OneTrustは中国本土で使えるか：同意データ、PIPL、データの国内保存
OneTrustはプライバシー・コンプライアンスのプラットフォームです——しかし自社のヘルプセンターは、顧客データが「中国には保存されない」とし、そのサービスは米国とEEAから運用されると述べています。中国本土にとって、それは収集する同意の記録をPIPLの下での越境移転に変え、ICP備案の土台はありません。データの国内保存と到達性のリスクを、コンプライアンス起点で読み解きます。
OneTrustは中国本土で使えるか
皮肉がそのまま答えです：OneTrustはプライバシー・コンプライアンスのプラットフォームでありながら、中国本土向けにそのまま使うと、それ自体がコンプライアンス上のリスクになりえます。問題は到達ではなく、中国ユーザーの同意の記録をどこに保持するかです。
OneTrust自身のヘルプセンターによれば、そのサービスは"provided from outside China, such as from the US and EEA"（米国やEEAなど、中国の外から提供）され、"customer data is not stored in China"（顧客データは中国には保存されない）とされます。したがって、中国の訪問者から取得する一つひとつの同意の記録・クッキースキャンの結果・データ主体リクエストは、本土を離れる個人情報です——これはPIPLが規律する越境移転であり（通知、個別の同意、移転メカニズム。第38〜43条）、CIIOや大量取扱者には国内保存の義務（PIPL 第40条、サイバーセキュリティ法 第39条（旧第37条））を伴います。バナー自体はオフショアのCDNから取得されるため、中国の内側からは遅く読み込まれる、または失敗することがあり——読み込めない同意ゲートは、それが守るページを止めうるのです。下の表はOneTrust自身の記述と、各行が引き起こすルールです。
これは判定ではなくリスクの見取り図です——負う義務はデータ量・取扱者としての役割・利用者が誰かで変わり、専門家と確定させる価値があります。当社の中国チームがリスクを一緒に可視化します →
コンプライアンス・スナップショット
- ! 同意とDSARの記録は本土の外（米国／EEA）に保存される
- ! それらの記録は国境を越える中国ユーザーの個人情報——PIPLが適用
- ✕ OneTrustは中国本土のホスティングリージョンを挙げていない
- ! オフショアのCDNから配信される同意バナーは、止まる、または読み込みに失敗することがある
- ! CIIO／大量取扱者は、OneTrustが提供できない国内保存の義務を負う
OneTrustの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| OneTrustは、顧客データを中国の外に保つと明言している。自身のヘルプセンターで、OneTrustはそのサービスが"provided from outside China, such as from the US and EEA"（米国やEEAなど、中国の外から提供）され、中国にデータセンターを運用しておらず、"customer data is not stored in China"（顧客データは中国には保存されない）と述べる。同意・プライバシーのプラットフォームにとって、それは論点の裏返しだ——中国のユーザーが同意したことを証明する記録それ自体が、オフショアに保持される個人情報であり、PIPLの下での個人情報の越境移転に当たる（通知、個別の同意、移転メカニズム。第38〜43条）。 | OneTrust Help Center — About China Hosting Options（2026-10-07 取得）；PIPL 第38〜43条 |
| OneTrustのホスティング拠点に中国本土は含まれない。ヘルプセンターによれば、OneTrustのクラウドホスティングはMicrosoft Azure上で動き、米国・カナダ・ブラジル・英国・欧州・オーストラリア・アジアにまたがる拠点に及ぶ——中国に最も近いものも依然として本土の外にある。国内リージョンの提供がないため、同意・クッキースキャン・データ主体リクエストのデータが置かれる本土のホスティングリソースはなく、ICP備案を紐づけるものもない。 | OneTrust Help Center — About OneTrust Hosting Options, Locations, and Backup（2026-10-07 取得） |
| 同意バナーはオフショアのCDNから配信され、ジオIP判定に紐づく。OneTrustの開発者ドキュメントは、スクリプトが設定を"The CDN location for the JSON that the SDK fetches"（SDKが取得するJSONのCDNの場所）——"Usually, but not always, cdn.cookielaw.org"（通常は、ただし常にではなく、cdn.cookielaw.org）——から取得すると説明し、任意の国コードが"can be used to bypass the automatic IP lookup performed by the SDK"（SDKが行う自動IP判定をスキップするために使える）と記す。したがって既定では、バナーは各訪問者をIPでジオロケーションする。本土の外から配信されると、そのゲートは中国の内側から遅く読み込まれる、または失敗することがあり、読み込めない同意バナーは、それがゲートするはずの当のページを止めうる。到達性は問いの配信の側面であって、使ってよいかを決める法的な側面ではない。 | OneTrust Developer Documentation — SDK configuration parameters（2026-10-07 取得） |
