中国データ越境移転｜「標準契約と個人情報保護認証」どちらを選ぶか

2026年1月14日2026年8月14日

この記事について

本記事は、自社がデータ越境移転において標準契約又は個人情報保護認証の対象になりそうだとわかった方向けの記事です。この2つはどちらか一方を選択する制度であり、両方行う必要はありません。

本記事では、対象となるケース、それぞれの制度の概要、どちらを選ぶかの考え方を整理します。

※本記事は更新時点（2026年8月）の情報に基づいています。なお、自社でデータ越境手続きを行うべきかがわからない方や、データ三法そのものの概要を知りたい方は下記の記事をご参考になさってください。

標準契約又は個人情報保護認証の対象となるケース

標準契約又は認証のいずれかで対応できるのは、次のいずれにも該当する場合です（《促进和规范数据跨境流动规定》第8条）。

重要インフラ運営者（CIIO）に該当しない
その年の1月1日から累計で提供する個人情報が、非センシティブ個人情報10万人以上100万人未満、又はセンシティブ個人情報1万人未満

下記にて、想定されるケースを挙げます（あくまで一般的なイメージであり、実際の該当性は個別確認が必要です）。

中国拠点の従業員・顧客情報を、グループ全体のCRM・人事システムに集約している日系企業（対象人数が数万人〜数十万人規模）
越境ECサイトを運営し、購入者情報を日本の物流・カスタマーサポートシステムと連携している企業

注意点：
センシティブ個人情報を扱う場合、1万人未満であっても、量が非常に少量というわけでない限り、実務上は慎重な検討が必要です。たとえば、オンライン医療サービスのように、健康・医療情報（センシティブ個人情報に該当）を1万人以上の規模で国外に送る場合は、本記事の対象ではなく、前の記事で紹介した安全評価が必須になります。

標準契約について

標準契約は、個人情報を国外提供する事業者（個人情報処理者）が、国外の受領者との間で、当局が定める標準契約のひな形に基づき契約を締結する方式です。

なお、標準契約は、EUのGDPR（一般データ保護規則）における「SCC（Standard Contractual Clauses、標準契約条項）」を参考に作られた制度なので、実務上「中国版SCC」と呼ばれることもあります。ただし、適用対象となる企業の条件や契約内容は中国独自のものであり、GDPRのSCCとは別の制度である点にご留意ください。

根拠：《个人信息出境标准合同办法》（2023年2月24日発布／2023年6月1日施行）

大まかな流れ：

個人情報保護影響評価を実施する
国外の受領者と標準契約を締結する
契約締結日から10営業日以内に、所在地の省級インターネット情報弁公室へ書面で備案（届出）する

また、契約締結後、次のような事情が生じた場合は、個人情報保護影響評価をやり直し、契約を補充又は再締結したうえで、再度届出をする必要があります。

国外提供する個人情報の目的・範囲・種類・機微度・提供方法・保存場所、又は国外受領者による処理の用途・方法に変更があった場合
提供先の国・地域の個人情報保護に関する政策・法規に変化があった場合

個人情報保護認証について

個人情報保護認証は、国が認定した専門認証機関による認証を取得する方式です。標準契約のように個別の契約を結ぶのではなく、認証機関の審査を通じて、個人情報保護の体制全体が要求水準を満たしていることを確認してもらう仕組みです。

根拠：《个人信息出境认证办法》（2025年10月17日発布）

主な特徴：

認証証書の有効期は3年間
証書の満了前6ヶ月以内に、継続利用のための認証申請が必要
専門認証機関は、認証状況を全国認証認可情報公共サービスプラットフォームに報告する義務があり、認証後も継続的な監督を受ける

どちらを選ぶか

法律上は、どちらを選んでも構いませんが、一般的には、次のような観点で選択が検討されることが多いとされています（断定はできないため、個別の状況に応じた検討をお勧めします）。

観点	「標準契約」が向いていそうな場合	「個人情報保護認証」が向いていそうな場合
情報提供先の数	特定の1社〜数社の国外受領者への提供が中心	グループ会社間で複数拠点・複数回にわたる継続的な提供がある
契約関係	提供先ごとに個別の契約関係がある（例: 取引先等）	同一グループ内での体制整備を通じて、包括的に対応したい
手続きのやり方	契約＋備案（届出）で完結し、当局の個別審査は入らない	認証機関による審査を経る（標準契約より準備に時間がかかる可能性が高い）