经专业机构进行个人信息保护认证；（三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；（四）法律、行政法规或者国家网信部门规定的其他条件。

第38条。個人情報取扱者は、業務等の必要により、真に中華人民共和国の領域外へ個人情報を提供する必要がある場合、次のいずれかの条件を備えなければならない：（一）第40条の規定により、国家インターネット情報部門が組織する安全評価を通過すること；（二）国家インターネット情報部門の規定に従い、専門機関による個人情報保護認証を受けること；（三）国家インターネット情報部門が定める標準契約に従い、境外の受領者と契約を締結し、双方の権利義務を定めること；（四）法律・行政法規または国家インターネット情報部門が定めるその他の条件。

実務上：安全評価、認証、または標準契約。この3つを、ほぼすべての要約が挙げます。その多くが省くのは、第（四）号が飾りではない、ということです——それは2024年の規定がぶら下がるフックであり、上の3つがもはや答えのすべてではない理由です。

そして、すでに得ていた同意に上乗せした個別の同意

第三十九条 个人信息处理者向中华人民共和国境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。

第39条。個人情報取扱者が中華人民共和国の領域外へ個人情報を提供する場合、境外の受領者の名称または氏名、連絡先、取扱いの目的・方法、個人情報の種類、ならびに個人が境外の受領者に対して本法に定める権利を行使する方法と手続等の事項を個人に告知し、かつ個人の個別の同意を取得しなければならない。

実務上：单独同意、個別の同意は、別個の行為です。一般的なプライバシーポリシーへの同意はこれを担いません。この義務は2024年の免除を生き延びます——安全評価を免除されても、人々に告げて具体的に尋ねることを免除されはしません。

国内保存は、全員ではなく、定められた集団に適用される

第四十条 关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估……

第40条。重要情報インフラ運営者、および個人情報の取扱いが国家インターネット情報部門の定める数量に達する個人情報取扱者は、中華人民共和国の領域内で収集・生成した個人情報を領域内に保存しなければならない。真に領域外へ提供する必要がある場合、国家インターネット情報部門が組織する安全評価を通過しなければならない……

実務上：中国のデータ国内保存は、しばしば一律のルールとして説明されます。文の主語を読んでください。それは重要情報インフラ運営者と、量の基準を超える取扱者に紐づきます。外国企業のサイトの大半はそのどちらでもありません。適用されないのに適用されると思い込むことは、適用されるのに適用されないと思い込むのと同じように高くつきます。

2024年の規定にこそ、基準値が実際に置かれている

第五条 数据处理者向境外提供个人信息，符合下列条件之一的，免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证：……（四）关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的。

第5条。データ処理者が境外へ個人情報を提供する場合であって、次のいずれかの条件に該当するときは、データ越境安全評価の申告、個人情報越境標準契約の締結、個人情報保護認証の取得を免除する：……（四）重要情報インフラ運営者以外のデータ処理者が、当該年の1月1日から累計で、10万人未満の個人情報（センシティブ個人情報を含まない）を境外へ提供する場合。

実務上：これが、普通の外国企業にとって最も帰結の大きい一文であり、2024年より前に書かれた多くのガイダンスから欠けている一文です。年に10万人未満、センシティブデータなし、CIIOでない——これで第38条の3つの経路すべてが消えます。カウンターは暦年ごとに動き、1月1日にリセットされます。

第5条はまた、個人が当事者である契約の履行に必要な移転も免除します——条文は越境のショッピング、配送、送金、決済、口座開設、航空券・ホテルの予約、ビザ手続、試験サービスを挙げ——そして適法な雇用のルールの下での越境の人事管理も免除します。

その上の2つの基準値

第八条 关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息）或者不满1万人敏感个人信息的，应当依法与境外接收方订立个人信息出境标准合同或者通过个人信息保护认证。

第8条。重要情報インフラ運営者以外のデータ処理者が、当該年の1月1日から累計で、10万人以上100万人未満の個人情報（センシティブ個人情報を含まない）、または1万人未満のセンシティブ個人情報を境外へ提供する場合、法に従い、境外の受領者と個人情報越境標準契約を締結し、または個人情報保護認証を取得しなければならない。

