法規

規制対象

規制主体

「データセキュリティ法」

●  データとは、如何なる電子又はその他の方式による、情報の記録をいう。

●  データの取扱いとは、データを収集、保存、使用、加工、伝送、提供、公開する等の行動をいう。

●  規制主体は、データの取扱いに従事する主体である。

「個人情報保護法」

●  個人情報とは、電子形式又はその他の形式で記録される、既に識別された又は識別可能な自然人に関する各種情報をいう。

●  個人情報の取扱いとは、個人情報を収集、保存、使用、加工、伝送、提供、公開する行動をいう。

●  規制主体は、個人情報の取扱いに従事する主体である。

「遺伝子識別データセキュリティ要求」

●  遺伝子識別データとは、人類の遺伝物質から得られた個体又は群体の遺伝情報を伝達するデータをいい、当該データは、直接又は間接的に人類個体又は群体を識別することができる。例えば、ゲノムDNA塩基配列データ、機能ゲノムデータ等がある遺伝子識別データは、個人情報に該当する）。

●  規制主体は、遺伝子識別データ支配者（即ち、遺伝子識別データ取扱目的、方式等を決定する能力を有する組織又は個人）である。

「自動車データセキュリティ管理若干規定」

●  自動車データとは、個人情報及び重要データ[2]をいい、そのうち、個人情報には、自動車の所有者、運転者、同乗者、通行人等の個人情報、及び個人の身元の推定や個人の行動の説明が可能となるような各種の情報が含まれる。

●  規制主体は、運営者、即ち自動車の設計、製造、サービス提供企業又は組織（それには、自動車メーカー、部品及びソフトウエアのサプライヤー、ディーラー、修理機構、配車サービス企業、保険会社等が含まれる。）を指す。

類別

定義

具体的な例示

機微な個人情報

●  機微な個人情報とは、ひとたび漏えい、不法使用された場合に、個人がそれにより不当な扱いを受け、又は身体、財産安全が重大な損害を被る恐れがある個人情報をいう。

●  14 歳未満の未成年者の個人情報も機微な個人情報である。

●  本人証明書、社会保険カード、信仰宗教、通信記録及びその内容、移動の足取り、銀行口座番号、鑑別パスワード、預金情報、個人の病気治療等によって生じる記録、個人遺伝子情報[3]、指紋、顔認識特徴等[4]。

●  車両の位置、運転者又は同乗者の音声映像等、及び法律法規に違反した運転の判断のために利用できるデータ等も機微な個人情報に該当する（「自動車データセキュリティ管理若干規定」）。

一般的な個人情報

●  一般的な個人情報とは、機微な個人情報以外の個人情報をいう。

●  個人の氏名、生年月日、電話番号、職業、職位、勤務先、学校、学歴等。

類別

事情の把握

同意

一般的な個人情報

●  個人情報を取扱う前に、以下の事項を個人に告知しなければならない。（一）個人情報を取扱う者の身元及び連絡先。（二）個人情報の取扱目的、取扱方法、取り扱う個人情報の種類、保存期限。（三）個人が個人情報の照会、複製、訂正等の権利を行使する方式及び手続き。（四）法律、行政法規で告知しなければならないと定められているその他の事項。

●  個人の一般的同意を得ればよい。例えば、プライバシーポリシー、同意説明文書等において、左記の事項を明記し、被収集者に「同意」ボタンをクリックしてもらうか、又は署名による確認をさせる等。

●  現在、多くの企業は、個人情報の取扱いに関する個人顧客の同意を得るために、プライバシーポリシーを作成し、且つ公表している。だが、企業の運営過程においては、通常、従業員及びディーラー、サプライヤー等といった者たちの個人情報の取扱いにも係ってくるため、この点について、企業は、専門家の指導及び協力の下、従業員と委任同意書を締結する方式を通じて、従業員の同意を得ておくのがよいと考える。なお、ディーラー、サプライヤー等との契約書の中で、かかる個人情報保護条項を追加し、「その共有する個人情報の入手方法が適法であり、且つかかる個人もその個人情報の共有に同意済みである」ことをディーラー、サプライヤーに承諾させるのがよい。

