中国法の下で個人情報に当たるのは何か
中国の定義は多くのチームが想定するより広く、その広さこそが要点です。中国個人情報保護法（PIPL）の下で、個人情報とは識別された、または識別可能な自然人に関する、電子的またはその他の方法で記録されたあらゆる情報であり、匿名化された情報は除かれます。この文言は、欧米のプライバシー審査がテレメトリとして扱いかねないものを多く取り込みます——端末識別子、行動記録、位置の痕跡は、名前を伴うかどうかにかかわらず、個人に結びつけられる場合には個人情報です。2つ目のカテゴリーが切り出され、より厳格に扱われます——センシティブ個人情報で、生体情報、宗教信仰、医療・健康データ、金融口座、位置追跡などのカテゴリー、さらに14歳未満の未成年のあらゆる個人情報を含みます。中国でサイトやアプリを運営する者にとっての実務上の帰結は、分類それ自体ではありません。定義の内側に入るものこそが、データを国外へ移すことの条件を引き起こし、その条件は移転の後ではなく前に課される、ということです。
法が定義するもの、そしてその定義が重要な理由
| 事実 | 一次情報源 |
|---|---|
| PIPLは個人情報を、識別された、または識別可能な自然人に関する、電子的またはその他の方法で記録された情報と定義し、匿名化された情報を明示的に除外します。定義の内側に入れるのは、名前の有無ではなく識別可能性です。 | 中国個人情報保護法（PIPL）第4条——個人情報の定義 |
| センシティブ個人情報は、別個のより厳格なカテゴリーです——生体的特徴、宗教信仰、特定の身分、医療・健康情報、金融口座、位置追跡に加え、14歳未満の未成年のあらゆる個人情報を含みます。その取り扱いには、特定の目的、十分な必要性、そして個別の同意が求められます。 | 中国個人情報保護法（PIPL）第28条——センシティブ個人情報 |
| この分類こそが、国外へ出す経路を決めます。個人情報を中国本土の外へ移すには、法定の条件のいずれか——安全評価、認証、または標準契約——をあらかじめ満たす必要があり、事後に十分な保護措置で判断される類のものではありません。 | 中国個人情報保護法（PIPL）第38条——越境移転の条件 |
情報源は21YunBox China エンジニアリングチームが2026年8月30日に確認しました。
個人情報（个人信息）
個人情報とは、電子的またはその他の方法で記録され、単独で特定の自然人を識別できる、あるいは特定の自然人の活動状況を反映できる、各種の情報を指します。
GB/T 35273『情報セキュリティ技術——個人情報セキュリティ規範』附録A より
個人情報の例
デジタル時代において、個人情報の定義はより複雑になります。それには、電子的またはその他の方法で記録され、単独で、あるいは他の情報と組み合わせることで特定の自然人を識別できる各種の情報が含まれます。そうした情報の例には、氏名、生年月日、身分証番号、個人の生体識別情報、住所、連絡先情報、通信の記録と内容、アカウントのパスワード、財産情報、信用（与信）情報、行動軌跡、宿泊情報、健康・生理情報、取引情報などがあります。
ある情報が個人情報に当たるかどうかの判定には、2つの経路を考えます——識別と関連付けです。識別とは、情報そのものの固有性に基づいて特定の自然人を認識すること（情報から個人へ）であり、関連付けとは、既知の個人の活動から生じた情報を導くこと（個人から情報へ。たとえば個人の位置情報、通話記録、閲覧履歴など）です。いずれかの基準を満たす情報は、個人情報として分類すべきです。
表A.1：個人情報の例
- 個人基本情報： 氏名、生年月日、性別、民族、国籍、家族関係、住所、個人の電話番号、メールアドレス 等
- 個人身分情報： 身分証、軍人証、パスポート、運転免許証、社員証、出入国許可証、社会保障カード、居住証 等
- 個人生体識別情報： 遺伝子、指紋、声紋、掌紋、耳介、虹彩、顔認識の特徴 等
- ネットワーク識別情報： 個人情報主体のアカウント、IPアドレス、個人のデジタル証明書 等
- 個人の健康・生理情報： 病気の治療などに伴って生じる関連記録——症状、入院記録、処方せん、検査報告、手術・麻酔記録、看護記録、投薬記録、薬物・食物アレルギー情報、生育情報、既往歴、診療状況、家族歴、現病歴、感染症歴 等——および、体重、身長、肺活量など身体の健康状態に関する情報
- 個人の教育・職業情報： 職業、職位、勤務先、学歴、学位、教育歴、職歴、研修記録、成績証明 等
- 個人財産情報： 銀行口座、認証情報（パスワード）、預金情報（資金額、支払い・受取記録などを含む）、不動産情報、信用（与信）記録、信用情報、取引・消費記録、取引明細 等、ならびに仮想通貨・仮想取引・ゲームの交換コードなどの仮想財産情報
- 個人通信情報： 通信の記録と内容、SMS、MMS、電子メール、および個人の通信を記述するデータ（通常メタデータと呼ばれるもの）等
