Usercentricsは中国本土で使えるか：同意データ、PIPLの個別の同意、データの国内保存
Usercentricsは同意管理プラットフォームです——しかし自身のプライバシーポリシーは、処理する同意データが「Google Cloud EMEA Ltdが提供するGoogle Cloud Platform」上で、「ドイツとベルギーに所在するサーバー」で動くとしており、本土ではありません。中国にとってこれは、中国ユーザーについて保持する同意シグナル・デバイスとIPの識別子・同意記録を、PIPLの下での越境移転に変えます——そしてGDPR型のバナーはPIPLの個別の同意の体系を満たしません——ICP備案の土台も国内保存もないまま。データの国内保存と同意体系のエクスポージャー、そして適法な国内経路をコンプライアンス起点で読み解きます。
Usercentricsは中国本土で使えるか
皮肉がそのまま答えです：Usercentricsは同意管理プラットフォームですが、中国本土向けにそのまま運用すると、それ自体のコンプライアンスのエクスポージャーになりえます。問題はバナーが読み込まれるかではなく、中国ユーザーの同意記録をどこに保持するか、そして欧州のバナーが中国法の下で同意として通用するか、です。
Usercentrics自身のプライバシーポリシーは、処理する同意データが「Google Cloud EMEA Ltdが提供するGoogle Cloud Platform」上で動き、「サーバーはドイツとベルギーに所在する」——EUであって本土ではない——とします。したがって中国の訪問者について保持する同意シグナル・デバイスとIPの識別子・同意記録はすべて、オフショアに保持される個人情報です：PIPLの下での越境移転（通知・個別の同意・移転メカニズム、第38〜40条）であり、CIIOや大量取扱者には国内保存義務（PIPL第40条、サイバーセキュリティ法第39条（旧第37条））を伴います。そしてGDPR型の受諾/拒否のバナーはPIPLの同意体系が求めるものではありません——同意は任意・明示・十分な情報に基づくものでなければならず（第14条）、国外移転には独自の個別の同意が要ります。下の表はUsercentrics自身の文言と、各行が発動させるルールです。
これは判定ではなくリスクの見取り図です——何を負うかはデータ量・取扱者としての役割・ユーザーが誰かで変わり、専門家と確定する価値があります。当社の中国チームがエクスポージャーを一緒に整理します →
コンプライアンス・スナップショット
- ! 同意記録はEU（Google Cloud、ドイツとベルギー）に保存され、本土ではない
- ! それらの記録は国境を越える中国ユーザーの個人情報——PIPLが適用（第38〜40条）
- ! GDPR型のCookieバナーはPIPLの個別の同意の体系を満たさない
- ✕ Usercentricsは中国本土のホスティングリージョンを挙げていない
- ! CIIO・大量取扱者はUsercentricsが提供できない国内保存を負う
- ! オフショアから配信される同意ゲートは止まる、または読み込みに失敗しうる
Usercentricsの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| Usercentricsは同意データのサーバーがEU——ドイツとベルギー——にあるとしている。現行のプライバシーポリシーは、同意管理プラットフォームが処理する同意データが「Google Cloud EMEA Ltdが提供するGoogle Cloud Platform」上で動き、「サーバーはドイツとベルギーに所在する」とする。同意プラットフォームにとってそれは逆向きの要点だ：中国ユーザーが同意したことを証明する記録それ自体がオフショアに保持される個人情報——PIPLの下での個人情報の越境移転（通知・個別の同意・移転メカニズム、第38〜40条）だ。 | Usercentrics Privacy Policy、2026-10-09 取得；PIPL 第38〜40条 |
| Usercentricsは中国本土のホスティングリージョンを挙げていない。同じプライバシーポリシーは同意データのサーバーをドイツとベルギーのGoogle Cloud——いずれもEU内——に置き、中国本土のどこも挙げない。国内リージョンの提供がないため、同意シグナル・デバイスとIPの識別子・同意記録が存在する本土のホスティングリソースがなく、ICP備案を紐づける対象もない。 | Usercentrics Privacy Policy、2026-10-09 取得 |
