Udemyは中国本土で使えるか：データの国内保存、ICP、越境ルール
Udemyは中国の受講者のアイデンティティ・受講登録・進捗・修了記録を保持し、Udemy Businessを通じては従業員の学習データも扱います。Udemy自身のドキュメントはデータセンターのベンダーを米国に置き、中国本土のリージョンを挙げていません。つまりそのデータはオフショアにあり、PIPLの越境とデータ国内保存の問いであり、中国向けの講座サイトにはICPと決済ライセンスの扉も伴います。
Udemyは中国本土で使えるか
中国の受講者に向けてUdemyを運用してよいかは、速度ではなくデータの国内保存とライセンスの問いです。Udemyの講座サイトは中国本土の内側から読み込めます——エクスポージャーはパフォーマンスではなく法律にあります。
Udemy自身のUdemy BusinessセキュリティFAQによれば、本サービスは「SaaSクラウドでホストされるWebアプリケーション」で、その「データセンターのベンダーは米国にある」——中国本土のリージョンは挙げられていません。つまり中国の受講者（Udemy Businessであれば中国従業員）のアイデンティティ・受講登録・進捗・小テスト結果・修了記録はオフショアに置かれます。これはPIPLが規律する個人情報の越境移転であり、通知・個別の同意・移転メカニズムを要し、CIIOや大量取扱者には国内保存を求めます。さらに本土の受講者に販売する中国向けの講座サイトを運用するなら、その公開面はICP備案とライセンスを持つ中国国内の決済チャネルを必要とするインターネット情報サービスです。
これは判定ではなくリスクの像です。義務は役割・データ量・中国向けストアフロントを運用するかどうかで変わります。当社の中国チームがUdemyのデータ・エクスポージャーを一緒に整理します →
コンプライアンス・スナップショット
- ! 中国本土から読み込める——だが到達性はコンプライアンスの判断軸ではない
- ! 中国の受講者のアイデンティティ・受講登録・進捗・修了記録を保持
- ! 個人情報のオフショアへの越境移転——PIPL第38〜40条が適用
- ✕ データセンターは米国、中国本土のリージョンも国内保存の選択肢もない
- ✓ 適法な経路あり：受講者データを国内に留め、講座サイトをICP備案
Udemyの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| Udemy自身の言葉：Udemy BusinessセキュリティFAQは、本サービスが「顧客（テナント）データを論理的に分離した共有インフラでホストされ」、「Udemyのデータセンターのベンダーは米国にある」と記載。同ページは中国本土のリージョンを一つも挙げておらず、中国の受講者・従業員の記録はオフショアに保持される。 | Udemy — Udemy Business Security FAQ（Data Location）、2026-10-13 取得 |
| Udemyの消費者向けプライバシーポリシーも、マーケットプレイスについて同じオフショアの土台を認める：「Learning Data（学習データ）」——「開始・修了した講座・課題・ラボ・ワークスペース・小テスト……修了証、バッジ」——を収集し、米国外の利用者に「当社はお客様のデータを米国に移転し、そこで処理しなければならない」と伝える。中国本土での保存は提供されない。 | Udemy — Privacy Policy, Sections 1 and 7.6、2026-10-13 取得 |
| Udemyは中国の受講者から収集したアイデンティティ・受講登録・進捗・修了記録を保持し米国で保存するため、中国で集めたデータは国外へ移転される。PIPL第38〜40条がその越境移転を規律する：取扱者（Udemyではなく、その顧客である貴社）は第13条・第23条の通知を行い、個別の同意を取得し、CACの安全評価・CAC標準契約・認証のいずれかを満たさなければならない。 | PIPL 第13条・第23条・第38〜40条（中国個人情報保護法） |
| CIIOまたは大量取扱者の場合、中国で収集した個人情報はサイバーセキュリティ法第39条（旧第37条）（英語）の下で本土内に保存しなければならない。別途、本土の受講者に提供される中国向けの講座サイトはICP備案を要するインターネット情報サービスであり、中国の受講者への講座販売はライセンスを持つ中国国内の決済チャネルを要する——いずれも到達性チェックには見えない。 | 中国サイバーセキュリティ法 第39条（旧第37条）；ICP備案の要件 |
情報源は21YunBox コンプライアンスチームが2026年10月13日に確認しました。
