パブコメであったデータ越境移転に関する新規定が、3月22日に「データ越境流動の促進と規範に関する規定」（以下「新規定」という。）という名称で正式に公布・施行されました。
これにより、個人情報の越境移転に対する従来の厳しい規制は、重要情報インフラ運営者又は膨大な個人情報を取り扱う巨大企業でない一般企業向けに大きな緩和がなされたと評価できます。中国に進出している日系企業はこの一般企業が多数を占めていますので、今回の立法は朗報となります。
以下、この新規定の概要を見ておきましょう。
1． 個人情報の越境移転の規制の再整理
ケース1 大きな緩和となりました！！
新規定第5条4項によれば、一般のデータ取扱者（重要情報インフラ運営者に該当しない者をいう。以下同様。）は、1年間に国外に提供する個人情報が10万人分未満であって、それに重要データ及び機微な個人情報が含まれていなければ、データ越境移転の国家安全評価はもちろん、標準契約の締結とその当局への届出も不要となります。
しかし、要注意なのは、1年間に越境移転する個人情報の量が10万人分未満であっても、それに機微な個人情報が1個でも含まれていれば、以下の2のケースに該当することです。
製造型現地法人の日系企業は、このケース1に該当する場合が多く、今後一般的なビジネスシーンにおいて個人情報の越境移転を比較的自由に行うことができるようになったといえます。
ケース2 依然として標準契約の締結とその届出が必要です。
新規定第8条によれば、一般のデータ取扱者が、以下のいずれか一つの事由に該当する場合には、依然として標準契約の締結及びその当局への届出が必要とされています。
（1）1年間に国外に提供する個人情報が10万人分以上100万人分未満の場合であって、それに重要データ及び機微な個人情報が含まれていないこと。
（2）1年間に国外に提供する機微な個人情報が1万人分未満であって、それに重要データが含まれていないこと。
ケース3 相変わらず厳しい規制を受けます。
新規定7条によれば、一般のデータ取扱者に以下いずれか一つの事由がある場合には、越境移転の国家安全評価が必要となります。
（1）1年間に国外に提供する個人情報が100万人分以上であって、それに重要データ及び機微な個人情報が含まれていないこと。
（2）1年間に国外に提供する機微な個人情報が1万人分以上であって、それに重要データが含まれていないこと。
ケース4 越境移転規制の免除対象となります。
以下いずれかの場合においては、個人情報（重要データを含まない）の越境移転手続（すなわち、データ越境移転安全評価の申告、個人情報越境移転標準契約の締結と届出又は個人情報保護認証の取得）がすべて免除されます。
（1）越境購入、越境配送、越境送金、越境口座開設、航空券・ホテルの予約、ビザ手続、試験参加など、個人が当事者となる契約の締結・履行のために個人情報を国外に提供することが確かに必要である場合;
（2）法律に基づいて制定・締結された労働規則及び労働契約に従って国境を越えた人事管理を実施するために従業員の個人情報を国外に提供することが確かに必要である場合。
（3）緊急事態において人の生命・健康及び財産の安全を保護するために個人情報を国外に提供することが確かに必要である場合。
なお、いずれのケースに該当しても、個人情報の越境移転を行うには、個人の個別同意の取得及び個人情報保護影響評価（自己評価）を要することに注意しなければなりません。
2．重要データの越境移転問題
新規定によると、事業者は、その取り扱うデータの中から重要データを識別・特定して（当局に）申告しなければならず、重要データの越境移転には国家安全評価が必要とされています。一方、新規定2条によると、関係部門や地方（政府）が重要データに該当するものとして通知・公示をしていない限り、事業者は、重要データの越境移転として扱わないことができるとされます。
ここで、重要データ該否の判断について、どのレベルの法令（例えば、法律、行政法規（日本の政令に相当）、部門規則（日本の省令に相当））に基づいて重要データの定義及び範囲を確定するのかが明確に規定されず、「関係部門」、「地方」、「通知」、「公布」といったあいまいな文言が用いられています。そのため、実務上事業者が自ら重要データへの該当性を判断して運用するのは依然として困難であると思われます。
新規定には、以上のほか、一般データの越境移転の典型事例（3条）、自由貿易試験区の独自政策の容認（6条）、国家安全評価結果の有効期間（9条）に関する規定が設けられています。
弊所ではデータ越境移転に関するご相談を随時承っております。