| GDPR型の同意バナーはPIPLが求める同意ではない。中国のPIPLは、任意・明示・十分な情報に基づいて与えられる同意（第14条）と、個人情報が中国外に送られる前の独立した個別の同意（第38〜40条）を求める。欧州の受諾/拒否のフローは、それ自体では、収集するまさにそのシグナルの国外移転についての、その個別の中国特有の同意を生まない——ので、GDPRの下で有効なバナーでもPIPLの同意義務を満たさないまま残りうる。専門家と確定すべきリスクとして扱うこと。 | PIPL 第14条・第38〜40条（全国人民代表大会）、2026-10-09 取得 |
| 一部の取扱者ではデータは中国に留まらなければならず——中国の内側から配信するとICP備案が発動する。取扱者が重要情報インフラ運営者であるか、個人情報を量で動かす場合、中国で収集した個人情報は本土内に保存しなければならず（PIPL第40条、サイバーセキュリティ法第39条（旧第37条）（英語））——EUの同意ストアには満たせず——一定のしきい値を超えると移転が中国のデータ越境安全評価（英語）を要することがある。中国の内側から実際に配信される公開サイトも、Usercentricsが提供しない本土のホスティングリソースに結びついたICP備案（国務院令第292号、工業・情報化部令第33号）を担わなければならない。 | PIPL 第40条；サイバーセキュリティ法 第39条（旧第37条）；国務院令第292号；工業・情報化部令第33号 |
情報源は21YunBox コンプライアンスチームが2026年10月9日に確認しました。
中国本土の利用者にとって、Usercentricsには組み込みの皮肉があります。同意管理プラットフォームとは、まさに企業がプライバシー法の正しい側に立つために導入するもの——Cookieバナー、粒度の細かいオプトイン、訪問者が同意したという署名入りの記録です。しかし、出荷されたそのままで中国に向けると、同じツールがそれ自体のエクスポージャーに変わりえます。問いはバナーが読み込まれるかではありません。それは、Usercentricsが中国の訪問者から読み取る同意シグナル・デバイスとIPの識別子・行動データ——そしてそれが保持する同意記録——が本土の外のサーバーに落ち着くこと、そして欧州の同意ルール向けに設計されたバナーが、中国の法が求める同意ではないことです。前者はデータの国内保存と越境の問いであり、後者は同意体系の問いです。どちらもパフォーマンスより前にあり——そしてUsercentricsは前者を自身のプライバシーポリシーで決着させています。
中国でのUsercentrics：ひと目で
| 決め手 | Usercentrics自身の言葉で——そして中国の法では |
|---|---|
| Usercentricsが捕捉するもの | Usercentricsは同意バナー、粒度の細かいオプトイン、同意のロギングを担います。したがって各訪問者の同意の選択、デバイスとIPの識別子、行動シグナルを読み取り、同意したという日付入りの記録を保持します——その一つひとつが個人情報です。 |
| 記録はどこにあるか | プライバシーポリシーは、処理する同意データが“the Google Cloud Platform, provided by Google Cloud EMEA Ltd”上で動き、“The servers are located in Germany and Belgium.”（サーバーはドイツとベルギーに所在）とします。どちらもEU内で、中国本土のリージョンは挙げていません。 |
| 欧州のバナーはPIPLの同意ではない | 中国のPIPLは独自の同意体系を持ちます——同意は任意・明示・十分な情報に基づくものでなければならず（第14条）、個人情報が国外に送られる前に別個の特定の同意が必要です（第38〜40条）。GDPR型の受諾/拒否のフローは、それ自体ではその個別の同意を生みません。 |
| 中国ユーザーの記録 | 中国の人々から収集しEUで保持される同意の選択・デバイスとIPの識別子・同意記録は、PIPLが規律する個人情報の越境移転（第38〜40条）です：通知、個別の同意、クリアした一つの移転メカニズム。 |
| 国内保存と公開への配信 | 重要情報インフラ運営者や大量取扱者にとっては、中国で収集した個人情報は本土に留まらなければなりません（PIPL第40条、サイバーセキュリティ法第39条（旧第37条））——EUのストアにはできないことです。中国の内側から配信されるサイトも、Usercentricsが提供しない本土のホスティングリソースに結びついたICP備案が必要です。 |
同意の記録それ自体が個人情報であり——そしてそれはEUに存在する