中国本土の受講者に研修を提供し、あるいは講座を販売する企業にとって、「Udemyは中国で使えるか」はたいてい間違った答え方をされます。上海でUdemyの講座を開けば再生されます。しかしそれは、中国の受講者に向けてUdemyを運用してよいかを決める問いではありません。Udemyはオンライン講座のマーケットプレイスであり、Udemy Businessを通じては従業員向けの学習プラットフォームです——そのいずれにおいても、受講者の個人データのシステムです。Udemyは、中国の受講者が誰であるか、どの講座に登録したか、どこまで進んだか、受けた小テストや評価、取得した修了証やバッジ、そして有料講座では注文・請求データを保持します。決め手は動画プレーヤーが描画されるかではありません。その受講者の個人情報が、Udemyが置いている場所に適法に存在してよいか——そして本土の受講者に向けた講座サイトを運用するなら、そのサイトが備案され、決済がライセンスされているか——です。これらはコンプライアンスの問いであり、到達性チェックはそのどれにも答えません。
Udemy自身のドキュメントが、ホスティングの側は明快に片をつけています。Udemy Businessのセキュリティに関するFAQは、「Data Location（データの所在）」という見出しのもとで、本製品を“SaaS cloud hosted Web Application”（SaaSクラウドでホストされるWebアプリケーション）と説明し、“Udemy data center vendors are located in the United States”（Udemyのデータセンターのベンダーは米国にある）と述べています。消費者向けのプライバシーポリシーもマーケットプレイスについて同じことを記し、“we must transfer your data to the United States and process it there”（当社はお客様のデータを米国に移転し、そこで処理しなければならない）としています。いずれも中国本土のリージョンを挙げていません。つまり中国の受講者の記録はオフショアに置かれ、中国に届くのは講座のコンテンツであって、規律対象のデータではありません。
中国でのUdemy：ひと目で
| 決め手 | Udemy自身の言葉で——そして中国の法では |
|---|---|
| Udemyが保持するもの | 講座プラットフォームは受講者の個人データのシステムです。中国の受講者のアイデンティティとログイン、受講登録、進捗・修了記録、小テストと評価の結果、修了証とバッジ、そして有料講座では注文・請求データ。Udemy Businessであれば、これは中国従業員の学習データです。これは個人情報であって、「動画がストリーミングできるか」ではありません。 |
| どこにホストされるか | Udemy BusinessのセキュリティFAQは本製品を“SaaS cloud hosted Web Application”とし、その“data center vendors are located in the United States”（データセンターのベンダーは米国にある）と記載。消費者向けプライバシーポリシーもデータは米国へ移転・処理されるとしています。中国本土のリージョンはなく、中国の受講者の記録はオフショアのリージョンに置かれます。 |
| 中国向けの講座サイト——対手が示せない第二の半分 | 本土の受講者に提供される講座ストアフロントやポータルはインターネット情報サービスであり、ICP備案（备案）が必要です。中国の受講者に講座を販売するなら、決済はライセンスを持つ中国国内のチャネルを通さなければなりません——ライセンスのないオフショア決済は適法な選択肢ではありません。到達性テストはこの扉を決して見ません。 |
| 国境を越える | 中国の受講者の記録をUdemyのオフショアのテナントに保持することは、PIPL第38〜40条の下での越境移転に当たり（CACの安全評価、標準契約、または認証）、第13条・第23条の通知と個別の同意を伴います。CIIOや大量取扱者には、サイバーセキュリティ法（英語）第39条（旧第37条）がそのデータの本土内保存を求めます。 |
| 到達性は判断軸ではない | Udemyは中国で読み込まれるので、「使えるか？」はここでは盲目です。決め手は受講者の記録がどこにあるか、同意と移転の根拠、そして中国向けの講座サイトが備案され決済がライセンスされているかです。21YunBoxは規律対象のデータを国内に留め、公開面をICP備案します——21YunBox Optimizerを、すでにお使いのUdemy環境の前段に置いて。 |
Udemyが保持するもの——そしてそれがなぜ受講者の個人情報なのか
まずプラットフォームが実際に保存しているものから。講座を運用するため、Udemyは各受講者の記録を保持します——その人が誰で、どの講座に登録し、何を始めて修了し、小テストや評価でどう採点され、どの修了証やバッジを取得したか。Udemy自身のプライバシーポリシーはこの「Learning Data（学習データ）」のカテゴリを明記しています——“which courses, assignments, labs, workspaces, and quizzes you’ve started and completed; content and subscription purchases and credits; subscriptions; completion certificates; badges”（開始・修了した講座・課題・ラボ・ワークスペース・小テスト、コンテンツやサブスクリプションの購入とクレジット、サブスクリプション、修了証、バッジ）——あわせて「Account Data（アカウントデータ）」（メールアドレス、パスワード、アカウント設定）、購入については氏名や請求先住所などの「Student Payment Data（受講者の決済データ）」も。中国の受講者にとって、これらの記録の一つひとつが、識別可能な個人についての個人情報です。Udemy Businessでは、それはHRに隣接するデータでもあります——従業員・役割・時間を通じた成長に結びつくからです。これは静的な講座動画とは別種のデータです。それがオフショアのテナントに存在するとき、それは海外に置かれた中国の受講者の個人情報であり——まさに中国の越境・国内保存ルールが対象とするものです。
