個人情報越境移転認証に関する5つの核心的事項について
2025年10月14日、国家インターネット情報弁公室と国家市場監督管理総局が「個人情報越境移転認証弁法」（以下「弁法」という）を共同で発布し、2026年1月1日から施行されている。個人情報保護認証における個人情報越境移転に関する内容が詳細に定められ、個人情報越境移転のニーズのある企業が自身のニーズに適したコンプライアンス上の対応ルートを選択するうえでの参考となる根拠を提供している。
本文
中国の「個人情報保護法」「データ越境移転の規範化及び促進に関する規定」は、データ越境移転安全評価、個人情報越境移転基準契約の締結、個人情報保護認証の通過という3通りのコンプライアンス上の対応ルートを定めている。2022年11月4日から施行さていれる「個人情報保護認証の実施に関する公告」は、個人情報保護認証の基本的な要件を定めており、認証範囲には個人情報越境移転のシナリオを含む個人情報取扱活動と、個人情報越境移転のシナリオを含まない個人情報取扱活動が含まれている。2026年1月1日から施行された「弁法」は、前述の認証範囲における個人情報越境移転活動を個別に定めている。本文では、「弁法」に関係する企業が特に注意を払うべき5つの核心的問題をまとめ、それぞれ考察する。
問題1：企業における個人情報越境移転の一般的なシナリオとはどのようなものか？
「弁法」に定められた個人情報保護認証の根拠となる基準の一つである「GB/T 46068データセキュリティ技術 個人情報越境取扱活動セキュリティ認証要求」の付録Aでは、個人情報越境取扱いのシナリオを列挙しており、具体的には以下のものが含まれる。
１）多国籍企業又は同一事業者傘下の子会社又は関連会社間の個人情報越境取扱活動。例えば、国内の分支機構が国内で取扱う顧客の個人情報などのデータを国内から国外の本部に提供し、又は国外の分支機構が業務上の必要性から国内本部のデータにアクセスする必要があり、国外から国内に保存されている顧客の個人情報などのデータにアクセスするケースである。
２）国内の個人情報取扱者による国外のサービスプロバイダーへのデータ取扱の委託。例えば、国内の企業は国外のクラウドサービス、バックアップサービスなどを利用して個人情報取扱活動を展開し、又は国外の法律事務所、会計士事務所などにコンプライアンスサービスを委託し、国外に国内の自然人の個人情報を移転する必要があるケース等である。
３）国内の個人情報取扱者による国外の受領者への個人情報の提供。例えば、越境EC事業者がユーザーの消費記録と閲覧行為などの個人消費行動データを1つ又は複数の国外受領者に提供するケースである。
４）国内の個人情報取扱者による国外の受領者と共同での個人情報の取扱い。例えば、国内の企業が国外の受領者と協力してコラボ製品を販売促進し、又は共同でサービスを提供し、国内自然人の個人情報を国外受領者のマーケティングセンターに転送するケース等である。
５）国外の個人情報取扱者による国外での国内自然人の個人情報の収集、分析。例えば、国外のECプラットフォームが国内の自然人にサービスを提供し、国内自然人の身元、住所、電話番号などの個人情報を収集し、分析するケースである。このような「越境直接収集」型方式は、多くの国や地域において個人情報の越境移転としての管理を要する活動には該当しないが、中国における現段階での監督管理上の実務視点ではそれらと異なる点に注意しなければならない。
問題2：個人情報越境移転認証はどの機関に申請すべきか？
「弁法」第7条の規定に基づき、企業は専門認証機関に個人情報越境移転認証を申請しなければならない。本稿の作成日までに、監督管理部門にて個人情報越境移転認証の届出審査を完了した専門認証機関は3つあり、それぞれ中国ネットワーク安全審査認証と市場監督管理ビッグデータセンター、中央インターネット情報弁公室（国家インターネット情報弁公室）データと技術保障センター、北京賽西認証有限責任公司であり、企業は前記いずれかの機関に個人情報越境移転認証を申請することができる。
問題3：個人情報越境移転認証は永久的に有効か？
永久的に有効なわけではない。企業が個人情報越境移転認証を申請し、認証要求に満たす場合、専門認証機関は「個人情報保護認証証明書」を遅滞なく発行しなければならないが、有効期限は3年である。証明書の期間満了後も使用を継続する必要がある場合、個人情報取扱者は期間が満了する6か月前に認証申請を提出しなければならない。
問題4：個人情報越境移転認証とデータ越境移転安全評価、個人情報越境移転基準契約の締結には主にどのような違いがあるのか？
まず、データ越境移転安全評価と個人情報越境移転認証とでは適用条件に違いがあり、企業がデータ越境移転安全評価の適用条件を満たしてしまうと、個人情報越境移転認証という方法では個人情報の越境移転を実施することはできない。
次に、個人情報越境移転基準契約の締結と個人情報越境移転認証とでは、適用条件は一致しているが、多国籍企業グループ内の複数の国内外の主体間で個人情報を頻繁に転送するというニーズがある場合、個人情報越境移転認証であれば通常、そのシナリオを一度にカバーすることができ、複数の国内提供者と国外受領者の間でそれぞれ複数の個人情報越境移転基準契約を個別に締結して届出する必要はなく、これらの企業にとっては、より便利な手段と言えるであろう。
なお、個人情報越境移転認証に必要な認証費用は通常やや高く、取得した「個人情報保護認証証明書」の有効期間が満了した後は、費用を支払って更新しなければならない。
問題5：現在、個人情報越境移転認証を通過した企業はあるのか？
全国認証認可情報公共サービスプラットフォームの情報によると、現在10社の企業が個人情報保護認証を通過しており、そのうち、9社の証明書は有効期間中にあり、1社の証明書は取り消されている。当該プラットフォームに開示されている情報からは、これらの企業の個人情報保護認証に個人情報越境移転活動が含まれているかどうかは、現時点では判断することはできない。
終わりに
総括的に見て、個人情報越境移転認証は、企業が法令を順守しながら個人情報を越境移転するうえでの新たな選択肢を提供しており、企業は自身の個人情報越境移転活動の実際の状況を踏まえて、適切なコンプライアンス上の対応ルートを選択することができる。現在、専門認証機関の数は限られ、認証費用も高いため、企業における浸透度は低い。将来的には、認証機関の届出要求、認証費用などの面で改善がみられれば、個人情報越境移転認証がさらに普及し、企業の中国業務、ひいてはグローバル業務のさらなる発展を促すことが期待される。
（作者：里兆法律事務所 董紅軍、鄭旭斌）