はじめに
中国でネットワークやアプリ、顧客データを扱う企業は、「中国データ三法」と呼ばれる下記3つの法律への対応が求められます。
- サイバーセキュリティ法（网络安全法）：ネットワークシステムそのものを守るための法律
- データセキュリティ法（数据安全法）：データそのものを守るための法律
- 個人情報保護法（个人信息保护法）：個人情報を守るための法律
背景について少し触れると、2014年4月15日、習近平国家主席が中央国家安全委員会第1回会議で「総体国家安全観」という考え方を提唱し、サイバー空間・データの安全を国家安全保障の重要な一分野として位置づけたという経緯があります。データ三法は、この考え方を法制度として具体化したものと位置づけられています。中国国内でネットワークやデータ、個人情報を扱う事業に対して、他国よりも強い規制がかかりやすい背景には、こうした国家戦略があるのです。
なお、3つは別々の法律ですが、実務上は重なり合う場面が多く、特に「データを中国国外に持ち出す（越境移転する）」場面では、三法すべてが関係してきます。
本記事では、まず三法の全体像と主要な重要概念と、対応の一次判断例などを整理します。なお、重要データの定義、越境移転の具体的な手続き、違反事例の詳細については、それぞれ個別記事で解説していますので、あわせてご参照ください。
※本記事は更新時点（2026年8月）の法令に基づいています。中国の関連法規は頻繁に更新されるため、最新の運用については専門家にご確認ください。
中国データ三法とは？
まずは、中国データ三法の日本語名称、英語略称、中国語名称などをまずは下表にて整理します。
| 日本語名称と英語略称 | 中国語名称 | 可決日 | 施行日 |
| サイバーセキュリティ法（CSL） | 网络安全法 | 2016年11月7日 （2025年10月28日改正） | 2017年6月1日 （改正部分は2026年1月1日） |
| データセキュリティ法（DSL） | 数据安全法 | 2021年6月10日 | 2021年9月1日 |
| 個人情報保護法（PIPL） | 个人信息保护法 | 2021年8月20日 | 2021年11月1日 |
なお、サイバーセキュリティ法（日本語略称：CS法）は、三法の中では最も早く可決・施行された法律ですが、上記の通り2025年10月28日に改正されており、2026年1月1日から施行されています。改正後は、章立てや条文番号が一部変更されているため、本記事では改正後の条文番号で解説します。
また、三法の目的（各法第1条）を簡単にまとめると、次のようになります。
- サイバーセキュリティ法： ネットワークの安全を保障し、サイバー空間における主権と国家の安全、社会公共の利益を維持すること
- データセキュリティ法： データ処理活動を規範化し、データの安全を保障し、データの開発利用を促進すること
- 個人情報保護法： 個人情報の権益を保護し、個人情報の処理活動を規範化すること
三法の関係性
また、三法は独立した法律ですが、次のようなイメージで捉えると分かりやすくなります。
- サイバーセキュリティ法：システム（ネットワーク）をどう守るか
- データセキュリティ法：データそのものをどう守るか
- 個人情報保護法：個人情報をどう守るか
「個人情報」は「データ」の一種であり、「データ」は「ネットワークシステム」上で扱われるものなので、3つの法律は対象範囲が入れ子のように重なり合っています。特に、データを中国国外に持ち出す「データ越境移転」の場面では、三法それぞれが関連する規定を持っており、実務上はまとめて検討する必要があります。
なお、三法の重要データ・越境移転・プラットフォーム事業者の義務などを横断的に実施細則化した「三法の運用マニュアル」的な位置づけの行政法規として、ネットワークデータ安全管理条例(网络数据安全管理条例)というものも2025年1月1日に施行されています。
サイバーセキュリティ法に関連する重要概念「等保」「重要インフラ」
◆ネットワーク安全等級保護制度（等保）
ネットワーク安全等級保護制度は、ネットワークシステムを重要度に応じてランク分けし、それぞれの等級に応じた安全対策を求める制度です。
サイバーセキュリティ法第23条（2025年改正前は第21条）には、ネットワーク安全等級保護制度（略称：等級保護; 等級保護制度）についての記載があります。また、中国語と英語の名称と略称はそれぞれ、网络安全等级保护（等保）、Multi-Level Protection Scheme（MLPS）です。
国家实行网络安全等级保护制度（国家はネットワーク安全等級保護制度を実施する）
《信息安全等级保护管理办法》第23条
なお、等級は一般に次のようなイメージで区分されますが、実際に自社がどの等級になるかを調べる時は、別途定められている詳細な要件との照合が必要です。
- 一級： 一般的なシステム
- 二級： 一般企業の重要システム
- 三級： 重要インフラ・大規模サービスなど
- 四級： 国家レベルの重要システム
- 五級： 最高レベル
なお、二級以上に該当するシステムを運用している場合、公安機関への届出（備案）と、三級以上の場合は測評機構による評価（測評）が法律上必要になります。自社のシステムがどの等級に該当するか、対応が必要かどうかは個別確認が必要です。なお、実務上は多くの日系企業が二級相当の対応を求められるケースが多いとされています。詳細は下記をご覧ください。