- 連絡先情報： アドレス帳、友だちリスト、グループリスト、メールアドレスのリスト 等
- 個人のインターネット利用記録： ログに保存される個人情報主体の操作記録——Webサイトの閲覧記録、ソフトウェアの使用記録、クリック記録、お気に入りリスト 等
- 個人の常用端末情報： ハードウェアのシリアル番号、端末のMACアドレス、ソフトウェア一覧、端末固有の識別コード（IMEI／Android ID／IDFA／OpenUDID／GUID／SIMカードのIMSI情報など）等を含む、個人が常用する端末の基本状況を記述する情報
- 個人の位置情報： 行動軌跡、精密な測位情報、宿泊情報、緯度経度 等
- その他の情報： 婚姻歴、宗教信仰、性的指向、未公開の違法・犯罪記録 等
注： 識別または関連付けの基準を満たすあらゆる内容は、個人情報とみなすべきです。個人情報の保護は極めて重要な務めであり、関連する規制を順守して慎重に取り扱わなければなりません。
原文（GB/T 35273 附録A・中国語）
个人信息（Personal Information）
以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。
From GB/T35273《信息安全技术个人信息安全规范》附录A
个人信息示例
个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，如姓名、出生日期、身份证件号码、个人生物识别信息、住址、通信通讯联系方式、通信记录和内容、账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息等。
判定某项信息是否属于个人信息，应考虑以下两条路径:一是识别，即从信息到个人，由信息本身的特殊性识别出特定自然人，个人信息应有助于识别出特定个人。二是关联，即从个人到信息，如已知特定自然人，由该特定自然人在其活动中产生的信息(如个人位置信息、个人通话记录、个人浏览记录等)即为个人信息。符合上述两种情形之一的信息，均应判定为个人信息。
表A.1给出了个人信息举例
- 个人基本资料: 个人姓名、生日、性别、民族、国籍、家庭关系、住址、个人电话号码、电子邮件地址等
- 个人身份信息: 身份证、军官证、护照、驾驶证、工作证、出入证、社保卡、居住证等
- 个人生物识别信息: 个人基因、指纹、声纹、掌纹、耳廓、虹膜、面部识别特征等
- 网络身份标识信息: 个人信息主体账号、IP地址、个人数字证书等
- 个人健康生理信息: 个人因生病医治等产生的相关记录，如病症、住院志、医嘱单、检验报告、手术及麻醉记录、护理记录、用药记录、药物食物过敏信息、生育信息、以往病史、诊治情况、家族病史、现病史、传染病史等，以及与个人身体健康状况相关的信息，如体重、身高、肺活量等
- 个人教育工作信息: 个人职业、职位、工作单位、学历、学位、教育经历、工作经历、培训记录、成绩单等
- 个人财产信息: 银行账户、鉴别信息(口令)、存款信息(包括资金数量、支付收款记录等)、房产信息、信贷记录、征信信息、交易和消费记录、流水记录等，以及虚拟货币、虚拟交易、游戏类兑换码等虚拟财产信息
- 个人通信信息: 通信记录和内容、短信、彩信、电子邮件，以及描述个人通信的数据(通常称为元数据)等
- 联系人信息: 通讯录、好友列表、群列表、电子邮件地址列表等
- 个人上网记录: 指通过日志储存的个人信息主体操作记录，包括网站浏览记录、软件使用记录、点击记录、收藏列表等
- 个人常用设备信息: 指包括硬件序列号、设备MAC地址、软件列表、唯一设备识别码(如 IMEI/Android ID/IDFA/OpenUDID/GUID/SIM卡 IMSI信息等)等在内的描述个人常用设备基本情况的信息
- 个人位置信息: 包括行踪轨迹、精准定位信息、住宿信息、经纬度等
- 其他信息: 婚史、宗教信仰、性取向、未公开的违法犯罪记录等
よくあるご質問
端末IDやCookieは中国で個人情報ですか？
それらから、直接または他のデータとの組み合わせで本人が識別可能なときは、個人情報です。PIPLは個人情報を、名前の有無ではなく、識別された／識別可能な自然人を基準に定義するため、再訪ユーザーを認識するために使う識別子は、名前がなくても一般に定義の内側に入ります。
何が個人情報を「センシティブ」にするのですか？
PIPLは判断に委ねるのではなくカテゴリーを列挙しています——生体的特徴、宗教信仰、特定の身分、医療・健康情報、金融口座、位置追跡、そして14歳未満の未成年のあらゆる個人情報です。このカテゴリーには追加の条件——特定の目的、十分な必要性、個別の同意——が伴います。
この分類は、なぜ当社のアーキテクチャにとって重要なのですか？
データが国外へ出られるか、どのような根拠で出られるかを決めるからです。情報が定義の内側に入る場合、それを中国本土の外へ移すには法定の条件のいずれかをまず満たす必要があり、これは後から追加する制御ではなく、設計時に行う配置の判断です。その経路と基準はこちらにまとめています。