中国のデータ三法（サイバー三法）とは？概要と罰則を解説

中国では、デジタル時代の課題に対応するため、データおよび個人情報の保護に関する重要な法体系が整備されています。

この法令群には「サイバーセキュリティ法」「データセキュリティ法」「個人情報保護法」があり、「データ三法（サイバー三法）」として知られています。データ三法は、中国における情報セキュリティおよびプライバシー保護の基礎を形成しています。

中国赴任が決まった方々にとって、これらの法律の基本的な理解は、適切なビジネス運営および日常生活を送る上で不可欠と言えるでしょう。

1. 中国の「サイバーセキュリティ法」とは

2017年6月に施行されたサイバーセキュリティ法は、国家のサイバー空間の安全を守ることを目的としています。

1-1. サイバーセキュリティ法の概要

この法律は、情報インフラのセキュリティ保護体系の構築、重要データの管理と保護、ネットワーク運営者の責任と義務などを規定しています。また、国家安全や公共の利益に関わるデータの移転および保存に関して厳格な要件を設けています。

なお、個人情報や重要データの国外移転に際しては、下位法令やガイドラインに基づき、事前に政府当局による安全評価への合格、告知と個別の同意取得などが必要になります。

1-2. サイバーセキュリティ法の罰則

サイバーセキュリティ法では、同法に違反した際のさまざまな罰則が定められています。企業や個人が同法の規定に従わない場合、罰金、業務の一時停止、ライセンスや許可証の取り消しなどが科される可能性があります。また、犯罪行為に該当すれば刑事責任が追及されます。

このように、サイバーセキュリティ法は、国家の情報安全を守るための包括的な法的枠組みを提供していることが特徴です。これらの規定により、中国国内のデータ資産の管理と保護が強化される一方で、海外企業の事業活動にも大きな影響を与えることが予想されます。

2. 中国の「データセキュリティ法」とは

2021年9月に施行されたデータセキュリティ法は、中国におけるデータ分野の基本法です。サイバーセキュリティ法と連携し、データセキュリティの体系的な保護と管理を強化します。

2-1. データセキュリティ法の概要

この法律は、データの分類、重要データの保護、データセキュリティ監督管理、データ取り扱い者の責任などを明確に規定し、国家安全へ影響を与え得るデータの取り扱い活動に関する審査やデータの利用および取引に関するルールを設けています。

また、データの価値評価、取り扱いプロセス、安全管理措置などについても詳細な規定を設けており、データ活用を促進しつつ、その安全性と合法性を確保することを目指しています。

2-2. データセキュリティ法の罰則

データセキュリティ法違反に対しても、法律で厳しく罰則が定められています。データの不適切な収集、利用、処理が発覚した場合、罰金や業務停止、ライセンスや許可証の取り消しなどに処される可能性があります。

特に重要データの違法な国外移転には、最高で1千万人民元の罰金という重い罰則が科される場合があります。

このように、中国は国内のデータ資源の管理と活用を一層強化しています。海外企業が中国国民の個人情報を収集する場合、そのデータを海外に移転する前に原則として以下の要件を満たす必要があります。

1. 国外移転の前提条件の充足（政府当局による安全評価への合格・専門機関による認証の取得・当事者間の標準契約の締結・届け出のいずれか）
2. 個人情報取り扱い者による告知と個別の同意取得
3. 個人情報保護影響評価（PIA）の実施

3. 中国の「個人情報保護法」とは

2021年11月に施行された個人情報保護法は、個人情報の取り扱いについて明確に規定し、個人情報および個人情報主体の権利を保護することに重点を置いています。

3-1. 個人情報保護法の概要

この法律は、個人情報の収集、利用、移転、公開などのプロセス全体における個人の権利と利益を守ることを目的とし、個人情報取り扱い者に対して厳格な義務と責任を課しています。

また、個人情報の国外移転に関しても具体的な条件と手続きを定めており、個人情報取り扱い事業者には、保護措置の実施や個人情報の最小収集原則の遵守が義務付けられています。

3-2. 個人情報保護法の罰則

個人情報保護法に違反した場合、上記2つの法律と同様に、罰金、業務停止、ライセンスや許可証の取り消しといった罰則が科されます。

重大な違反に対しては、最高で5千万人民元、または前年度の売上高の 5%という多額の罰金が科される可能性があります。また、企業の責任者や関係者に刑事責任が問われる場合があります。

これらの規定により、中国でビジネスを行う海外企業は、高度なプライバシー保護基準を満たすために、内部ポリシーの見直しや従業員への研修強化が求められます。

• JETRO「中国のデータ・個人情報の域外移転規制の最新動向」（2023年11月時点）,https://www.jetro.go.jp/ext_images/_Reports/01/96fcede28c11e703/20230031.pdf （閲覧日：2024年4月19日）
• JETRO「「データセキュリティ法」の概要」（2021年12月）,https://www.jetro.go.jp/ext_images/_Reports/01/580a6448fa87f0bb/20210056_04.pdf （閲覧日：2024年4月19日）
• JETRO「「個人情報保護法」の概要」（2022年1月）,https://www.jetro.go.jp/ext_images/_Reports/01/6d50807a44f904c1/20210070_02.pdf （閲覧日：2024年4月19日）
• 松尾剛行「中国の個人情報保護法とデータ運用に関する法制度の論点」,『情報通信政策研究』,https://www.soumu.go.jp/main_content/000800520.pdf （閲覧日：2024年4月19日）