はじめに
中国で個人情報を取り扱う企業には、個人情報保護法（PIPL）への対応が求められます。その中には、一定の個人情報処理を行う前に「個人情報保護影響評価（个人信息保护影响评估、PIA：Privacy Impact Assessment）」を実施し、その記録を残すという義務が含まれています。
本記事では、PIAとは何か、対応が必要になりそうなケース、評価すべき内容、実施の大まかな流れを整理します。なお、自社が実際にPIAの対象になるかどうかは、取り扱う個人情報の種類や処理方法によって個別に判断が必要です。
※本記事は更新時点（2026年8月）の法令に基づいています。中国の関連法規は頻繁に更新されるため、最新の運用については専門家にご確認ください。
※なお、PIAなどを含む中国データ三法全体像については以下の記事でご紹介しています。
PIAとは何か？
PIAは、個人情報の処理によって、個人の権利利益にどのような影響・リスクが生じうるかを、処理を始める前に評価する制度です。問題が発生した後に行う監査ではなく、処理前の事前評価である点がポイントです。
有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录（次のいずれかに該当する場合、個人情報処理者は事前に個人情報保護影響評価を実施し、処理状況を記録しなければならない）
《个人信息保护法》第55条
PIAが必要になる5つのケース
PIAが必要になるケースについても、個人情報保護法第55条に記載があります。
（一）处理敏感个人信息；（二）利用个人信息进行自动化决策；（三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；（四）向境外提供个人信息；（五）其他对个人权益有重大影响的个人信息处理活动。（①センシティブ個人情報を処理する場合、②個人情報を利用して自動化された意思決定を行う場合、③個人情報の処理を委託し、他の個人情報処理者に提供し、又は公開する場合、④個人情報を国外に提供する場合、⑤その他、個人の権益に重大な影響を与える個人情報処理活動を行う場合）
《个人信息保护法》第55条
PIAが必要になる場合5つに対し、まずは下表で代表的な例を整理します。なお、最終判断は実際にどのような個人情報を、どのような目的・方法で処理しているかによって行う必要があります。
| PIAの対象となり得るケース | 企業・サービスの例 |
| ①センシティブ個人情報を処理する場合 | 医療・ヘルスケア、金融、人事、教育、顔認証サービス等 |
| ②個人情報を利用して自動化された意思決定を行う場合 | 与信・融資審査、求人・人事評価、商品・広告の自動表示等 |
| ③個人情報の処理を委託し、他の個人情報処理者に提供し、又は公開する場合 | 給与計算、人事・顧客管理、外部サービスへの委託、グループ会社間の情報提供等 |
| ④個人情報を国外に提供する場合 | 中国現地法人→日本本社への従業員・顧客情報の提供、日本側システム・クラウドでの管理等 |
| ⑤その他、個人の権益に重大な影響を与える個人情報処理活動を行う場合 | 個別の事実関係に応じて判断 |
さらに詳細を以下にて補足します。なお、①〜⑤の補足は、個人情報保護法第28条、第73条、第24条などを参照して行っています。
①センシティブ個人情報を処理する場合
これは、生体識別情報、宗教信仰、特定の身分、医療健康（病歴等）、金融口座情報、行踪軌跡（GPS等による位置・移動履歴）等、及び満14歳未満の未成年者の個人情報（個人情報保護法第28条）を処理する場合、などを指し、以下のような企業はPIAの対象となる可能性があります。
- 医療・ヘルスケア関連企業：患者の病歴、診療記録、健康診断結果、検査データ等を取り扱う場合
- 金融機関・金融サービス企業：銀行口座、証券口座、保険契約等の情報を取り扱う場合
- 人事・採用関連企業：従業員や応募者の健康情報、生体認証情報等を取り扱う場合
- 小売・EC・アプリ事業者：顔認証等の生体識別情報や、GPS等による位置情報・移動履歴（行踪軌跡）を取得・利用する場合
- 教育・子ども向けサービス：14歳未満の児童の個人情報を取り扱う場合
②個人情報を利用して自動化された意思決定を行う場合
これは、個人情報を用いて、商品・サービスの表示内容、与信判断、採用・人事評価等を自動的に行う場合、などを指し 、以下のような企業はPIAの対象となる可能性があります。
- 金融・FinTech企業：顧客の個人情報や取引情報をもとに、融資・与信の可否や条件を自動的に判断する場合
- EC・広告関連企業：閲覧履歴や購買履歴等を分析し、ユーザーごとに商品・広告を自動表示する場合
