筆者は、これまで中国のサイバーセキュリティ法やガイドライン草案および関係法制整備の動向につき、順次とりあげてきた。(筆者注1)その後の中国の動向を見るとサイバーセキュリティ規則案の意見公募等の具体的な取組として2018年6月27日、中国の中华人民共和国公安部（以下、「MPS」という）は、パブリックコメントのために、サイバー・セキュリティ・マルチレベル保護スキームに関する規則案（以下「規則案」）を発表した。
また、2018年9月30日、中国の公安部は、公安機関によるインターネットセキュリティの監督及び検査に関する規則（以下「規則」と称する）を発表した。 2018年11月1日の施行であった。
筆者は、中国のサイバー・セキュリティ問題、インターネット・セキュリティ問題と進んできたが、残された重要問題は個人情報保護であろうと考えていたところ、2019年4月19日、中国のMPSが「インターネット個人情報セキュリティ保護のためのガイドライン(《互联网个人信息安全保护指南》) （以下、「ガイドライン」という）」の最終版を発表した旨の記事が手元に入ってきた。
同ガイドラインの以前のバージョンは、2018年11月30日に一般のコメントのためにリリースされている。
今回のブログは、このニュースにつきローファームのブログ「China’s Ministry of Public Security Issues New Personal Information Protection Guideline」の内容を中心に仮訳、概観する。
１．中国の当局のサイバーセキュリティ法規制にかかるこれまでの取組み
中国のサイバー・セキュリティ法（以下、「CSL」という）では、MPSはサイバーセキュリティの保護とサイバー犯罪の防止を目的とした主要な規制当局となる。「サイバーセキュリティ・マルチレベル保護スキームに関する規則案(draft Regulations on Cybersecurity Multi-level Protection Scheme (the “Draft MLPS Regulation”)」（前回の記事で議論している）および「公安機関によるインターネット・セキュリティの監督および検査に関する規則（同じく以前に議論している）」の発布後、2018年にこの新しいガイドラインのリリースは、CSLを実装するためにMPSが行った最新の取り組みを表している。
２．インターネット個人情報セキュリティ保護のためのガイドライン
(1) ガイドラインの目的および既存の「GB / T 35273-2017情報セキュリティ技術： 個人情報セキュリティ仕様」との関係
今回のガイドラインの目的は、①サイバーセキュリティと個人の正当な利益を保護すること、および②個人情報を含むサイバー犯罪を効果的に防止することである。法的拘束力のある管理規則としては発行されていない。政府機関とその地方の協働機関（すなわち地方公安局(local public security bureaus: PSB）)によって実施されるサイバー・セキュリティ検査の重要な参考資料として役立つ可能性が高い。
また、今回のガイドラインは、2018年5月1日に施行された個人情報保護に関する中国の国内規格である「GB / T 35273-2017情報セキュリティ技術： 個人情報セキュリティ仕様 （以下、「規格」という）」と大部分が重複している。
現段階では、このガイドラインが他の既存の規制や国内規格とどのように相互作用するのかは不明であるが、「不可欠」な参照.ガイダンスとしてのこの規格を参照すべきであろう。さらに、この新しいガイドラインは、企業・組織等のサポートと実装に関する技術的対策の両方の観点から、会社のサイバーセキュリティ・インフラストラクチャに関するより規範的な要件を提供している。
(2) ガイドラインの重要な要件
(a)適用範囲
このガイドラインは、情報のライフサイクルの間に「個人情報を管理および処理する」エンティティまたは個人として定義される用語である「個人情報保有者」によって収集された個人情報を保護することを目的としています。 このガイドラインは、個人情報の「管理者」と「処理者」を区別していないため、両方の種類の事業体に適用される。
また、このガイドラインはインターネットを介してサービスを提供している会社、およびプライベート・ネットワーク（専用ネットワーク：专网）またはその他の種類のオフライン環境を使用して個人情報を管理および処理する組織または個人を指導するように設計されている。
(b) 情報システムの分類、内部組織および技術的対策
このガイドラインは一般に、国家安全保障、社会秩序、およびシステムが損傷または攻撃された場合の経済的利益への相対的な影響に従って、中国に物理的に位置する情報システムを分類するマルチレベル保護スキームの下で確立されたフレームワークに従う。 分類レベルは1〜5の範囲で、1が最も重要度が低く、5が最も重要度が高くなる。 情報システムを分類するために、オペレータは最初に自己評価を行い、次にこれに基づいてMPSに分類レベルを提案します。MPSは、オペレータによって提案された分類を確認または却下する裁量を持っている。 レベル3以上に分類される情報システムは、強化されたセキュリティ要件の対象となる。
このガイドラインは、個人情報を保護するために、個人情報保持者に幅広い内部方針およびプロセスを実施することを求める。 これには、このプロセスを監督し、これらの内部ポリシーを定期的に発行し、レビュー、および監査するための専用グループを含む組織統制の整備が含まれる。それはまた、雇用、スクリーニング、および従業員の訓練という観点から、人的セキュリティ対策を課すことを要求する。さらに、このガイドラインでは、本人確認、記録保存プロトコルなどを含む、社内外の要員のためのアクセス制御要件を規定している。
また、個人情報保持者は、ネットワークの分離、識別と認証の管理、重要なネットワーク機器の重複性の管理、データのバックアップと復旧の管理、セキュリティ監査、システムと通信のセキュリティ、コンピューティング環境など、ネットワーク・インフラストラクチャを保護する技術管理を採用する必要がある。コントロール 特に、このガイドラインでは、クラウド・コンピューティング仮想マシン(注２)の移行プロセスのための暗号化保護、および「モノのインターネット」デバイスを介したデータ収集と伝送が必要であるとしている。
(c) 個人情報のライフサイクル全体にわたる保護
