データコンプライアンス

上海進出の日本企業が直面する「データの壁」——現場で起きていること 2021年の『中華人民共和国個人情報保護法（PIPL）』施行から早5年。上海に拠点を置く日系企業の現場では、今でも「データを日本本社へ送るだけなのに、なぜこんなに手間がかかるのか」という声が絶えません。2022年の『データ出国セキュリティ評価弁法』施行、2023年の標準契約ガイドライン公表、2024年の『網絡データ安全管理条例（草案）』パブコメ終了……と、規制のレイヤーは年々厚くなっています。 「上海自貿区なら緩いんでしょ？」という噂を信じて動いたスタートアップが、標準契約の備案（届出）で半年足止めを食らった話。従業員100人未満の中小企業でも「重要データ」該当性の判断を誤り、セキュリティ評価の対象外だと勝手に判断して行政指導を受けた話。これらはすべて、2023〜2024年にかけて上海市ネットワーク弁公室や市場監督管理局が公表した典型事例として、現地の法務コミュニティで共有されているものです。 本記事では、上海でビジネスを展開する日本人起業家・法務担当者に向け、**「越境データ移転コンプライアンスの全体像」「実務で躓きやすい3つの罠」「現地中国弁護士へ相談すべき具体的なタイミング」**を、現場の空気感を交えて整理します。 日本本社へデータを送る「当たり前」が、上海では「特別な手続き」になる理由 規制の三層構造をまず押さえる 中国の越境データ移転規制は、大きく分けて3つの法的根拠・手続きルートが並存しています。どのルートを通るかは、**「データの種類（個人情報／重要データ）」「データ量」「受信側の主体」**で決まります。 ルート 根拠法令・規則 対象となる典型ケース 主な手続き セキュリティ評価 『データ出国セキュリティ評価弁法』（2022年施行） 重要データを含む／100万人以上の個人情報／CII運営者 国家ネットワーク弁公室（CAC）への申請・審査（数ヶ月〜） 標準契約 『個人情報越境移転標準契約弁法』（2023年2月施行） 個人情報のみ／上記評価基準未満／受信側が海外企業等 省級ネットワーク弁公室への備案（届出） 専門機関認証 PIPL第38条第3項 特定業界・特定シナリオ（現状、認証機関・スキーム整備途上） 認証機関による認証取得 ここが誤解されやすいポイントです： 「個人情報だけなら標準契約でOK」と思われがちですが、「重要データ」に該当する可能性があるなら、個人情報であってもセキュリティ評価の対象になり得ます（『データ出国セキュリティ評価弁法』第2条）。 「重要データ」の定義は『重要データ認定指引（試行）』（2021年）や業界別カタログに委ねられており、「地理情報」「生体認証データ」「金融・医療・物流等の業務データ」が含まれる可能性が高いと現場では読まれています。 上海市は2023年、『上海市データ条例』を施行し、「公共データ」「業務データ」の分類・グレード管理を独自に進めています。自貿区内であっても、越境移転の手続き免除は**「ネガティブリストに該当しない」「一定の条件を満たす」**ケースに限定されます（同条例第42条〜第44条）。 上海自貿区の「特例」——使える場面と使えない場面 上海自貿区（含む臨港新片区）では、2022年『中国（上海）自由貿易試験区データ越境転移ネガティブリスト』および2023年『臨港新片区データ越境転移ネガティブリスト（2.0版）』が公布され、リストに該当しないデータについてはセキュリティ評価・標準契約備案が不要とされています。 しかし、現地弁護士の実務感覚では以下の制約が強調されます： ネガティブリスト非該当の自己判断はリスクが高い。リスト項目（「国家秘密」「重要データ」「個人情報のうち法令で国内保存が義務づけられるもの」等）の解釈に幅があり、事後的に「重要データだった」と判断されるケースがある。 「個人情報の越境移転同意取得」「個人情報影響評価（PIA）実施」「データ保護責任者設置」等の前提義務は免除されない。リスト非該当でもPIPL上の義務（個別同意・PIA・受託者監督等）は残る。 業種別規制（金融・医療・自動車・地図測量等）は別途適用。自貿区特例より優先される。 「自貿区だからノーチェックでデータ送れる」——この認識で進めると、後で「事前評価やってませんね」と指摘される典型パターンです。 実務で躓く「3つの罠」——現場の弁護士が見る失敗パターン 罠1：「標準契約テンプレートを当てはめれば済む」と思っている 2023年2月施行の標準契約弁法では、CAC公表の**標準契約テンプレート（中英文対照）**を原則として変更不可で使用し、省級ネットワーク弁公室へ備案（届出）する必要があります。 ところが、実務では以下の理由で「テンプレートそのままでは契約として機能しない」ケースが多発しています： データ処理目的・範囲・保存期間・セキュリティ措置等の記入欄が抽象的すぎて、自社の実態（例：日本本社のCRM・BIツール・AI学習用途への連携）を反映できない。 **「受託者（海外受信側）の再委託制限」「データ主体権利行使への協力」「監査権」**等の条項が、日本側グループ会社のガバナンス体制・システム仕様と噛み合わない。 備案審査で「記入内容が実態と不一致」「セキュリティ措置が不十分」として差し戻しになるケースが、上海市ネットワーク弁公室の窓口相談で増えています。 現場の対応策： 標準契約の付録（Annex）で「業務フロー図」「データマッピング表」「技術的・組織的措置の詳細」を添付し、テンプレート本体の記入欄を補完する運用が定着しつつあります。ただし、付録の内容がテンプレート本体と矛盾しないよう、中国弁護士によるリーガルチェックが必須です。 罠2：「個人情報影響評価（PIA）は形式的にやればいい」と思っている PIPL第55条・標準契約弁法第7条等で、越境移転前のPIA実施・報告書作成・3年間保存が義務づけられています。しかし、現場では「テンプレートを埋めただけ」「リスク評価が定性的・主観的で、具体的な技術的措置・残留リスク・是正計画まで落とし込めていない」報告書が散見されます。 上海市ネットワーク弁公室の検査では、以下のポイントが重点的に確認される傾向があります： データマッピングの完全性（何のデータを、どのシステムから、どのAPIで、どの頻度で、誰が承認して送っているか） 受信側（日本本社等）の法制度・アクセス権限・政府アクセスリスクの分析（日本のAPPI・公安アクセス法制等をどう評価したか） 暗号化・擬名化・アクセス制御等の技術的措置の実装証跡（「暗号化しています」だけでなく、鍵管理・アルゴリズム・鍵の所在まで） データ主体への通知・同意取得の記録（個別明示同意のログ、撤回機能の実装） 是正計画・再評価トリガーの具体性（「年1回見直す」ではなく、「データ量〇件超・新規用途追加・重大インシデント発生時」等） PIAは「一度やって終わり」ではなく、**越境移転業務が継続する限り、実態変化に合わせて更新し続ける「生きた文書」**として位置づける必要があります。 罠3：「日本本社＝グループ内だから安心」と油断している PIPL上、越境移転の受信側が**「海外受信側（Overseas Recipient）」**に該当すれば、グループ内であっても標準契約締結・備案・PIA等の義務を負います（PIPL第38条・標準契約弁法第2条）。 「グループ内統制でカバーできる」と考えて、標準契約を締結せずにデータを送り続けていたケースで、2023年後半以降、上海市市場監督管理局・ネットワーク弁公室の合同検査で是正指導・警告が出された事例が複数報告されています。 また、日本本社が**「個人情報処理者」単独なのか、「共同処理者」なのか、「受託処理者」なのか**の役割分担を契約・社内規程で明確にしていないと、データ主体権利行使（削除・訂正・アクセス請求）への対応責任の所在が曖昧になり、両社とも行政リスクを負うことになります。 現地中国弁護士へ相談すべき「5つのタイミング」——遅すぎず、早すぎず 「弁護士費用がもったいない」「社内でなんとかなる」と判断しがちですが、以下のタイミングでは外部専門家（中国弁護士資格保有・越境データ実務経験あり）の関与がコスト対効果で合理的です。 越境移転フローの「最初の設計段階」（事業立ち上げ・システム刷新時） データ分類・グレード判定、ルート選定（評価／標準契約／自貿区特例）、PIA雛形作成、標準契約付録設計まで一気通貫で組めば、後戻りコストを大幅削減できます。 「重要データ該当性」のグレーゾーンに入った時 地理情報・生体認証・業務データ等、業界別カタログ未整備領域で「重要データかどうか」自社判断が困難な場合。弁護士の法的意見書（Legal Opinion）を取得し、社内決裁・監査対応・将来の行政照会時の根拠にします。 標準契約備案で「差し戻し・補正指示」を受けた時 省級ネットワーク弁公室からのフィードバック（「記入内容不十分」「セキュリティ措置不明確」「受信側資格証明不足」等）への対応は、現地弁護士の窓口折衝・補正資料作成が最速です。 行政検査・突撃調査の通知を受けた時 上海市ネットワーク弁公室・市場監督管理局の「双随機一公開」抽検や専項検査で、PIA報告書・標準契約・同意記録・データマッピング等の提示を求められた場合。弁護士同席のもとで対応すれば、不必要な資料開示・発言リスクを抑制できます。 データ漏洩・インシデント発生時（越境移転に関連するか否か問わず） PIPL第57条・ネットワーク安全法等に基づく**法定報告義務（1時間〜24時間以内の初期報告、後続報告）**があり、越境移転フローが絡む場合は「越境移転手続きの適法性」も同時に問われます。弁護士主導でインシデント対応・報告書作成・是正計画策定を行うのが定石です。 🙋 よくある質問（FAQ） Q1: 上海自貿区内の企業なら、越境データ移転の手続きは一切不要ですか？ A1: いいえ。以下のステップで確認が必要です。 ...