中国向け事業、現地法人、グローバルHR、CRM、SaaS、広告、M&Aで中国国内自然人の個人情報を扱う企業向けに、PIPL対応を実務の順番で整理します。
PIPL対応は プライバシーポリシー だけでなく、データの流れ、越境移転、契約、監査、事故対応を一体で設計する取り組みです。
中国個人情報保護法PIPLは、中国における個人情報保護の基本法です。個人情報の処理原則、適法根拠、本人通知、同意、敏感個人情報、本人権利、越境提供、個人情報保護影響評価、委託先管理、情報セキュリティ、インシデント対応、法的責任を定めています。
このページは、2026年6月7日時点で確認できる公式情報を前提にした一般的な実務解説です。個別の中国法・日本法その他の法域に関する見通しは、事業内容、データ項目、移転先、当局運用、契約関係によって変わる可能性があります。
次の8つの領域は、PIPL対応を社内プロジェクトに落とすときの主要項目です。それぞれが相互に関係するため、どれか一つだけを整えても説明可能な管理体制にはなりにくい点を読み取ることが重要です。
中国国内処理、域外適用、越境移転、重要データ、CIIO該当性を切り分けます。
個人情報、敏感個人情報、14歳未満児童情報、重要データ候補を区分します。
適法根拠、単独同意、同意撤回、本人通知、証跡保存を設計します。
免除、標準契約、認証、安全評価の振り分けを台帳で管理します。
委託、第三者提供、共同処理、グループ会社移転を契約で統制します。
高リスク処理の評価、承認、3年間の保存、定期監査を運用に組み込みます。
アクセス制御、暗号化、ログ、DLP、教育、事故対応計画を整備します。
M&A、労務、マーケティング、AI、SaaS利用まで管理対象を広げます。
最初に、何が個人情報に当たり、どの企業・業務にPIPLが及び得るかを確認します。
PIPLは、自然人の個人情報権益を保護し、個人情報処理活動を規律し、個人情報の合理的利用を促進するための法律です。中国のサイバーセキュリティ法、データセキュリティ法、ネットワークデータ安全管理条例、重要データ制度、CII制度、データ出境制度と結び付いて運用されます。
このため、PIPLは単なるプライバシー法ではなく、データ安全保障、産業規制、当局監督を含む総合的なデータ法制として把握する必要があります。法人情報や営業秘密そのものは個人情報ではありませんが、担当者名、メールアドレス、端末識別子、購買履歴、位置情報、顔画像などは特定の個人と結び付くため注意が必要です。
次の一覧は、企業内で見落とされやすい個人情報の種類と利用場面を整理したものです。どの部門がどの情報を扱っているかを確認し、後続の通知、同意、越境移転、削除対応につなげることが重要です。
| 類型 | 例 | 実務上の注意 |
|---|---|---|
| 基本識別情報 | 氏名、住所、電話番号、メールアドレス、身分証番号、パスポート番号 | 顧客管理、採用、契約、問い合わせ対応で頻出します。 |
| オンライン識別子 | Cookie ID、広告ID、端末ID、IPアドレス、アカウントID | Web解析、広告、アプリSDK、ログ管理で問題になりやすい情報です。 |
| 取引・行動情報 | 購買履歴、閲覧履歴、検索履歴、問い合わせ履歴 | マーケティング利用、プロファイリング、越境分析で確認が必要です。 |
| 従業員情報 | 人事評価、給与、勤怠、健康診断、家族情報、出張情報 | グローバルHRIS、親会社報告、労務管理で越境移転が発生しやすい情報です。 |
| 画像・音声 | 防犯カメラ映像、顔画像、通話録音、会議録画 | 生体識別、公共場所カメラ、研修録画、監査ログで利用目的を明確にします。 |
| 位置・移動情報 | GPS、入退館ログ、配送追跡、出張履歴 | 敏感個人情報に該当する可能性があります。 |
PIPL上の匿名化は、特定の自然人を識別できず、かつ復元できない状態にする処理です。非識別化は、追加情報なしには特定の自然人を識別できないようにする処理で、匿名化より広い概念です。社内で匿名化と呼んでいても、対応表、ハッシュ化キー、IDマッピング、アクセス権限、ログ情報で再識別できる場合は、PIPL上の個人情報として扱われる可能性があります。
中国国内で自然人の個人情報を処理する活動にはPIPLが適用されます。中国現地法人、支店、駐在員事務所、合弁会社、委託先、代理店、物流業者、カスタマーサポートセンター、研究開発拠点、工場、店舗、EC運営拠点で個人情報を扱う場合は、PIPL対応を検討します。
また、中国に法人がない企業でも、中国国内自然人へ商品・サービスを提供する目的で個人情報を処理する場合や、中国国内自然人の行動を分析・評価する場合には、PIPLが適用され得ます。中国語サイト、中国向けアプリ、SaaS、オンライン教育、旅行予約、決済、広告配信、グローバルHRIS、CRMなどが典型例です。
