上海進出の日本企業が直面する「データの壁」——現場で起きていること
2021年の『中華人民共和国個人情報保護法（PIPL）』施行から早5年。上海に拠点を置く日系企業の現場では、今でも「データを日本本社へ送るだけなのに、なぜこんなに手間がかかるのか」という声が絶えません。2022年の『データ出国セキュリティ評価弁法』施行、2023年の標準契約ガイドライン公表、2024年の『網絡データ安全管理条例（草案）』パブコメ終了……と、規制のレイヤーは年々厚くなっています。
「上海自貿区なら緩いんでしょ？」という噂を信じて動いたスタートアップが、標準契約の備案（届出）で半年足止めを食らった話。従業員100人未満の中小企業でも「重要データ」該当性の判断を誤り、セキュリティ評価の対象外だと勝手に判断して行政指導を受けた話。これらはすべて、2023〜2024年にかけて上海市ネットワーク弁公室や市場監督管理局が公表した典型事例として、現地の法務コミュニティで共有されているものです。
本記事では、上海でビジネスを展開する日本人起業家・法務担当者に向け、**「越境データ移転コンプライアンスの全体像」「実務で躓きやすい3つの罠」「現地中国弁護士へ相談すべき具体的なタイミング」**を、現場の空気感を交えて整理します。
日本本社へデータを送る「当たり前」が、上海では「特別な手続き」になる理由
規制の三層構造をまず押さえる
中国の越境データ移転規制は、大きく分けて3つの法的根拠・手続きルートが並存しています。どのルートを通るかは、**「データの種類（個人情報／重要データ）」「データ量」「受信側の主体」**で決まります。
| ルート | 根拠法令・規則 | 対象となる典型ケース | 主な手続き |
|---|---|---|---|
| セキュリティ評価 | 『データ出国セキュリティ評価弁法』（2022年施行） | 重要データを含む／100万人以上の個人情報／CII運営者 | 国家ネットワーク弁公室（CAC）への申請・審査（数ヶ月〜） |
| 標準契約 | 『個人情報越境移転標準契約弁法』（2023年2月施行） | 個人情報のみ／上記評価基準未満／受信側が海外企業等 | 省級ネットワーク弁公室への備案（届出） |
| 専門機関認証 | PIPL第38条第3項 | 特定業界・特定シナリオ（現状、認証機関・スキーム整備途上） | 認証機関による認証取得 |
ここが誤解されやすいポイントです：
- 「個人情報だけなら標準契約でOK」と思われがちですが、「重要データ」に該当する可能性があるなら、個人情報であってもセキュリティ評価の対象になり得ます（『データ出国セキュリティ評価弁法』第2条）。
- 「重要データ」の定義は『重要データ認定指引（試行）』（2021年）や業界別カタログに委ねられており、「地理情報」「生体認証データ」「金融・医療・物流等の業務データ」が含まれる可能性が高いと現場では読まれています。
- 上海市は2023年、『上海市データ条例』を施行し、「公共データ」「業務データ」の分類・グレード管理を独自に進めています。自貿区内であっても、越境移転の手続き免除は**「ネガティブリストに該当しない」「一定の条件を満たす」**ケースに限定されます（同条例第42条〜第44条）。
上海自貿区の「特例」——使える場面と使えない場面
上海自貿区（含む臨港新片区）では、2022年『中国（上海）自由貿易試験区データ越境転移ネガティブリスト』および2023年『臨港新片区データ越境転移ネガティブリスト（2.0版）』が公布され、リストに該当しないデータについてはセキュリティ評価・標準契約備案が不要とされています。
しかし、現地弁護士の実務感覚では以下の制約が強調されます：
- ネガティブリスト非該当の自己判断はリスクが高い。リスト項目（「国家秘密」「重要データ」「個人情報のうち法令で国内保存が義務づけられるもの」等）の解釈に幅があり、事後的に「重要データだった」と判断されるケースがある。
