中国向けサービスのデータセキュリティは、「データを抜かれるか」という一つの問いだけでは判断できません。
不正アクセスによる流出、従業員や委託先による不適切な利用、当局からの適法な要請、データの国外移転は、それぞれ原因も対策も異なるからです。
中国の法制度には、事業者へ安全管理や個人情報保護を求める規定と、一定の場合に当局への協力を求める規定があります。
一方、公開されている法令だけを根拠に、すべてのサービスから日常的にデータが取得されていると断定することもできません。
本記事は一般的な情報整理であり、個別案件への法的助言ではありません。
実際の提供地域、業種、データの種類、処理件数、システム構成に応じて、中国法に詳しい専門家へ確認してください。
「データが抜かれる」を四つのリスクに分ける
最初に、同じ言葉で語られがちなリスクを切り分けます。
分類すると、必要な証拠と対策を対応させやすくなります。
| リスク | 具体的な状況 | 主な対策 |
|---|---|---|
| 外部からの不正取得 | 脆弱性の悪用、認証情報の窃取、マルウェアなどによってデータへ侵入される | 脆弱性管理、多要素認証、監視、暗号化、インシデント対応 |
| 内部や委託先での不適切な利用 | 従業員や運用委託先が、業務上必要な範囲を超えて閲覧または持ち出す | 最小権限、承認、操作記録、委託先管理、定期的な権限棚卸し |
| 当局からの適法な要請 | 法令に基づく調査や国家安全、犯罪捜査などのため、事業者へ協力が求められる | 要請の受付窓口、法務審査、対象範囲の確認、対応記録 |
| 国外移転の不備 | 中国で扱う個人情報や重要データを国外へ提供する際、必要な手続きを欠く | データフローの把握、データ分類、適用条件の確認、移転手続き |
外部攻撃への備えは国を問わず必要です。
一般的な被害像は、サイト内のウェブサイト攻撃で起こる主な被害と事業リスクでも確認できます。
中国のデータ規制は一律ではない
ネットワーク安全法
中国のネットワーク安全法は2017年に施行され、2026年1月1日から改正法が施行されています。
ネットワーク運営者には安全管理が求められ、公安機関や国家安全機関が法に基づいて国家安全の維持や犯罪捜査を行う場合には、技術的な支援と協力を提供する規定があります。
ただし、「中国で収集したデータはすべて中国国内に保存しなければならない」という説明は正確ではありません。
同法の国内保存規定は、関係する事業者の位置付けやデータの種類を踏まえて読む必要があり、現行法では、重要な社会基盤を担う重要情報インフラ運営者が中国国内で収集または生成した個人情報と重要データを対象としています。
適用範囲と条文は、中国政府機関が公開するネットワーク安全法と、全国人民代表大会常務委員会の改正決定で確認できます。
個人情報保護法
個人情報保護法（PIPL）は、個人情報を識別された、または識別可能な自然人に関する情報として扱い、処理目的の明確化、必要最小限の収集、安全管理などを求めています。
同意は個人情報を処理する根拠の一つですが、契約の締結や履行に必要な場合、法的義務を果たす場合など、法律が定める別の根拠もあります。
そのため、「個人情報を扱うなら常に同意だけが必要」と理解するのは適切ではありません。
一方、個人情報を中国国外へ提供する場面では、告知や個別同意に加え、安全評価、認証、標準契約などの条件が関係します。
処理の根拠と国外提供の規定は、中国工業情報化部が掲載する個人情報保護法で確認できます。
データ安全法と国外移転の規則
データ安全法は、データをその重要度や漏えい時の影響に応じて分類し、必要な保護を行う考え方を示しています。
ここでいうデータは個人情報だけではなく、電子その他の方法で記録された情報を広く含みます。
国外移転では、事業者の区分、個人情報やセンシティブ個人情報（敏感個人情報）の量、重要データに当たるかどうかなどで手続きが変わります。
2024年に施行された規則には一定の免除や手続き区分もあるため、サーバーの所在地だけで結論を出すことはできません。
