2022年11月18日、国家市場監督管理総局及び国家インターネット情報弁公室は、2022年11月4日付の｢個人情報保護認証に関する公告｣を発表し、あわせて「個人情報保護認証実施規則」を公布した。即日施行されている。
本規則は、個人情報保護法で定められた個人情報を越境移転する場合に必要な条件の一つである個人情報保護認証について概要を明らかにするものとなっている。
本稿では、本実施規則の要点を日本語訳をつけて抜粋、整理した。
目的と根拠となる規定
本規則は個人情報の収集、保存、使用、加工、伝送、提供、公開、削除、越境移転等の処理活動を行う個人情報処理者の認証に関する基本原則及び要件を定めたものである。（本規則1）
個人情報処理者は、GB/T 35273「情報セキュリティ技術 個人情報セキュリティ規範（信息安全技术 个人信息安全规范）」の要求事項を遵守しなければならない。越境移転処理活動を行う個人情報処理者は、TC260-PG-20222A「ネットワークセキュリティ標準実践ガイド 個人情報越境処理活動のセキュリティ認証規範（网络安全标准实践指南—个人信息跨境处理活动安全认证规范）」の要求事項を遵守しなければならない。（本規則2）
認証に関する規定
個人情報保護認証モデル：「技術認証＋現場審査＋認証取得後の監督」とする。（本規則3）
認証の委託：認証委託者は、認証機関の要求に応じて認証委託資料を提出し、認証機関は、資料の審査後すみやかに受理するか否かを返答する。認証機関は資料を元に、個人情報の類型及び数量、個人情報処理活動の範囲、技術検証機関の情報等を含む認証方案を決定し、認証委託者に通知する。（本規則4.1）
技術検証：技術検証機関は、認証方案に従って技術認証を実施し、認証機関及び認証委託者に技術検証報告書を発行する。（本規則4.2）
現場審査：認証機関は現場審査を実施し、認証委託者に現場審査報告書を発行する。（本規則4.3）
認証結果の評価及び承認：認証機関は、認証委託資料、技術検証報告書、現場審査報告書及びその他の関連資料の情報から総合評価を行い、認証を決定する。認証の要求を満たしている場合は認証証書を発行する。認証の要求を満たしていない場合は認証委託者に期限付きで改善を求め、改善後も依然として要求を満たしていない場合は書面により認証委託者に認証の終了を通知する。（本規則4.4）
認証後の監督：認証機関は認証の有効期間中、認証を取得した個人情報処理者に対し継続して監督を行い、監督の頻度は合理的に決定する。（本規則4.5.1）
認証証書と認証マーク
認証証書の有効期限は3年とする。有効期限後も認証の使用を継続したい場合、認証委託者は有効期限の6カ月前までに認証委託を提出しなければならない。（本規則5.1.1）
越境移転を含まない処理活動に対する個人情報保護認証マークは次の通りである。なお「ABCD」は認証機関の識別情報を示している。
越境移転を含む処理活動に対する個人情報保護認証マークは次の通りである。（本規則5.2）
本実施規則に対する見解
個人情報保護法38条では、個人情報を越境移転する場合、国家インターネット情報部門によるセキュリティ評価の合格、専門機関による個人情報保護認証の取得、越境移転先との標準契約書の締結、法律や行政法規等で定められるその他の条件、のうちいずれかの要件を満たすことを求めている。本規則は専門機関による個人情報保護認証に関するものである。
本規則が根拠とする「情報セキュリティ技術 個人情報セキュリティ規範」及び「ネットワークセキュリティ標準実践ガイド 個人情報越境処理活動のセキュリティ認証規範」によれば、個人情報保護認証の取得が選択可能なのは、多国籍企業や関連会社間での越境移転、または海外から中国国内向けに商品・サービスを販売しているか或いは中国の自然人の行為を分析・評価するための越境移転、のいずれかに該当する場合に限られる。そのため、自社で適用可能かどうか専門家に確認するなどして慎重に見極める必要がある。
公个人信息保护认证实施规则 http://www.cac.gov.cn/2022-11/18/c_1670399936983876.htm
