2026年 中国の越境データ移転コンプライアンス：外資系企業の実践ガイド

越境データ移転とは何ですか？

中国市場に参入する外資系ブランドは毎日、膨大なデータを生み出しています。Tmall Global（天猫国際）やJD Worldwide（京東全球購）の顧客プロファイル、小紅書（RED）や抖音（Douyin）のキャンペーンからのリード、現地スタッフの従業員記録、そして海外の地域本社へ送られる運営指標です。これらのデータが中国本土を離れた瞬間、世界で最も厳しいデータ輸出体制の一つに該当します。個人情報保護法（PIPL）とデータ安全保障法（DSL）に基づき、越境データ移転は規制対象の活動であり、非準拠は厳しい罰則を招きます。本ガイドでは、外資系企業が2026年に中国からデータを合法的に移転するために何をすべきかを、分かりやすく説明します。

3つの合法的ルート

中国はデータ輸出を禁止しているのではなく、2024年の「データの越境移動の促進と規範化に関する規定」で整備され、2026年までに全面施行された3つの承認済み仕組みを通じて管理しています。

1. CACセキュリティ評価。大規模または機微な移転に必要です。例えば、100万人以上の個人の個人情報を取り扱う、重要データを移転する、または重要情報インフラを運用する場合です。中国サイバー空間管理局（CAC）は、安全保障と公益の観点から移転を審査します。
2. 標準契約。企業はCACの標準契約モデルを採用し、海外の受領者と署名してCACに届け出ることができます。このルートは、セキュリティ評価の閾値を下回る中規模の移転に適しています。
3. 認証。移転は、CAC指定の専門機関が発行する個人情報保護認証を通じて承認でき、多国籍グループ内でよく使われます。

2026年に知っておくべき閾値

• 100万人以上の個人の個人情報を含む移転は、CACセキュリティ評価が必要です。
• 10万人から100万人の個人の個人情報の移転は、標準契約ルートを使用できます。
• 1万人以上の機微な個人情報の移転は、少なくとも標準契約が必要で、多くの場合は評価も必要です。
• 産業規制当局が定義する重要データは、常にセキュリティ評価の対象となります。
• 内部の人事データや限定的な越境eコマースのフルフィルメントデータなど、少量かつ必要な移転は、2024年規定の簡素化または免除シナリオに該当する場合があります。

コンプライアンス達成の手順

1. データフローを可視化する。WFOEが収集するデータ、保管場所、中国国外で誰がアクセスできるかを洗い出します。
2. データを分類する。個人情報、機微な個人情報、および重要データを特定します。
3. ルートを選択する。量と機微性に応じて、評価、標準契約、または認証を選びます。
4. 文書を準備する。個人情報保護影響評価を実施し、標準契約または評価申請を作成し、中国準拠のプライバシーポリシーを採用します。
5. 届出と実施。CACに届け出を提出し、暗号化、アクセス制御、監査ログなどの技術的保護措置を徹底します。

非準拠への罰則

違反には、警告、是正命令、違法所得の没収、5,000万元または前年度売上の5％に達する罰金、および責任者への個人責任の追及が伴うことがあります。評判の毀損やデータ運用の停止も一般的な結果です。

外資系ブランドへの実践的アドバイス

• 市場参入初日から、データ輸出を経営陣レベルのコンプライアンス項目と位置付けてください。
• 可能な限りデータ保管を現地化してください。中国の顧客データを本土のサーバーに残すことで、輸出量を減らせます。
• Tmall、JD、RED、Douyinで越境キャンペーンを開始する前に、データの棚卸しを構築してください。
• 届出プロセスは文書負荷が高いため、早期に資格を持つ中国のプライバシー専門家を活用してください。

よくある質問

月次報告を本社にメールで送るだけなら、WFOEは届出が必要ですか？

その報告に、免除閾値を超える中国の顧客や従業員の個人情報が含まれていれば必要です。集計され匿名化された統計は原則として対象外ですが、識別可能な記録は対象となります。

重要データとは具体的に何ですか？

重要データとは、改ざん、漏洩、または濫用により、国家安全保障、公衆衛生、または経済的利害を害する恐れのあるデータです。産業規制当局が目録を公表しています。疑わしい場合は慎重に判断してください。

CACセキュリティ評価にはどれくらいかかりますか？

審査には通常、数か月を要します。市場参入のスケジュールには、形式手続きではなくこのリードタイムを見込んでください。

すべてを中国国外のグローバルなクラウドに保存できますか？

規制対象のデータはできません。中国の個人情報および重要データは、原則として本土での保管、または準拠した輸出メカニズムが必要です。それ以前の海外処理は認められません。

非準拠で移転するとどうなりますか？

規制当局は停止命令、罰金の賦課、責任者への追及ができます。非準拠のデータフローは、中国でのより広範な許認可やプラットフォーム運営も危ぶみます。