| 一部の取扱者にとって、データは中国にとどまらなければならない——そして本土の内側から提供することはICP備案を発動する。取扱者が重要情報インフラ運営者であるか、個人情報を量的に移転する場合、中国で収集した個人情報は本土内に保存しなければならない（PIPL 第40条、サイバーセキュリティ法 第39条（旧第37条））——オフショアの同意ストアには満たせないことだ。そして、中国の内側から実際に提供される公開サイトは、OneTrustが提供しない本土のホスティングリソースに紐づくICP備案（国務院令第292号、MIIT令第33号）を伴わなければならない。 | PIPL 第40条；サイバーセキュリティ法 第39条（旧第37条）；国務院令第292号；MIIT令第33号 |
情報源は21YunBox コンプライアンスチームが2026年10月7日に確認しました。
中国本土のオーディエンスにとって、OneTrustをめぐる問いには気まずいひねりがあります。OneTrustは、組織が法令適合を保つために買うツール——クッキー同意、データ主体リクエスト、クッキースキャン、データマッピング——でありながら、中国向けにそのまま使うと、それ自体がコンプライアンス上のリスクになりえます。これは速度の問題ではありません。バナーは中国に届きます。問題は、OneTrustが中国のユーザーから取得する同意の記録・クッキースキャンの結果・リクエストのデータが本土の外に保持され、バナーがオフショアのネットワークを経て届くことです。前者は中国の法の下でのデータ国内保存と越境の問い、後者は到達性の問いです。どちらもパフォーマンスの上流にあり、OneTrustはそのどちらも自身のドキュメントで答えています。
中国でのOneTrust：ひと目で
| 決め手 | OneTrust自身の言葉では |
|---|---|
| データはどこに置かれるか | OneTrustは、そのサービスが“provided from outside China, such as from the US and EEA”（米国やEEAなど、中国の外から提供）され、“customer data is not stored in China”（顧客データは中国には保存されない）と述べます。取得する同意・クッキースキャン・データ主体リクエストの記録はオフショアに置かれます。 |
| ホスティングのフットプリント | ヘルプセンターによれば、OneTrustのクラウドホスティングは、米国・カナダ・ブラジル・英国・欧州・オーストラリア・アジアの各拠点にまたがってMicrosoft Azure上で動きます。中国本土内のものはなく、最も近いものも依然としてオフショアです。 |
| バナーはどう届くか | 同意スクリプトは、その設定をオフショアのCDN——“Usually, but not always, cdn.cookielaw.org”（通常は、ただし常にではなく、cdn.cookielaw.org）——から取得し、自動のIP判定でエクスペリエンスを選びます。本土の外から配信されると、そのゲートは止まったり失敗したりしえます。 |
| 公衆への提供 | 中国の内側から本土の訪問者に提供されるサイトは、本土のホスティングリソースに紐づくICP備案を必要とします。OneTrustは中国本土リージョンを挙げていないため、備案を紐づける自前のものがありません。 |
| 中国のユーザーのデータ | OneTrustがオフショアに保存する個人情報は、PIPLが規律する越境移転であり、加えてオフショアのリージョンでは満たせない、CIIOや大量取扱者のためのデータ国内保存の義務があります。 |
同意の記録それ自体が個人情報——オフショアに保持される
気まずい部分は、偶発的なものではなく構造的なものです。OneTrustの仕事そのものは、貴社が個人情報を適法に取り扱ったことの証明——誰が、何に、いつ同意したか、そしてデータ主体リクエストの背後の証跡——を収集・保存することです。しかしOneTrustは自身のヘルプセンターで、そのサービスが”provided from outside China, such as from the US and EEA,“（米国やEEAなど、中国の外から提供）され、中国にデータセンターを運用しておらず、“customer data is not stored in China”（顧客データは中国には保存されない）と述べています。したがって、中国のユーザーが同意したことを証明する記録は、米国または欧州に保持されます——つまりこのプライバシーツールは、自らが記録するために存在する当のものを、ひそかに作り出してしまったのです。
中国の個人情報保護法（PIPL）の下では、それは越境移転であり、義務は個人情報の取扱者——OneTrustではなく貴社——に課されます。貴社は、通知し、海外移転について個別の同意を取得し、移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）をクリアしなければなりません（PIPL 第38〜43条）。同意を収集するツールは、その同意がその後どこに保存されるかに付随する義務を免じません。
本土リージョンがないため、国内保存もICPの土台もない
