【参考訳】《データ越境移転の促進及び規範に関する規定》と当局発表のQ＆A

国家互联网信息办公室令
第16号

《促进和规范数据跨境流动规定》已经2023年11月28日国家互联网信息办公室2023年第26次室务会议审议通过，现予公布，自公布之日起施行。

国家互联网信息办公室主任 庄荣文

2024年3月22日

国家サイバースペース情報弁公室
第16号

データ越境移転の促進及び規範に関する規定は、2023年11月28日付け国家サイバースペース情報弁公室の第26回執務会議で審議採択され、ここに公布し、公布の日から施行する。

国家サーバースペース情報弁公室主任　庄荣文

2024年3月22日

第一条 为了保障数据安全，保护个人信息权益，促进数据依法有序自由流动，根据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等法律法规，对于数据出境安全评估、个人信息出境标准合同、个人信息保护认证等数据出境制度的施行，制定本规定。

第1条 データの安全を保障し、個人情報の権利・利益を保護し、データの法律に従った秩序ある自由な流れを促進するため、中華人民共和国サイバーセキュリティ法、中華人民共和国データセキュリティ法、中華人民共和国個人情報保護法等の法律法規に基づき、データ越境移転安全評価、個人情報越境移転標準契約、個人情報保護認証等のデータ越境制度の施行のため、本規定を制定する。

第２条 データ取扱者は、関連する規定に従って、重要データを特定し、申告しなければならない。データ取扱者は、関連部門または地域から重要データとして通知または公表されていない場合、重要データとしてデータ越境移転安全評価の申告を行う必要はない。

第３条 国際貿易、越境輸送、学術協力、越境生産・製造及びマーケティング等の活動において収集および生成したデータを境外に提供する場合で、個人情報または重要データを含まない場合、データ越境移転安全評価の申告、個人情報越境移転標準契約の締結、個人情報保護認証の取得は免除される。

第4条 データ取扱者が、境外で収集又は生成した個人情報を境内で処理するために送信した後境外に提供する場合で、処理の過程で境内の個人情報または重要データを引き入れない場合、データ越境移転安全評価の申告、個人情報越境移転標準契約の締結、個人情報保護認証の取得が免除される。

第五条 数据处理者向境外提供个人信息，符合下列条件之一的，免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证：

（一）为订立、履行个人作为一方当事人的合同，如跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理、考试服务等，确需向境外提供个人信息的；

（二）按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息的；

（三）紧急情况下为保护自然人的生命健康和财产安全，确需向境外提供个人信息的；

（四）关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的。

前款所称向境外提供的个人信息，不包括重要数据。

第5条 データ取り扱者が、個人情報を境外に提供する場合で、次の各号のいずれかに該当する場合、 データ越境安全評価の申告、個人情報越境標準契約の締結、個人情報保護認証の取得が免除される。

(1)越境EC、越境輸送、越境送金、越境決済、越境口座開設、航空券やホテルの予約、ビザの申請、試験サービスなど、本人が一方当事者となる契約の締結および履行の為に、個人情報を境外に提供することが真に必要である場合

(2)法に基づいて制定された労働規則および法律に基づいて締結された団体協約に従って、越境人事労務管理を実施するために、従業員の個人情報を境外に提供することが真に必要である場合

(3)緊急状況下において、自然人の生命、健康および財産の安全を保護するために、個人情報を境外に提供することが真に必要である場合

(4)重要情報インフラ運営者以外のデータ取扱者が、当該年の1月1日以降、境外に提供した個人情報（センシティブ個人情報を除く）の累計が 10万人未満である場合。

前項の境外に提供される個人情報には、重要データは含まれない。

第六条 自由贸易试验区在国家数据分类分级保护制度框架下，可以自行制定区内需要纳入数据出境安全评估、个人信息出境标准合同、个人信息保护认证管理范围的数据清单（以下简称负面清单），经省级网络安全和信息化委员会批准后，报国家网信部门、国家数据管理部门备案。