厄介な部分は細部ではなく構造的です。同意管理プラットフォームは、個人情報を適法に扱った証拠——訪問者が行った選択、許可したカテゴリ、その背後の日付入りのレシート——を捕捉し保持するために存在します。しかしUsercentrics自身のプライバシーポリシーは、そのプラットフォームが処理する同意データが*“the Google Cloud Platform, provided by Google Cloud EMEA Ltd,“上で動き、“The servers are located in Germany and Belgium.”*（サーバーはドイツとベルギーに所在）とします。つまり、中国ユーザーが同意したことを証明する記録は欧州連合に保持されます——プライバシーツールが、それが文書化するために存在するまさにそのものを、ひそかに生み出したわけです。
中国の個人情報保護法の下では、それは越境移転であり、義務は個人情報の取扱者——Usercentricsではなく貴社——に落ちます。貴社は、通知、国外移転についての個別の同意、そしてクリアした一つの移転メカニズム——CACの安全評価、CAC標準契約、または認証——を負います（PIPL第38〜40条）。同意を集めるプラットフォームは、その同意が次にどこに保存されるかに紐づく義務を吸収しません。
欧州の同意バナーは中国が求める同意ではない
ここで皮肉が鋭くなります。Usercentricsはまず欧州の同意ルール向けに作られ、GDPRの下で完璧なバナーでも依然PIPLには届かないことがあります——中国が、より軽いのではなく、異なる同意体系を運用しているからです。PIPLは同意が任意かつ明示的に、十分な情報に基づいて与えられることを求めます（第14条）。さらに踏み込んで、特定の処理——その中に人のデータを中国外に送ることが含まれます（PIPL第38〜40条）——には、Cookieへの一般的な同意とは別の、独立した個別の同意を求めます。GDPR型の受諾/拒否のフローや正当な利益のトグルは、それ自体では、バナーが収集しているまさにそのシグナルの国外移転についての、その個別の、中国特有の同意を生みません。
カテゴリも重要です：正確な位置情報や特定の識別子はセンシティブな個人情報に当たりうり、それ自体の個別の同意と必要性のテストを伴い、目的が変わるたびに同意を取り直さなければなりません。これらはツールへの非難ではありません——GDPRの下で有効な同意記録が、中国法の下で自動的に有効な同意記録になるわけではない、ということです。貴社の設定がPIPLの基準をクリアするかは専門家の問いであり、それはバナーが描画されるかとは別の問いです。
本土リージョンがないので、国内保存もICPの土台もない
Usercentricsは同意データの所在としてドイツとベルギーのGoogle Cloudを挙げ、中国本土のリージョンは公表していません。その地理が、速度が視野に入るより前にさらに二つの問いを決着させます。
第一に、国内保存。重要情報インフラ運営者や大量取扱者であれば、中国で収集した個人情報は本土内に保存しなければなりません（PIPL第40条、サイバーセキュリティ法（英語）第39条——データ国内保存の条文は、2026年1月1日に施行された2025年のサイバーセキュリティ法改正で第37条から第39条に繰り上げられ、実質は不変）。EUにレジデントな同意ストアはどう設定してもその義務を満たせず、一定の量のしきい値を超える場合——または記録が重要データに当たる場合——移転それ自体が、何かが出る前に中国のデータ越境安全評価（英語）を要することがあります。第二に、ライセンス。中国の内側から本土の訪問者に実際に配信される公開サイトは、国務院令第292号と工業・情報化部令第33号の下でのICP備案（ICP备案）で決まり、その備案は本土に物理的に所在するホスティングリソースに紐づかなければなりません。Usercentricsはそれを提供しないので、Usercentrics上に備案を紐づける対象がありません。「うちはもう同意のためにUsercentricsを使っている」は国境を越えて通用しません。プラットフォームが手渡すはずのクリーンなデータ取り扱いの物語こそ、中国でそれが開いたまま残すものです。
オフショアから配信される同意ゲートはページを止めうる
到達性の側も現実で、同意バナーにとっては通常のスクリプトより強く効きます。バナーとその設定は、ページが落ち着く前にブラウザが取得するクライアント側のアセットであり、UsercentricsのインフラがEUにあるため、中国のユーザーに届くのにあらゆるオフショアのアセットと同じ越境のラウンドトリップをします。同意ゲートはしばしば、訪問者が選ぶまでページを保留するよう配線されます——ので、本土の内側から遅く読み込まれる、あるいは失敗すると、それは脇で静かに止まるのではなく、守るはずのまさにそのコンテンツを止めうります。