- 「個人情報の越境移転同意取得」「個人情報影響評価（PIA）実施」「データ保護責任者設置」等の前提義務は免除されない。リスト非該当でもPIPL上の義務（個別同意・PIA・受託者監督等）は残る。
- 業種別規制（金融・医療・自動車・地図測量等）は別途適用。自貿区特例より優先される。
「自貿区だからノーチェックでデータ送れる」——この認識で進めると、後で「事前評価やってませんね」と指摘される典型パターンです。
実務で躓く「3つの罠」——現場の弁護士が見る失敗パターン
罠1：「標準契約テンプレートを当てはめれば済む」と思っている
2023年2月施行の標準契約弁法では、CAC公表の**標準契約テンプレート（中英文対照）**を原則として変更不可で使用し、省級ネットワーク弁公室へ備案（届出）する必要があります。
ところが、実務では以下の理由で「テンプレートそのままでは契約として機能しない」ケースが多発しています：
- データ処理目的・範囲・保存期間・セキュリティ措置等の記入欄が抽象的すぎて、自社の実態（例：日本本社のCRM・BIツール・AI学習用途への連携）を反映できない。
- **「受託者（海外受信側）の再委託制限」「データ主体権利行使への協力」「監査権」**等の条項が、日本側グループ会社のガバナンス体制・システム仕様と噛み合わない。
- 備案審査で「記入内容が実態と不一致」「セキュリティ措置が不十分」として差し戻しになるケースが、上海市ネットワーク弁公室の窓口相談で増えています。
現場の対応策： 標準契約の付録（Annex）で「業務フロー図」「データマッピング表」「技術的・組織的措置の詳細」を添付し、テンプレート本体の記入欄を補完する運用が定着しつつあります。ただし、付録の内容がテンプレート本体と矛盾しないよう、中国弁護士によるリーガルチェックが必須です。
罠2：「個人情報影響評価（PIA）は形式的にやればいい」と思っている
PIPL第55条・標準契約弁法第7条等で、越境移転前のPIA実施・報告書作成・3年間保存が義務づけられています。しかし、現場では「テンプレートを埋めただけ」「リスク評価が定性的・主観的で、具体的な技術的措置・残留リスク・是正計画まで落とし込めていない」報告書が散見されます。
上海市ネットワーク弁公室の検査では、以下のポイントが重点的に確認される傾向があります：
- データマッピングの完全性（何のデータを、どのシステムから、どのAPIで、どの頻度で、誰が承認して送っているか）
- 受信側（日本本社等）の法制度・アクセス権限・政府アクセスリスクの分析（日本のAPPI・公安アクセス法制等をどう評価したか）
- 暗号化・擬名化・アクセス制御等の技術的措置の実装証跡（「暗号化しています」だけでなく、鍵管理・アルゴリズム・鍵の所在まで）
- データ主体への通知・同意取得の記録（個別明示同意のログ、撤回機能の実装）
- 是正計画・再評価トリガーの具体性（「年1回見直す」ではなく、「データ量〇件超・新規用途追加・重大インシデント発生時」等）
PIAは「一度やって終わり」ではなく、**越境移転業務が継続する限り、実態変化に合わせて更新し続ける「生きた文書」**として位置づける必要があります。
罠3：「日本本社＝グループ内だから安心」と油断している
PIPL上、越境移転の受信側が**「海外受信側（Overseas Recipient）」**に該当すれば、グループ内であっても標準契約締結・備案・PIA等の義務を負います（PIPL第38条・標準契約弁法第2条）。
「グループ内統制でカバーできる」と考えて、標準契約を締結せずにデータを送り続けていたケースで、2023年後半以降、上海市市場監督管理局・ネットワーク弁公室の合同検査で是正指導・警告が出された事例が複数報告されています。
また、日本本社が**「個人情報処理者」単独なのか、「共同処理者」なのか、「受託処理者」なのか**の役割分担を契約・社内規程で明確にしていないと、データ主体権利行使（削除・訂正・アクセス請求）への対応責任の所在が曖昧になり、両社とも行政リスクを負うことになります。