- 人材・採用関連企業：応募者の経歴等をシステムで分析し、採用候補者の選定や評価を自動的に行う場合
③個人情報の処理を委託し、他の個人情報処理者に提供し、又は公開する場合
個人情報の処理を他社に委託する場合、他の個人情報処理者に提供する場合、又は公開する場合、に当てはまる以下のようなケースもPIAの対象となる可能性があります。
- グループ会社間で情報共有する場合：中国現地法人が保有する従業員情報・顧客情報を、別のグループ会社に提供する場合
- 業務委託する場合：給与計算、採用、人事管理、顧客管理、コールセンター等を外部企業に委託し、個人情報を提供する場合
- クラウドサービスを利用する場合：個人情報を含むデータを外部のクラウドサービスで保管・処理する場合
- Webサイトなどに個人公開を公開する場合：個人情報をWebサイトやその他の公開媒体に掲載する場合
④個人情報を国外に提供する場合
中国国内で収集した従業員・顧客の個人情報を、日本本社等に提供する場合 、に当てはまる以下のようなケースもPIAの対象となる可能性があります。
- 中国現地法人から日本本社へ従業員情報を送信する場合
- 中国の顧客情報を日本のグループ会社で管理する場合
- 中国現地法人が利用する個人情報を日本のサーバー・クラウドサービスで保管する場合
- 中国で採用した従業員・応募者の情報を日本本社の人事システムで一元管理する場合
⑤その他、個人の権益に重大な影響を与える個人情報処理活動を行う場合
また、①～④に明示的には当てはまらないものの、個人の権利利益に重大な影響を及ぼしうる処理活動を行う場合も、 PIAの対象となる可能性があります。
PIAで評価する内容
PIAで評価する内容については、個人情報保護法第56条に記載があります。
个人信息保护影响评估应当包括下列内容：（一）个人信息的处理目的、处理方式等是否合法、正当、必要；（二）对个人权益的影响及安全风险；（三）所采取的保护措施是否合法、有效并与风险程度相适应。个人信息保护影响评估报告和处理情况记录应当至少保存三年。（個人情報保護影響評価には、次の内容を含めなければならない：①個人情報の処理目的・処理方式等が適法・正当・必要であるか、②個人の権益への影響及び安全リスク、③講じた保護措置が適法・有効であり、リスクの程度に相応しているか。個人情報保護影響評価報告書及び処理状況の記録は、少なくとも3年間保存しなければならない）
《个人信息保护法》第56条
あらためて書き出すと、PIAで評価する内容は下記のとおりとなります。
- ①個人情報の処理目的・処理方式等が適法・正当・必要であるか
- ②個人の権益への影響及び安全リスク
- ③講じた保護措置が適法・有効であり、リスクの程度に相応しているか
とくに、評価報告書・記録の保存期間（3年以上）は、下位規則ではなく法律本文（第56条）に直接規定されている点は、押さえておく価値があります。
PIA実施の大まかな流れ
ここでは、一般的なPIAの進め方について、実務上「誰が何を担うことが多いか」も含めて表で整理していきますが、あくまで一般的なケースとなりますので、自社に適用される際は個別確認が必要です。
なお、GDPR対応（DPIA実施等）や個人情報保護の体制整備を既に行っている企業では、個人情報取り扱い状況の棚卸しや保護措置の一部が既に完了しているケースもありますが、PIPLに基づく評価として改めて実施・記録する必要がある点にご留意ください。
前段階：PIAが必要かどうかを確認する
| ステップ | 内容 | 主に担うことが多い当事者 |
| ①自社の個人情報取り扱い状況の棚卸し | 自社がどのような個人情報を、どこから取得し、何の目的で利用しているかを棚卸しする | 自社（自社の業務内容が一番分かっているため） |
| ②「PIAが必要になる5つのケース」に該当するかの確認 | 自社の個人情報の取扱いが、前述の「PIAが必要になる5つのケース」のいずれかに当てはまるか確認する | 自社が一次判断し、判断に迷う場合は外部の法律専門家に確認 |
②の結果、5ケースのいずれにも当てはまらない場合は、PIAの実施は原則不要です。 該当する場合のみ、以下のPIA本体の実施に進みます。
PIA本体：評価を実施する（個人情報保護法第56条）
| ステップ | 内容 | 主に担うことが多い当事者 |
| ③個人情報保護影響評価の実施 | 自社が取り扱う個人情報について、 （a）処理目的・処理方式等の適法性・正当性・必要性 （b）個人の権益への影響及び安全リスク （c）現在講じている保護措置が適法・有効でリスクの程度に相応しているか の3点を評価する | 自社（法務・コンプライアンス部門）が中心。 センシティブ情報や自動化決定など専門性の高い評価は、外部の法律専門家の助言を受けながら進めるケースが多い。 |
