2023年2月24日、国家ネットワーク情報事務室は、「個人情報越境移転の標準契約」（以下「標準契約」という）を締結することにより、個人情報越境移転の適法性を確保する[1]個人情報の越境移転活動[2]実務に係るガイドラインとして、「個人情報越境移転の標準契約弁法」（以下「本弁法」という）を公布し、2023年6月1日から正式に実施するとしている。本弁法において、「個人情報越境移転の標準契約」（以下「標準契約」という）の正式版も公示されている。

筆者は、法律及び実務経験をもとに、企業において留意すべき点を以下のとおり簡潔に整理している。

1．企業と海外にある受け手との間で締結された「標準契約」の本文に変更を加えてはならない。企業は、海外にある受け手との間において、標準契約の付録二の内容として、その他条項を約することができるが、当該追加された内容は、標準契約の本文内容と矛盾するものであってはならない。

2．企業は、標準契約の発効後、10業務日以内に、省級のネットワーク情報部門への届出を行わなけれならない（その際、締結した標準契約及び個人情報保護の影響評価報告書も提出すること）。

3．個人情報越境移転に係る個人情報保護影響評価報告は、「個人情報保護法」よりも、内容が拡充されている（例えば、評価対象項目として、海外にある受け手は、個人情報の安全性を確保できるような個人情報保護措置及び能力を備えているか、越境移転した個人情報が危険にさらされたとき、権利主張のためのルートはきちんと確保されているか、海外にある受け手の所在国又は地区の個人情報保護関連政策・法規の標準契約履行に対する影響などを挙げている）。

4．本弁法の施行前に既に実施している個人情報の越境移転活動に対して、本弁法適合に向けた是正を図るための期間として、6ヶ月の経過措置期間を与えるとしている。

よって、以下の対応が考えられる。

1）企業において2023年6月前に、個人情報越境移転活動を既に実施しているものの、本弁法規定不適合の場合、企業は、従前の規模、範囲内で、個人情報の越境移転を継続するとともに、2023年年末までに、影響評価、標準契約の締結・届出を完成するようにするとよい。

2）企業において2023年6月前に個人情報越境移転活動を実施しておらず、2023年6月後に個人情報越境移転を実施する必要性がある場合、影響評価、標準契約の締結及び届出を完成するための対応を速やかに進める必要がある。

（作者：里兆法律事務所 包巍岳、熊瀟）

[1] 《個人情報保護法》第38条に定める個人情報越境移転の適法性確保のための4つの措置：国家ネットワーク情報部門によって実施される安全評価を通過、専門機関による個人情報保護認証の取得、国家ネットワーク情報部門制定の標準契約を海外にある受け手と締結、法律法規所定のその他条件。

[2] 紙面に限りがあるため、本稿にいう「個人情報越境移転活動」は、標準契約の締結により法定の適法性確保要求を満たす個人情報越境活動のみに限定する。