このガイドラインは、個人情報の収集、保持、使用、削除、第三者による処理、共有、譲渡、および開示を含む、個人情報保持者が情報ライフサイクルを通して個人情報を保護する方法に関する詳細な要件を規定している。
このガイドラインでは、個人情報を第三者に共有または転送する前に「同意」を得ること、さらにはそのような情報を公に開示する前に「明示的な同意」を得ることさえ求めている。ただし、標準とガイドラインの両方で、この要件にはいくつかの例外があり、すなわち、ガイドラインの下では、共有、譲渡または公開が以下に直接関連する場合は、「同意」および/または「明示的な同意」は必要とされない可能性がある。
① 国家安全保障および/または国防 にかかる問題
② 公安、公衆衛生または重要な公益にかかる問題
③ 犯罪捜査、起訴および法執行にかかる問題
さらに、本ガイドラインは、個人情報保持者が人種、民族的出身、政治的意見、または宗教的信念に関連する機密の個人データを大規模に収集または処理することを禁止している。
個人情報保持者は、以下の種類の個人情報を公に開示することも禁じられている。
① バイオメトリック・データ
② 遺伝子的および健康に関するデータ
③ 人種、民族的出身、政治的意見、または中国国民の宗教的信念に関するデータから生成された分析データ
また、ガイドラインはデータ主体が自分のデータにアクセスし、修正し、そして/または削除する権利など、規格(GB / T 35273-2017)に似たその他の要件をいくつかを提供している。
(4) 国内でのデータ保存と個人情報の国境を越えた移転
本ガイドラインによると、中国の個人情報保持者によって生成および収集された個人情報は、中国内に保管され、国境を越えたデータ移送が必要な場合は特定の規則に従う必要がある。 CSLの下では、このデータ・ローカライゼーション要件の対象となるのは、重要情報インフラストラクチャ（CII）の運営者のみである。本ガイドラインがこの要件の範囲をすべての管理者と処理者に拡大するつもりであるかどうかは不明である。
また、クラウド・プラットフォームに保存されている個人情報について、ガイドラインでは特にそのような情報を中国国内にのみ保存することを要求している。そうでなければ、国境を越えたデータ移転が必要な場合、特定の規則が適用されます。 ガイドラインは、これらの「特定の規則」が国境を越えたデータ転送に必要なものかをまだ説明していない。
(5)データ 漏えい時のデータ主体への通知義務
このガイドラインでは、個人情報の保持者に対し、この基準に従って、インシデント対応計画を維持し、定期的な訓練と緊急訓練を実施し、規制当局と影響を受けるデータ主体にセキュリティ・インシデントを「通知」することを求めている。 規格(GB / T 35273-2017)とは異なり、ガイドラインでは、地方公安局(PSB) (注3)はインシデント発生後に通知されることが明確に規定されている。ただし、 ガイドラインでは、「通知」の具体的な期限については触れず、「適時」にする必要がある。さらに。個人情報保持者は、漏えい後のPSBの調査および関連証拠の収集を支援し、特定されたリスクを軽減することが求められている。
*************************************************************
(注1) 筆者がブログで取り上げた主なものは、以下のとおりである。
①2017.9.9 福田平治「中国のサイバー空間統治の制度・規制面からの進展」(法律、規則/法令/ガイダンス、国家戦略/計画、標準化等)の体系的理解」
②2019.9.7 福田平治「中国のサイバーセキュリティ法施行にあわせた4ガイドライン草案の内容並びに関係法制整備等の概観(その１)」 その２～４は未定稿
③ 2017.8.1「中国のサイバーセキュリティ法の施行と重大な情報インフラ等の保護に関する規制草案等の公表と今後の課題(その1)」
④ 2017.8.1 「中国のサイバーセキュリティ法の施行と重大な情報インフラ等の保護に関する規制草案等の公表と今後の課題(その2)」
⑤ 2017.8.1 「中国のサイバーセキュリティ法の施行と重大な情報インフラ等の保護に関する規制草案等の公表と今後の課題(その3)」
⑥2017.8.1「中国のサイバーセキュリティ法の施行と重大な情報インフラ等の保護に関する規制草案等の公表と今後の課題(その４完)」
なお、中国のCyber Secutity Law成立までのタイムラインをKPMGがまとめているので引用する。
(注2)クラウドコンピューティングにおいて仮想化はハードウェア仮想化のことで、オペレーティングシステム（OS）内に仮想マシンを作成することを意味します。
「なぜ仮想化するのか？」
通常、OSを実行するときは、それぞれの OS を専用の物理サーバー上で実行する必要があります。1 つのオペレーティングシステムにつき 1 つの物理サーバーが必要なため、複数のオペレーティングシステムを同時に実行する必要がある場合は複数のサーバーが必要です。これは、複数のオペレーティングシステムを実行するためには費用がかかるということを意味します。多くの物理サーバーを購入する必要があるだけでなく、これらのサーバーの運用と保守にも多くのコストや労力がかかります。
「仮想化 - より良い選択肢 -」
仮想化は、基盤となるハードウェアとオペレーティングシステムを分離することができます。WindowsやLinuxといった複数のオペレーティングシステムであっても、同一の物理マシン上で動作します。これらのオペレーティングシステムはゲストOSと呼ばれます。仮想化環境ではコストと時間の節約が可能です。(Alibaba Cloud「仮想化とは？」から一部抜粋)
(注3) 地方公安局(PSB)の例として北京市公安局のHP参照。
***********************************************************
Copyright © 2006-2019 芦田勝(Masaru Ashida)．All Rights Reserved．You may reproduce materials available at this site for your own personal use and for non-commercial distribution．
※コメント投稿者のブログIDはブログ作成者のみに通知されます