第七条 ……（二）关键信息基础设施运营者以外的数据处理者向境外提供重要数据，或者自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）或者1万人以上敏感个人信息。

第7条。……（二）重要情報インフラ運営者以外のデータ処理者が、重要データを境外へ提供する場合、または当該年の1月1日から累計で、100万人以上の個人情報（センシティブ個人情報を含まない）もしくは1万人以上のセンシティブ個人情報を境外へ提供する場合——は、省のインターネット情報部門を通じて安全評価を申告しなければならない。

実務上：3つの帯、一つの軸。10万人未満：免除。10万人から100万人、または1万人未満のセンシティブデータ：標準契約または認証。100万人以上、または1万人のセンシティブデータ、またはあらゆる重要データ：安全評価。重要情報インフラ運営者は帯の外に座り、いずれにせよ評価へ進みます。通過した評価は3年間有効で、申請によりさらに3年延長できます。

そして外国の処理者は、ここに誰かを置かなければならない

第五十三条 本法第三条第二款规定的中华人民共和国境外的个人信息处理者，应当在中华人民共和国境内设立专门机构或者指定代表，负责处理个人信息保护相关事务……

第53条。本法第3条第2項に定める中華人民共和国の領域外の個人情報取扱者は、中華人民共和国の領域内に専門の機構を設立し、または代表を指定し、個人情報保護に関する事務を担わせなければならない……

実務上：第3条が貴社を捕捉するなら、第53条が続きます。名のある現地の責任の受け皿を置く義務は、ICP備案を持つことや本土のインフラを運用することには依存しません。

不遵守の代償

第六十六条 ……情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿……

第66条。……情状が重大な場合、省級以上の個人情報保護の職責を果たす部門が是正を命じ、違法所得を没収し、5,000万元以下または前年度の営業額の5パーセント以下の過料を科し、あわせて関連業務の停止または停業整頓を命じることができる……

実務上：備案の体系と違い、こちらは本当に金銭的で、営業額の部分は文面上、中国子会社の収益に上限を設けていません。同条の第1項はまた、不遵守のアプリケーションの停止または終了を命じることも認めています。

これらの法令が決めないこと

• ICP備案が必要かどうか。 別のトリガーを持つ別の体系——中国本土の内側から配信すること——です。備案のルールが何を求めるかを整理しています。
• サイトが到達できるかどうか。 PIPLにはページを読み込ませるものは何もありません。それはもう一方の門で、各配信構成が実際に何を買うかを計測（英語）しました。
• 重要データ。 2024年規定の第2条は、関係当局または地域が通知したか、そのように公表した場合でない限り、処理者はデータを重要データとして申告する必要はない、としています——自己評価しなければならなかったことからの、意味のある変化です。

なぜこれがアーキテクチャを決めるのか、書類仕事だけではないのか

2つの門は別個ですが、ここで相互作用します。中国本土の内側から配信することは、貴社をICP備案の体系の内側に置きます。それ自体では越境移転の問題を生まず、むしろ減らしうります。領域内で収集・保持されるデータは、そもそも輸出されていないからです。外側から配信することは備案の体系を避けますが、第3条をなお貴社に適用したままにします。どちらの方向も無料ではなく、その選択は、配信の設計の中で、早い段階に一度だけ行われます——だからこそ、私たちは到達性と許可を、2つではなく一つの判断として扱います。配信オプションに関する参照ページ（英語）が、両者がどう噛み合うかを整理しています。

一次情報源：《中华人民共和国个人信息保护法》、全文は国家インターネット情報弁公室が公開：cac.gov.cn。当社の条文ごとの英訳は中国個人情報保護法（英語）にあります。《促进和规范数据跨境流动规定》（国家互联网信息办公室令第16号）、全文は国務院公報に：国務院公報 2024年 第15号。

上記の訳は当社によるもので、方向付けの参考にすぎません。英語（および日本語訳）と中国語に相違がある場合は、中国語が優先します。基準値は2026年8月28日時点の法令に現れるとおりに記しています。これは法的助言ではありません。