概　要

国家インターネット情報弁公室は5月30日、『個人情報越境移転標準契約届出ガイドライン（第一版）』（以下、「ガイドライン」）を公布した。

個人情報の取扱者による個人情報越境移転標準契約の規範的で、秩序立った届出を導き、寄与するため、国家インターネット情報弁公室は本ガイドラインを制定。個人情報越境移転標準契約の届出方法、フロー、資料などの具体的な要求に対して説明を行い、6月1日から実施している『個人情報越境移転標準契約弁法』の具体的な実施に対して指針を提供した。

国外に個人情報データを提供する必要がある企業は、まずガイドラインの対象に含まれるか否かを自主的に検査しなければならない。これには、次の4つの条件を同時に満たさなければならない。(1)重要情報インフラ運営者ではない。(2)個人情報の取り扱いが100万人未満。(3)国外に提供した個人情報が、前年1月1日から累計で10万人未満。(4)国外に提供したセンシティブ個人情報が、前年1月1日から累計で1万人未満。上述のいずれか一つでも条件を満たすことができない場合、2022年9月1日から実施されている『データ越境移転安全評価弁法』の要求に基づき、所在地の省級インターネット情報部門を通じて国家インターネット情報部門にデータ越境移転安全評価を申請しなければならない。

企業はガイドラインの要求に基づき標準契約の届出を行う際、「書面資料ならびに資料の電子版を付帯する方式」により、省級インターネット情報弁公室に標準契約書、身分証明書、個人情報保護影響評価報告書等の原本を届出なければならない。これらの書類は、個人情報取扱者が一部を保存、届出へ一部を提出、そして国外の受け取り側が一部の、１セット3部を保証しなければならない。

今回のガイドライン公布に伴う個人情報保護影響評価報告書のテンプレートと、これ以前のデータ越境移転リスク自己評価報告書のテンプレートは基本的に似通っており、企業はデータ越境移転リスク自己評価報告書のテンプレートにならって記入・申告を行うことができるが、次の3つの差異に注意しなければならない。

1. 評価作業の概要において、第三者機関の評価への関与状況を明確にする必要がある。

2. 越境移転活動の全体的な状況において、第三者に個人情報を提供するか否か、標準契約条項の実施を如何に確保するか、個人情報保護の要求を如何に満たすかなどを明確にする必要があり、企業は業務の具体的な場面、データ移動の方向や各主体間の関係を詳細に説明し、実務経験を踏まえて個人情報使用の正当性、適法性および個人情報保護の妥当性の論証を行うことができる。

3. 越境移転活動の影響評価状況は、個人情報の権益のみに焦点を当てなければならず、国家の安全、公共利益への影響を評価する必要はない。

また、企業は標準契約の発効日から10営業日以内に所在地の省級インターネット情報部門に届出することに注意するほか、ガイドラインが規定する届出のやり直しが必要な状況にも注意しなければならない。最も一般的な標準契約の補充あるいは再締結のほか、企業は常に国外の法律法規、個人情報保護政策、また企業内部の個人情報の処理方式、用途および使用期間にも関心を持たなければならず、変更が個人情報の権益に影響を及ぼす場合、インターネット情報部門に改めて届出を行う必要がある。