次の一覧は、適用判断の順番を示します。対象者、処理場所、国外処理、越境移転、重要データ、CIIOを順に確認することで、後から移転メカニズムだけを急いで選ぶ状態を避けやすくなります。
| 判断項目 | 確認すべき質問 | 対応方針 |
|---|---|---|
| 対象者 | 中国国内の自然人の情報ですか | 国籍だけでなく、中国国内自然人か、業務実態上誰を対象にしているかを確認します。 |
| 処理場所 | 中国国内で処理していますか | 中国拠点、現地委託先、現地クラウド、現地端末の利用を確認します。 |
| 国外処理 | 国外から商品・サービス提供または行動分析をしていますか | 日本本社、海外親会社、グローバルSaaS、広告SDKの処理を確認します。 |
| 越境移転 | 中国国内で収集・発生した個人情報を国外へ提供していますか | 遠隔アクセス、閲覧、ダウンロード、API連携、バックアップ、グローバル管理を確認します。 |
| 重要データ | 個人情報以外に重要データが含まれますか | 業界規制、通知、重要データ目録、当局照会履歴を確認します。 |
| CIIO | CII運営者に該当する可能性がありますか | 金融、通信、エネルギー、交通、公共サービスなどでは業界主管部門の認定・通知を確認します。 |
同意だけに依存せず、目的、必要性、透明性、証跡を同時に整えます。
PIPL対応で最初に押さえるべきなのは、同意書だけではなく基本原則です。合法・正当・必要・誠信、目的明確性、最小限収集、公開透明、情報品質、安全責任は、社内規程、プライバシーポリシー、同意文言、委託契約、越境移転文書、PIPIA、事故対応、M&Aデューデリジェンスのすべてに影響します。
次の一覧は、PIPL上の原則を日本企業の実務に置き換えたものです。典型的な不備を見ると、プライバシー文書だけでなく、サービス設計やデータ取得項目そのものを見直す必要があることが分かります。
| PIPL上の原則 | 実務上の意味 | 典型的な不備 |
|---|---|---|
| 合法・正当・必要・誠信 | 法律上の根拠があり、目的に照らして過剰でなく、欺瞞的でない状態です。 | 将来利用するかもしれないという理由で広く収集します。 |
| 目的明確性 | 何のために処理するかを明確にします。 | 業務上必要な範囲とだけ記載します。 |
| 最小限収集 | 目的達成に必要な範囲へ限定します。 | 会員登録で身分証番号や位置情報を不要に取得します。 |
| 公開透明 | 処理規則を明示し、本人が理解できるようにします。 | プライバシーポリシーが抽象的、散在、読みにくい状態です。 |
| 情報品質 | 不正確・不完全な情報により本人に不利益を与えないようにします。 | 古い評価情報や誤った信用情報を利用し続けます。 |
| 安全責任 | 技術的・管理的な保護措置を講じます。 | アクセス権限、ログ、暗号化、委託先監督が不足します。 |
PIPLでは、本人同意のほか、契約締結・履行に必要な場合、法定職責または法定義務の履行に必要な場合、緊急時に生命・健康・財産安全を保護するために必要な場合、公共利益のための報道・世論監督等、本人が自ら公開した情報等を合理的範囲で処理する場合、法令が定めるその他の場合が適法根拠として掲げられています。
人事労務では、依法制定された労働規章制度および依法締結された集団契約に基づく人力資源管理に必要な処理が根拠として位置付けられています。中国現地法人の就業規則、従業員ハンドブック、個人情報処理規程、労働契約、集団契約、労使協議と連動して整理することが重要です。
同意は、本人が十分に知ったうえで、自主的かつ明確に行う必要があります。同意撤回のための便利な方法も必要です。利用規約、プライバシーポリシー、広告同意、越境移転同意、敏感個人情報同意を一括する設計、既定でチェック済みの設計、撤回導線が分かりにくい設計、中国語本文と日本語本文の意味がずれる設計は、実務上のリスクになります。
次の一覧は、単独同意が問題になりやすい処理を整理したものです。包括同意へ埋め込まず、本人が対象処理を理解できる形で同意・通知・証跡を分ける必要がある点を確認します。
| 場面 | 実務対応 |
|---|---|
| 敏感個人情報の処理 | 必要性、本人権益への影響、厳格な保護措置を明示し、単独同意を取得します。 |
| 個人情報の公開 | 公開範囲、目的、リスクを明示し、単独同意を取得します。 |
| 公共場所の画像・身分識別設備の目的外利用 | 公共安全目的以外に利用する場合は、単独同意の要否を検討します。 |