自由贸易试验区内数据处理者向境外提供负面清单外的数据，可以免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。

第6条 自由貿易試験区は、国家データ分類分級保護制度の枠組の下で、自ら、区内でデータ越境移転安全評価、個人情報越境移転標準契約、個人情報保護認証による管理の範囲に含める必要のあるデータのリスト（以下「ネガティブリスト」という）を制定し、省級サイバーセキュリティ情報化委員会の承認後、国家サイバースペース情報部門および国家データ管理部門に報告し、記録することができる。

自由貿易試験区内のデータ取扱者は、ネガティブリスト外のデータを境外に提供する場合、データ越境移転安全評価の申告、個人情報越境移転標準契約の締結、個人情報保護認証の取得の免除を受けることができる。

第七条 数据处理者向境外提供数据，符合下列条件之一的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估：

（一）关键信息基础设施运营者向境外提供个人信息或者重要数据；

（二）关键信息基础设施运营者以外的数据处理者向境外提供重要数据，或者自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）或者1万人以上敏感个人信息。

属于本规定第三条、第四条、第五条、第六条规定情形的，从其规定。

第7条 データ取扱者が境外にデータを提供する場合で、次の各号のいずれかに該当する場合、所在地の省級サイバースペース情報部門を通じて、国家サイバースペース情報部門に対して、データ越境移転安全評価の申告を行わなければならない。

(1)重要情報インフラ運営者が個人情報または重要データを境外に提供する場合

(2)重要情報インフラ運営者以外のデータ取扱者が、重要データを境外に提供する場合、または当該年の1月1日以降の累計で、100万人以上の個人情報（センシティブ個人情報を除く）または1万人以上のセンシティブ個人情報を境外に提供する場合。

本規定第3条、第4条、第5条および第6条が規定する状況に該当する場合には、当該規定を適用する。

第八条 关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息）或者不满1万人敏感个人信息的，应当依法与境外接收方订立个人信息出境标准合同或者通过个人信息保护认证。

属于本规定第三条、第四条、第五条、第六条规定情形的，从其规定。

第8条 重要情報インフラ運営者以外のデータ取扱者が、当該年の1月1日以降、境外に提供する個人情報（センシティブ個人情報を除く）の数が10万人以上100万人未満、またはセンシティブ個人情報の数が1万人未満の場合、法に基づき、当該境外受領者との間で個人情報越境移転標準契約を締結し、または個人情報保護認証を取得しなければならない。

本規定第3条、第4条、第5条および第6条が規定する状況に該当する場合には、当該規定を適用する。

第9条 データ越境移転安全評価の結果の有効期間は、評価結果の日から起算して3年間とする。有効期間が満了した場合で、データ越境移転活動を引き続き行う必要があり、かつ、データ越境移転安全評価を再度申告すべき事情が生じていない場合、データ取扱者は、有効期間が満了する前60営業日以内に、所在地の省級サイバースペース情報部門を通じて、国家サイバースペース情報部門に対して、評価結果の有効期間の延長を申請することができる。国家サイバースペース情報部門の承認があれば、審査結果の有効期間を3年間延長することができる。

第10条 データ取扱者は、個人情報を境外に提供する場合、法律および行政法規の規定に従い、通知、本人の単独同意の取得、個人情報保護影響評価の実施等の義務を履行しなければならない。

第11条 データ取扱者が境外にデータを提供する場合、法律法規の規定を遵守し、データ安全保護の義務を履行し、技術的措置およびその他の必要な措置を講じ、データ越境移転の安全を保障しなければならない。データセキュリティインシデントが発生し、または発生した恐れがある場合、救済措置を講じ、適時に省級以上のサイバースペース情報部門およびその他の関係管轄当局に報告しなければならない。

