中国拠点向けMLPSとPIPL ITコンプライアンスチェックリスト

要点: 貴社が中国大陸で事業を展開している場合、通常はIT環境に対して2つの異なる制度が同時に適用されます。MLPS（等級保護制度、通称「等保」）はネットワークおよび情報システム自体をどのように保護すべきかを規定し、個人情報保護法（PIPL）は個人情報の収集・利用・移転——特に中国国外への移転——をどのように行うべきかを規定します。外資系企業のオフィスが最もつまずきやすいのは、規則を知らないことよりも、「クラウドベンダーが認証を取得しているから大丈夫」と考えてしまうこと、そして「越境移転」の定義がどれほど広いかを過小評価してしまうことです。本チェックリストでは、MLPS 2.0とPIPLが実務上何を求めているか、外資系企業でよく見られるギャップ、そして監査やクライアントのデューデリジェンス、インシデントが発生する前にコンプライアンス態勢を整える方法を解説します。

中国大陸でITインフラを運用する外資系企業は、遅かれ早かれMLPSとPIPLという2つの略語に行き当たります。これらは中国のサイバーセキュリティおよびデータ保護体系の異なる部分に由来し、異なる仕組みによって執行されており——重要な点として——互いに代替できるものではありません。等級保護制度（通称「等保」、MLPS）は、ネットワークおよび情報システムそのものの安全性に関するものです——どのように等級を区分し、保護し、定期的に評価を受けるか。一方PIPLは個人情報に関するものです——どのような法的根拠に基づき何を収集・利用できるか、そしてどのような条件下で中国大陸境外へ移転できるかを規定します。ある外資系企業が一方については比較的うまく対応していても、もう一方については実質的なリスクを抱えているということは十分にあり得ます。本ガイドは、外資系企業のコンプライアンス担当者、IT責任者、運用マネージャーに向けて、両制度が実務上何を求め、どこで重なり合い、現実的なコンプライアンス準備チェックリストがどのようなものかを示す実践的な——法律用語を並べただけではない——地図を提供するものです。資格を有する中国大陸の弁護士に代わるものではありませんが、その弁護士と交わすべき対話の出発点となるはずです。

MLPS 2.0とは：中国のネットワークセキュリティ等級保護制度が実際に求めるもの

中国のサイバーセキュリティ枠組みは、「MLPS」——網絡安全等級保護制度、2019年の改定後は一般に「等保2.0」と呼ばれる——を、中国大陸国内でネットワークおよび情報システムを保護するための基礎的な要件として位置づけています。この制度は「ネットワーク運営者」を広く対象としており、実務上は通信事業者や政府系システムをはるかに超えて、一般企業のIT環境にも及びます。貴社のERPシステム、社内ファイルサーバー、顧客向けウェブサイト、生産ネットワークはいずれも、その機能や、セキュリティ上の問題が発生した場合の潜在的な影響度に応じて、適用対象となり得ます。

MLPS 2.0は、システムを影響度の小さい第1級（主に自己管理）から、国家安全保障に関わる最も厳格な監督下に置かれる第5級まで、5段階の等級に区分します。一般的な外資系企業のシステムの多くは、そのシステムが重要な業務に関わるか、機微なデータを扱うか、侵害された場合に企業や第三者にどの程度の損害を及ぼすかといった要因に応じて、第2級または第3級に該当することが多くなります。等級区分そのものは、字面から想像されるような自己申告だけで完結するものではなく、正式な等級評価（定級）の手続きを経る必要があり、システムが第2級以上に達した場合、その結果は一般に所轄の公安機関への届出（備案）が期待されます。

第3級以上のシステムについては、要求事項がさらに一段階進みます:資格を有する評価機関による第三者セキュリティ評価（等保測評）を受け、システムやそのリスクプロファイルの変化に応じて定期的に再評価を受けることが一般に期待されます。この評価では、技術的な統制（ネットワーク分離、アクセス制御、侵入検知、ログ保持）と、管理面の統制（規程類、インシデント対応手順、従業員研修）が併せて審査されます——MLPSコンプライアンスは単なる技術的なチェックボックスではなく、それを裏付ける文書化されたプロセスも期待されているのです。