| 個人情報の国外提供 | 境外受領者、連絡先、処理目的、方式、種類、本人権利行使方法を通知し、単独同意を取得します。 |
| 第三者提供・共同処理 | 受領者・共同処理者、目的、方式、種類、権利義務を明確化します。 |
PIPLは、処理者の名称・連絡先、処理目的、処理方式、個人情報の種類、保存期間、本人権利行使の方法・手続などを、真実・正確・完全に、分かりやすい言葉で通知することを求めています。ネットワークデータ安全管理条例も、個人情報処理ルールがアクセスしやすく、目立つ位置にあり、明確・具体的・分かりやすい内容であることを求めています。
次の文書一覧は、対外説明と社内統制を接続するための基本セットです。どの本人に何を知らせるかだけでなく、後から同意・通知・評価の根拠を説明できる状態にすることが重要です。
| 文書 | 主な対象 | 目的 |
|---|---|---|
| 中国向けプライバシーポリシー | 顧客、ユーザー、問い合わせ者 | 対外的な本人通知と同意管理を行います。 |
| 従業員個人情報処理通知 | 中国従業員、応募者、出向者 | HR処理、グループ移転、評価、給与、福利厚生、監査を説明します。 |
| 敏感個人情報処理通知・単独同意 | 医療健康、金融口座、行踪軌跡、生体識別などの対象者 | 敏感個人情報処理の必要性・影響を説明します。 |
| 越境移転通知・単独同意 | 中国から国外に個人情報を提供する本人 | 境外受領者、目的、方式、種類、権利行使方法を説明します。 |
| Cookie・SDK・自動化決定通知 | Web・アプリ利用者 | 行動分析、広告、レコメンド、AI・アルゴリズム利用を説明します。 |
| 委託処理・第三者提供台帳 | 社内管理用 | 委託先、提供先、目的、契約、再委託、移転国を管理します。 |
| PIPIA報告書 | 社内・当局対応 | 高リスク処理、越境移転、敏感情報、委託、公開、自動化決定を評価します。 |
敏感個人情報は、漏えいまたは違法利用により人格尊厳の侵害や人身・財産安全への危害が生じやすい個人情報です。生体識別、宗教信仰、特定身分、医療健康、金融口座、行踪軌跡、14歳未満未成年者の個人情報などが例として挙げられます。
顔認証、健康診断結果、銀行口座、給与振込口座、GPS、配送追跡、営業担当者の移動履歴、宗教・民族・政治的属性を推測し得る情報、児童向け会員登録・教育サービス・キャンペーン情報では、特定目的、十分な必要性、厳格な保護措置、単独同意、保護者同意、専用規則を検討します。
免除、標準契約、認証、安全評価を、数量基準とデータ類型で振り分けます。
中国現地法人が日本本社へ従業員情報を送る、中国の顧客情報を日本のCRMへ登録する、中国拠点の問い合わせログを海外SaaSで管理する、中国ユーザーの行動ログを国外の広告分析基盤へ連携する処理は、越境移転として検討が必要になります。
PIPLは、中国国外へ個人情報を提供する場合、原則として安全評価、個人情報保護認証、標準契約、または法令等が定めるその他の条件のいずれかを満たすことを求めています。国外提供では、境外受領者の名称・連絡先、処理目的、処理方式、個人情報の種類、本人が権利を行使する方法・手続を通知し、単独同意を取得する必要があります。
次の手順図は、2024年規定を踏まえた越境移転メカニズムの判断順序を表します。重要データやCIIOを先に確認し、その後に免除類型と数量基準を確認することで、標準契約・認証・安全評価の選択を誤りにくくなります。
当局通知、業界規制、重要データ目録、公共インフラ関連データを確認します。
通信、金融、エネルギー、交通、公共サービスなどで主管部門の認定・通知を確認します。
契約履行、人事管理、少人数の一般個人情報など、2024年規定の免除に該当するかを見ます。
移転メカニズムが免除されても、PIPL上の基本義務は残ります。
一般個人情報と敏感個人情報の人数を分けて、標準契約・認証・安全評価を選びます。
次の一覧は、安全評価、標準契約、認証が免除され得る代表的な類型です。免除の有無を読む際は、個人情報や重要データを含むか、本人が契約当事者か、労働規章制度・集団契約に基づく必要性があるか、敏感個人情報を含むかを確認します。
| 免除類型 | 例 | 注意点 |
|---|---|---|
| 個人情報または重要データを含まない国際取引等のデータ | 国際貿易、越境運輸、学術協力、越境製造、マーケティングに伴う非個人データ | 個人情報や重要データが含まれる場合は免除対象になりません。 |
| 国外で収集・生成された個人情報を中国内で処理後、国外へ戻す場合 | 海外顧客データを中国拠点で処理し、国外本社へ戻します。 | 中国国内個人情報や重要データを追加しないことが条件です。 |