現地中国弁護士へ相談すべき「5つのタイミング」——遅すぎず、早すぎず
「弁護士費用がもったいない」「社内でなんとかなる」と判断しがちですが、以下のタイミングでは外部専門家（中国弁護士資格保有・越境データ実務経験あり）の関与がコスト対効果で合理的です。
越境移転フローの「最初の設計段階」（事業立ち上げ・システム刷新時）
- データ分類・グレード判定、ルート選定（評価／標準契約／自貿区特例）、PIA雛形作成、標準契約付録設計まで一気通貫で組めば、後戻りコストを大幅削減できます。
「重要データ該当性」のグレーゾーンに入った時
- 地理情報・生体認証・業務データ等、業界別カタログ未整備領域で「重要データかどうか」自社判断が困難な場合。弁護士の法的意見書（Legal Opinion）を取得し、社内決裁・監査対応・将来の行政照会時の根拠にします。
標準契約備案で「差し戻し・補正指示」を受けた時
- 省級ネットワーク弁公室からのフィードバック（「記入内容不十分」「セキュリティ措置不明確」「受信側資格証明不足」等）への対応は、現地弁護士の窓口折衝・補正資料作成が最速です。
行政検査・突撃調査の通知を受けた時
- 上海市ネットワーク弁公室・市場監督管理局の「双随機一公開」抽検や専項検査で、PIA報告書・標準契約・同意記録・データマッピング等の提示を求められた場合。弁護士同席のもとで対応すれば、不必要な資料開示・発言リスクを抑制できます。
データ漏洩・インシデント発生時（越境移転に関連するか否か問わず）
- PIPL第57条・ネットワーク安全法等に基づく**法定報告義務（1時間〜24時間以内の初期報告、後続報告）**があり、越境移転フローが絡む場合は「越境移転手続きの適法性」も同時に問われます。弁護士主導でインシデント対応・報告書作成・是正計画策定を行うのが定石です。
🙋 よくある質問（FAQ）
Q1: 上海自貿区内の企業なら、越境データ移転の手続きは一切不要ですか？
A1: いいえ。以下のステップで確認が必要です。
- 自社データが『ネガティブリスト』非該当かを法的に検証する（重要データ・個人情報の国内保存義務データ等に該当しないか）
- 非該当でも、PIPL上の個別同意取得・PIA実施・データ保護責任者設置・受託者監督等の前提義務は免除されない
- 金融・医療・自動車・地図測量等の業種別規制で「国内保存義務」がある場合、自貿区特例より優先される
- 自己判断で「手続き不要」と決め込まず、中国弁護士の法的意見書を取得してエビデンス化することを推奨します
Q2: 標準契約の備案（届出）は、日本語契約書で代替できますか？
A2: できません。以下の点に注意してください。
- CAC公表の**標準契約テンプレート（中英文対照）**を原則変更不可で使用することが法定要件です
- 日本語契約書・覚書・DPA等は「参考資料」として添付可能ですが、備案審査の対象は標準契約本体＋付録（Annex）です
- テンプレートの記入欄（データ処理目的・範囲・保存期間・セキュリティ措置等）を自社実態に合わせて具体的に記入し、付録で業務フロー図・データマッピング・技術措置詳細を補完する運用が実務的です
- 記入内容の整合性・完全性チェックには、越境データ実務経験のある中国弁護士のレビューを入れることを強く推奨します
Q3: PIA（個人情報影響評価）報告書は、日本本社のプライバシー影響評価（PIA/DPIA）で代用できますか？
A3: そのままでは代用できません。中国PIPL・標準契約弁法が求める要素と、日本APPI・EU GDPRのDPIAでは分析視点・必須記載事項が異なります。
主な相違点：
- 中国PIAは「越境移転そのもののリスク」に特化し、受信側所在国の法制度・政府アクセスリスク・データ主体権利実現可能性を詳細に分析する必要があります
- 「重要データ該当性判定」「自貿区特例適用可否」「標準契約備案計画」等、中国固有の手続き判断を含める必要があります
- 報告書は**中文（簡体字）**で作成し、3年間保存・行政検査時提示を前提とします
