china-pipl

中国PIPLコンプライアンス

概要

中華人民共和国個人情報保護法（PIPL、个人信息保护法）は、2021年8月20日に全国人民代表大会常務委員会で採択され、2021年11月1日に施行されました。PIPLは、中国初の包括的な国家個人情報保護法です。2017年6月1日施行のサイバーセキュリティ法（CSL）および2021年9月1日施行のデータセキュリティ法（DSL）と連携し、中国のデータガバナンスの枠組みを形成しています。

主な規制当局は中国国家インターネット情報弁公室（CAC、国家互联网信息办公室）であり、法執行権限は公安部、工業情報化部（MIIT）、および各分野の規制当局と共有されています。

適用範囲および域外適用

領域的適用範囲（第3条）

PIPLは、以下に適用されます。

1. 中華人民共和国の領域内にいる自然人の個人情報の処理（第3条第1項）
2. 以下を目的とする場合に、中華人民共和国の領域内にいる自然人の個人情報を中華人民共和国の領域外で処理すること
   • 中華人民共和国の領域内にいる自然人に製品またはサービスを提供すること（第3条第2項第1号）
   • 中華人民共和国の領域内にいる自然人の行動を分析または評価すること（第3条第2項第2号）
   • 法律または行政法規に定めるその他の状況（第3条第2項第3号）

域外コンプライアンス（第53条）

第3条第2項に該当する国外の個人情報取扱者は、以下を行う必要があります。

• 個人情報保護に関する事項を取り扱うため、中華人民共和国の領域内に専用の組織を設立するか、代表者を指定する
• 当該組織または代表者の名称と連絡先を、関係するCAC部門に届け出る

Zenith Global Enterprisesの実施内容：Zenithは、上海オフィス（Zenith Global Logistics (Shanghai) Co., Ltd）を中華人民共和国における代表組織として指定し、現地のデータ保護マネージャーを指定連絡先としています。

処理の法的根拠（第13条）

根拠	PIPLの条文	主な要件
同意	第13条第1項	自由意思による、明示的かつ十分な情報に基づく同意。機微な個人情報、越境移転、および一般公開には個別の同意が必要
契約上の必要性	第13条第2項	本人が当事者となる契約の締結または履行に必要であること、または適法に制定された労働規則に基づく人事管理に必要であること
法定の職務または義務	第13条第3項	法定の職務または義務の履行に必要であること
公衆衛生上の緊急事態	第13条第4項	公衆衛生上の緊急事態への対応、または緊急時に生命・財産を保護するために必要であること
公益活動	第13条第5項	報道、世論監督、その他の公益活動のため、合理的な範囲内で処理すること
適法に公開された個人情報の合理的な範囲内での処理	第13条第6項	本人がすでに公開した情報、またはその他の適法な手段で公開された情報
法律・行政法規に定めるその他の状況	第13条第7項	分野別の法令に対応する包括規定

GDPRとの主な相違点：PIPLには、独立した正当な利益の法的根拠がありません。第13条第6項（適法に公開された情報の処理）が最も近いものの、適用範囲ははるかに狭いです。

同意の枠組み

一般的な同意要件（第14～16条）

要件	PIPL の規定	実装
自発性	第14条	同意を欺瞞、強制、または誘導によって取得してはなりません。PI がサービスの提供に必要でない限り、同意を拒否したことのみを理由にサービスを拒否してはなりません
十分な情報に基づくこと	第14条	個人には、同意する前に十分な情報を提供する必要があります。情報は第17条に従って提供します
明示性	第14条	明確な肯定的行為が必要です。あらかじめチェックされたボックスや一括同意は不適合です
撤回	第15条	個人には同意を撤回する権利があります。処理者は、簡便な撤回手段を提供する必要があります。撤回しても、過去の適法な処理には影響しません
個別の同意	第23条、第25条、第26条、第29条、第39条	特定の高リスクな処理シナリオで必要です（以下を参照）

個別の同意が必要となる条件（单独同意）

PIPL は、以下の処理活動について、個別の同意（单独同意、dāndú tóngyì）、すなわち他の同意取得とは独立して取得する同意を求めています。

条件	条文	状況
PI の他の処理者への提供	第23条	処理者が個人情報を別の処理者に提供する場合
PI の公開	第25条	処理者が個人情報を公開する場合
公共の監視によって取得した画像／個人識別情報の処理	第26条	公共の安全以外の目的で、公共の場所で収集した画像または個人識別情報を使用する場合
機微な個人情報の処理	第29条	機微な PI のすべての処理に個別の同意が必要であり、必要性と影響の開示も必要です
PI の越境移転	第39条	国際移転には、所定の開示を伴う個別の同意が必要です

