～「個人情報セキュリティ規範」に関するFAQ

概要

中国データ保護制度の重要な構成部分として、「個人情報セキュリティ規範」（以下、「規範」という）が2018年5月1日から正式に施行されている。「規範」の施行実施後に、国の関連部門は一連の行動を通して、個人情報違法行為を厳しく取り締まっている。例えば、APPによる個人情報収集に対する中国消費者協会の評価の動き、工業情報化部など8部門による「網剣行動」と呼ばれるインターネット上の不正行為摘発措置などが挙げられる。政府部門による監督管理上の厳しい姿勢は、「規範」を重視し、データを取り扱う際には必ず法令を遵守せよという企業への警鐘でもある。

本文

■企業は「規範」とどのように向き合うべきか？

「サイバーセキュリティ法」は大枠としての法律であり、データの遵法管理については原則的な規定しか設けておらず、指導的な役割を果たすには足りない。「規範」が制定されたのは、まさにこの問題を解決するためであった。「規範」では、個人情報の取扱いの流れや個人情報の分類について具体的で明確な規定がなされており、また、その別紙では個人情報、プライバシーポリシー、同意選択権について重点的に説明がなされている。また、「規範」はEUの「一般データ保護規則」（GDPR）を手本にし、個人情報主体がデータを再利用しやすい形式で還元してもらえる権利（データポータビリティ権）、個人情報保護責任者などの内容にも言及しており、企業に対し非常に高い要求を行っている。

効力の次元から見てみると、「規範」は推奨性国家基準に該当する。つまり、企業は「規範」を採用するよう義務付けられてはいない。厳密に言うならば、政府部門は直接「規範」に依拠して処罰することはできないのだが、「規範」は、政府部門が監督管理措置を講じる際の重要な参考根拠となり得るものであり、また同時に、裁判所は判決書において「規範」を引用し、裁判の判断を導き出すに至った根拠として説明する可能性もある。なお、「規範」内容の多くは「サイバーセキュリティ法」に記載された原則を具体化したものである。企業が「規範」に違反した場合は、「サイバーセキュリティ法」第64条に違反したものとして認定され、最高で違法所得相当額以上10倍以下（10倍を含む）又は100万以下の過料に処し、ひいては企業の係る経営免許証及び許可証が取り上げられるおそれがある。したがって、処罰されてしまうリスクを軽減するためにも、企業は実行可能な状況においては、なるべく「規範」に従うことが望ましい。

■個人情報とは何か？

■個人情報にはどのような分類があるのか？

「規範」の別紙Aでは、個人情報が分類され、具体例が挙げられており、そこからは、個人に関連するほとんどの情報が個人情報の範疇に該当することがわかるのだが、これにより、データ取扱に関するコンプライアンス対策面では、企業にかなり大きな負担がかかってくる。主な分類とよくある個人情報は、下表の通りである。

■個人情報はどのように収集し、使用すべきか？

「サイバーセキュリティ法」第41条は、インターネット運営者が個人情報を収集し、使用する際には、「適法、必要、安全、公開・透明性、同意、主体の参加」などの原則に従わなければならないことを明確にしている。「規範」では、これらの原則を一つ一つ具体化し、内容を補充している。具体的には以下の通りである。

（後編へ）

[i] 非識別加工：個人情報の技術処理を通じて、他の情報に頼ることなく、個人情報主体を識別することが不可能になるように処理する過程を指す。

[ii] 匿名化：個人情報の技術処理を通じて、個人情報主体が識別されることを不可能にし、且つ処理後の情報を復元できないように処理する過程を指す。匿名化処理済みの個人情報から得た情報は、個人情報に該当しない。