| 契約締結・履行に必要な国外提供 | 越境ショッピング、越境配送、送金、決済、航空券・ホテル予約、ビザ、試験サービス | 本人が契約当事者で、国外提供が真に必要であることを確認します。 |
| 越境人事管理に必要な従業員情報提供 | グローバルHR、給与、評価、福利厚生、出向管理 | 労働規章制度・集団契約に基づく必要性が重要です。 |
| 緊急時の生命・健康・財産安全保護 | 海外での医療搬送、災害、事故、緊急連絡 | 例外的で必要最小限の利用に限定します。 |
| 非CIIOが当年1月1日から累計10万人未満の一般個人情報を国外提供 | 小規模CRM、少数問い合わせ、限定的B2B連絡先 | 敏感個人情報と重要データを含まないことを確認します。 |
| 自由貿易試験区のネガティブリスト外データ | 上海、広東等の自由貿易試験区での一定データ移転 | ネガティブリスト、区内制度、所在地の運用を確認します。 |
免除類型に該当しない場合、非CIIOの個人情報処理者は当年1月1日からの累計国外提供人数を基準に振り分けます。一般個人情報と敏感個人情報を分けて集計することが、判断の出発点になります。
| 類型 | 主な条件 | 必要なメカニズム |
|---|---|---|
| CIIO | 個人情報または重要データを国外提供します。 | データ出境安全評価 |
| 非CIIOで重要データを国外提供 | 重要データを国外提供します。 | データ出境安全評価 |
| 非CIIOで一般個人情報100万人以上 | 当年1月1日から累計100万人以上の一般個人情報を国外提供します。 | データ出境安全評価 |
| 非CIIOで敏感個人情報1万人以上 | 当年1月1日から累計1万人以上の敏感個人情報を国外提供します。 | データ出境安全評価 |
| 非CIIOで一般個人情報10万人以上100万人未満 | 当年1月1日から累計10万人以上100万人未満の一般個人情報を国外提供します。 | 標準契約または個人情報保護認証 |
| 非CIIOで敏感個人情報1万人未満 | 免除類型に該当しない敏感個人情報を国外提供します。 | 標準契約または個人情報保護認証 |
| 非CIIOで一般個人情報10万人未満、敏感個人情報なし | 免除類型に該当し得ます。 | 通知、単独同意、PIPIA等を別途検討します。 |
個人情報出境標準契約を使う場合、標準契約の発効後に個人情報国外提供を開始し、発効日から10営業日以内に所在地の省級インターネット情報部門へ备案する必要があります。処理目的、範囲、種類、保存場所、保存期間、境外受領者の利用目的・方式が変わる場合や、境外受領者所在地の個人情報保護政策・法規に変化がある場合には、PIPIA、補充・再締結・备案を検討します。
個人情報出境認証は、2026年1月1日から施行される制度として、非CIIOによる一定規模の一般個人情報または敏感個人情報の国外提供で選択肢になります。認証方式でも、事前の通知、単独同意、PIPIA等は必要です。認証証書の有効期間は3年で、継続利用には満了6か月前の申請が必要です。
データ出境安全評価は、重要データや一定規模以上の個人情報の国外提供で必要になります。申告前には、国外提供の目的・範囲・方式の合法性・正当性・必要性、データの規模・種類・敏感程度、国家安全・公共利益・本人権益へのリスク、境外受領者の保護能力、法的文書による責任義務を評価します。2025年の申告ガイド第3版では、申告資料の最適化・簡素化、有効期間延長手続が示されています。
評価、記録、契約、監査をつなげ、説明できるデータガバナンスにします。
PIPLは、知情権、決定権、処理の制限・拒否、閲覧、複製、移転、更正、補充、削除、処理規則の説明請求などの権利を本人に認めています。窓口を置くだけでは足りず、CRM、HR、サポート、広告、ログ、委託先、バックアップに散在するデータを検索できる状態が必要です。
次の一覧は、本人権利ごとに社内で準備すべき対応を示します。受付後の判断だけでなく、本人確認、検索、マスキング、回答期限、拒否理由、履歴管理を事前に設計しておくことが重要です。
| 権利 | 実務で必要な対応 |
|---|---|
| 閲覧・複製 | 本人確認、対象データ検索、第三者情報のマスキング、回答期限管理を行います。 |
| 更正・補充 | データソース確認、業務部門承認、誤情報の訂正履歴管理を行います。 |
| 削除 | 法定保存義務、契約上必要性、技術的削除困難性、バックアップ処理を確認します。 |
| 同意撤回 | 撤回導線、処理停止、撤回前処理の適法性、マーケティング除外を整理します。 |
| 処理拒否・制限 | 法的義務・契約履行との関係を整理し、拒否可能範囲を明確化します。 |
