1. 中国データセキュリティ法の概要と目的
1-1. 中国データセキュリティ法とは何か
中国データセキュリティ法（中国データ安全法）は、2021年6月に採択され、同年9月1日から施行された、中国におけるデータ取り扱いの根幹を成す法律です。中国国内で収集・生成されるデータの収集、保存、利用、加工、伝送、提供、公開といったすべての活動を規制対象としています。
本法は「個人情報保護法」および「サイバーセキュリティ法」と並び、中国のデジタルガバナンスを支える「サイバー三法」の一つとして位置づけられています。2026年現在のビジネス環境において、中国市場に関わるすべての企業にとって、本法への準拠は事業継続のための絶対条件となっています。
1-2. データセキュリティ法制定の背景
中国政府がこの法律を制定した背景には、データが国家安全保障に直結するという強い認識があります。重要インフラの稼働状況や国民の行動データが他国に流出することへの警戒感に加え、AI（人工知能）技術の進展により、データの質と量が国家の競争力を左右するようになったことが大きな要因です。
1-3. 法の目的と重要性
本法の主な目的は、データ活動の規範化、データセキュリティの確保、そしてデータ利活用の促進です。しかし企業の視点で最も重要な点は「国家安全の維持」です。重要データの漏えいや不適切な取り扱いが認められた場合、国家安全保障に対する脅威とみなされ、厳しい制裁が科される可能性があります。
2. データセキュリティ法の適用範囲と対象データ
2-1. 適用範囲の詳細
本法は中国域内で行われる活動だけでなく、中国域外で行われる活動であっても「中国の国家安全、公共の利益、または市民や組織の合法的な権益を損なう」と判断された場合には法的責任を追及される「域外適用」の規定を含んでいます。
2-2. 対象となるデータの種類
データの重要度に応じて分類・保護する「データ分類・階層保護制度」が定められています。
・ 重要データ（Important Data） 特定の業界や地域、国家レベルで安全に影響を及ぼすデータ。エネルギー、金融、交通、製造業などの基幹産業に関連するデータが該当します。
・ 国家核心データ（National Core Data） 国家安全、国民経済の根幹、重大な公共利益に関連する最重要データ。侵害は国家に甚大な被害をもたらすと定義され、極めて厳格な管理が要求されます。
・ 一般データ 上記に含まれないデータ。ただし、個人情報が含まれる場合は「個人情報保護法」の規制も同時に受けます。
3. データセキュリティ管理体制の整備
3-1. データマッピングと分類
コンプライアンス確保の第一歩は、社内のデータ資産を一覧化する「データマッピング」です。どの部門がどのような情報を扱い、どこに保存しているかを可視化し、自社が扱う情報がどの分類（重要データ等）に該当するかを特定する義務があります。
3-2. セキュリティ対策とリスク評価
・ 責任者の選任：データセキュリティ責任者および管理部門を明確にします。 ・ 技術的対策：暗号化、アクセス制御、ログ管理などの最新技術を導入します。 ・ リスク評価レポート：重要データを取り扱う事業者は、定期的にリスク評価を行い、その結果を当局に提出する義務があります。
3-3. 従業員教育と定期的な見直し
内部不正や操作ミスを防ぐための教育に加え、中国の法令は頻繁にアップデートされるため、定期的な見直し（PDCAサイクル）が不可欠です。
4. データの国外移転に対する規制
4-1. 国外移転（越境移転）ルールの概要
重要データを国外へ提供する場合、原則として「国家インターネット情報部門（CAC）」が実施する安全評価を通過しなければなりません。移転の目的や安全性、受け取り側の保護能力が厳しく審査されます。
4-2. 国家安全審査制度の役割
データ活動が国家安全に影響を及ぼすと判断された場合、当局による審査が行われます。特に、他国の司法・政府機関からデータ提供を要求された際、中国当局の許可なく応じることは本法により明確に禁止されています。日本企業が「板挟み」になるリスクには事前の備えが必要です。
5. 罰則とコンプライアンス事項
5-1. 罰則内容
違反に対する罰金は非常に高額です。
・ 一般的な義務違反：最高100万人民元（約2,000万円）。 ・ 重要データ・国家核心データの取り扱い違反：最高1,000万人民元（約2億円）、または営業許可の取り消し・事業停止。 ・ 個人への罰則：責任者本人に対しても罰金が科されることがあります。
5-2. コンプライアンスの重要性
一度「問題あり」とみなされれば中国市場での継続は事実上不可能となります。コンプライアンスの徹底こそが、企業のレピュテーション（評価）を守る最大の防御です。
6. 日本企業の対応策と影響
6-1. 直面するリスク
サプライチェーンの分断や、人材管理におけるリスクが生じます。中国拠点のデータを日本で一括管理している場合、システム再構築や中国国内へのサーバー設置（ローカライゼーション）が必要になるケースがあります。
6-2. 具体的な実施方法
・ ガバナンスの現地化：中国拠点の管理権限を明確にし、現地法に精通した人材を配置する。 ・ システムの「島型」運用：重要データ処理を中国国内で完結させるアーキテクチャへの移行。 ・ 法的モニタリング：最新の規制を常に把握し、迅速に対応方針を修正できる体制。
7. 中国の「サイバー三法」との関連
7-1. サイバー三法の位置づけ
- サイバーセキュリティ法（2017年）：ネットワークインフラの保護を規定。
- データセキュリティ法（2021年）：データそのものの安全と活用を規定。
- 個人情報保護法（2021年）：個人のプライバシー保護を規定。
7-2. 特徴的な事項
三法すべてが「国家安全」を最上位に置いています。要件が重なり合っているため、総合的なデジタルコンプライアンス体制の構築が必要です。2026年にはAI生成物に関する新たな規範も具体化される予定です。
まとめ
中国データセキュリティ法はハードルの高い規制ですが、データマッピングやリスク評価を確実に行うことで、リスクを管理可能なレベルに抑えることができます。最新情報を収集し、変化に即応できる体制を整えることは、お客様の信頼を守り、ビジネスの未来を切り拓くための不可欠な投資です。
【関連情報】
・デジタル庁：トラスト
https://www.digital.go.jp/policies/trust
・デジタル庁：DFFT（Data Free Flow with Trust：信頼性のある自由なデータ流通）
https://www.digital.go.jp/policies/dfft
・総務省：トラストサービス
https://www.soumu.go.jp/main_sosiki/joho_tsusin/top/ninshou-law/law-index.html
・デジタル証明研究会：年次レポート 2024(論点整理と提言)
https://digitalproof.jp/wp-content/uploads/2025/05/eb343437c3b0ee5a36c7239725a937e5.pdf
・デジタルアーキテクチャ・デザインセンター(DADC)：トラスト入門
https://www.ipa.go.jp/digital/architecture/Individual-link/nl10bi00000038ai-att/trust-basics.pdf
・総務省：電子署名・認証・タイムスタンプ その役割と活用
https://www.soumu.go.jp/main_sosiki/joho_tsusin/top/ninshou-law/pdf/090611_1.pdf