連載第4回では、日本企業の進出が進む中国など新興国の個人情報関連制度を扱う。各国の個人情報関連制度はもちろん、特に中国については改正個人情報保護法やEU一般データ保護規則（GDPR）に基づく標準契約条項（SCC）対応を見据え、ガバメントアクセスに関しても分析を行う。

中国では越境移転を含め、厳しい個人情報保護規制が敷かれている（写真／Shutterstock）

［画像のクリックで拡大表示］

データの管理統制を強化している中国

　近年、中国ではデータガバナンス分野の立法が加速している。2017年6月に施行された「サイバーセキュリティー法」では、個人情報を収集・利用する前に、収集・利用目的を明確に示し、個人の同意を得ることが定められており、重要情報インフラ運営者（後述）をはじめとしたネットワーク事業者が行う個人情報の越境移転に関する制限も規定される。

　サイバーセキュリティー法については、中国企業への執行も活発化している。例えば中国配車サービス最大手で日本にも進出する滴滴出行（ディディ）は21年7月、規制当局によるセキュリティー審査を受け、その結果、同社のアプリにおける個人情報の収集・使用は違法とされ、同法に基づき配信アプリの新規ダウンロード停止を命じられた。

　21年1月に施行された「民法典」は、プライバシーが重要な人格権であることを定め、アクセス権、訂正・削除権などを自然人に与えた。

　さらに「データセキュリティー法」が21年9月に施行された。同法は、個人情報を含めた中国国内で生成・記録されたデータを規制対象として、安全保障上重要な戦略物資や技術の確保に関するデータの越境移転を規制している。

　21年11月に施行された「個人情報保護法」は、中国における個人情報保護の基本法と位置付けられ、「世界で最も厳格なデータ・プライバシー法の1つ」と評される^*1。同法は日本の個人情報保護法やGDPRと同じく、域外適用と越境移転制限を規定している。