外資系のお客様との間では、いくつかの誤解が繰り返し見られます。第一の誤解は、MLPSが国有企業や重要インフラ運営者にのみ適用されると考えることです——実際には、一定規模のIT環境を運営する民間の外資系WFOEも、この制度上の「ネットワーク運営者」に該当することが非常に多く、等級区分・届出・評価の義務は、資本構成によって左右されるものではありません。第二の誤解は、中国の大手クラウドプラットフォームにホスティングすれば、自動的にMLPSを満たすと考えることです——クラウドプラットフォーム自体はそのインフラ層について独自のMLPS認証を保有できますが、これは一般にプラットフォーム層のみをカバーするものであり、貴社がその上で稼働させるアプリケーション、設定、データは、等級区分の観点からは通常貴社自身のシステムとして扱われ、その等級区分・届出・必要に応じた評価は、引き続き貴社の責任です。第三の誤解は、MLPSを一度きりのプロジェクトとして扱うことです——完了した届出や合格した評価は、その時点でのシステムの状態を反映しているにすぎません。システムに実質的な変更があった場合や更新サイクルが到来した場合は、一般に再評価が求められます。

MLPSを正しく進める出発点は、正直なシステム棚卸しです:どのようなシステムが存在し、それぞれ何を行い、問題が発生した場合に誰が影響を受けるか、そしてそれがどの等級を示唆するか。そこから、マネージドITセキュリティサービスやインフラパートナーは、評価が確認する技術的統制の設計・運用を支援できますが、等級区分と届出そのものは、中国国内の運営主体自身が行う（そして正式にはその責任を負う）判断です。

PIPLと越境データ移転：個人情報が中国を離れる際に何が変わるか

MLPSがシステムそのものの保護に関するものであるのに対し、2021年11月に施行された個人情報保護法（PIPL）は、そうしたシステムが保持・処理する個人情報——氏名、連絡先、人事記録、顧客データ、端末識別子など——の保護に関するものです。PIPLは中国大陸に所在する個人の個人情報の処理に適用され、その適用範囲は明示的に域外適用を伴います:境外の親会社が、中国国内の個人にサービスを提供する、あるいはその行動を分析するといった目的で、中国の主体を介さずに境外でそのデータを処理する場合であっても、適用対象となり得ます。

日常的な業務においては、PIPLは個人情報の収集・利用に有効な法的根拠を要求します——一般的な事業目的では同意が最もよく用いられる根拠ですが、PIPLが求める水準は単純な「すべて同意する」ボタンのポップアップよりも高いものです:同意は十分な説明を受けた上で自由意思により与えられる必要があり、特に機微な処理活動——個人情報のほとんどの越境移転を含む——については、個別かつ具体的な同意が一般に期待されます。機微個人情報——生体データ、健康記録、金融口座情報、精密な位置情報などのカテゴリー——については、処理を行う前に、必要性評価および影響評価に関する追加的な義務が課されます。

越境移転は、PIPLが外資系企業に最も摩擦を生む部分です。なぜなら「移転」の定義が、多くの企業が当初想定するよりもはるかに広いためです。それは正式にデータベースを海外に輸出することだけを指すのではありません——境外の親会社や共有サービスチームが、中国国内に所在する個人情報を保持するシステムに遠隔アクセスすること、境外にホスティングされたSaaSツール（人事システム、CRMプラットフォーム、チケッティングシステム）が中国で収集された個人情報を中国大陸境外のサーバーに保存・処理すること、あるいはそのデータを閲覧できる境外チームを通じてITサポートや監視業務を行うことも含まれ得ます。PIPLは、適法な越境移転を行うためのいくつかの認められた仕組みを規定しています——データ量や機微性が高い移転についての国家インターネット情報弁公室（CAC）主導のセキュリティ評価、多くの通常の事業上の移転についての標準契約（CACが公表するひな形を用い、省レベルのCACに届出を行うもの）、あるいは認定機関による認証です。どの仕組みが適用されるかを決める具体的な閾値は、データ量、データの機微性、移転主体の性質といった要因によって異なります。これらの閾値および関連規則は、PIPL施行後、より小規模・低リスクな移転についてのコンプライアンス負担を軽減する措置を含め、すでに複数回にわたり調整されています。したがって、具体的な数値の閾値については、固定的なものとして扱うのではなく、常に最新の公式ガイダンスに照らして確認し直すべきです。

いずれかの越境移転メカニズムに依拠する前に、PIPLは一般に個人情報保護影響評価（PIPIA）——どのデータが、なぜ移転されるのか、受領側にどのような保護措置が講じられているか、個人に対するリスクはどの程度かを網羅した文書化されたリスク評価——の実施と、定められた期間の書面記録の保持を期待しています。外資系企業にとって現実的な出発点は、実際にどのシステム、ツール、サポート体制が中国大陸境外へ個人情報を移動させているのかを正確にマッピングすることです。多くの場合、そのマップは想定していたよりも大きく、また意図的に設計されたものではないことが分かります。