機微な個人情報

●  上述（一）号乃至（四）号の内容のほか、個人に対し、機微な個人情報取扱いの必要性及び個人への影響を告知しなければならない。

●  個人の個別の同意を得なければならない。個別の同意については、現在、法規上明確な画定はなされていないが、筆者の理解では、「個別の同意」は、個人情報を取扱う者が個人情報を取り扱う際に、個人が明確に知得しているという前提で同意するかどうかの決定を行えるよう、個別の同意を必要とする状況について個別に注意喚起することを強調するものであると考える。

●  例えば、機微な情報の取扱状況、共有、越境伝送、一般向けに公開される個人情報に係る内容を、プライバシーポリシー又は同意説明文書から書き出して、１部又は複数の単独の文書又はWebサイトのページに記載し、個人に個別的に当該文書について「同意」ボタンをクリックさせ、又は署名させるのであり、プライバシーポリシー又は同意説明文書の全ての内容に対する個人の同意を包括的に取得するわけではない。

●  個別の同意という要求に対応するために、企業は、個別の同意を得るべき場面2を整理し、専門者の協力の下、単独の告知文書を作成し、且つ同意メカニズムを整備しなければならない。

共有される個人情報

●  上述（一）号乃至（四）号の内容のほか、個人に対し、受領者の身元、連絡先、受領者の取扱目的、取扱方法及び取り扱う個人情報の種類を告知しなければならない。

国外に対する（越境伝送）個人情報の提供

●  上述（一）号乃至（四）号の内容のほか、個人に対して国外受領者の身元、連絡先、国外受領者の取扱目的、取扱方法及び取り扱う個人情報の種類、個人が境外受領者に対し個人情報を照会、複製、訂正等といった権利を行使する方式を告知しなければならない。

一般向けの個人情報公開

●  上述（一）号乃至（四）号の内容

車内での個人情報の収集

●  ユーザマニュアル、車載用ディスプレイ又はその他適切な方式を通じて、収集するデータの類型、目的、用途、種類ごとのデータ収集のトリガー条件及び収集停止の方法、データの保存場所、期限（又は保存場所、期限を確定するためのルール）、車内の個人情報の削除、車外へ提供済みの個人情報の削除を要請する方法と手順、ユーザ権益の処理を担当する責任者の有効な連絡先を告知しなければならない。

●  車両位置、運転者又は同乗者の音声映像、法律法規に違反した運転の判断のために利用できるデータを収集する際に、車内ディスプレイ又は音声等の方式により、これらの個人情報を収集していることを運転者及び同乗者に告知しなければならない。

毎回、運転する際には、その都度運転者の委任同意を取得しなければならない。運転者の委任同意は、本件運転のみに対して有効であり、運転終了（運転者が運転席を離れた）後、本件委任は自動的に失効する。

遺伝子識別データ

●  「遺伝子識別データセキュリティ要求」別紙E（同意説明文書テンプレート）において、それぞれの場面に応じて、個人に告知すべき内容を具体的に列記した。例えば、医学サービスの場面であれば、告知内容には検査測定項目の紹介、検査測定の限界性、リスクに関する説明、検査測定結果及びプライバシー保護説明、医師告知及び同意が含まれる。

●  個人が同意説明文書を締結するという方式を通じて、個人の同意を得る。

●  「遺伝子識別データセキュリティ要求」では、遺伝子識別データの共有に係る場面に対し、共有に関する同意説明文書の様式を個別に提供した。従って、遺伝子識別データの共有に係る場合、その共有に関する同意説明文書を個人に個別に署名させる必要がある。

項目

具体的な内容

リスク評価を行い、且つ取扱いについての記録を行わなければならない状況。

●  機微な個人情報の取扱い。

●  個人情報を利用した自動化意思決定の実施（例えば、個人の閲覧習慣に基づき、WEBサイト上において、個人の趣味・ 嗜好に合わせた製品又は広告を配信する等）

●  個人情報の取扱いを第三者に委託する（例えば、個人情報の収集等を第三者に委託する）。

●  第三者への個人情報の共有。

●  一般向けの個人情報の公開。

●  国外への個人情報の提供。

●  その他個人に重大な影響を持つ個人情報の取扱い。

リスク評価に含まれるべき内容

●  個人情報の取扱目的、取扱方式等が合法、正当、必要であるか。

●  個人への影響及びリスクの度合い。

●  講じるセキュリティ保護措置が合法、有効であり、且つリスクの度合と釣り合っているか。

リスク評価の手順

●  「情報セキュリティ技術 個人情報セキュリティ影響評価手引」（GB/T 39335-2020）を参照する。

評価の実施者

●  評価の実施者は、個人情報取扱者である。

●  自動車業界の運営者にとっては、リスク評価を独自に実施する以外に、「自動車データセキュリティ管理若干規定」では、「国家インターネット情報部門は、国務院関連部門と共同で、データ取扱状況に基づき、運営者に対してデータセキュリティ評価を実施し、運営者はそれに協力しなければなれない」とより明確にされている。