| データ移転 | 技術的実現可能性、本人確認、移転先、他者権益への影響を確認します。 |
| 自動化決定の説明・拒否 | アルゴリズム利用、重大影響、代替手段、人による確認の有無を確認します。 |
PIPIAは、敏感個人情報の処理、自動化決定、委託処理、他の個人情報処理者への提供、公開、国外提供、その他個人権益に重大な影響を及ぼす処理で必要になります。報告書と処理記録は少なくとも3年間保存する必要があります。
次の一覧は、PIPIAで最低限確認する項目です。法務・IT・業務・セキュリティ・内部監査が同じ資料を見て、リスクと保護措置を対応付けることが読み取りのポイントです。
| 項目 | 確認内容 |
|---|---|
| 処理の目的 | 事業目的が明確で、本人に説明でき、目的外利用がないかを確認します。 |
| 処理の必要性 | 取得する情報が目的達成に必要最小限かを確認します。 |
| 個人情報の種類 | 一般個人情報、敏感個人情報、児童情報、重要データの有無を確認します。 |
| 対象者 | 顧客、従業員、応募者、取引先担当者、未成年者などを確認します。 |
| 処理方式 | 収集、保存、分析、提供、委託、公開、国外移転、削除を確認します。 |
| システム | SaaS、クラウド、API、データウェアハウス、広告SDKを確認します。 |
| 境外受領者 | 名称、所在地、連絡先、処理目的、再移転、保存期間、権利行使窓口を確認します。 |
| リスク | 漏えい、目的外利用、再識別、不正アクセス、差別的処理、当局アクセスを確認します。 |
| 保護措置 | 暗号化、アクセス制御、ログ、DLP、マスキング、権限分離、契約措置を確認します。 |
| 本人権利 | 閲覧、削除、撤回、苦情、越境受領者への権利行使方法を確認します。 |
| 残余リスク | 許容可否、経営承認、追加対策、運用監査を確認します。 |
委託先管理はPIPL対応で事故原因になりやすい領域です。個人情報処理を委託する場合、委託目的、期限、処理方式、個人情報の種類、保護措置、双方の権利義務等を約定し、受託者の処理活動を監督する必要があります。契約終了時の返還・削除、再委託の同意、処理記録の保存も重要です。
次の一覧は、委託契約やDPAで確認すべき条項をまとめたものです。契約条項と台帳、監査、インシデント対応を対応させることで、委託先の処理実態を説明しやすくなります。
| 条項 | 内容 |
|---|---|
| 処理目的・範囲 | 受託者が何のために、どの個人情報を、どの方式で処理できるかを定めます。 |
| 保存場所・越境移転 | 中国国内保存か、国外アクセス・国外保存があるかを確認します。 |
| 再委託 | 再委託の可否、事前承認、再委託先一覧、再委託先責任を定めます。 |
| セキュリティ | 暗号化、アクセス制御、ログ、脆弱性管理、バックアップ、削除を定めます。 |
| 監査権 | 報告、質問票、第三者監査報告、現地監査、是正要求を定めます。 |
| インシデント | 通知期限、初動報告、詳細報告、証拠保全、本人・当局対応協力を定めます。 |
| 本人権利 | 閲覧、削除、撤回、データ移転、苦情対応への協力を定めます。 |
| データ返還・削除 | 契約終了時の返還・削除、バックアップ、削除証明を定めます。 |
| 国外受領者義務 | PIPL水準の保護、再移転制限、外国法アクセス時の通知を定めます。 |
| 損害賠償・補償 | 違反時の責任、行政処分、調査費用、通知費用を定めます。 |
一定数量以上の個人情報を処理する個人情報処理者は、個人情報保護責任者を指定し、処理活動と保護措置を監督させる必要があります。国外の処理者がPIPLの域外適用対象になる場合、中国国内に専門機関を設置するか代表を指定し、関連情報を当局へ報告する義務も問題になります。
次の一覧は、定期監査で見るべき証跡です。単なるIT監査に留めず、法務、プライバシー、セキュリティ、契約、労務、マーケティング、開発、委託先管理を横断して確認することが重要です。
| 監査項目 | 監査証跡 |
|---|---|
| 適用判断 | 事業一覧、対象者、処理場所、越境移転有無 |
| 通知・同意 | 通知文、同意画面、同意ログ、撤回ログ、版管理 |
| 敏感個人情報 | 必要性評価、単独同意、アクセス制御、削除計画 |
| 越境移転 | 移転台帳、免除判断メモ、PIPIA、標準契約、备案、認証、安全評価 |
| 委託先 | DPA、再委託一覧、監査報告、SLA、インシデント条項 |
| 本人権利 | 受付記録、本人確認、回答記録、拒否理由、期限管理 |
| セキュリティ | 権限表、ログ、暗号化設定、脆弱性診断、教育記録 |
| インシデント | 事故対応計画、演習記録、報告ルート、当局・本人通知テンプレート |
