個人情報保護法が成立、11月1日から施行

中国の全国人民代表大会（全人代）常務委員会は8月20日、個人情報保護法を可決した。2021年11月1日から施行される。

同法は、中国において、個人情報の取り扱いに特化した初めての法律となる。また、サイバーセキュリティ法とデータセキュリティ法とともに、データ保護に関する基本法として位置付けられる（2021年6月18日記事参照）。

個人情報保護法では、個人情報取扱者に対する義務および個人の個人情報取り扱い活動における権利のほか、顔認証や、インターネット上のプラットフォーマーによるアルゴリズムなどを利用した差別的価格設定に関する個人情報の取り扱いについての規定を設けた（注）。

同法において「個人情報」とは、電子的またはその他の方法で記録された、識別された、または識別可能な自然人に関する各種の情報で、匿名化処理後の情報を除くと規定された。また、「個人情報の取り扱い」には、個人情報の収集、保管、使用、加工、伝達、提供、公開、削除などが含まれるとした。

個人情報取扱者が個人情報の取り扱いをできる条件として、本人の同意を得た場合に加え、本人が当事者となっている契約の締結や履行、あるいは法で定められた労働規則や法により締結された労働協約に基づく人事管理の実施のために必要な場合などが定められた。

差別的価格設定については、個人情報取扱者が個人情報を自動意思決定〔コンピュータプログラムにより個人の行動・習慣、趣味・嗜好（しこう）または経済、健康、信用状况などを自動的に分析し、評価し、かつ、決定する活動〕のために利用する場合、意思決定の透明性と結果の公正性・公平性を確保し、取引価格その他の取引条件について個人に不合理な差別的な取り扱いをしてはならないと定められた。

生体情報、宗教・信条、特定の身分、医療・健康、金融口座、移動履歴などの情報および14歳未満の未成年者の個人情報を含む「機微な個人情報」の取り扱いについては、特定の目的と十分な必要性があり、かつ厳格な保護措置が取られている場合に限り、取り扱うことができると限定された上、本人の個別の同意が必要となった。

なお、同法に違反した場合は、当局が5,000万元（約8億5,000万円、1元＝約17円）以下または前年度の売上高の5％以下の過料を科すことができ、かつ関連業務の一時停止または営業停止を命じることなどができると規定された。

（注）個人情報取扱者とは、個人情報取り扱い活動において、取り扱い目的や取り扱い方法を自ら決定する組織または個人を指す。

（藤原智生）