◆ 重要インフラへの重点保護
また、公共通信・エネルギー・金融など、機能停止や情報漏えいが国家安全や公共利益に重大な影響を与えうる分野の「重要インフラ運営者」については、等級保護制度に加えて重点的な保護が求められます（サイバーセキュリティ法第33条、2025年改正前は第31条）。
多くの日系企業は直接該当しないケースが多いですが、こちらも自社の事業内容によっては個別確認が必要です。
データセキュリティ法に関連する重要概念「重要データ（重要数据）」
「重要データ」という概念は、サイバーセキュリティ法で初めて登場しましたが、同法自体には明確な定義規定はありません。一方で、データセキュリティ法では、各地域・各部門が重要データの分類目録を作成する旨が定められており、具体的な識別基準は下位の規則やガイドラインで補足されている段階です。
「重要データに該当するかどうか」は、業種や取り扱うデータの内容によって個別に判断が必要な、いわゆるグレーゾーンの強い領域です。より詳しい内容は下記で整理しています。
個人情報保護法に関連する重要概念「個人情報保護影響評価（PIA）」
◆ 個人情報保護影響評価（PIA）
個人情報保護法は、一定の個人情報処理を行う前に、その処理が個人の権利利益にどのような影響・リスクを及ぼすかを事前に評価する個人情報保護影響評価（个人信息保护影响评估、PIA：Privacy Impact Assessment）の実施を求めています。
有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录：（一）处理敏感个人信息；（二）利用个人信息进行自动化决策；（三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；（四）向境外提供个人信息；（五）其他对个人权益有重大影响的个人信息处理活动。（次のいずれかに該当する場合、個人情報処理者は事前に個人情報保護影響評価を実施し、処理状況を記録しなければならない：①センシティブ個人情報を処理する場合、②個人情報を利用して自動化された意思決定を行う場合、③個人情報の処理を委託し、他の個人情報処理者に提供し、又は公開する場合、④個人情報を国外に提供する場合、⑤その他、個人の権益に重大な影響を与える個人情報処理活動を行う場合）
《个人信息保护法》第55条
このうち④個人情報を国外に提供する場合は、次のセクションで解説する「データ越境移転」の場面とも重なります。ただし、PIAとデータ越境移転の手続きは別の論点であり、越境移転を行う場合は、PIAに加えてこれらの手続きの要否も別途検討する必要があります。
また、PIAに含める内容や記録の保存期間などは下記のように記載されています。
个人信息保护影响评估应当包括下列内容：（一）个人信息的处理目的、处理方式等是否合法、正当、必要；（二）对个人权益的影响及安全风险；（三）所采取的保护措施是否合法、有效并与风险程度相适应。个人信息保护影响评估报告和处理情况记录应当至少保存三年。（個人情報保護影響評価には、次の内容を含めなければならない：①個人情報の処理目的・処理方式等が適法・正当・必要であるか、②個人の権益への影響及び安全リスク、③講じた保護措置が適法・有効であり、リスクの程度に相応しているか。個人情報保護影響評価報告書及び処理状況の記録は、少なくとも3年間保存しなければならない）
《个人信息保护法》第56条
なおPIAについては、詳細は下記の記事で解説いたします。
データ越境移転｜三法に共通するテーマ
データ三法においては、データ越境移転（データを国外に持ち出すこと）も重要な概念です。
データセキュリティ法では、データの安全管理と適正な利用を求めており、国家安全や公共利益に関わるデータについてはとくに厳格な管理が求められます。そしてこの枠組みは、中国国内で収集・生成したデータを国外に持ち出す「データ越境移転（跨境数据传输）」の場面で特に重要になります。
データ越境移転の手続きが必要になるかどうかは、主に次の3つの軸で決まります。
- 個人情報の提供量：年間の提供人数が一定数以上になるかどうか
- 重要データかどうか：提供するデータが重要データに該当するかどうか
- 自社が重要インフラ運営者（CIIO）に該当するか：CIIOに該当する場合、提供量に関わらずより厳格な対応が必要
なお、重要インフラ運営者（CIIO：Critical Information Infrastructure Operator）は、あまり耳慣れない言葉だと思いますが、公共通信・情報サービス、エネルギー、交通、水利、金融、公共サービス、電子政務、国防科技工業など、国家安全・国民経済・公共利益に重大な影響を与えうる重要インフラの運営者を指します（《关键信息基础设施安全保护条例》第2条）。通信キャリア、電力・石油・ガス事業者、鉄道・空港などの交通機関、銀行・証券会社、水道事業者などが該当しうるとされており、多くの日系企業は直接該当しないケースが多いですが、こちらも自社の事業内容によっては個別確認が必要です。
