中国データ三法｜違反・処罰事例まとめ

2026年7月22日2026年8月21日

はじめに

中国データ三法（サイバーセキュリティ法・データセキュリティ法・個人情報保護法）に違反した場合、実際にどのような処罰が科されるのでしょうか。本記事では、公開されている代表的な処罰事例を紹介しながら、「何が問題視されたのか」「日系企業にとって他人事ではないポイントはどこか」を整理します。

具体的な罰則の金額や条文は事案ごとに異なり、かつ法改正によって変わることもあるため、本記事は「傾向をつかむための事例集」として活用いただき、自社の具体的なリスク評価は個別に確認することをお勧めします。

※本記事内の中国元の日本円換算レートは2026年8月時点の1元＝23.6円で計算しています。
※本記事は執筆時点（2026年8月）で公開されている情報に基づいています。なお、データ三法そのものの概要を知りたい方は下記の記事をご参考になさってください。

DiDi（滴滴出行）の事例｜過去最大級の複合違反（2022年7月）

2022年7月21日、国家インターネット情報弁公室（以下、CAC）は、配車アプリ最大手のDiDi（滴滴全球股份有限公司）に対するネットワークセキュリティ審査の結果、サイバーセキュリティ法・データセキュリティ法・個人情報保護法・行政処罰法に違反したとして、同社に80.26億元（約1,890億円）、会長兼CEO及び社長に各100万元（約2,360万円）の罰金が科されたことを発表しました。

◆審査に至る経緯：2021年7月の措置

DiDiに対する処罰は、2022年7月の罰金決定に先立ち、2021年7月の時点で既に複数の措置が取られていました。

2021年7月2日：CACのネットワークセキュリティ審査弁公室が、DiDiに対するネットワークセキュリティ審査の実施を発表。国家安全に関わるデータリスクを防ぐため、審査期間中は新規ユーザー登録を停止（7月3日から実施）
2021年7月4日：「滴滴出行」App自体について、個人情報の違法・違規な収集・使用が確認されたとして、サイバーセキュリティ法に基づきアプリストアからの削除（下架）を命令
2021年7月9日：DiDiの運営主体である北京小桔科技有限公司が運営する「滴滴企業版」等、関連する25個のアプリについても同様の削除命令が出され、DiDi関連の主要アプリがほぼ全て削除される事態となった

これらの措置を経て、約1年後の2022年7月に、冒頭の巨額の罰金決定に至っています。

◆2022年7月の罰金決定：具体的な違反内容

CACは、DiDiについて16項目の違法事実を8つの類型に整理しています。さらに、2015年から約7年間継続していたこと、違法に処理した個人情報が647.09億件に達したこと、規制当局の要求後も十分な是正をしなかったことなどを、重い処分の理由として挙げています。具体的には下記のような違反がありました。

ユーザーのスマートフォンの写真アルバムにあるスクリーンショットを、約1,196万件違法に収集（写真だけでなくスクリーンショットまで収集）
ユーザーのクリップボード情報・アプリ一覧情報を約83.23億件、必要な範囲を超えて収集
乗客の顔認識情報を約1.07億件、必要な範囲を超えて収集
乗客の年齢層情報約5,350万件、職業情報約1,633万件、家族関係情報約138万件を過度に収集
「自宅」「勤務先」の住所情報を約1.53億件、過度に収集
代行サービスの評価時、アプリがバックグラウンドで動作しているとき、車載カメラ等の機器と接続しているときなどに、正確な位置情報（緯度・経度）を約1.67億件、過度に収集
ドライバーの学歴情報約14.29万件を過度に収集
ドライバーの身分証番号約5,780万件を平文で保存（個人情報を適切に保護していない）
乗客の出行意図を乗客への明確な告知なく約539.76億件分析
常駐都市情報約15.38億件、出張・旅行情報約3.04億件をユーザーへの説明が不十分なまま分析
相乗りサービス利用時に、関係のない「電話権限」を頻繁に要求
ユーザーの端末情報など19項目について、個人情報を処理する目的を正確・明確に説明していなかった

これだけでも相当ですが、さらに別枠で、下記のような事実も罰則の対象となりました。

国家安全に重大な影響を与えるデータ処理活動があった
規制当局から明確な要求を受けた後も、全面的・深度のある是正を行わなかった
「陽奉陰違、悪意逃避監管」＝表向き従う一方で、悪意をもって監督を逃れようとした

