小型个人信息处理者个人信息保护简化措施规定

この規定は何か

中小・零細企業のイノベーションを支援するため、《个人信息保护法》《网络数据安全管理条例》上の義務を、規模の小さい個人情報処理者に限り簡易な方法で履行できるようにした運用規定です。既存の法律・行政法規の適用を免除するものではなく、「同等の保護水準を、より簡便な手段で満たしてよい」という位置づけです。

主な簡易措置（条文別）

対象となる企業（日系現地法人の場合）

本規定は会社の国籍・資本系統ではなく、「中国国内で処理する個人情報の人数」で適用可否が決まります。日系現地法人であっても、以下の条件を満たせば適用対象です。

• 適用地域：中華人民共和国境内（香港・マカオ・台湾は対象外）で個人情報処理活動を行っていること。
• 適用規模：年間の累計処理人数が10万人未満であること（第2条）。顧客・会員・従業員・取引先担当者など、処理するすべての個人を合算して判定する。集計対象を明確にするため、年1回は棚卸しを行うのが実務上望ましい。
• 法人形態は問わない：独資子会社（WFOE）、合弁会社（JV）、駐在員事務所等、法人格・出資形態にかかわらず、処理人数の要件を満たせば対象になり得る。
• 除外に注意：重要情報インフラ運営者（关键信息基础设施运营者・CIIO）に認定されている場合、越境提供の免除（第10条）など一部の簡易措置は適用されない。
• 要件から外れた場合：処理人数が10万人以上になった時点で本規定の適用対象から外れ、通常の《个人信息保护法》《网络数据安全管理条例》の完全な義務（安全評価の申告、標準契約、認証取得等）に戻る。（参考：関連解説投稿（LinkedIn））
• グループ内で複数の中国法人（生産拠点・販売拠点・EC運営会社等）を持つ場合、判定は法人ごとに行う。ある拠点は対象、別の拠点は対象外、ということもあり得る。

PIA（影響評価表）・監査自査表の提出先と保管

本規定におけるコンプライアンス監査自査表・影響評価表は、いずれも事前届出・事前提出が必要な書類ではありません。自己点検・自己評価のうえ、社内で保管しておく「備え置き型」の書類です。

• 通常時の提出義務：なし。当局へ自主的に提出・報告する必要はない（第13条・第14条）。
• 保管期間：コンプライアンス監査自査表（附件1）は少なくとも5年、影響評価表（附件2）は少なくとも3年、社内で保管する。
• 提示を求められる場面：国家網信部門・公安機関その他個人情報保護の職責を負う部門が、抽査評価や監督検査を実施する際に提示・提出を求めることができる（第21条）。求められた場合は速やかに提示できる状態にしておく必要がある。
• 想定される請求元：所在地の省級・市級インターネット情報弁公室（网信部门）、公安機関、業界所管部門など。越境提供に関する届出・認証・標準契約の備案がある場合はその手続き先（省級网信部门等）も別途存在する。
• 日本本社との関係：原本は現地法人（個人情報保護責任者のもと）で保管し、本社へは要点をまとめたサマリー（適合率・不適合項目・是正計画等）を共有する運用が実務的。個人情報そのものを含む詳細記録を越境で本社に送る場合は、別途、社内の越境移転ルールに従う必要がある。

実施プロセス（推奨フロー）

1. 適用判定：年間の累計処理人数が10万人未満か、CIIO認定を受けていないかを確認する。
2. 処理活動の洗い出し：機微個人情報の処理、自動化決定の利用、委託処理・第三者提供・公開、越境提供、その他重大な影響を及ぼす処理活動の有無を、関係部門（IT・人事・営業・法務等）へのヒアリングで確認する。
3. コンプライアンス監査自査表（附件1・24項目）の実施：法定頻度は5年に1回以上だが、変化を早期に把握するため年1回の簡易棚卸しを推奨。
4. 影響評価（附件2）の作成：監査で該当した情形について、目的・方法の適法性、権益への影響、保護措置の有効性を評価する。
5. 不適合事項の是正計画の策定・実施：是正の担当・期限を明確にし、次回監査で確認する。
6. 社内承認・署名：個人情報保護責任者（または監査・評価責任者）が署名し、実施記録を確定する。
7. 保管・備え置き：監査自査表は5年、影響評価表は3年、いつでも提示できる形で保管する。
8. 日本本社への報告：現地法人からグローバル法務・情報セキュリティ部門等へ、適合率・不適合項目・是正状況・PIA該当有無をサマリーで報告する。

必要資料一覧

監査・PIAの実施にあたり、事前に手元にあると作業が進めやすい資料の例です。

• 会社の基本情報（名称、統一社会信用コード、代表者、業種）
• 年間個人情報処理人数の集計資料（顧客数・会員数・従業員数・取引先担当者数等）
• 個人情報処理規則（プライバシーポリシー）及びその改定履歴
• 個人の同意取得記録（個別同意・書面同意を含む）
• 機微個人情報を扱う場合、その一覧と取得記録・未成年者情報の保護者同意記録
• 自動化決定を利用している場合、その概要・本人への告知記録・拒否手段の提供状況
• 委託処理契約書・第三者提供契約書・データ処理に関する合意書（DPA等）
• 満14歳未満の未成年者情報を扱う場合の専用処理規則
• 越境提供がある場合、該当する免除事由の根拠資料（契約書、個人情報保護認証、標準契約、省級網信部門への備案資料等）
• 内部管理規程、個人情報保護責任者の選任記録・連絡先の公開状況
• 安全教育・研修の実施記録
• 個人情報安全事件の緊急対応計画、及び過去の対応記録（あれば）
• 記入済みのコンプライアンス監査自査表（附件1）原本
• 記入済みの影響評価表（附件2）原本

実務上のチェックポイント

1. 自社の年間処理人数が10万人未満か（機密個人情報も合算対象）を先に確認する。超えた場合は本規定の対象外。
2. 満14歳未満の情報を扱うか否かで、専用規則の要否が変わる。
3. 越境提供がある場合、第10条各号のどれに該当するか（該当なしなら通常のPIPL越境ルールに戻る）。
4. 右のタブでは、まず附件1の監査自査表（24項目）に回答し、そこで「機密情報」「自動化決定」「委託・提供・公開」「越境提供」に該当した項目から、附件2のPIAを続けて作成できます。

※本ページは公開情報に基づく非公式の日本語解説です。法的助言ではありません。適用の可否や解釈は、最終的に原文および所轄当局の指導に従ってください。