小規模事業者の個人情報保護義務に関する簡素化規定が9月1日から施行、10万人未満の個人情報処理者が対象

中国国家インターネット情報弁公室および公安部は7月22日、「小規模個人情報処理者の個人情報保護簡素化措置規定」を公布した（9月1日施行）。規定では小規模個人情報処理者について、個人情報処理規則や個人情報の域外移転、個人情報保護に関するコンプライアンス監査や影響評価などの簡素化について定められている。

同規定は中小零細企業の発展支援のため、小規模個人情報処理者による個人情報保護義務の履行を簡素化する措置として、「個人情報保護法」や「ネットワークデータセキュリティー管理条例」に基づいて制定された。適用対象となる小規模個人情報処理者とは、10万人未満の個人情報を処理する個人情報処理者を指す（注1）。

規定では、小規模個人情報処理者がオフラインで収集した個人情報については、事業所内の目立つ場所に掲示するなどの方法で個人情報処理規則を公開すればよいとされた。同じくオンラインで収集した個人情報については、利用規約やアプリのポップアップ、ウェブサイトでの公告などによって処理規則を公開すればよいとされた。

また、製品やサービスを提供するために個人情報（センシティブな個人情報を含まない）の処理が必要であり、第三者に提供せず、対外的にも公開しない場合、小規模個人情報処理者は個人情報処理規則の公開によって個人への告知義務を履行したとみなすとした。インターネットプラットフォームのみを通じて個人情報処理を行っている場合、小規模個人情報処理者は個人情報処理規則の策定を行う必要はないとした。

このほか、製品やサービスの取り扱いを停止した小規模個人情報処理者は個人情報を削除する必要があるが、その能力がない場合、所在地の関連主管部門に報告し、支援を求めることができるとされた。

さらに、小規模個人情報処理者は、個人情報保護コンプライアンス監査（注2）について、規定に添付された自己点検表を用いて最低5年に1回実施すればよいとしたほか、個人情報保護影響評価についても、同じく規定に添付された簡易化された影響評価表を用いて実施すればよいとした。

なお、小規模個人情報処理者による個人情報の域外移転に関しては、2024年3月に施行された「データ域外流通を促進・規範化する規定」（2024年4月9日記事参照）をほぼ踏襲する形で、一定の条件を満たす場合にはデータ域外移転安全評価の申告や個人情報域外移転標準契約の締結、個人情報保護認証の取得を不要としている。

（注1）国家インターネット情報弁公室によると、10万人未満とは、個人情報処理者が現時点で処理している自然人に関する個人情報の数量を累計したものであり、既に削除された個人情報は含まれない。

（注2）個人情報保護コンプライアンス監査とは、個人情報を取り扱う事業者の関連法規の順守状況を審査・評価するための監督・管理の活動。詳細は「個人情報保護コンプライアンス監査管理弁法」と「個人情報保護コンプライアンス監査ガイドライン」に基づく（2025年2月19日記事参照）。

（小宮昇平）