個人情報保護コンプライアンス監査がまもなく実施に移行します：企業必携の「操作マニュアル」

著者：馬雲鶴

記事の序文

記事への序文

2021年に『個人情報保護法』で個人情報処理者に対するコンプライアンス監査の要件が明確に定められて以降、個人情報保護コンプライアンス監査は大きな注目を集めています。2024年9月30日には『ネットワークデータ安全管理条例』が公布され、個人情報保護コンプライアンス監査が再び話題となっていますが、いったいいつ施行されるのか——皆が切望するも、その姿は依然として「琵琶を半分だけ隠したように」見え隠れするばかりです。2025年2月14日、国家インターネット情報弁公室は正式に『個人情報保護コンプライアンス監査管理弁法』を公布し、2025年5月1日から施行されることになりました。このことにより、「個保監査」の法定要件に該当する個人情報処理者はすべて個人情報保護コンプライアンス監査を実施することが義務付けられました。

一、個人情報保護コンプライアンス監査とは何か

『個人情報保護コンプライアンス監査管理弁法』第2条によると、個人情報保護コンプライアンス監査とは、個人情報取扱者が中華人民共和国の領域内で行う個人情報処理活動が法律および行政法規を遵守しているかについて、審査・評価を行う監督活動を指します。

個人情報保護コンプライアンス監査とは、独立かつ客観的な監督・評価・鑑定活動のことで、監査対象となる組織の個人情報取扱い活動や内部統制などを審査・評価し、その内容が真実性・合法性・有効性を備えているかを確認するとともに、関係する利害関係者に対して意見や提言を提供することを目的としています。監査の目的は、専門的な調査・分析を通じて潜在的な問題を発見し、リスクを未然に防止し、個人情報取扱い活動の適正な実施を促進することにあります。

個人情報コンプライアンス監査担当者は、監査過程において、監査対象となる個人情報の取扱いが基準に適合しているかどうかを判断します。監査の根拠としては、通常、個人情報保護分野に関連する法律、規制、業界規範基準などが挙げられます。

監督の観点から見ると、個人情報保護コンプライアンス監査は、監督機関が個人情報の取り扱い活動を規範化するための監督措置です。個人情報処理者にとってみると、個人情報保護コンプライアンス監査は、個人情報保護リスク評価と同様に、内部の個人情報取り扱いにおけるコンプライアンス水準を向上させるための内部ガバナンスメカニズムです。情報主体の立場からは、個人情報保護監査は、個人情報に関する権利を効果的に保護する保障となります。

二、どの個人情報処理者が監査の対象に含まれるか

『中華人民共和国個人情報保護法』第3条：「中華人民共和国の領域内で自然人の個人情報を処理する活動については、本法を適用する。中華人民共和国の領域外で、中華人民共和国の領域内の自然人の個人情報を処理する活動についても、次のいずれかに該当する場合には、本法を適用する。（1）域内の自然人に対して製品またはサービスを提供することを目的とする場合；（2）域内の自然人の行動を分析・評価する場合；（3）法律および行政法規により定められたその他の場合。」

したがって、中華人民共和国の領域内に存在するすべての「個人情報処理者」は、個人情報保護に関するコンプライアンス監査義務を負います。これには、特定の条件を満たす国外の処理者も含まれます。その特定の条件とは、以下のとおりです：（1）国内の自然人に対して製品またはサービスを提供することを目的としていること、（2）国内の自然人の行動を分析・評価していること、（3）法律および行政法規で定められたその他の場合。

すべての「個人情報取扱者」には、個人情報保護に関するコンプライアンス監査義務が課されていますが、個人情報を処理する重要性、機密性、リスク、情報量などの要因を考慮し、強制的な監査を実施するかどうかや監査の頻度などについて異なる要件が定められています。特に、国家機関および法律・法規により公共業務の管理機能を付与された組織についても、個人情報保護に関するコンプライアンス監査を実施する必要がありますが、これらの主体に対する個人情報保護コンプライアンス監査については、本方法は適用されません。

三、どのような場合に個人情報保護コンプライアンス監査を実施する必要がありますか？

個人情報保護コンプライアンス監査には、任意監査と義務監査の2種類があります。そのうち、義務監査に該当するケースは以下のとおりです。

1. 1,000万人を超える個人情報を処理する個人情報取扱者は、少なくとも2年ごとに個人情報保護コンプライアンス監査を実施しなければなりません。

2. 未成年者の個人情報を処理する場合、『未成年者ネット保護条例』に基づき、個人情報取扱者は自らまたは専門機関に委託して、毎年、未成年者の個人情報を処理する際に法律・行政法規を遵守しているかについてコンプライアンス監査を実施し、その監査結果を速やかにネットセキュリティ等の部門へ報告しなければなりません。

3. 国家サイバーセキュリティ監督部門およびその他の個人情報保護に関する職責を果たす部門は、個人情報の処理活動において、個人の権利利益に深刻な影響を及ぼすおそれがあることや、安全対策が著しく不十分であるなど大きなリスクが存在することを発見した場合、また、個人情報の処理活動が多数の個人の権利利益を侵害するおそれがある場合、あるいは個人情報のセキュリティ事件が発生し、100万人以上の個人情報または10万人以上の機密性の高い個人情報が漏洩、改ざん、紛失、破損した場合には、個人情報処理者が専門機関に委託して個人情報処理活動についてコンプライアンス監査を実施するよう求めることができる。