日常運用に入る領域を、技術、管理、インシデント、広告・AI、人事データの観点から整理します。
PIPLは、個人情報処理者に対し、処理目的、方式、種類、本人権益への影響、潜在的な安全リスク等に応じた内部管理制度、操作規程、分類管理、暗号化・非識別化、権限管理、教育訓練、緊急対応計画を求めています。
次のポイント一覧は、技術的措置と管理的措置を組み合わせた運用項目です。システム側の対策と社内承認・教育・監査が分かれていると、実際の事故時に説明が難しくなるため、同じ台帳で管理することが大切です。
一般個人情報、敏感個人情報、児童情報、重要データ候補を識別します。
棚卸し職務分掌、最小権限、承認、特権ID管理を導入します。
権限保存時・通信時の暗号化、鍵管理、分析・テスト環境での識別子削除を行います。
技術アクセス、ダウンロード、エクスポート、管理者操作、国外送信、大量取得を監視します。
検知削除要求、保存期間満了、契約終了時の削除とバックアップ保持を設計します。
削除従業員教育、退職者アクセス停止、懲戒規程、内部監査・外部監査を整備します。
運用PIPLは、個人情報の漏えい、改ざん、紛失が発生し、または発生する可能性がある場合、直ちに救済措置を講じ、当局および個人へ通知することを求めています。通知には、情報の種類、原因、危害、救済措置、本人が取り得る軽減措置、処理者の連絡先等を含めます。
次の手順図は、事故発生時の行動順序を表します。検知から再発防止までを事前に定めることで、中国当局、日本法、契約、上場会社開示、労務対応を同時に評価しやすくなります。
SOC、DLP、EDR、ログ、委託先通知、本人苦情から検知します。
アカウント停止、アクセス遮断、API停止、漏えい経路遮断を行います。
ログ、端末、クラウド監査ログを保全し、中国国内自然人、敏感個人情報、重要データ、国外移転の有無を確認します。
PIPL、中国ネットワークデータ規制、日本法、契約上通知義務、上場会社開示、労務対応を評価します。
通知先、通知内容、時期、言語、コールセンター、FAQ、委託先責任、保険、広報を整えます。
技術対策、運用改善、教育、規程改定、役員報告、監査を行います。
自動化決定により情報配信や商業マーケティングを行う場合、個人の特徴に基づかない選択肢または便利な拒否方法を提供する必要があります。本人権益に重大な影響を及ぼす決定では、本人は説明を求め、自動化決定のみによる決定を拒否する権利を持ちます。
広告、レコメンド、スコアリング、与信、採用評価、不正検知、価格最適化、AIチャットボットでは、利用データが過剰でないか、敏感個人情報や児童情報を含まないか、不合理な差別的待遇が生じないか、拒否方法があるか、外部AI APIや広告SDKへの送信が越境移転に当たらないかをPIPIAで確認します。
中国拠点を持つ企業では、採用、入社、勤怠、給与、社会保険、税務、評価、懲戒、健康診断、研修、出張、駐在、株式報酬、内部通報、労働紛争、退職者管理が日常的なPIPL対応領域になります。
次の一覧は、人事労務データで整備すべき文書と統制を示します。2024年規定で越境人事管理に必要な従業員情報提供が免除類型に含まれても、通知、必要性、最小化、単独同意、PIPIA、アクセス制御、保存期間、委託先管理の検討は続く点が重要です。
| 項目 | 対応内容 |
|---|---|
| 労働規章制度 | 個人情報処理、モニタリング、情報セキュリティ、懲戒、内部通報を明記します。 |
| 従業員通知 | 処理目的、種類、保存期間、国外受領者、本人権利、苦情窓口を通知します。 |
| 単独同意 | 敏感個人情報、越境移転、公開、特定のモニタリング等で必要性を検討します。 |
| 越境HR | グローバルHRIS、日本本社・海外親会社・給与ベンダーへの移転を台帳化します。 |
| アクセス権限 | 人事、上長、経理、IT、海外本社の閲覧範囲を最小化します。 |
| 保存期間 | 採用不合格者、退職者、懲戒記録、勤怠記録、税務・社会保険記録を区分します。 |
| 内部通報 | 匿名性、関係者情報、調査委託、国外専門家・フォレンジックへの提供を管理します。 |
中国個人情報保護法PIPLへの対応は、法務部だけでは完結しません。次の一覧は、経営、法務、プライバシー、IT、人事、購買、内部監査がどの役割を担うかを示します。各部門が台帳・承認・監査・事故対応で同じ情報を参照できることが大切です。
| 部門・専門職 | 主な役割 |
|---|---|
| 取締役・経営層 | リスク許容度、投資判断、責任者任命、重大案件承認を行います。 |
| ゼネラルカウンセル・法務責任者 | 法的方針、越境移転戦略、当局対応、外部専門家管理を行います。 |
