中国で自動車関連企業に向けた「データ越境安全マニュアル」の意見募集稿が公開されました。これはまだ法的効力はなく、正式な法令として施行される前の内容を公開することで社会からの意見を踏まえて改善する段階にあります。
対象となる企業の範囲は広いため、関連情報をお探しの企業さまも多いかと思います。
そこで本記事では意見募集稿の概要を日本語でわかりやすく解説し、実務上のポイントを整理します。原文（中国語）はこちらからご確認いただけます。
1. マニュアルの対象と基本定義
本マニュアルの核心的な規制対象は、中国国内における運営プロセスで収集または生成された自動車データです。
適用される自動車データ処理者は以下のような企業になります。
- 自動車メーカー
- 部品・ソフトウェアサプライヤー
- 通信事業者
- 自動運転サービス提供者
- モビリティサービス企業
- プラットフォーム運営企業
- 販売代理店
- メンテナンスサービス提供者
自動車データには、設計・製造・販売・運用・保守の過程で得られる個人情報や重要データが含まれます。個人情報や重要データが含まれるため、その越境行為は中国の個人情報保護法やデータセキュリティ法に基づいて厳格に管理されます。
以下のような行為は、すべてデータ越境行為と見なされます。
- 中国国内で収集・生成された自動車データを国外に送る
- 国内に保存された自動車データを国外から閲覧・取得・ダウンロードする
- 国外で中国国内の個人情報を処理するその他のデータ処理活動（個人情報保護法第3条第2項に基づく）
2. データ越境に関する評価義務と申告手続き
※本項における人数算定は、当該年の1月1日から累計で計算します。
データ越境安全評価申告の要否
重要データの国外提供や大量の個人情報（機密個人情報以外100万人以上）、機密個人情報（1万人以上）を含む場合は国家への安全評価申告が必須です。重要インフラ運営者も同様に申告義務があります。これらに該当しない場合でも、一定の個人情報規模（機密個人情報以外10万人以上100万人未満）であれば、個人情報標準契約締結や個人情報保護認証の取得で対応が可能です。
申告手続きはオンラインが基本ですが、重要インフラ運営者や特殊なケースはオフラインも認められています。申告には法人情報、データ内容、受領者情報、保存状況、契約内容、セキュリティ対策など詳細な情報を準備し、虚偽の申告は重い法的責任を伴います。
免除ケース
一定条件下では安全評価や契約が免除されます。たとえば、国外で収集・生成されたデータを中国で処理後に国外に再提供するケース、契約履行を目的としたデータ送信、従業員個人情報の国際管理、緊急事態時のデータ利用、非機密個人情報の少量（10万人未満）越境などが含まれます。
3. 重要データ越境の具体的対象と評価ポイント
本マニュアルにおける重要データとは、自動車のライフサイクル（設計、生産、販売、使用、保守）において生成され、漏えいまたは不正使用された場合に国家安全保障、経済運営、社会安定または公共の利益を害する可能性のある、個人情報に該当しないデータを指します。
研究開発・設計、生産製造、自動運転、ソフトウェアアップグレードサービス、ネットワーク連携運用などのシナリオにおける重要データの判定基準を提供しており、以下の3つの主要方向にまとめることができます。
- 国家安全保障関連性：軍事、機密地理情報、または重要インフラに関連するかどうか
- 経済的影響：地域経済データや中核技術競争力を反映するかどうか
- 規模の閾値：10万台以上の車両、5000万キロメートル以上のテスト走行距離などの定量的基準
（注：これらの基準は、マニュアルの『重要データ判定規則』表に基づいて具体的に分析する必要があります。）
越境時に安全評価申告を要し、その適法性・必要性・リスクを自己評価します。自己評価では、データの規模や種類、改ざん・漏洩などのリスク、国外受領者の管理能力や契約の有効性を重点的に検証し、評価結果を報告書にまとめて提出します。
4. 個人情報越境標準契約の締結
個人情報を国外に提供する場合、自動車データ処理者は越境活動の全体状況を詳細に把握し、個人情報保護影響評価を実施します。評価は越境の目的や範囲の合法性・正当性、越境データの規模や機密性、国外受領者の管理技術や能力を検証し、問題があれば速やかに是正します。
その上で、国外受領者と個人情報越境標準契約を締結し、責任範囲や保護措置を明確にします。届出には契約書、評価報告書、法人証明などの書類を添えてネット情報部門に提出し、虚偽資料の提出は厳しく処罰されます。
契約有効期間中に越境の目的や範囲、受領者の管理態勢が変わった場合は、再評価・契約締結・届出の再実施が義務付けられています。
5. 個人情報保護認証の取得
中国の関連規定に基づき、個人情報の越境に関して適切な管理措置を講じていることを示す認証制度が導入されます。認証は法令遵守の証明であり、取得により企業の信頼性が向上します。
6. 自動車データ越境安全保護の管理・技術的要件
管理体制の整備
企業は自動車データ越境を統括する管理部門と責任者を設置し、社内での安全管理制度を整備します。内部承認や登録の仕組みを明確化し、承認資料の保管も義務付けられます。
技術的保護措置
越境データは暗号化や検証技術を用いて安全に送信し、国外受領者の身元を確実に認証します。送信行為は常時監視され、安全ログが生成・保存されます。検査支援機能により、トラフィックデータは全量またはサンプリング保存され、検査が可能です。
ログ管理と監査
ネットワーク通信ログおよび操作行為ログを詳細に記録し、3年以上保存。改ざん防止措置が必要であり、監査により不正操作等のリスクを発見した場合は迅速に対応します。
緊急対応体制
違法なデータ越境を発見した場合、速やかに対処し、地域の監督機関に報告する体制を確立します。
日本企業への実務におけるポイント
「自社のデータ越境リスク」を把握するところから始める
「何のデータを、誰が、どこからどこへ、どんな目的で送っているか」を社内で正確に洗い出しましょう。
中国の制度では「個人情報」「重要データ」に該当するかどうかで、越境移転経路の判定が大きく異なります。
データ越境移転経路の判定
制度上、手続きを間違えるとデータ送信が違法と判断される可能性があるため、データの種類・件数・目的に応じて、越境移転経路を判断しましょう。
手続きの選択ミスは重大なリスクになります。
越境に必要な「書類・体制・契約」を社内で整備する
誤った契約書、ずさんな評価、虚偽の書類は中国当局の監査で問題視され、送信停止・罰金・行政指導などのリスクがあります。
どの手続きを選ぶにしても、資料提出・契約締結・評価報告書の作成は避けられません。つまり、社内での準備体制が必要です。
「誰が責任者か？」を明確にし、部門間連携を強化
制度上、事故や違反があった際に「誰が監督していたのか」が明確に問われます。責任不明確だと企業としての信頼を失います。
中国では組織体制の明確化が求められており、データ越境管理責任者の明確化と社内統制が必須です。
「技術的な保護措置」と「監査・ログ管理」を実装
越境時のセキュリティが不十分だと、事故や漏洩のリスクだけでなく、制度違反として行政処分の対象にもなります。
データを送るときは、暗号化・身元確認・ログ保存などの技術的措置を取ることが必須です。
「制度の変化」に常時アンテナを張り、継続的に見直す
越境先（例：国外受領者の国）の法制度が変わるだけでも、再評価・再契約・再届出が義務付けられるケースがあります。越境の手続きや基準は変化しており、制度変更や規制強化に対応できる柔軟な運用体制が必要です。