これらを受け、当局は①違反の性質、②違反の継続期間、③被害・危険性、④違法に処理した個人情報の量、⑤違反行為の種類・様態、を総合的に考慮したと説明しています。

DiDiの事例は、罰金金額だけ見るとその金額に驚かれる方も多いかもしれませんが、「一つの重大な違反で80億元」ではなく、長期間にわたり、複数のアプリで、大量の個人情報について、過剰収集・無断収集・不十分な告知・安全管理上の問題などを繰り返していたことが、巨額の処分につながった、と言えます。

またこの事例は、中国データ三法が施行されて以降、最も金額が大きく、かつ三法すべてにまたがる複合的な違反として、その後の処罰事例における一つの基準点となっています。

知网（CNKI）の事例｜個人情報保護法単体では最高額級（2023年9月）

2023年9月3日、CACは、学術データベース大手の知网（CNKI）グループ3社に対し、個人情報保護法違反で総額5,000万元の罰金（約11.8億円）が科されたことを発表しました。

CACの発表によると、対象となった3社が運営する「手机知网」「知网阅读」など14のアプリについて、以下の問題が確認されました。

必要な範囲を超えて個人情報を収集
ユーザーの同意を得ずに個人情報を収集
個人情報の収集・利用ルールを公開していない、又は明示していない
ユーザーがアカウントを解約するための機能を提供していない
ユーザーがアカウントを解約した後も、個人情報を速やかに削除していなかった

当局は、違法な個人情報処理の性質、結果、継続期間、そして特にネットワーク安全審査の状況などを総合的に考慮して、5,000万元の罰金と、違法な個人情報処理の停止を命じました。

知网（CNKI）の事例は、DiDiに次ぐ個人情報保護法に基づく高額処罰事例とされています。

Dior（迪奥）上海法人の事例｜外資企業への越境移転摘発（2025年9月）

高級ブランドDiorの上海法人は、2025年5月に発生した顧客データの不正アクセス事案をきっかけに、公安機関から個人情報保護法違反として行政処罰を受けました。指摘された違反は次の3点です。

データ越境安全評価の実施、個人情報越境標準契約の締結、又は個人情報保護認証の取得のいずれも行わずに、フランス本社へ顧客の個人情報を提供していた
フランス本社への個人情報提供にあたり、個人情報の越境先での取扱い方法を利用者に十分説明せず、個別の同意（単独同意）を取得していなかった
収集した個人情報について、暗号化・非識別化等の安全技術措置を講じていなかった

なお、罰金額は非公開ですが、外資企業に対しても個人情報保護法が厳格に適用されることを示す事例として、日系企業にとっても参考になる事案です。特に、日本本社でデータを一元管理したいというニーズを持つ企業にとって、「本社への集約」自体が越境移転の手続き対象になりうる点は、示唆に富んでいます。

浙江省IT企業の事例｜委託先管理の不備（2023年3月）

2023年6月16日、公安部網安局は、浙江省の地方政府システムを開発・運営していたIT企業が、委託元の同意を得ずに機密データをパブリッククラウドに無断でアップロードし、クラウド側のセキュリティ不備によって深刻なデータ漏えいを引き起こしたことを発表しました。結果、データセキュリティ法違反として、企業に100万元（約2,360万円）、プロジェクト責任者に8万元（約189万円）、システム責任者に6万元（約142万円）の罰金が科されています。

北京の教育系企業の事例｜等級保護制度の未実施（2023年8月）

2023年8月1日、公安部網安局は、データ漏えいをきっかけに公安の捜査を受けた北京の教育系企業では、データセキュリティ管理体制の未構築に加え、等級保護制度そのものが実施されていなかったことが指摘されたことを発表しました。結果、企業に5万元（約118万円）、システム責任者に1万元（約24万円）の罰金が科されています。金額は比較的小さいものの、「等級保護の未実施」自体が摘発理由になる、という点で象徴的な事例です。

