こんにちは！クララ株式会社のクロスボーダービジネスチームです。
中国のサイバーセキュリティ法（CSL）や個人情報保護法（PIPL）に基づくデータ越境移転規制は、中国でビジネスを展開する日系企業にとって避けて通れない課題です。2024年3月の規制緩和で一度ハードルは下がりましたが、その後も運用ルールは更新され続けており、2026年1月1日には新たな「個人情報越境移転認証弁法」が施行されています。
本記事では、2024年の緩和内容を起点に、2025〜2026年にかけての最新動向までを、実務で押さえるべきポイントに絞って整理します。
▶ 無料資料｜日中間におけるITインフラのお悩みをまるっと解決！中国関連サービスまとめ資料
クララが提供している中国関連のネットワーク、クラウドに関連したソリューションを資料にまとめております。中国でインフラ基盤にお困りごとをお持ちの方はまずはダウンロードしてみてください。
この記事でわかること
- 2024年に緩和された越境移転規制の要点（事前手続きの免除条件）
- 自由貿易試験区の「ネガティブリスト」制度の仕組み
- 2025年に整理された機微な個人情報の8分類
- 2026年1月施行の新ルールと、日系企業が今すべき対応
1. まず押さえたい：2024年3月の規制緩和とは
2024年3月22日、中国国家インターネット情報弁公室（CAC）が「データの越境移転を促進・規範化する規定」を施行し、それまで厳格だった個人情報の越境移転手続きが大きく緩和されました。主なポイントは次の2点です。
- 事前手続きの免除：一定の条件を満たせば、これまで必須だった安全評価・標準契約（SCC）・保護認証といった事前手続きが免除される。
- 自由貿易試験区の活用：自由貿易試験区（FTZ）内では、後述する「ネガティブリスト」に基づき、対象外データの越境移転手続きが免除される。
2. 事前手続きが免除される「条件」を整理
越境移転に必要な手続きは、移転する個人情報の「件数」と「性質」によって変わります。2024年規定後の考え方は、おおむね次の3段階に整理できます。
| 年間の越境移転件数（機微情報を除く個人情報） | 必要な手続き |
|---|---|
| 10万人未満 | 安全評価・SCC・認証のいずれも不要（原則免除） |
| 10万人以上100万人未満 | 標準契約（SCC）の締結・当局への届出 または 保護認証の取得 |
| 100万人以上 | データ越境移転の安全評価（CAC申告）が必要 |
※上記は一般的な整理です。重要データや機微な個人情報を含む場合は別基準が適用されます。実際の判断は最新の政府通知・専門家確認が必要です。
「機微な個人情報」は免除の対象外
いくら件数が少なくても、機微な個人情報を含む場合は免除の対象外となり、原則としてデータ保護影響評価（DPIA）などが引き続き求められます。2025年5月に発表された技術文書では、機微な個人情報が次の8カテゴリーに整理されました。
- 生体認証情報（顔・指紋など）
- 宗教・信仰に関する情報
- 特定身分に関する情報
- 医療・健康情報
- 金融口座情報
- 移動履歴（位置情報）
- 14歳未満の未成年者の個人情報
- その他の機微な個人情報
機微な個人情報については、件数に応じて次の手続きが必要です。年間1万人未満ならSCCの締結・届出または保護認証、年間1万人以上ならデータ越境移転の安全評価が求められます。
3. 自由貿易試験区の「ネガティブリスト」制度
今回の緩和で特に注目されているのが、上海・北京・天津などの自由貿易試験区（FTZ）ごとに設けられる「ネガティブリスト」制度です。
各試験区は、国家のデータ分類・分級保護制度の枠組みのもとで「越境時に手続きが必要なデータのリスト（＝ネガティブリスト）」を定めることができます。裏を返せば、ネガティブリストに載っていないデータは、事前手続きなしで国外移転できるということです。自社の拠点・データが該当する試験区のリストを確認することが、実務上の第一歩になります。
4. 移転先が「日本」の場合はどう扱われる？
移転先国のデータ保護水準は、中国当局が「法的枠組み」「実際の運用状況」「独立した監督機関の有無」「国際的な認証」などから判断します。
日本は個人情報保護法（APPI）を有し、個人情報保護委員会という独立監督機関が機能しているほか、EUから十分性認定（適切性認定）を受けている国でもあります。こうした点から、日本は相対的にデータ保護水準が高い国と評価されやすく、日本向けの移転は手続き上比較的取り組みやすいと考えられます。
※ただし「移転先が日本だから無条件で免除」ではありません。件数基準や機微情報の有無、社内の適法な取得・利用が前提です。
5. 【重要】2026年1月1日施行の新ルール
2025年10月に公布された「個人情報越境移転認証弁法」が2026年1月1日から施行されました。これは、越境移転の選択肢の一つである「保護認証」について、認証の対象・手続き・実施機関などを具体的に定めたものです。あわせて、サイバーセキュリティ法（CSL）の改正も2026年1月に施行され、既存の実施細則に加えて新たな手続きへの対応が求められます。
つまり、2024年の緩和で「ハードルが下がった」一方、2026年からは認証ルートの制度が精緻化されており、「どのルート（免除／SCC／認証／安全評価）で対応するか」の設計がこれまで以上に重要になっています。
▶ 自社の越境データ移転、どのルートに該当するか整理できていますか？
件数・機微情報の有無・拠点の試験区によって必要な手続きは変わります。クララが現状の棚卸しから対応方針までご相談を承ります。
よくある質問（FAQ）
Q. 規制が緩和されたなら、もう何も対応しなくてよい？
いいえ。免除されるのはあくまで一定条件下の「事前手続き」です。適法な取得・社内管理・記録保持などの基本的な義務は引き続き必要で、機微情報や大量データには従来どおり手続きが求められます。
Q. 自社がどのルートに該当するか分からない場合は？
移転するデータの種類・件数・機微情報の有無・拠点のある試験区を棚卸しした上で、最新の政府通知を確認する必要があります。判断が難しいケースが多いため、専門家や現地に強いパートナーへの確認を推奨します。
まとめ
中国のデータ越境移転規制は「緩和」と「制度の精緻化」が同時に進んでいます。2024年の緩和で対応のハードルは下がりましたが、2026年1月施行の新ルールを踏まえると、自社のデータ移転を正しく分類し、適切なルートを選ぶ設計力がこれまで以上に問われます。