いずれにせよ、サイバーセキュリティ法・データセキュリティ法・個人情報保護法は、それぞれの立場からデータ越境移転に関する規定を置いており、上記の軸に応じて「安全評価・標準契約（中国版SCCとも呼ばれます）・個人情報保護認証」のいずれかの手続きが必要になる場合があります。この点は制度が細かく、かつ実務上のアップデートも多い分野のため、本記事では概要のみに留め、詳細は下記の記事でまとめます。
違反時のリスクの考え方
三法にはそれぞれ罰則規定があり、違反が認められた場合は、是正命令・警告・過料といった行政処分に加え、事業停止や刑事責任に発展するケースもあります。特にサイバーセキュリティ法は2025年の改正で法的責任に関する規定が見直されており、違反時の処分がより厳格化される方向にあります。
具体的な罰則の金額・内容は法令改正のたびに変わりうるため、本記事では概要のみとし、実際の処分事例は別記事にまとめてます。
主な適用対象と対応の一次判断例
以上でデータ三法の基本事項を紹介しました。次に、弊社でアセスメントやコンサルティングをさせていただくことが多い適用対象となり得る日系企業と一次判断例をご紹介します。
なおこちらはあくまで一般的な傾向であり、自社の判断をされる場合は、いずれのケースも「該当する／しない」を自己判断せず、個別の事実関係を踏まえて専門家に相談することを推奨します。
◆主な適用対象
・中国に拠点を有する企業
・中国向けにWebサービスを提供している企業
・中国で個人情報を取り扱っている企業
◆対応の一次判断例
- 中国拠点でECサイトやアプリ、会員向けWebサービスを運営しているケース：「ネットワーク運営者」に該当する可能性が高く、サイバーセキュリティ法の等級保護制度（届出・評価）への対応要否を確認する必要があります。
- 中国拠点の従業員・顧客の個人情報を、日本本社の人事システムなどに共有しているケース：個人情報の「越境移転」に該当する可能性があり、個人情報保護法第38条が定める手続き（安全評価・認証・標準契約のいずれか）の要否確認が必要です。日本本社によるグループ共通システムでの一元管理も、この対象になり得る点に注意が必要です。
- 中国国内の拠点の稼働データやセンサーデータを、日本本社のシステムに連携しているケース：内容によっては「重要データ」に該当しないか、個別に確認しておくことが望ましいですが、明確な定義がないため、慎重な判断が求められる領域です。
- 中国国内で顧客対応WeChatなどを利用している、あるいは自社アプリでSNS的な機能を提供しているケース：個人情報の収集・保存のあり方について、個人情報保護法の対象となる可能性があります。
- 中国国内に製造拠点があり、IoT設備や生産管理システムを持っているケース：業種によっては「重要インフラ運営者」や「重要データ」の該当性を確認しておくことが望ましいです。
この記事のポイント
- 中国データ三法とは、サイバーセキュリティ法（网络安全法）・データセキュリティ法（数据安全法）・個人情報保護法（个人信息保护法）の3つを指します。
- サイバーセキュリティ法は2025年10月28日に改正され、2026年1月1日から施行されています。（条文番号が変更されている点に注意）
- 等級保護制度における二級以上のネットワークシステムを運用する場合、等級保護制度への対応（公安機関への備案、三級以上は測評）が原則必要になります。
- 重要データの明確な定義は法律上なく、識別基準は国家標準（GB/T 43697-2024）等の下位規則に委ねられています。
- 個人情報保護法は、センシティブ個人情報の処理や越境提供等の場面で、事前の個人情報保護影響評価（PIA）の実施と記録の保存（3年以上）を求めています。
- データ越境移転の手続きが必要かどうかは、①個人情報の提供量、②重要データの該当性、③重要インフラ運営者（CIIO）該当性の3軸で判断します。
- 総じて、自社が該当するかどうかの判断はケースバイケースであり、専門家への個別確認が推奨されます。
情報源・参考資料
《中华人民共和国网络安全法》 中央网络安全和信息化委员会办公室
https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm
《中华人民共和国数据安全法》 中央网络安全和信息化委员会办公室
https://www.cac.gov.cn/2021-06/11/c_1624994566919140.htm
《中华人民共和国个人信息保护法》 中央网络安全和信息化委员会办公室
https://www.cac.gov.cn/2021-08/20/c_1631050028355286.htm
《网络数据安全管理条例》（国务院令第790号）
https://www.gov.cn/zhengce/zhengceku/202409/content_6977767.htm
中国データ三法に関するご相談はこちら
本記事では、中国データ三法の全体像をご紹介しました。中国のデータ関連法規は改正が多く、最新の制度動向を踏まえた対応が求められます。
当社は、データ三法対応のパイオニアとして、中国法務・コンプライアンス分野に関するアドバイザリーサービスを提供しています。自社の対応状況にご不安がある場合は、お気軽にご相談ください。
▶ 中国法規制アドバイザリーの詳細はこちら
https://consulting.clara.jp/service/legal/
▶ お問い合わせはこちら
https://consulting.clara.jp/inquiry/