Zenith Global Enterprises の実装：

• 同意管理プラットフォームを、各条件のシナリオに個別の同意フローが設けられるように設定
• 顧客のオンボーディングでは、（a）主要サービスの処理、（b）物流パートナーとのデータ共有、（c）本社への越境移転、（d）信用評価（機微な PI）について、個別の同意チェックボックスを設置
• 従業員の同意フローでは、（a）雇用データの越境移転、（b）バックグラウンドチェック（機微な PI）について個別の同意を設置

機微な個人情報（第28条）

定義

機微な個人情報（敏感个人信息）とは、漏えいまたは違法に使用された場合、自然人の尊厳を侵害したり、本人または財産の安全を損なったりする可能性が高い個人情報です。以下が含まれます。

• 生体情報
• 宗教的信条
• 特定の身元情報（ID 番号を含む）
• 医療・健康情報
• 金融口座情報
• 位置追跡情報
• 14歳未満の未成年者の個人情報

処理要件（第28～32条）

要件	詳細
個別の同意	第29条：個別の同意が必要です。法律または規則で求められる場合は、書面による同意が必要です
必要性の根拠	第28条：具体的な目的と十分な必要性がなければなりません
影響評価	第55条：処理前に個人情報保護影響評価（PIPIA）が必要です
通知	第30条：必要性と権利への影響を本人に通知します。14歳未満の未成年者については、親または後見人の同意を取得します
保存期間の最小化	第28条：厳格な保護措置を講じ、保存期間を最小限に抑えます

Zenith Global Enterprises の要配慮個人情報登録簿

データの種類	分類	目的	同意の種類	PIPIA 参照
国民 ID 番号（身份证号）	特定の個人識別情報	通関時の本人確認	個別の書面による同意	PIPIA-CN-001
金融口座情報	金融情報	貨物運賃の決済処理	個別の同意	PIPIA-CN-002
従業員の健康証明書	医療・健康情報	労働安全規則の遵守	個別の同意	PIPIA-CN-003
配送車両の GPS 追跡情報	位置情報	顧客向けのリアルタイムな貨物追跡	個別の同意（運転手）	PIPIA-CN-004

越境移転の仕組み（第 38～43 条）

3 つの必須の仕組み

PIPL では、処理者の規模や性質に応じて適用される、個人情報を中国国外に移転するための主な仕組みを 3 つ定めています。

1. CAC のセキュリティ評価（第 40 条、CAC 措置は 2022 年 9 月 1 日施行）

必要となる場合（以下のいずれかに該当する場合に必須）：

• 重要情報インフラ運営者（CIIO）が個人情報を国外に移転する場合
• 100 万人以上の個人情報を処理する処理者
• 前年 1 月 1 日以降、累計で 10 万人以上の個人情報を国外に移転した処理者
• 前年 1 月 1 日以降、累計で 1 万人以上の要配慮個人情報を国外に移転した処理者

手続き：

1. 自己評価（個人情報保護影響評価）を実施します
2. 省級 CAC 事務所を通じて CAC に申請書を提出します
3. CAC は 45 営業日以内に評価を完了します（複雑な案件ではさらに 15 営業日の延長が可能です）
4. 評価結果の日付から 2 年間有効で、期限到来時に更新できます

Zenith Global Enterprises の状況：Zenith は中国で 10 万人を超える顧客および従業員の個人情報を処理し、累計で 10 万人を超える個人の個人情報を国外に移転しているため、CAC のセキュリティ評価が必須の移転の仕組みです。

2. 越境移転に関する標準契約（第 38 条第 2 項、CAC 措置は 2023 年 6 月 1 日施行）

適用される場合（すべての条件を満たす必要があります）：

• 処理者が CIIO ではない
• 処理者が 100 万人未満の個人情報を処理する
• 前年 1 月 1 日以降の越境移転の累計が、10 万人未満の個人の個人情報である
• 前年 1 月 1 日以降の越境移転の累計が、1 万人未満の個人の要配慮個人情報である

手続き：

1. 個人情報保護影響評価を実施します
2. CAC が公表した標準契約を国外の受領者と締結します
3. 契約の発効後 10 営業日以内に、締結済みの契約を省級 CAC 事務所に届け出ます