| 企業内法務担当 | 契約、通知、同意、PIPIA、標準契約、社内規程を担当します。 |
| プライバシー担当 | 台帳、通知、同意、本人権利、PIPIA運用、教育を担当します。 |
| IT・セキュリティ担当 | システム棚卸し、アクセス制御、暗号化、ログ、DLP、事故対応を担当します。 |
| コンプライアンス担当 | 研修、内部通報、社内規程、違反調査を担当します。 |
| 内部監査・内部統制 | 監査計画、統制評価、証跡確認、是正管理を担当します。 |
| 人事労務 | 従業員通知、労働規章制度、HR越境移転、健康情報を担当します。 |
| マーケティング・営業 | CRM、広告、Cookie、プロファイリング、キャンペーンを担当します。 |
| 購買・ベンダー管理 | 委託先審査、契約、再委託、監査、SaaS管理を担当します。 |
| M&A・経営企画 | DD、PMI、データ統合、表明保証、是正計画を担当します。 |
| 経理・税務・会計 | 給与、税務、支払、監査証跡、会計システム連携を担当します。 |
初動、文書・契約整備、運用監査、継続管理の順番で実装します。
次の時系列一覧は、PIPL対応を現状把握から継続運用へ進める順番を表します。最初にデータの流れを把握し、その後に文書・契約・越境移転を整え、運用統制と監査へ移る流れを読み取ることが重要です。
中国関連事業、拠点、システム、委託先、データの流れを棚卸しし、中国国内自然人の個人情報、国外提供、敏感個人情報、児童情報、重要データ候補、CIIO可能性を特定します。高リスク処理では暫定的な新規開始停止・承認制を導入します。
中国向けプライバシーポリシー、従業員通知、越境移転通知、敏感情報同意、PIPIAテンプレート、承認ルールを整備します。免除、標準契約、認証、安全評価を分類し、委託先契約と監査条項を改定します。
本人権利対応、アクセス制御、ログ、暗号化、DLP、削除、バックアップを点検します。高リスク処理のPIPIAを完了し、内部監査計画、是正管理、インシデント対応演習、中国当局・本人通知テンプレートを整備します。
新規サービス、SaaS、委託先、広告SDK、AI利用、海外アクセスを事前レビューします。当年1月1日からの国外提供人数、標準契約、認証、安全評価の期限、法令・当局ガイド、重要データ目録を継続確認し、経営層へ報告します。
次の確認項目は、PIPL対応の抜け漏れを部署横断で点検するためのものです。チェックの有無だけでなく、証跡、担当者、期限、是正状況を台帳化することで、監査と事故対応にも使える資料になります。
中国国内自然人、国内処理、国外からの商品・サービス提供、行動分析、国外提供、リモートアクセス、国外SaaS・クラウド・バックアップを確認します。
データ項目、対象者、取得元、利用目的、保存期間、敏感個人情報、児童情報、重要データ候補、システム、委託先、国外受領者を記録します。
処理者名、連絡先、目的、方式、種類、保存期間、本人権利、敏感個人情報の必要性、越境移転の受領者、単独同意、撤回ログを確認します。
重要データ、CIIO、2024年規定の免除、一般個人情報と敏感個人情報の人数、安全評価、標準契約、認証、PIPIA、受領者契約、期限管理を確認します。
報告ルート、招集基準、当局・本人・取引先・委託元・保険会社への通知判断、中国語通知文、FAQ、証拠保全、再発防止、監査報告を確認します。
クラウド、SaaS、BPO、コールセンター、物流、広告代理店、決済、データ分析、共同マーケティング、フランチャイズ、販売代理店、研究開発、ライセンス、システム開発、保守運用、人材紹介、健康診断、福利厚生、内部通報窓口、フォレンジック、専門家委託、会計事務所などは、PIPL対応で契約レビューの対象になります。
レビューでは、個人情報処理者、受託者、共同処理者、第三者提供先のいずれか、中国国内自然人の個人情報を扱うか、敏感個人情報・児童情報・重要データ候補を含むか、国外アクセス・国外保存・国外サポート・国外バックアップがあるか、再委託やグループ会社が関与するかを確認します。
M&Aでは、PIPL違反が買収後の行政処分、事業停止、データ移転不能、統合遅延、顧客クレーム、表明保証違反につながる可能性があります。表明保証、誓約、補償、クロージング前是正、PMIのデータ統合条件にも反映する必要があります。
次の一覧は、デューデリジェンスで確認する資料を整理したものです。通常の法務DDに、越境移転、PIPIA、重要データ、インシデント、セキュリティの確認を加えることが読み取りのポイントです。
| DD項目 | 確認資料 |
|---|---|
| 個人情報台帳 | データ項目、対象者、取得元、保存場所、保存期間 |
| 越境移転 | 移転先、国・地域、目的、人数、敏感情報、標準契約、备案、認証、安全評価 |