外資系企業が特につまずきやすい点

中国におけるITオペレーションを支援してきた経験から言うと、最も大きなリスクを生む抜け漏れは、単純な規則の無視であることはほとんどなく、多くの場合は思い込み、引き継ぎ、あるいは規模に起因して生じています。

• ベンダーの認証を自社のコンプライアンスと同一視してしまう。 クラウドベンダーのMLPS認証、SaaSベンダーのISO 27001認証やSOC 2レポートは、そのベンダー自身のセキュリティ水準を示す有用な情報ではありますが、貴社固有のシステムやデータフローについて等級区分・届出・評価を代行してくれるものではありません——その判断は、プラットフォームを利用する運営主体自身が行うべきものです。
• 社内システムを正式に等級区分したことがない。 多くの外資系企業のオフィスは、何年にもわたって機能するIT環境を運用しながら、一度も正式なMLPS等級評価を完了していません。多くの場合、「当社のERPシステムは何級に該当するのか」という問いをそもそも誰も担当していなかったためです。等級評価が完了していなければ、届出や評価の義務があるかどうかを判断する根拠自体がありません。
• グローバルのHRツールやCRMツールをデフォルトでコンプライアンス対応済みとみなしてしまう。 多国籍企業の標準的なHRプラットフォーム、CRM、チケッティングシステムが中国大陸境外にホスティングされている場合、中国オフィスがそれを利用するたびに、従業員および顧客の個人情報の継続的な越境移転が生じている可能性があります——このツールがグローバルITチームによって選定され、中国のローカルチームではないこと、そしてそれがPIPLの越境規則に抵触するかどうか誰も確認していないことから、見過ごされがちです。
• ITサポートや監視自体が移転経路であることを見落とす。 中国由来の個人データを含むシステムに遠隔アクセスする境外のヘルプデスクやNOCチームは、実質的に越境データフローの一部を構成します——これが単なる「サポート」として位置づけられ、「データ移転」として認識されていない場合、この点は見落とされがちです。
• 移転が行われているにもかかわらず、PIPIAの文書が存在しない。 標準契約メカニズムに静かに依拠している、あるいはより緩やかな適用除外に該当すると想定している場合でも、規制当局、監査人、あるいはクライアントのデューデリジェンス質問票が書面の影響評価を求めた際にそれが存在しないこと自体が、ギャップとなります。
• 人員規模が小さければ義務がないと想定してしまう。 MLPSの等級区分にせよ、PIPLの越境閾値にせよ、オフィスの規模そのものが決定要因ではありません——わずか10名程度の駐在員事務所であっても、システムとデータフローの組み合わせによっては義務が生じ得る一方、はるかに規模が大きくとも適切に分離された運用であれば、それを回避できる場合もあります。
• 一度もローカライズされていない英語のみのポリシー。 よく書かれたグローバルなデータ保護ポリシーであっても、PRC固有の義務、同意文言、現地の責任者について一度も適応されていなければ、一般に中国の規制当局や取引先が期待するPIPL固有の文書の代わりにはなりません。

これらすべてに共通するのは、誰かが実際に確認するまで見えないままである、という点です——監査、クライアントのベンダーセキュリティ質問票、データ漏洩の調査、あるいはMLPSやPIPLへの準拠を参照する新しい契約条項が現れるまで。この点で先んじている外資系企業は、等級区分・マッピング・文書化を、一度きりの法務対応ではなく、継続的な運用上の責任として扱っています。

MLPS（等保） vs PIPL vs 越境移転規則：それぞれ実際にどこに適用されるか

MLPS、PIPL、そしてPIPLの中に組み込まれた越境移転規則は、しばしば「中国のデータコンプライアンス」という一つの話題として語られがちですが、それぞれが答える問いも、引き金となる事実も、執行の仕組みも異なります。