標準契約の主な条項：

• 国外の受領者による処理の目的、範囲、方法
• データ保護に関する国外の受領者の義務
• 個人の権利を保護する仕組み
• 救済措置と責任の配分
• 契約の終了条件

3. 個人情報保護認証（第 38 条第 3 項、TC260 仕様は 2022 年 11 月施行）

適用される場合：

• 多国籍企業グループ内、または同一の個人情報保護方針の適用を受ける事業体間の越境移転
• 標準契約の基準を満たす処理者

手続き：

1. 処理者と国外の受領者が、認定された認証機関に共同で申請します
2. 認証機関が「越境処理活動に関する TC260 仕様」への準拠を評価します
3. 認証は 3 年間有効で、年次の監督監査を受けます
4. 両当事者は、認証機関および CAC による監督を受け入れる必要があります

CAC の規制緩和措置（2024 年 3 月）

CAC は「越境データフローの促進および規制に関する規定」（2024 年 3 月 22 日施行）を発表し、以下の適用除外を導入しました。

適用除外	条件
契約／人事管理上の必要性	個人が当事者である契約の締結・履行、または適法に制定された労働規則に基づく人事管理に、越境移転が必要であること
少量の移転	取扱者が、1 年以内に 100,000 人未満（機微な個人情報を除く）の個人情報を国外に移転する見込みであること
自由貿易区	指定された自由貿易区からの移転が、当該区のネガティブリストの対象であること

重要：これらの適用除外は、CIIO、重要データの移転、または指定された基準値を超える移転には適用されません。

Zenith Global Enterprises の越境移転台帳

移転 ID	データフロー	移転先	仕組み	件数	評価状況
CBT-CN-001	顧客の物流データ → EU HQ	ドイツ	CAC セキュリティ評価	150,000 人以上	承認済み（2026 年 8 月まで有効）
CBT-CN-002	従業員の人事データ → 地域人事部門	シンガポール	CAC セキュリティ評価	従業員 2,500 人	承認済み（2026 年 8 月まで有効）
CBT-CN-003	ベンダーの支払データ → 財務部門	イギリス	標準契約（届出済み）	ベンダー 800 社	上海 CAC に届出済み
CBT-CN-004	配送追跡データ → API パートナー	日本	契約上の必要性による適用除外	50,000 人	適用除外を文書化済み

重要情報インフラ（CII）

PIPL に基づく CIIO の義務

重要情報インフラ運営者（关键信息基础设施运营者、CIIO）には、追加の義務が課されます。

義務	法的根拠	詳細
データの国内保存	Art. 40	中国国内での業務中に収集・生成された個人情報および重要データを、国内に保存する必要があります
移転時のセキュリティ評価	Art. 40	あらゆる越境移転について、CAC のセキュリティ評価が必須です（他の仕組みは利用できません）
年次セキュリティ評価	CSL Art. 38	年次のネットワークセキュリティ評価を実施し、評価報告書を提出する必要があります
データセキュリティ責任者	DSL Art. 27	データセキュリティの責任者を指名する必要があります

CII のセクター指定

以下のセクターは、「重要情報インフラセキュリティ保護規則」（2021 年 9 月 1 日施行）に基づき、CII に指定されています。

• 公共通信および情報サービス
• エネルギー
• 運輸
• 水利
• 金融
• 公共サービス
• 電子政府
• 国防科学技術産業
• 損傷した場合に国家安全保障、国民生活、または公共の利益を危険にさらす可能性のあるその他の重要なネットワーク施設および情報システム

Zenith Global Enterprises の評価：物流会社である Zenith は、同社のシステムが損傷した場合に国家安全保障または公共の利益を危険にさらすと判断されれば、運輸セクターの CII に指定される可能性があります。Zenith は、CII の指定状況について、関係するセクター当局（運輸省）と継続的に協議しています。

個人情報保護影響評価（PIPIA）

PIPIA の必須実施要件（Art. 55）

実施要件	説明
機微な個人情報の取扱い	機微な個人情報（Art. 28）のあらゆる取扱い
自動化された意思決定	個人情報を自動化された意思決定に使用すること（Art. 24）
委託処理	個人情報の処理を第三者に委託すること（Art. 21）
越境移転	個人情報を海外の当事者に提供すること（Art. 38）
公開	個人情報を一般に公開すること（Art. 25）
その他の影響の大きい処理	個人の権利に重大な影響を及ぼす処理