| 通知・同意 | プライバシーポリシー、従業員通知、同意ログ、撤回ログ |
| PIPIA | 越境移転、敏感情報、自動化決定、委託、公開、重大影響処理の評価報告 |
| 委託先 | DPA、再委託、監査、セキュリティ評価、事故履歴 |
| インシデント | 漏えい、苦情、当局照会、行政指導、是正報告 |
| セキュリティ | 等級保護、アクセス制御、暗号化、ログ、脆弱性、教育 |
| 重要データ | 該当性判断、当局通知、業界規制、目録、申告状況 |
PIPL違反では、是正命令、警告、違法所得没収、アプリサービスの停止・終了命令、罰金等が定められています。是正を拒む場合には100万元以下の罰金や直接責任者への罰金があり、情状が重大な場合には5000万元以下または前年度売上高5%以下の罰金、事業停止、営業停止、許可取消、役員等への就任制限が問題になり得ます。
本人権益を侵害して損害を生じさせた場合、個人情報処理者が過錯のないことを証明できなければ侵権責任を負う可能性があります。多数の個人権益侵害では、人民検察院、法律で定める消費者組織、国家インターネット情報部門が確定する組織による訴訟もあり得ます。
金銭制裁だけでなく、中国でのアプリ配信停止、データ移転停止、取引先監査不合格、入札資格への影響、従業員不信、M&A価格調整、グローバル本社への報告、メディア報道、顧客離脱も実務上のリスクになります。
次の強調欄は、PIPL対応の結論を3点に絞ったものです。文書を作ることより、データの流れ、越境移転、証跡を継続的に説明できる状態にすることが重要です。
第一にデータの流れを可視化します。第二に越境移転を設計します。第三に通知、同意、PIPIA、契約、备案、認証、安全評価、アクセス権限、ログ、教育、監査、インシデント対応、是正措置の証跡を残します。
一般的な制度説明として整理します。具体的な判断は個別事情で変わる可能性があります。
一般的には、中国に法人がない場合でも、中国国外から中国国内自然人に商品・サービスを提供する目的で個人情報を処理する場合や、中国国内自然人の行動を分析・評価する場合には、PIPLが適用され得るとされています。ただし、対象者、サイトやアプリの設計、広告配信、CRM、HRシステム、越境ECの実態によって結論が変わる可能性があります。具体的な対応は、資料を整理したうえで専門家へ相談する必要があります。
一般的には、日本法対応は重要ですが、PIPLには中国法独自の適用範囲、単独同意、越境移転メカニズム、PIPIA、当局申告・备案、重要データ、CIIO、代表者報告、罰則があるため、日本語のプライバシーポリシーを中国語に翻訳するだけでは不足する可能性があります。具体的な差分は、事業とデータの流れに応じて確認する必要があります。
一般的には、GDPRの標準契約条項だけではPIPL上の標準契約対応として足りない可能性があります。PIPL上の標準契約は、中国当局が定める個人情報出境標準契約であり、GDPR SCCとは別制度です。境外受領者との契約は、PIPLの標準契約、PIPIA、备案、2024年規定の数量基準と整合させる必要があります。
一般的には、2024年規定の免除は安全評価、標準契約、認証という越境移転メカニズムに関する免除であり、通知、単独同意、PIPIA、安全措置、委託先監督、本人権利対応まで当然に免除するものではないと理解されています。ただし、移転目的、データ種類、本人との契約関係、従業員情報の根拠によって検討内容は変わります。
一般的には、人事労務管理に必要な処理であっても、依法制定された労働規章制度、集団契約、従業員通知、必要性、最小化、保存期間、敏感個人情報、越境移転、委託先管理を検討する必要があります。健康情報、金融口座、位置情報、懲戒・評価情報、内部通報情報では、具体的な取り扱いを慎重に整理する必要があります。
一般的には、データを物理的にダウンロードしていなくても、中国国内で収集・生成された個人情報に中国国外からアクセスできる構成は、国外提供・越境移転として慎重に検討する必要があるとされています。ただし、システム設計、閲覧権限、ログ、保存場所、サポート拠点、バックアップ、API連携の実態によって評価が変わる可能性があります。
一般的には、PIPLおよび関連規定は国外提供を全面的に禁止する制度ではなく、通知、同意、PIPIA、標準契約、認証、安全評価、免除類型を通じて合法的な越境流通を設計する制度です。ただし、CIIO、重要データ、大量個人情報、敏感個人情報、公共性の高い業種では、データローカライゼーションや安全評価が重大論点になる可能性があります。
公的機関が公表しているPIPL・データ越境移転・ネットワークデータ安全に関する資料を整理しています。