だから有用な問いは、Udemyが中国から応答するかではありません。受講者の記録がどこに保持されているかであり——本土の受講者に向けた講座サイトを運用するなら——そのサイトが備案され、決済がライセンスされているかです。
Udemy自身のドキュメントがデータを米国に置いている
ここが到達性チェックには届かない部分であり、それはUdemy自身の言葉にあります。Udemy BusinessのセキュリティFAQは製品の「Data Location」を明快に示します——それは“hosted in a shared infrastructure with logical separation of customer (tenant) data”（顧客（テナント）データを論理的に分離した共有インフラでホストされ）、“Udemy data center vendors are located in the United States”（Udemyのデータセンターのベンダーは米国にある）。消費者向けマーケットプレイスも同じ土台に立っています——Udemyのプライバシーポリシーは米国外の利用者に対し“we must transfer your data to the United States and process it there”（当社はお客様のデータを米国に移転し、そこで処理しなければならない）と伝え、EEAと英国のデータを米国へ移すためにEU・米国データプライバシーフレームワークと標準契約条項（SCC）に依拠しています。両方のドキュメントを読み合わせると、像は一貫します——アイデンティティ・受講登録・進捗・評価・修了記録は米国で保持され、どのドキュメントも中国本土のリージョンや国内版を挙げていません。
これが罠のすべてです。速度や到達性のテストはブラウザをUdemyの講座に向け、上海から再生されるのを見て、Udemyは「中国で使える」と結論づけます。それが測っているのはコンテンツの経路です。規律対象のデータ——受講者の個人情報——は依然としてUdemyのオフショアの米国インフラにあり、動画の読み込み速度には左右されません。コンテンツを単に到達可能にすることが答えなのではなく、受講者の記録を国内に留めることが答えです。21YunBoxはいかなる不正な手段も用いず、また推奨しません。適法な経路は、規律対象のデータを中国の法が定める場所に留めることであって、何かを迂回することではありません。
第二の扉：中国向けの講座サイトはICP備案とライセンス決済が必要
国内保存は最初の扉にすぎません。第二の扉は、到達性チェックにはまったく見えないものです。講座ストアフロント、学習ポータル、あるいは任意の講座サイトを中国本土の受講者に公開するなら、そのサイトはインターネット情報サービスであり——本土の利用者に提供されるインターネット情報サービスは、本土のホスティングリソースに結びついたICP備案の義務を負います。そして、その受講者に講座を販売するなら、決済をライセンスのないオフショアのフローに適法に乗せることはできません。中国向けの商用サイトは、ライセンスを持つ中国国内のチャネルを通じて決済を処理しなければなりません。Udemy自身も注文処理のために「Student Payment Data」を収集しているため、そのフロー上に構築された中国向けの有料講座サイトは、まさにこのライセンスの問いを提起します。「上海で講座ページが開いたか？」は、そのサイトが備案されているか、決済がライセンスされているかについて何も教えてくれません。
国境を越えることと同意
オフショアのホスティングからは、中国法上の二つの義務が生じます。
第一に、国境の越え方です。中国の受講者の記録をUdemyのオフショアのテナントに保持することは、PIPL第38〜40条の下での個人情報の越境移転であり、データが国外へ出る前に法のいずれかの移転メカニズム——CACの安全評価、CAC標準契約、または認証——を満たすことを求めます。PIPL第13条と第23条がその上に重なります——データを処理する適法な根拠と、国外への移転についての個別の（単独の）同意が必要です。まとめて「規約に同意する」をクリックするだけでは、それを満たしません。
第二に、規律対象の取扱者にとっての国内保存です。重要情報インフラ運営者（CIIO）——あるいは実務上、しきい値に捕捉される大量取扱者——にとっては、サイバーセキュリティ法（英語）第39条（旧第37条——2025年のサイバーセキュリティ法改正が2026年1月1日に施行され、データ国内保存の条文が第37条から第39条に繰り上がりました。実質は不変です）が、中国で生成された個人情報を本土内に保存することを求めます。オフショアのみの学習テナントは、これと正面から緊張関係にあります。
