中国データ越境移転｜自社は対象？3つの軸でわかる手続きの判定フロー

2026年1月12日2026年8月14日

はじめに

国内で収集・生成したデータを国外に持ち出すことは「データ越境移転」と呼ばれますが、中国国内からのデータ越境移転については、「安全評価・標準契約・個人情報保護認証」といった手続きが必要になる場合があります。ただし、「越境移転＝必ず何らかの手続きが必要」というわけではなく、そもそも手続きが免除されるケースも多いとされています。

本記事では、まず「そもそも免除になるか」を確認するとともに、手続きが必要な場合については、「次に何をすべきか」の判定軸3つを示します。自社のケースがどこに当てはまりそうか、を一次判断する際の基礎情報としてご活用ください。

なお、最終的な判断については、個別の事実関係を踏まえた上で専門家へ確認されることをおすすめします。

※本記事は更新時点（2026年8月）の情報に基づいています。なお、データ三法の全体像については下記記事で整理しています。

そもそも手続きが「免除」になる場合

データ越境移転に関する具体的な要件は、サイバーセキュリティ法・データセキュリティ法・個人情報保護法の三法にそれぞれ規定があります。これらを踏まえ、データ越境に関わる「安全評価・標準契約・個人情報保護認証」の3つの制度の運用を具体化した部門規章が《促进和规范数据跨境流动规定》（データ越境移動の促進・規範化に関する規定｜インターネット情報弁公室が発布）です。

2024年3月22日施行のこの規定では、次のようなケースについて、「安全評価・標準契約・個人情報保護認証」のいずれも不要（免除）とされています。

《促进和规范数据跨境流动规定》第3条・第4条・第5条より：

個人情報・重要データを含まないデータの提供

（国際貿易、越境輸送、学術協力、多国籍生産・マーケティング活動等で収集・発生したデータ）

　例：個人を特定しない取引情報・出荷情報など

海外で収集した個人情報を、中国国内での処理後に再び国外へ提供する場合

（処理の過程で、中国国内の個人情報・重要データを混入させない場合）

　例：海外拠点の顧客情報を、コスト等の理由で一時的に中国のデータセンターで処理する場合など

個人が当事者となる契約の締結・履行に必要な個人情報の提供

（越境ショッピング、越境配送、越境送金・決済、越境口座開設、航空券・ホテル予約、ビザ申請、試験サービス等）

適法に定められた就業規則・労働契約に基づく、越境の人事管理に必要な従業員個人情報の提供
緊急時に、自然人の生命・健康・財産の安全を保護するために必要な個人情報の提供

　例：中国駐在中の日系企業の従業員が緊急搬送され、その従業員の日本の家族や医療機関に連絡する場合など

　　重要インフラ運営者（CIIO）以外の事業者が、その年の1月1日から累計で10万人未満の個人情報（センシティブ個人情報※を除く）を国外提供する場合

※センシティブ個人情報とは、生体識別情報、宗教信仰、特定の身分、医療健康（病歴等）、金融口座情報、行動軌跡等、及び満14歳未満の未成年者の個人情報を指します（個人情報保護法第28条）。

自社のケースがこれらに当てはまる場合、原則として手続きは不要です。まずはここに当てはまらないかを確認してみることをお勧めします。

手続きが必要な場合： 3つの判断軸

判断軸1：自社は重要インフラ運営者（CIIO）※に該当するか

判断軸2：提供するデータは重要データに該当するか

判断軸3：個人情報の提供量は、年間累計でどのくらいか（センシティブ／非センシティブ別）

※重要インフラ運営者（CIIO：Critical Information Infrastructure Operator）は、あまり耳慣れない言葉だと思いますが、公共通信・情報サービス、エネルギー、交通、水利、金融、公共サービス、電子政務、国防科技工業など、国家安全・国民経済・公共利益に重大な影響を与えうる重要インフラの運営者を指します（《关键信息基础设施安全保护条例》第2条）。通信キャリア、電力・石油・ガス事業者、鉄道・空港などの交通機関、銀行・証券会社、水道事業者などが該当しうるとされており、多くの日系企業は直接該当しないケースが多いですが、こちらも自社の事業内容によっては個別確認が必要です。

この3つの軸を踏まえて、該当区分ごとに必要な手続きをまとめると、次のようになります。

該当区分	必要な手続き
CIIOが個人情報又は重要データを提供する場合	安全評価
CIIO以外が重要データを提供する場合、又は年間累計で非センシティブ個人情報100万人以上、若しくはセンシティブ個人情報1万人以上を提供する場合	安全評価
CIIO以外が年間累計で非センシティブ個人情報10万人以上100万人未満、又はセンシティブ個人情報1万人未満を提供する場合	標準契約※の締結または個人情報保護認証の取得 ※中国版SCCとも呼ばれます。
上記のいずれにも該当しない場合（前述の免除に該当）	原則不要

根拠：《促进和规范数据跨境流动规定》第7条・第8条

なお、安全評価は結果の有効期間が3年間とされており（同規定第9条）、期限が来るたびに更新の要否を確認する必要があります。

また、扱うデータの量が非常に大きい事業者の場合、この手続きを繰り返すコストや、当局の審査を都度受けるリスクを踏まえて、「そもそもデータを国外に持ち出さず、中国国内にとどめておく」という経営判断を取るケースもあるとされています。いずれにせよ、まずは手続きの全体像を把握し、自社にとってのデータ越境移転手続きはどんなものになりそうか、だけでなく、そもそも「持ち出す」こと自体が本当に必要か、などの上位の事業判断を行う必要が出てくる場合もありえるでしょう。

判定後のネクストステップ

大まかな該当区分が見えてきたら、次のステップとして、以下の記事もご参照ください。

「安全評価が必要そう」な場合：

「標準契約または個人情報保護認証が必要そう」な場合：

「重要データに該当するか分からない」という場合:

自由貿易試験区に拠点がある場合の補足

貿易の円滑化や投資の自由化を進めるために、中国政府が定めた「自由貿易試験区※」と言われる区域内では、区域ごとに定める「ネガティブリスト」に掲載されたデータのみが、「安全評価・標準契約・個人情報保護認証」の対象になる仕組みが認められています（《促进和规范数据跨境流动规定》第6条）。

自由貿易試験区に拠点がある場合、このネガティブリストの内容は区域ごとに異なるため、個別確認が必要です。

※なお、2026年8月時点で、上海・広東・天津・福建・遼寧・浙江・河南・湖北・重慶・四川・陝西・海南・山東・江蘇・広西・河北・雲南・黒竜江・北京・湖南・安徽・新疆・内モンゴルの23地域が自由貿易試験区に指定されています。また、最新の自由貿易試験区の指定状況は、中华人民共和国商务部自贸区港建设协调司（https://zmqgs.mofcom.gov.cn/）で発信されています。

情報源・参考資料

《促进和规范数据跨境流动规定》（国家インターネット情報弁公室令第16号）
https://www.cac.gov.cn/2024-03/22/c_1712776611775634.htm
《关键信息基础设施安全保护条例》（国務院令第745号）
https://www.cac.gov.cn/2024-03/22/c_1712776611775634.htm