評価報告の保存期限

●  少なくとも３年間は保存しなければならない。

評価頻度

●  「個人情報セキュリティ規範」によれば、通常、毎年少なくとも1回はリスク評価を実施しなければならない。

●  筆者の理解では、企業は、場面を単位としてリスク評価を実施しなければならず、個人情報を取扱う前に、その都度個別評価を実施する必要はないものと考える。例えば、企業が個人情報を宅配便会社に対して共有する状況を、1つの情報共有場面としてリスク評価を行い、毎年１回評価を実施すること等が考えられる。個人情報の共有方式、種類、目的等に変化が生じない限り（変化が生じる場合、改めて評価を実施する）、本件評価結果は、１年間以内に企業が個人情報を宅配便会社に対して共有する全ての状況に適用されることができる。即ち、実際に個人情報を宅配便会社と共有する前に、その都度個別のリスク評価を実施する必要はない。

個人情報取扱いの記録

●  現在、法律法規では、記録の必要内容について規定していない。筆者の理解では、企業は、台帳又は個別文書の形式をもって、少なくとも個人情報の取扱方式、種類、目的、取扱記録の形成時間を記録しなければならないと考える。共有、取扱委託、越境伝送においては、更に個人情報受領者の名称及び連絡先も記録しなければならない。条件が揃えば、取り扱う個人情報の数量も記録しなければならない。

●  利便性の視点から見れば、個人情報取扱いの場面が複雑な企業の場合、個人情報取扱記録の登記に用いる専門システムを開発することが考えられる。

個人情報取扱い記録の保存期限

●  少なくとも３年間は保存しなければならない。

個人情報越境伝送原則

具体的な内容

標準契約の締結を基礎とする

●  専門機構の認証又は政府部門の評価を必要としない状況において、個人情報取扱者は、国外受領者との間、国家インターネット情報部門が制定する標準契約（現在、標準契約はまだ社会向けに公布されていない）を締結し、双方の権利義務を約定することができる。

●  現段階では、企業は、個人情報越境伝送に係る場面を整理し、どの場面で既に国外受領者と契約を締結したか、どの場面でまだ契約を締結していないかを明確にしたほうがよいと考える。既に契約を締結した場面については、将来、契約を改訂する可能性がある。まだ契約を締結していない場面については、契約を補充締結する必要がある。

専門機構の認証、政府部門の評価を例外とする

●  国家インターネット情報部門が定める専門機構による個人情報保護認証を経なければならない状況（現在、保護認証を実施しなければならない状況が公表されていない）に合致する場合、かかる規定に基づき、専門機構による個人情報保護認証を受けてから、初めて個人情報越境伝送を実施することができる。

●  以下の状況のいずれか１つに該当する場合、個人情報の越境伝送の前に、国家インターネット情報部門が組織するセキュリティ評価を受けなければならない。

✓  個人情報取扱者が重要情報インフラストラクチャー運営者[5]に該当するとき。

✓  取り扱う個人情報が国家インターネット情報部門が定める数量（現在、具体的な数量限界が公布されていない）に達したとき。

✓  自動車業界運営者が国外に個人情報を伝送するとき。

国外司法、法執行部門が、国内で保存される個人情報を調査し収集する

●  「個人情報保護法」及「データセキュリティ法」の規定を踏まええると、国外の司法機関又は法執行機関が、中国国内で保存される個人情報を調査し収集する調査を求めてきた場合、中国主管機関の許可なく、これらを提供してはならない。従って、今後、企業が国外司法機関又は法執行部門からの調査協力要請を受けた場合には、求められるがままに提供してはならず、事前に主管部門の許可を得なければならない。