| ④ 個人情報保護影響評価 の報告書・記録の作成・保存 | 評価内容（上記③の結果）を報告書としてまとめ、少なくとも3年間保存する | 自社が最終的に作成・保管するが、報告書のドラフト作成を外部の法律専門家が支援することもある |
評価後：必要に応じた是正対応
| ステップ | 内容 | 主に担うことが多い当事者 |
| ⑤個人情報の保護措置の追加・是正 | ③の評価で、自社が取り扱う個人情報の保護措置が不十分と判明した場合に、暗号化・アクセス制御等の安全管理措置を追加・是正する | 技術的な実装はクラウドベンダー・システム開発会社が担うことが多い |
なお、この⑤の是正対応自体は、個人情報保護法第56条が定めるPIAの評価内容そのものではなく、評価結果を踏まえて自社が講じる後続の対応です。ただし、保護措置を是正した場合、その内容も含めて再度評価・記録しておくことが望ましいと考えられます。
◆参考となるガイドライン
なおPIAの実施にあたっては、国家標準GB/T 39335-2020《信息安全技术 个人信息安全影响评估指南》が、評価の枠組み・手順を示すガイドラインとして広く用いられています。
◆等級保護制度との違いに関する注意点
等級保護制度（等保）では、公安機関への届出（備案）や測評機構による測評など、政府機関・第三者機関への提出・審査が法律上の手続きとして組み込まれています。一方、PIAは個人情報保護法上、政府機関への届出や第三者機関による審査までは義務付けられておらず、自社による自己評価・記録の作成・保存が基本です。この点は等保とは制度の性質が異なるため、混同しないよう注意が必要です（ただし、業界や個別の状況によっては、外部専門家の関与がより強く求められる場面もあります）。
なお、この整理は法律の条文そのものというより、執筆時点（2026年8月）で確認できた実務解説記事に基づくものです。
◆PIAと混同しやすいもの
PIAとは別に、100万人以上の個人情報を扱う事業者に2年に1回の実施が義務付けられている「個人情報保護コンプライアンス監査」（2025年整備）や、業界団体等が任意で運営する「PIA星級認証」など、第三者機関が関与する類似・関連制度も存在します。これらとPIA本体を混同しないよう注意が必要です。
対応の一次判断（自社で確認しておきたいこと）
PIA対応を検討するにあたり、まずは自社の個人情報処理の全体像を把握することが第一歩になります。次のような点を整理しておくと、その後の判断がスムーズになります。
- どのような個人情報を扱っているか
- どこから取得しているか
- 何の目的で利用しているか
- 誰が利用するか
- 第三者・委託先に提供しているか
- 中国国外に提供しているか
- センシティブ個人情報を扱っているか
- 現在どのような安全管理措置を取っているか
いずれにせよ、自社がPIAの対象となるか、どのような対応が必要となるかが分からない場合は、個別の事実関係を踏まえて専門家に確認することをお勧めします。
情報源・参考資料
《中华人民共和国个人信息保护法》 中央网络安全和信息化委员会办公室
https://www.cac.gov.cn/2021-08/20/c_1631050028355286.htm
GB/T 39335-2020《信息安全技术 个人信息安全影响评估指南》
https://openstd.samr.gov.cn/bzgk/std/newGbInfo?hcno=9EA84C0C3C2DBD3997B23F8E6C8ECA35
《个人信息保护合规审计管理办法》（2025年）
https://www.cac.gov.cn/2025-02/14/c_1741233507681519.htm
PIAの実施主体・PIA星級認証に関する実務解説（広悦律師事務所）
https://www.wjngh.cn/quangnews/info.aspx?itemid=4461
中国データ三法に関するご相談はこちら
PIAは、個人情報保護法における重要な義務の一つですが、対象となるかどうかの判断や、評価内容の具体化には専門的な知見が必要です。
当社は、データ三法対応のパイオニアとして、中国法務・コンプライアンス分野に関するアドバイザリーサービスを提供しています。自社の対応状況にご不安がある場合は、お気軽にご相談ください。
▶ 中国法規制アドバイザリーの詳細はこちら
https://consulting.clara.jp/service/legal/
▶ お問い合わせはこちら
https://consulting.clara.jp/inquiry/