PIPIA の内容（第56条）

要素	説明
合法性と正当性	処理の目的、方法、範囲が合法かつ正当であり、必要であるかどうか
影響評価	個人の権利および利益への影響とリスクレベルの評価
セキュリティ対策	採用された保護対策が合法かつ有効で、リスクに見合っているかどうか
リスク軽減	リスクの特定と、提案される軽減策

PIPIA の保存期間

PIPIA 報告書および処理記録は、少なくとも3年間保存する必要があります（第56条）。

個人の権利（第44～50条）

権利	条文	Zenith Global Enterprises における実施方法
知る権利および決定する権利	第44条	すべての収集窓口で簡体字中国語のプライバシー通知を提示
処理を制限または拒否する権利	第44条	顧客ポータルでのオプトアウト機能、従業員の異議申し立て手続き
アクセスおよび複製する権利	第45条	顧客アカウントからのセルフサービスによるデータエクスポート、従業員は人事部門を通じて申請
データポータビリティの権利	第45条第3項	指定された受領者への構造化されたエクスポート（CAC の実施規則の公布後、その規則に従う）
訂正および補足する権利	第46条	顧客ポータルでのセルフサービスによる訂正、従業員については人事システムを使用
削除する権利	第47条	次の事由を契機とする自動削除ワークフロー：目的の達成、同意の撤回、サービスの終了、処理違反
説明を受ける権利	第48条	個人は個人情報の処理ルールについて説明を求めることができ、処理者は適時に回答する必要があります
自動意思決定に関する権利	第24条	自動意思決定の説明を求める権利、自動化された手段のみによる意思決定を拒否する権利
亡くなった人の親族の権利	第49条	亡くなった人が別段の取り決めをしていない限り、近親者はその人の権利を行使できます

執行の枠組み

行政処分（第66～69条）

違反レベル	組織に対する処分	個人に対する処分（直接責任者）
一般的な違反	是正命令、警告、不法所得の没収、関連アプリケーションの一時停止または終了、最高100万人民元の罰金	1万～10万人民元の罰金
重大な違反	是正命令、不法所得の没収、最高5,000万人民元または前年度売上高の最大5％の罰金、事業停止、営業許可の取り消し	10万～100万人民元の罰金、一定期間、取締役、監査役、上級管理職またはDPOへの就任を禁止

執行措置

Didi Global に対する CAC の調査（2021～2022年）：

• CAC は、2021年6月の Didi Chuxing の NYSE 上場を受け、サイバーセキュリティ審査を開始しました
• Didi は CSL、DSL、PIPL に対する16件の違反を犯したと認定されました
• 最終処分（2022年7月）：80億2,600万人民元（約12億米ドル）の罰金に加え、CEO と社長にそれぞれ100万人民元の個人罰金
• 意義：中国で最大のデータ保護関連の罰金であり、PIPL、CSL、DSL の執行が統合されていることを示しました

SAMR／CAC によるアプリコンプライアンスキャンペーン（2021～2025年）：

• 過剰なデータ収集、同意の抱き合わせ、削除手段の不提供を対象に、モバイルアプリへの定期的な執行キャンペーンを実施
• 数千のアプリがアプリストアから削除されるか、是正を求められました
• Zenith Global Enterprises のアプリコンプライアンス：外部企業による年次監査を実施し、指摘事項があった場合は15日以内に是正

コンプライアンスプログラムの構成

項目	詳細
中国代表法人	Zenith Global Logistics (Shanghai) Co., Ltd
中国データ保護責任者	Li Wei、上海オフィス情報セキュリティ部長
PIPIA プログラム	第 55 条に定めるすべてのトリガーについて PIPIA を実施し、最低 3 年間保管します
越境移転コンプライアンス	主要なデータフローについて CAC セキュリティ評価の承認を取得し、取扱量の少ないデータフローについては標準契約を届出済みです
同意管理	第 14、23、25、29、39 条に従い、一般同意および個別同意を取得するようプラットフォームを設定しています
トレーニング	中国国内の全従業員を対象に PIPL コンプライアンストレーニングを毎年実施し、データ取扱業務の担当者には四半期ごとに再研修を実施します
インシデント対応	PI のセキュリティに影響するインシデントについて、72 時間以内に CAC へ通知し、本社のインシデント対応チームと連携します