OneTrustのホスティング拠点は、ヘルプセンターによれば、米国・カナダ・ブラジル・英国・欧州・オーストラリア・アジアにまたがってMicrosoft Azure上で動きます——そのいずれも中国本土内にはなく、最も近いものも依然としてその外にあります。その地理が、パフォーマンスが絵に入ってくる前に、2つの別個の問いを決着させます。
第一に国内保存です。貴社が重要情報インフラ運営者または大量取扱者である場合、中国で収集した個人情報は本土内に保存しなければなりません（PIPL 第40条、サイバーセキュリティ法 第39条（旧第37条））——どれだけ調整しても、オフショアの同意ストアには満たせない義務です。第二にライセンスです。中国の内側から本土の訪問者に実際に提供される公開向けのサイトは、国務院令第292号とMIIT令第33号の下でICP備案（备案）を発動し、その備案は本土内に物理的に置かれたホスティングリソースに紐づかなければなりません。OneTrustはそれを提供しないため、OneTrustに備案を紐づけるものがありません。「プライバシーのためにすでにOneTrustを使っている」ことは、中国には引き継がれません。このツールが与えるはずのデータ取り扱いの物語こそ、ここでOneTrustが開いたまま残すものなのです。
オフショアから配信される同意ゲートは、ページを止めうる
到達性の側面も現実であり、同意バナーにとっては、ほとんどのスクリプト以上に鋭いものです。OneTrustの開発者ドキュメントは、クライアントが設定を”The CDN location for the JSON that the SDK fetches”（SDKが取得するJSONのCDNの場所）——“Usually, but not always, cdn.cookielaw.org”（通常は、ただし常にではなく、cdn.cookielaw.org）——から取得すると説明し、任意の国コードが”can be used to bypass the automatic IP lookup performed by the SDK”（SDKが行う自動IP判定をスキップするために使える）と記しています。したがって既定では、各訪問者はIPでジオロケーションされ、どのエクスペリエンスを表示するかが決まります。設定もそのIP判定も、本土の外で生じます。
バナーはしばしば、選択がなされるまでページをゲートするよう組み込まれます。したがって、オフショアから配信される同意スクリプトが中国の内側から遅く読み込まれる、または失敗すると、それは隅で静かに失敗するのではなく——それが守るはずの当のコンテンツを止めてしまいえます。それは法的な問題ではなく配信の問題ですが、中国向けのサイトでは2つが積み重なります——最も配信しにくいバナーが、同時に越境のリスクを運ぶバナーでもあるのです。
これは判定ではなくリスクの見取り図です。個別の同意、移転メカニズム、国内保存、ICP備案、あるいはそれらの組み合わせのどれが必要かは、データ量、取扱者としての役割、利用者が誰かによって変わります——頼りにする前に、専門家と確定させる価値があります。
21YunBoxの位置づけ——移行ではなく、法令適合のオーバーレイ
OneTrustはそのまま運用し続けます。当社が加えるのは、米国・EEAでホストされるプライバシープラットフォームが構造上できないピースです——法令に沿った、本土の内側からのICP備案済み配信を、既存のオリジンの前段に置きます。作り直しも、2つ目のコードベースも、OneTrustからの移行も要りません。当社の中国チームが、OneTrustが収集する同意・プリファレンスのデータに付随するPIPLの越境とデータ国内保存の義務を、貴社の法人・データ量に照らして整理し、合法的な中国拠点に必要な国内配信と保存を立ち上げます。その間、貴社のプライバシースタックはすでに動いているその場所にとどまります。
関連する読み物：
よくあるご質問
OneTrustは中国のユーザーの同意データを中国に保存しますか？
いいえ。OneTrust自身のヘルプセンターによれば、そのサービスは中国の外——「米国やEEAなど」——から提供され、「顧客データは中国には保存されない」とされます。中国の訪問者から取得する同意の記録・クッキースキャンの結果・データ主体リクエストはオフショアに保持され、それがそれらをPIPLの下での個人情報の越境移転にします：取扱者（OneTrustではなく貴社）が、通知・個別の同意・移転メカニズムを負います。
OneTrustはプライバシーツールなのに、なぜ中国でコンプライアンスのリスクになりうるのですか？
中国でのコンプライアンスは、ツールが何のためのものかではなく、データがどこに置かれるかで決まるからです。同意プラットフォームは、個人情報を適法に取り扱ったことを証明するために存在します——しかしその証明自体が米国やEEAに保存されるなら、貴社はPIPLが規律する当の越境移転を作り出したことになり、CIIOや大量取扱者にとっては、オフショアのストアでは満たせないデータ国内保存の義務となります。専門家と整理すべきリスクとして扱ってください——プライバシーツールを使うことは、それが収集する個人情報を中国の越境・国内保存のルールから免除しません。
21YunBoxはOneTrust設定を中国で使えるようにする手助けができますか？
はい。当社の中国チームが、リスクを可視化し——OneTrustが収集する同意・プリファレンスのデータに付随するPIPLの越境とデータ国内保存の義務を、貴社の法人・データ量・利用者に照らして評価し——すでに運用中のOneTrustスタックの前段に、法令適合の中国拠点に必要なICP備案済みの国内配信と保存を立ち上げます。個別のケースを整理するにはお問い合わせください。