上海のIT企業の事例｜隠ぺい行為が加重要因に（2023年10月）

2023年10月11日、上海市網信弁は、保険会社向けにシステムを提供する上海のIT企業で、サーバーの脆弱性を原因とするデータの国外流出が発生したことを発表しました。データセキュリティ保護義務の未履行に加え、問題のデータを密かに削除し、当局への隠ぺいを図ったことも判明し、是正命令・警告・8万元（約189万円）の罰金（システム責任者にも1万元/約24万円）という処分を受けています。事後対応の誠実さも処分の軽重に影響しうることを示す事例です。

浙江省の87個のアプリの事例｜是正期限内に対応できず実名公表（2021年12月）

2021年12月14日、中央網絡安全和信息化委員会辦公室は、以下の発表を行いました。

浙江省のApp違法違規個人情報収集専項整治工作組は、実用ツール類・ネットコミュニティ類・ネット通販類等のよく使われるアプリを対象に検査を行いました。その後、個別で是正を通知していたにも関わらず、期限内に是正が完了しなかった「閃修侠」等87個のアプリの実名を公表しました。

この事例のポイントは、罰金という形ではなく「是正できなかったアプリ名を公表する」こと自体が制裁として機能している点です。是正の呼びかけに応じなかった、あるいは対応が不十分だったこと自体が公になるという意味で、規模の大小を問わず注意すべき事例と言えま

事例から見える、処罰のポイント

これらの事例を踏まえると、処罰の理由となりやすいポイントは、おおむね次のように整理できます。

等級保護制度への未対応（届出・測評を行っていない）
データ越境移転の手続き漏れ（安全評価・標準契約・認証のいずれも行わず国外にデータを提供）
個人情報の同意取得の不備（包括的な同意で済ませ、個別の同意を取っていない）
技術的な安全対策の不足（暗号化・匿名化等の措置がない）
データインシデント発生後の対応の誠実さ（速やかな報告か、隠ぺいか）
是正指導への対応状況（浙江省の87款アプリの事例のように、期限内に是正できないこと自体が実名公表という形の制裁につながる場合がある）

金額の大小に関わらず、「制度を知らなかった／導入していなかった」こと自体が処罰の直接的な理由になっている事例が多い点が特徴的です。DiDiの事例のように事業規模に応じて罰金額が変わる一方、北京の教育系企業の事例のように、比較的小規模な事業者でも制度未整備を理由に処罰されるケースがあることは、留意しておく価値があります。

日系企業にとっての示唆

「日本本社でデータを一元管理したい」というニーズ自体は自然なものですが、Diorの事例が示す通り、本社への個人情報の集約は越境移転の手続き対象になりうる点は、多くの日系企業にとって他人事ではありません。
利用規約等での包括的な同意取得だけで済ませている場合、個別の同意取得が必要な場面がないか、見直す価値があります。
等級保護の届出・測評は、規模の大小に関わらず、未実施自体がリスクになりえます。

具体的に自社がどのリスクに近いかは、個別の事実関係を踏まえた確認が必要です。

情報源・参考資料

国家互联网信息办公室对滴滴全球股份有限公司依法作出网络安全审查相关行政处罚的决定（2022年7月21日発表）
https://www.cac.gov.cn/2022-07/21/c_1660021534306352.htm
国家互联网信息办公室对知网（CNKI）依法作出网络安全审查相关行政处罚（2023年9月6日発表）
https://www.cac.gov.cn/2023-09/06/c_1695654024248502.htm
迪奥（上海）公司未依法履行个人信息保护义务被查处 – 安全内参 | 决策者的网络安全知识库
※国家网络安全通报中心発表（2025年9月9日、微信公众号）の転載
https://www.secrss.com/articles/82875
浙江公安网安部门适用《数据安全法》对违法单位罚款100万元
※公安部網安局発表（2023年6月16日、微信公众号「公安部网安局」）の転載
https://www.secrss.com/articles/55705
公安部公布四起网安保护处罚案例，事涉弱口令账号、网站篡改
※公安部網安局が公表した「4起網安保護処罰案例」の1つ（事案は2023年8月1日、北京市公安局海淀分局が処分）の転載
https://m.mp.oeeee.com/a/BAAFRD000020240109898240.html
数据泄漏被传输境外后擅自删库！某科技公司被上海市网信办依法处罚
※上海市網信弁発表（2023年10月11日）の転載
https://www.secrss.com/articles/59566
浙江关于闪修侠等87款App违法违规收集使用个人信息情况的通报
https://www.cac.gov.cn/2021-12/14/c_1641080798914299.htm