国家インターネット情報部門および個人情報保護の職責を果たす他の部門が、個人情報処理者が専門機関に委託して個人情報処理活動に関するコンプライアンス監査を実施するよう求めない限り、個人情報処理者は自らコンプライアンス監査を実施することができます。

四、監査の主な内容

『中華人民共和国個人情報保護法』、『ネットワークデータ安全管理条例』などの法律・行政法規の監査の主な内容は以下のとおりです。

1. 個人情報の処理活動の合法性の根拠；

2. 個人情報の取扱いルールについてコンプライアンス監査を実施する；

3. 個人情報取扱者に対する個人情報取扱規則の告知義務の遵守状況についてコンプライアンス監査を実施すること。

4. 個人情報取扱者と他の個人情報取扱者が共同で個人情報を処理することについて、コンプライアンス監査を実施する。

5. 個人情報取扱者による個人情報の委託処理についてコンプライアンス監査を実施すること；

6. 個人情報取扱者が自らが処理した個人情報を他の個人情報取扱者に提供することについて、コンプライアンス監査を実施すること。

7. 個人情報取扱者による自動化された意思決定を用いた個人情報の処理について、コンプライアンス監査を実施すること。

8. 個人情報の処理者が個人の同意に基づいて個人情報を公開したことについて、コンプライアンス監査を実施すること。

9. 個人情報取扱者は、公共の場所に画像収集・個人識別装置を設置する際のコンプライアンス監査を実施すること。

10. 個人情報取扱者による既に公開された個人情報の処理について、コンプライアンス監査を実施すること；

11. 個人情報取扱者による機密性の高い個人情報の処理についてコンプライアンス監査を実施すること；

12. 14歳未満の未成年人の個人情報を処理する個人情報取扱者に対するコンプライアンス監査を行うこと。

13. 個人情報取扱者が国外へ個人情報を提供することについて、コンプライアンス監査を実施すること；

14. 個人情報の削除権の保障状況に関するコンプライアンス監査を実施する；

15. 個人情報取扱者による個人情報処理活動における個人の権利保障状況について、コンプライアンス監査を実施すること。

16. 個人情報取扱者について、法律および行政法規の規定に従って内部管理制度および操作手順を定め、組織構造や職務責任を明確にし、業務プロセスを整備し、内部統制制度を充実させ、個人情報の取扱いにおける法令遵守と安全性を確保しているかについて、コンプライアンス監査を実施する。

17. 個人情報取扱者において、取り扱う個人情報の規模および種類に応じた安全技術措置が講じられているか否かを確認し、また、個人情報取扱者が講じた技術措置の有効性について評価すること。

18. 個人情報取扱者の教育訓練計画の策定および実施状況に関するコンプライアンス監査を行うこと。

19. 個人情報取扱者から指定された個人情報保護責任者の職務遂行状況について、コンプライアンス監査を実施すること。

20. 個人情報取扱者に対する個人情報保護影響評価の実施状況についてコンプライアンス監査を実施する。

21. 個人情報取扱者に対して、個人情報セキュリティ事案に関する緊急対応計画を策定し、コンプライアンス監査を実施しなければならない。

22. 重要なインターネットプラットフォームサービスを提供し、ユーザー数が膨大で業務形態が複雑な個人情報取扱者について、そのプラットフォーム規則のコンプライアンス監査を行うこと。

23. 重要なインターネットプラットフォームサービスを提供し、ユーザー数が膨大で業務形態が複雑な個人情報取扱者が出す個人情報保護に関する社会的責任報告書について、コンプライアンス監査を実施する。

5. 専門的な監査機関をどのように選べばよいですか？

監査の品質を確保するため、『個人情報保護コンプライアンス監査管理弁法』は監査機関の資格について明確な要件を定めています。専門機関は、個人情報保護コンプライアンス監査を実施する能力を備え、サービスに適した監査担当者、場所、設備および資金などを有している必要があります。

関連する専門機関が認証を取得することを奨励します。専門機関の認証は、『中華人民共和国認証認可条例』の関連規定に従って実施されます。

専門機関が個人情報保護コンプライアンス監査活動に従事するにあたり、法令を遵守し、誠実かつ正直に、公正かつ客観的にコンプライアンス監査に関する職業的判断を下すものとします。また、個人情報保護コンプライアンス監査の職務遂行中に得た個人情報、営業秘密、機密性の高いビジネス情報等については、法律に従って厳密に秘密を保持し、これを漏洩したり、違法に他者に提供したりしてはなりません。さらに、コンプライアンス監査業務終了後には、速やかに当該情報を削除するものとします。

マーヤンハク

同方法律事務所弁護士、法学博士

遼寧省弁護士協会デジタル法治・デジタル経済専門委員会主任

業務専門分野：公正な競争と独占禁止法、

デジタル経済とデジタル法制度、刑事弁護