MLPS（等保） vs PIPL vs 越境移転規則

• MLPS（等保）——個人情報が関わるかどうかにかかわらず、ネットワークおよび情報システムそのものの安全性を規律する。中国大陸内で対象となるシステムを運用していることによって発動する。コンプライアンスは、等級区分、第2級以上のシステムについての所轄公安機関への届出、第3級以上のシステムについての第三者評価というプロセスを経る。執行は一般に公安当局が担う。
• PIPL——その情報が中国を離れるかどうかにかかわらず、個人情報の処理一般を規律する。中国大陸内の個人の個人情報を収集・利用・保存その他の方法で処理することによって発動する。コンプライアンスは、有効な法的根拠（通常は同意）、透明性義務、データ主体の権利の保障、機微個人情報に対する強化された要件というプロセスを経る。執行は一般に国家インターネット情報弁公室（CAC）その他の所轄部門が担う。
• 越境移転規則（PIPLの一部）——PIPLのうち、中国で収集・生成された個人情報を中国大陸境外の受領者（境外チームによる遠隔アクセスを含む）へ移転することを規律する特定の部分。移転行為そのものによって発動し、データ量と機微性の閾値に照らして評価される。コンプライアンスは、認められた仕組み——CACによるセキュリティ評価、標準契約の届出、または認証——のいずれかと、文書化されたPIPIAというプロセスを経る。

MLPS＋PIPLコンプライアンス準備チェックリスト：次の監査の前に確認すべきこと

• すべてのシステムを棚卸しし、等級区分を行う。 中国オフィスまたは中国主体が運用するすべてのネットワークおよび情報システムを一覧化し、想定に頼らず、各システムについて正式なMLPS等級評価を完了させる。
• 等級区分の結果に応じて届出・評価を行う。 第2級以上に区分されたシステムについては、所轄公安機関への届出が実際に完了しているかを確認する。第3級以上のシステムについては、資格を有する第三者による評価が完了し、有効期限内であるかを確認する。
• 個人情報が物理的または論理的に中国を離れるすべての経路をマッピングする。 境外にホスティングされたSaaSツール、境外のサポート・監視体制、グループ全体への報告、中国国外スタッフによる遠隔アクセスなどを含め、正式なデータエクスポートだけに限らない。
• 各移転がどの越境メカニズムに依拠しているかを確認する。 マッピングした各移転を、セキュリティ評価、標準契約、認証のいずれかに対応付け、現行のデータ量・機微性の閾値に照らして、当初想定していた区分のままかどうかを確認する。
• 重要な移転および高リスクの処理活動ごとにPIPIAを文書化する。 記録を保管し、移転の範囲・データ量・受領者に変化があった際には更新する。
• 同意文言とプライバシー通知をローカライズする。 中国国内のデータ主体に対し、PIPLに準拠した通知が行われ、必要な場合には個別の同意を取得しているかを確認する——グローバルなプライバシーポリシーの翻訳版だけで済ませない。
• 中国主体内に責任者を指定する。 PIPLは一部の組織に対し、個人情報保護に関する事項を担当する責任者の指定を期待しています。正式な指定義務の閾値が明確でない場合でも、社内の責任者を明確にしておくことで、このリストの他の項目が実際に実行可能になります。
• ベンダーおよびMSP契約をMLPS・PIPL関連条項の観点から見直す。 ITベンダーとの契約が、稼働率や対応時間だけでなく、データ取り扱い基準、再委託先の開示、等級区分・評価作業への支援に対応しているかを確認する。
• 全体像を定期的に見直す。 等級区分の状況、届出状況、越境マッピングを、動的に維持すべき情報として扱い、契約更新時、システムやベンダーの変更時、そして少なくとも年に一度は見直す。
• コンプライアンス対応可能なITサポートの現行料金と対象範囲を書面で入手する。 MLPS評価支援や越境データ取り扱いについて言及がないかもしれない、より安価な代替案と比較する——基準として現行の公開料金を参照する。

誰が担うべきか：社内IT、MSP、それとも両方か

MLPSとPIPLへのコンプライアンス準備は、純粋な法律問題でもなければ、純粋な技術問題でもありません——だからこそ、部門間の隙間に落ちやすいのです。実務的なモデルは、責任を3つの軸に分けることです。

法務・コンプライアンス上の責任は、中国主体自体が負います。正式にMLPSの届出を行い、所轄公安機関との関係を維持し、個人情報の処理理由と方法を決定する主体としてPIPL上の最終的な責任を負うことができるのは、運営主体だけです。どれほど能力の高いITベンダーであっても、責任者の指定、プライバシー通知の承認、ある移転がそもそも必要かどうかの判断といった、本質的に法務・組織上の問題については、主体に代わることはできません。