第12条 各地のサイバースペース情報部門は、データ取扱者のデータ越境移転活動に対する指導監督を強化し、データ越境移転安全評価制度を健全かつ完全なものとし、評価プロセスを最適化し、事前・事中・事後における全チェーン及び領域への監督を強化し、データ越境移転活動について比較的高いリスクを発見した場合またはデータセキュリティインシデントが発生した場合にデータ取扱者に対して是正の実施及び危険の除去を要求し、是正を拒否しまたは重大な結果を引き起こした場合、法に基づいて法的責任を追及するものとする。

第13条 2022年7月7日公布の「データ越境移転安全評価規則」（国家サイバースペース情報弁公室令第 11 号）、2023 年2月22日公布の「個人情報越境移転標準契約規則」（国家サイバースペース情報弁公室令第 13 号）等の関連規定が本規定と矛盾する場合、本規定を適用する。

第14条 本規定は公布の日から施行する。

问1：请介绍一下《规定》的出台背景？

答：我国积极促进数据依法有序自由流动，相继制定实施《网络安全法》、《数据安全法》、《个人信息保护法》，对数据出境活动作出明确规定。《网络安全法》规定，关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估；法律、行政法规另有规定的，依照其规定。《数据安全法》规定，关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理，适用《网络安全法》的规定；其他数据处理者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理办法，由国家网信部门会同国务院有关部门制定。《个人信息保护法》规定，个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备通过国家网信部门组织的安全评估、按照国家网信部门的规定经专业机构进行个人信息保护认证、按照国家网信部门制定的标准合同与境外接收方订立合同等条件之一。中华人民共和国缔结或者参加的国际条约、协定对向中华人民共和国境外提供个人信息的条件等有规定的，可以按照其规定执行。法律作出这样的规定，是为了切实保护人民群众利益，维护国家网络和数据安全，促进数据依法有序自由流动。数据出境安全管理不是对于所有数据，只限于重要数据和个人信息，这里的重要数据是针对国家而言，而不是针对企业和个人。

落实法律规定要求，国家互联网信息办公室公布了《数据出境安全评估办法》和《个人信息出境标准合同办法》，联合国家市场监督管理总局公布了《关于实施个人信息保护认证的公告》，基本构建了数据出境安全管理制度。此外，国家互联网信息办公室先后公布了《数据出境安全评估申报指南》、《个人信息出境标准合同备案指南》等文件，对数据处理者申报安全评估、备案标准合同的方式、流程及需提交的材料等具体要求作出了说明。

国家互联网信息办公室结合数据出境安全管理工作实际，制定《规定》，对现有数据出境安全评估、个人信息出境标准合同、个人信息保护认证等数据出境制度的实施和衔接作出进一步明确，适当放宽数据跨境流动条件，适度收窄数据出境安全评估范围，在保障国家数据安全的前提下，便利数据跨境流动，降低企业合规成本，充分释放数据要素价值，扩大高水平对外开放，为数字经济高质量发展提供法律保障。

法律の要求を実施するため、国家サイバーセキュリティ情報弁公室は「データ越境移転安全評価規則」及び「個人情報越境移転標準契約規則」を公布し、国家市場監督管理総局と共同で「個人情報保護認証実施の公告」を公布し、基本的なデータ越境移転セキュリティ管理システムを構築している。 また、国家サイバースペース情報弁公室は、「データ越境移転安全評価申告ガイドライン」、「個人情報越境移転標準契約届出ガイドライン」などの文書を相次いで発表し、データ取扱者が安全評価を申告し、標準契約の届出方法、プロセス、提出資料などの具体的な要件を説明している。

国家サイバーセキュリティ情報弁公室は、実際のデータ越境移転セキュリティ管理に照らして、「データ越境移転安全評価」、「個人情報越境移転標準契約」、「個人情報保護認証」及びその他のデータ越境移転制度の実施と関係をさらに明確にし、データ越境移転の条件を適切に緩和し、データ越境移転安全評価の範囲を適切に狭め、国家データのセキュリティを保護することを前提条件として、データ越境移転の流れを促進し、企業のコンプライアンス・コストを削減し、データ要素の価値を十分に開放し、対外開放の高水準を拡大し、デジタル経済の質の高い発展のために法的保護を提供する。