これは法的ではなく配信の問題ですが、中国向けのサイトでは二つが複合します：最も配信が難しいゲートが、越境のエクスポージャーを抱えるゲートでもあるのです。当社はここでUsercentricsについて一次情報としての中国レイテンシ値を一切公表しません。速度はこの判断が回る軸ではなく、方法・サンプル・日付のない数字は誤解を招くだけだからです。そして21YunBoxが決してしないこと——そしていかなる適法なプロバイダーも提供できないこと——は、中国のデータ越境ルールやネットワーク制限を避けて通ることです：当社はいかなる不正な手段も用いず、また推奨しません。
これはリスクの見取り図であって判定ではありません。個別の同意、移転メカニズム、国内保存、データ越境評価、ICP備案、あるいはそれらの組み合わせのいずれを負うかは、データ量、取扱者としての役割、ユーザーが誰かで変わります——依存する前に専門家と確定する価値があります。
適法な経路——マッピング、国内化、配信
中国向けの利用者に同意管理を運用する、法令に沿ったやり方があり、それには形があります。まず、マッピング：当社の中国チームが、Usercentricsが記録する同意・デバイス・行動データに紐づくPIPLの越境・同意・データ国内保存の義務を——貴社の法人、データ量、ユーザーが誰かに照らして——洗い出し、個別の同意、データ越境評価、国内保存の義務がどこで効くかを記します。法的な結論は専門家と確定し、それを支える技術的な像は当社が作ります。
次に、国内化：国内に留まらなければならない記録のために、中国にレジデントな同意ストアとPIPLに沿った同意フロー——任意・明示的で、中国が求める個別の特定の同意ができるもの——を、ICP備案済みの国内の土台の上に立ち上げ、統合します。それは、同意された国内での処理と保存という適法な国内のパターンであり、適法に出せないものはもう出なくなり、一方でUsercentricsはすでに役立っている市場のために使い続けます。
そして、配信：同意ゲートを提示する中国向けのサイトやアプリそれ自体が本土での公開サービスなので、ICP備案の義務を負い、法令に沿った国内配信を必要とします。21YunBoxがそれを——21YunBox Optimizerを——すでにお使いのものの前段に置いて国内配信します——作り直しも再プラットフォーム化もなく。結果は、中国のユーザーのために適法かつ法令に沿って動く同意の設定です。
関連する読み物：
よくあるご質問
Usercentricsは中国ユーザーの同意データを中国に保存しますか？
いいえ。自身のプライバシーポリシーによれば、Usercentricsが処理する同意データは「Google Cloud EMEA Ltdが提供するGoogle Cloud Platform」上で動き、「サーバーはドイツとベルギーに所在する」——EUであって本土ではありません。中国の訪問者について保持する同意の選択・デバイスとIPの識別子・同意記録はオフショアに保持され、それがPIPLの下での個人情報の越境移転になります：取扱者（Usercentricsではなく貴社）が通知・個別の同意・移転メカニズムを負います。
当社のUsercentricsバナーはGDPR適合です——中国にはそれで十分では？
それ自体では十分ではありません。PIPLは、より軽いのではなく別個の体系です：同意は任意・明示・十分な情報に基づくものでなければならず（第14条）、個人情報を中国外に送るには、Cookieへの一般的な同意に加えて、独自の独立した個別の同意が要ります（第38〜40条）。GDPRの受諾/拒否のフローは、それ自体ではその中国特有の個別の同意を生まず、正確な位置情報や特定の識別子はセンシティブな個人情報に当たり独自のテストを伴いえます。専門家と詰めるべきリスクとして扱ってください——GDPRの下で有効な同意記録が、中国法の下で自動的に有効なわけではありません。
21YunBoxは当社のUsercentrics構成を中国で使えるようにできますか？
はい。当社の中国チームが、Usercentricsが記録する同意・デバイス・行動データに紐づくPIPLの越境・同意・データ国内保存の義務を——貴社の法人・データ量・ユーザーに照らして——整理し、法令に沿った中国プレゼンスが必要とするICP備案済みの国内配信と保存を、すでにお使いのUsercentricsスタックの前段に立ち上げます。お問い合わせいただければ、個別のケースを一緒に整理します。
