欧州と中国のデータプライバシー法の比較

文責：21YunBox コンプライアンスチーム · 公開 2021年7月11日

要点：本稿は、欧州のGDPRと中国のデータプライバシー法の類似点と相違点を概観します。

これまでの記事で、ICPライセンスとは何か、そして中国でのホスティングの前になぜ・どうやって取得するかを説明してきました。

本稿では、すでにご存じかもしれないものと比較しながら、中国の他のデータプライバシー法を高いレベルで見ていきます。

欧州連合のデータプライバシー法

欧州でビジネスを行う企業は、一般データ保護規則（GDPR）に非常に精通している傾向があります。

欧州連合（EU）は2018年5月にGDPRを施行しました。遵守は任意ではなく、制裁金は最大で2,000万ユーロまたは全世界年間売上高の4%に上ります。これほど厳しい罰則があるため、企業がプライバシー法に過敏になるのも理解できます。

欧州の対応物より緩やかではあるものの、米国にも同様の一連の法があります。ですから、中国が独自のデータプライバシー法を持つのも自然なことです。

中国と欧州連合のデータプライバシー法の比較

欧州と中国のプライバシーデータ法の類似点と主要な相違点を見てみましょう。中国の法はEUの枠組みをモデルにしているため、多くの類似点に気づくかもしれません。ただし、中国でセンシティブなデータをどう管理するかに影響し得るいくつかの主要な相違点を取り上げます。

プロジェクトマネージャーと技術チームはいずれも、データ収集を少しでも検討するなら、プロジェクトの初期段階で法を認識しておく必要があります。EUの罰則と同様に、中国も法を綿密に守らないことに厳しい罰則を科しており、避けたいところです。

なぜ遵守が重要か

Didi（中国のUber）は、中国のサイバーセキュリティ当局がデータプライバシー法の遵守にどれほど真剣かを学びました。

2021年、DidiがニューヨークでのIPOで44億ドル超を調達した数日後、中国のサイバーセキュリティ当局は、個人データの違法な収集を理由に、Didiの二十数個のアプリをApp Storeから削除するよう命じました。

Didiの法違反は、IPO立ち上げ後の株価の急落の一因となりました。

全般的な類似点

重要性を理解したところで、二つのデータプライバシーの枠組みの類似点を見てみましょう。

欧州と中国のプライバシー法はいずれも、企業が個人データを収集する正当な根拠を持たねばならないと定めています。また、なぜ情報を収集し、どう使うかを説明する透明なプライバシーポリシーも持たねばなりません。

その他の類似点：

必要最小限のデータだけを取得する
データを他の目的に使ってはならない
必要最小限の範囲でのみ保持する
データ処理に消費者の同意を要する
個人は同意を提供し、自らのデータへの完全な権利と、それを消去する能力を持たねばならない

セキュリティ、侵害通知、データ保護責任者（DPO）、越境移転についても同様の要件があります。

主要な相違点

では、主要な相違点の一つを見てみましょう：

中国のサイバーセキュリティ・イニシアティブの第39条（旧第37条）が定めるところ：中国の法は、運営者が個人情報と重要データを中国国内のサーバーに保存することを求めます。越境移転は、データ主体が同意を提供し、運営者が安全評価に合格している限り、正当な業務上の必要のために認められます。

そのとおりです。慣れているものとは少し異なり、中国のサイバーセキュリティ法は、収集するすべての個人データを中国のサーバーに保存しなければならないと定めています。Didiが経験した負の影響を避けるためにも、Webアプリのプロジェクトの初期段階でこの根本的な違いを理解しておくことが重要です。

どう遵守し続けるか

第39条（旧第37条）に適合し続けるために検討できる選択肢がいくつかあります。

従来のアプローチ。代行会社を雇うか、社内リソースを活用して、サーバーのすべての保守・運用のセットアップと管理を行います。

あるいは、速さ・容易さ・コストを重視するなら、21YunBoxを使って、モダンで機敏なアプローチを採ることができます。

21YunBoxのソリューションは、中国本土で収集したすべての個人・センシティブデータを信頼できる中国のサーバーに保存することで、第39条（旧第37条）への適合を保つシンプルな手段を貴社の技術チームに与えます。その結果、技術チームはサーバーの運用と保守をすべて当社のプラットフォームに委ねることで、より重要な業務に時間を充てられます。そして最も重要なのは、貴社が法令に適合することです。

貴社のアプリを中国で動かす準備はできましたか？

導入のご相談（英語）ご質問は専門家へ（英語）。