実務では、日本本社のDPIAをベースに、中国弁護士が「中国版PIA」へリライト・補強するハイブリッド方式が効率的です
🧩 結論：上海でデータを動かすなら、「現地のプロ」を味方につけるのが最短ルート
越境データ移転コンプライアンスは、「法令テキストを読めばわかる」レベルをとっくに超えています。ネガティブリストの解釈、標準契約付録の実務的記入、PIAの「生きた文書」化、行政窓口との折衝——これらはすべて、**「上海の現場で、今、どう運用されているか」**という暗黙知・実務慣行に依存する部分が大きいからです。
日本人起業家・法務担当者が取るべきアクションはシンプルです：
- まず「自社のデータフロー・データ分類・越境移転目的」を棚卸しする（エクセル1枚でもよいので「何のデータを、どこから、どこへ、なぜ送るか」を可視化）
- 「重要データ該当性」「自貿区特例適用可否」「手続きルート（評価／標準契約／認証）」の暫定判断を社内でつける
- その暫定判断を持って、越境データ実務経験のある中国弁護士へ「セカンドオピニオン」を依頼する（初回相談1〜2時間程度で、方向性・リスク・費用感が見えてきます）
- 弁護士と共に、PIA・標準契約・備案・社内規程・インシデント対応フローを「最小限・実務的・更新可能」な形で構築する
「完璧なコンプライアンス」など最初から存在しません。「現時点での最善の判断・記録・体制」を積み上げ、変化に追従し続けること——それこそが、上海でビジネスを継続するための現実的なコンプライアンス戦略です。
📣 中国法務のこと、ひとりで悩まず相談してください
Lvga.comは、2015年から日本を含むグローバルなクライアントと中国現地の弁護士をつないできた小さなチームです。
「越境データ移転の手続き、うちのケースだとどうなる？」
「標準契約の備案、差し戻しで困っている」
「PIAの書き方、上海の実務に合ってるか見てほしい」
そんな「現場の困りごと」に対し、派手な約束はできませんが、誠実に、丁寧に、現地弁護士とともに向き合うことはお約束します。
👋 まずはメールでご相談ください： lvga2015@qq.com
メールが不便な場合は、JingJingのWeChat（WeChat ID: lvga2015）をバックアップ連絡先として追加いただければ、記事のトピックについて引き続きお話しできます。
※ WeChatは即時法務サービス窓口ではありません。返信・対応にお時間をいただく場合があります。
※ 成果・スピード・承認を保証するものではありません。透明性・誠実さ・現地弁護士ネットワークを通じた実務支援を提供します。
📚 参考情報（Further Reading）
本記事の執筆にあたり、以下の公開情報を参照・整理しました。詳細は各ソースをご確認ください。
- （本記事では研究コンテキストに提示された検証済みソースがなかったため、参考情報セクションは省略しています。最新の法令・ガイドライン・行政公表事例については、国家ネットワーク弁公室（CAC）、上海市ネットワーク弁公室、上海市市場監督管理局の公式サイトをご確認ください。）
📌 免責事項
本記事はLvga.comが情報提供を目的として作成したものであり、AI支援の下で執筆されています。
- Lvga.comは法律事務所ではありません。本記事の内容は法的助言・財務助言・投資助言を構成しません。
- 中国の法令・規則・行政運用は地域・時期・個別事案により異なる場合があります。最新かつ正確な情報は、公式情報源（国家網信弁・上海市網信弁・市場監督管理局等）および資格を有する中国弁護士・専門家にご確認ください。
- 本記事に含まれる情報の正確性・完全性・適時性については万全を期していますが、一切保証するものではありません。本記事の利用により生じたいかなる損害についても、Lvga.comは責任を負いません。
- 記載内容に誤り・古い情報・不足等をお気づきの方は、lvga2015@qq.com までご連絡ください。確認の上、適切に対応いたします。