これはリスクの見取り図であって、Udemyが中国で「ブロックされている」とか「違法だ」とかいう判定ではありません——そのどちらでもありません。どの義務が貴社のケースに効いてくるかは、法人、中国法上の役割、データ量、そして中国向けの講座サイトを運用するかどうかで変わります。中国の学習プログラムがこれらに依存する前に、専門家と具体を確定してください。
「読み込めるか？」のチェックがこれらすべてを見落とす理由
Udemyは中国で開けないプラットフォームではありません——その講座ページは読み込まれます。だからこそ、到達性や速度のテストは誤った計器なのです。「上海で講座プレーヤーが描画されたか？」は、中国の受講者の記録がオフショアの米国リージョンに置かれていたかどうか、移転のための第13条・第23条の個別の同意があったかどうか、第39条（旧第37条）の国内保存義務が貴社に適用されるかどうか、中国向けの講座サイトがICP備案されているかどうか、決済がライセンスを持つ中国国内のチャネルを通っているかどうかについて、何も教えてくれません。エクスポージャーは静かで、かつ持続的です——それはデータがどこにあるか、そして公開面をめぐる備案とライセンスに宿るのであって、レイテンシの数値には宿りません。
適法な経路——マッピング、国内化、配信
中国の受講者に向けて講座学習を運用する、法令に沿ったやり方があります。それはチームがすでに使っているUdemy環境の前段に置かれます——作り直しも、二つ目のスタックも、Udemyからの移行も不要です。
まず、マッピング：当社の中国チームが、お使いのUdemyまたはUdemy Businessの環境が正確に何を保持しているかを棚卸しします——どの中国の受講者・従業員に記録があるか、どのフィールド（アイデンティティ、受講登録、進捗、修了、評価、修了証、有料講座では注文・請求データ）が保存されているか、テナントがどこにホストされているか、各フローが依拠する同意と移転の根拠、そして備案とライセンス決済が必要な中国向けの講座サイトを運用しているかどうか。技術的な像は当社が作ります。法的な結論は専門家と確定します。
次に、国内化／ガバナンス：中国の受講者のデータが関わるところでは、法令に沿ったパターンは、規律対象の受講者記録を国内に留めることです——単に到達可能にしたオフショアのテナントに頼るのではなく、中国にレジデントな、あるいは国内に配置した学習面の上に。処理と移転の前段に第13条・第23条の通知と個別の同意を置き、国境を越えるものを最小化する支援をします。国内化とはデータを国内に留めることであり、個人情報をひそかに国境の向こうへ送り出す経路を意味することは決してありません。
そして、配信：本土の受講者に公開する中国向けの講座ポータルはインターネット情報サービスであり、ICP備案の義務を負い、その受講者に販売するところではライセンスを持つ中国国内の決済経路を伴います。21YunBoxがそれを——21YunBox Optimizerを——すでにお使いの環境の前段に立ち上げます。Udemyのコンテンツを中国に単に到達させることが答えなのではなく、規律対象の受講者データを、同意された経路の上で国内に留め、中国向けの公開面を備案しライセンスすることが答えです。21YunBoxはお使いのUdemy環境へのコンプライアンスのオーバーレイでありパートナーであって、競合ではありません。
関連する読み物：
よくあるご質問
Udemyは中国の受講者のデータを中国に保存しますか？
いいえ。Udemy自身のUdemy BusinessセキュリティFAQによれば、データセンターのベンダーは米国にあり、消費者向けプライバシーポリシーもデータは米国へ移転・処理されるとしています。いずれも中国本土のリージョンを挙げていないため、中国の受講者のアイデンティティ・受講登録・進捗・修了記録はオフショアに保持されます。
中国でUdemyを使うのは違法ですか？
本質的に違法ではありません。問題は中国の受講者の個人情報の越境移転であり、PIPLは、通知し、個別の同意を取得し、移転メカニズムを満たせばこれを認めます。さらにデータ国内保存の義務を負うかどうかは、役割（たとえばCIIOかどうか）とデータ量によります。そして本土の受講者に販売する中国向けの講座サイトを運用するなら、その公開面にはICP備案とライセンスを持つ中国国内の決済チャネルが必要です。一律の禁止ではなく、専門家と評価すべきリスクとして扱ってください。
21YunBoxは当社のUdemy構成を中国で法令適合にできますか？
はい。当社の中国チームが、お使いのUdemyまたはUdemy Businessの環境が何を保持しどこにホストされているかを整理し、規律対象の受講者データを適切な通知と個別の同意のもとで国内に留める支援をし、既存のUdemy環境の前段に中国向けの講座ポータルを——本土の受講者に販売するところではライセンスを持つ中国国内の決済経路を伴って——ICP備案して配信します。お問い合わせいただければ、個別のケースを一緒に整理します。
