「個人情報保護法」に基づき、企業が法に依拠し個人情報の越境伝送活動を行うに際して、係る個人情報主体から個別的同意を取得し、事前に個人情報保護影響評価を行う必要があるほか、さらに個人情報保護法第38条に定められる4つの方式のいずれか一つを満たさなければならない。

方式① 国家インターネット情報部門によって実施される安全評価を通過していること。

方式② 専門機関による個人情報保護認証を得ていること。

方式③ 域外にある受け手と、国家インターネット情報部門制定の標準契約を締結していること。

方式④ 法律法規が規定するその他の条件。

実務では、方式①、②は時間やコストがかかるため、企業は、個人情報保護法に基づき適法性を確保するために、通常、方式③（域外にある受け手と、国家インターネット情報部門制定の標準契約を締結すること）を選択する傾向にある。

2021年11月1日に、個人情報保護法が正式に施行された後、国家インターネット情報部門は越境伝送に係る標準契約を公示していなかったため、一部企業は当面の間、域外にある受け手と、自社作成の越境伝送協議書または秘密保持協議書を締結することにより、当該適法性確保の要求を満たすようにしていた。その後、私どもも標準契約に係る動向を注視していたところ、2022年6月30日、国家インターネット情報事務室が「個人情報域外移転標準契約規定（意見募集案）」（「個人情報域外移転標準契約」を含む）を公示し、社会に向けてパブリックコメントを募集している。

現在、「個人情報域外移転標準契約規定（意見募集案）」（「個人情報域外移転標準契約」を含む）はまだパブリックコメント募集の段階にはあるものの、企業は以下の内容に注意を払いながら、できる限り早めに準備しておいたほうがいいと考えられる。

１）一部企業は方式③を通じて適法性確保の要求を満たすことができない。具体的には、以下の通りである。

CIIO（即ち、重要情報インフラ運営者）、100万人以上の個人情報を取り扱う企業、前年度において累計で10万人以上の個人情報または1万人以上の機微な個人情報を域外に伝送した企業は、「個人情報域外移転標準契約」を締結するといった方法により適法性確保の要求を満たすことができない。前述した企業が取り扱う個人情報の規模が相対的に大きいため、「データ域外移転セキュリティ評価弁法（意見募集案）」に基づくと、方式①（国家インターネット情報部門によって実施される安全評価を通過していること）を採用し、適法性確保の要求を満たす必要があるとしている。

２）標準契約及び影響評価報告書はいずれもインターネット情報部門への届出が必要である。

「個人情報域外移転標準契約」を締結し発効後、企業は個人情報の域外移転活動を行うことができる。しかし、契約発効後の10業務日以内に、「個人情報域外移転標準契約」及び係る個人情報保護影響評価報告書を所在地にある省級のインターネット情報部門に届出を行う必要があるとしていることに注意を払っておく必要がある。

３）影響評価報告書に要記載の内容がさらに詳細化された。

個人情報保護法における内容と比べ、個人情報保護影響評価報告書に要記載の内容がさらに詳細化された。

筆者のアドバイス：

１）CIIO及びその他個人情報を取り扱う規模が相対的に大きな企業については、これまでに締結した自社作成の越境伝送協議書または秘密保持協議書では、今後、適法性確保の要求を満たすことができなくなるであろうことが予想される。しかし、現時点においては、方式①、②については、詳細化された法規がまだ公布されておらず、また専門機関もこの点をまだ明確にしていないため、該当企業は今後の動向に注意を払っておく必要がある。

２）域外にある受け手と、自社作成の越境伝送協議書または秘密保持協議書を締結している企業（CIIO及びその他個人情報を取り扱う規模が相対的に大きな企業に該当しない場合）は、引き続き様子を見ながら、「個人情報域外移転標準契約」の正式版が確定された後、その正式版に差し替えて標準契約を締結するのがよい。

３）域外にある受け手と係る協議書を締結していないが、近日中に個人情報の越境伝送を行う必要がある企業（CIIO及びその他個人情報を取り扱う規模が相対的に大きな企業に該当しない場合）は、現在、公示されている「個人情報域外移転標準契約」を域外にある受け手と締結するといった方法が考えられる。

なお、現在、「個人情報域外移転標準契約規定（意見募集案）」はまだパブリックコメントを募集している段階にあり、今後、正式版に何らかの変更があることも予想されるため、今後も引き続きその動向に注意を払っていきたい。

（作者：里兆法律事務所 包巍岳、熊瀟）