2025年度中国におけるデータ関連法令と法執行の動向に関する報告書
2025 年は、中国のデータ関連規制が「データ三法」（サイバーセキュリティ法、データ安全法、個人情報保護法）を基盤として、具体的な実行ルールや技術基準が大量に整備された「細分化・実質化」の年となった。年間 20 以上の重要法令・基準が公布・施行され、企業には形式的なコンプライアンスを超えた「実効性ある対応」が強く求められることとなった。
２．主要な立法動向 ●罰則強化：改正サイバーセキュリティ法（2026 年 1 月施行）による過料金額の大幅引き上げ（企業は最高 1000 万元、責任者個人は最高 100 万元）。
●ルールの具体化：「ネットワークデータ安全管理条例」、「個人情報保護コンプライアンス監査管理弁法」、「国家ネットワーク安全事件報告管理弁法」、「個人情報越境移転認証弁法」など新法令により、重要データ管理、越境移転認証手続き、コンプライアンス監査の実施要領、ネットワーク安全事件報告要件など規制内容が詳細化。
３．法執行の重点分野（高リスク領域）
規制当局（CAC、公安部、工業情報化部、市場監督管理総局等）による多部門連携の集中監督管理が強化。特に以下の分野が厳しく取り締まられた：
●個人情報の越境移転：法的義務（安全評価・標準契約・認証）の未履行や「単独同意」取得不備。
●機微個人情報処理と PIA 未実施：顔認証等の高リスク処理における事前の個人情報保護影響評価（PIA）の実施義務違反。
●技術的安全措置の欠如：データの非暗号化保存、アクセス制御不備、６ヶ月以上のログ保存義務違反、サイバー等級保護評価未実施。
●App/ミニプログラムにおける権利侵害：告知同意義務違反、過剰収集/最小必要原則違反、同意の強制、ユーザー権利行使の妨害。
●社内管理制度の不備：ネットワーク安全管理規程、個人情報保護管理制度の未整備。
４．日本企業への実務的助言（必須対応事項の整理） ●リスクベース・アプローチに基づいた対応：法令動向と法執行実務を踏まえ、自社の事業モデルにおいて「高リスク領域」を特定し、経営資源を集中して対応を進める。
●社内制度の整備と実効性ある運用：個人情報保護ポリシーの他、個人情報保護実施細則、データ越境移転管理規程、データ委託処理に係る外部委託先管理規程、個人情報主体の権利保障に関する規程、データ安全事件緊急対応計画等の策定も強く推奨する。これら社内制度を整備したうえ、定期的な研修・点検と監査により実効性も確保。
●データ越境移転コンプライアンスの再確認：中国国外へのデータ提供時は、データ主体の単独同意の取得、適切な合法ルート（安全評価/SCC/認証）の選択、PIA の実施を徹底。データ越境移転の全過程を管理するための規程を策定し、厳格な管理を行う。
●PIA 実施：法に求められる PIA を網羅なく実施することは企業の大きな負担になることに鑑み、リスクの高い業務シーンから PIA を実施することが考えられる。機微個人情報 (特に顔認証、医療健康、生体認証データ)処理 や AI を用いたデータ処理/自動化された意思決定の処理を行う際、PIA は実施しなければならない。
●技術的保護措置の強化：データの暗号化、非識別化、アクセス制御（最小権限の原則）、分類分級管理、ログ保存期間の遵守など技術的な保護措置を取る。
※本報告書の完全版（無料）をご希望の方は、下記までご連絡をお願いいたします。 中倫法律事務所 張イ民 弁護士 zhangweimin@zhonglun.com