制度の全体像は、データ安全法と、国家インターネット情報弁公室のデータ越境流動の促進および規範化に関する規定で確認できます。
当局がアクセスできる可能性をどう評価するか
法令に基づいて事業者へ協力が求められる可能性は、システム設計だけではなく、法務と事業継続の問題として扱います。
暗号化は第三者による盗聴や媒体の持ち出しへの対策になりますが、事業者自身が復号できるデータへの適法な提出要請をなくすものではありません。
反対に、協力義務があることだけを根拠に、「どの企業からも常時データが取得されている」とは判断できません。
公開事例の少なさも安全の証明にはならないため、企業は推測ではなく、自社が保持するデータとアクセス経路から影響を見積もる必要があります。
- 中国の環境には、どの利用者、従業員、取引先のデータがあるか
- 氏名や連絡先のほか、位置情報、決済情報、健康情報などのセンシティブな情報を扱うか
- 中国国外の担当者や委託先が、画面表示、検索、ダウンロード、保守作業を通じてデータへアクセスできるか
- 復号鍵、管理者権限、バックアップを誰が管理しているか
- 当局から要請を受けた場合、誰が法的根拠と対象範囲を確認するか
中国製品を導入する側の論点は、中国製品のセキュリティを法規制と実務から確認する記事で補足しています。
設計と運用で行う七つの対策
- データフローを可視化する：収集元、保存先、閲覧者、委託先、国外への送信先を一枚の図や台帳にします。
サーバーが中国国内にあっても、国外から閲覧できるなら、その経路を法務確認の対象に含めます。 - データを分類する：個人情報、センシティブ個人情報、重要データの可能性がある情報、一般業務データを分けます。
分類が決まらなければ、保存場所や移転手続きを判断できません。 - 収集量と保存期間を減らす：サービス提供に不要な項目を集めず、目的を終えたデータを削除します。
保持量を減らせば、不正流出や誤操作が起きたときの影響も小さくできます。 - 環境と権限を分離する：中国向け環境と他地域の環境を必要に応じて分け、管理者権限を共用しない設計を検討します。
現地のクラウド事業者を使うだけで適法性や安全性が確保されるわけではないため、契約、運用体制、再委託先も確認します。 - 転送時と保存時に暗号化する：通信経路と保存媒体を保護し、鍵の保管場所と利用権限をデータ本体から分離します。
暗号化方式の名前だけではなく、鍵の更新、失効、バックアップ時の扱いまで決めます。 - 最小権限と監査記録を組み合わせる：最小権限とは、担当者が業務に必要な範囲と期間だけアクセスできる状態です。
権限の定期確認、特権操作の承認、閲覧や出力の記録を組み合わせます。 - 要請と事故への対応手順を用意する：当局からの要請、漏えい、誤送信、委託先事故を別の手順として定めます。
法務、セキュリティ、事業部門の責任者と連絡順を決め、演習で機能するか確かめます。
サービス開始前の確認項目
- 提供する機能ごとに、収集目的と必要なデータ項目を説明できる
- データの保存場所、バックアップ先、管理者、委託先を把握している
- 中国国外からの閲覧や送信を含むデータフローを確認した
- 個人情報処理の根拠、告知、同意、影響評価の要否を確認した
- 国外移転に安全評価、認証、標準契約などの手続きが必要か確認した
- 利用者からの開示、訂正、削除などの請求に対応できる
- 権限の付与と削除、ログの確認、鍵の管理を定期運用にした
- 当局要請とセキュリティ事故の記録および報告手順がある
- 中国以外の地域で適用される個人情報保護法との整合も確認した
判断の軸はデータと経路にある
中国向けサービスのリスクは、国名だけで高いか低いかを決めるものではありません。
何のデータを、どこに保存し、誰がどの権限で扱い、どの経路で国外へ移すのかを明らかにすると、必要な法務手続きと技術対策が見えてきます。
技術対策だけで適法な当局要請を排除することはできませんが、不要な収集をやめ、環境と権限を分け、操作を記録すれば、企業が管理できる範囲のリスクと事故時の影響を減らせます。
法務、セキュリティ、事業部門が同じデータフローを見ながら判断する体制が、継続的な運用の土台になります。