技術的な実行こそ、能力のあるMSPが真に価値を発揮する領域です。システムを正しく等級区分するには、ネットワークアーキテクチャ、データフロー、アクセスモデルを実際に理解している人材が必要です——これは、他の業務を掛け持ちする社内のジェネラリスト管理者よりも、日々のインフラ運用を担うチームの方が、多くの場合よく把握しています。評価が実際に確認するアクセス制御、暗号化、ログ記録、監視の実装、そして等級区分と越境マッピングを、数か月がかりの調査作業ではなく実行可能なものにするITインフラ導入やマネージドIT・クラウドサービスの基盤づくりについても同様です。

そして、大半の外資系オフィスが最も投資不足に陥っているのが調整の役割です。法務顧問は義務についての助言はできます。ITは統制の実装はできます——しかし、両者の間に立ち、「この移転にはPIPIAが必要だ」という指摘を実際のシステム一覧に落とし込み、「このシステムにはネットワーク分離が必要だ」という要件を、法務や事業部門が目的を理解できる形の変更に落とし込む人材が必要です。小規模なオフィスでは、この調整役はしばしば両者に最も近い人物——多くの場合ITリーダーや運用マネージャー——が担い、MLPSやPIPLを名前で理解している、汎用的なグローバルサポートデスクとは異なるMSPがそれを支援します。

私たちが最もよく目にする誤りは、ある部門が別の部門はすでに対応済みだろうと想定してしまうことです:法務はITがすでにすべてのシステムを等級区分済みだと考え、ITは法務がすでに適用すべき越境メカニズムを確認済みだと考え、そして双方が、本社のグローバルコンプライアンスチームが中国主体について既に対応済みだろうと考えてしまいます。これは一般に成り立ちません。なぜならMLPSとPIPLの義務は、親会社のグローバルコンプライアンスプログラムにではなく、中国主体とその具体的なシステムに紐づくものだからです。もし貴社の組織内で現在誰がこれを担当しているのか判然としない場合、その不透明さ自体が最初に解決すべき課題です——まずは現在の環境について率直に話し合うところから始めてみませんか。本チェックリストに照らして貴社のシステムとデータフローを整理したい場合は、お問い合わせください。

よくある質問

MLPSは小規模な駐在員事務所にも適用されますか

オフィスの規模そのものが決定要因ではありません。MLPSが適用されるかどうかは、ネットワーク運営者が実際に運用しているシステムと、それが侵害された場合の潜在的な影響度に基づくものであり、従業員数ではありません——顧客向けインフラを運用している、あるいは機微なデータを扱っている小規模オフィスであっても、届出や評価の義務を伴う等級に該当することがあり得ますし、規模がはるかに大きくても、影響度の低い社内ツールしか運用していないオフィスは、より低い等級にとどまることもあります。確実に判断する唯一の方法は、規模で結論を仮定するのではなく、実際に運用しているシステムについて正式な等級評価を完了させることです。

PIPLにおいて、個人情報の「越境移転」とは具体的に何を指しますか

多くの企業が当初想定するよりも広い範囲を指します。明らかなデータのエクスポートに加えて、一般的には、境外の親会社や共有サービスチームが中国で収集された個人情報を保持するシステムに遠隔アクセスすること、境外にホスティングされたSaaSツールを通じてそのデータを保存・処理すること、そのデータを閲覧できる境外チームを通じてITサポート・監視・チケッティング業務を行うことが含まれます。中国で収集・生成された個人情報が中国大陸境外の人物やシステムからアクセス可能になった場合、それは「ファイルを輸出していないから大丈夫」と考えるのではなく、PIPLの越境メカニズムに照らして評価すべき移転として扱うべきです。

MLPSに準拠しない場合、どうなりますか

警告や期限付きの是正命令から、罰金、さらに深刻または繰り返しの事案では関連システムや事業活動の停止といった、より厳しい措置まで、結果は様々です——具体的な結果は、該当する等級区分、不備の性質、実際の執行の運用状況によって異なります。適用される罰則の枠組みおよびその運用方法は変化しうるため、目にした具体的な数字は、古い情報源のものをそのまま信頼するのではなく、最新のガイダンスに照らして確認し、重要な事項については中国大陸の弁護士に確認するようにしてください。

当社のMSPが代わりにMLPSの届出を行うことはできますか

MSPは、システムの等級区分の支援、評価で確認される技術的・管理的統制の実装、文書の準備など、相当量の支援業務を担うことができます——しかし、正式な届出は一般に運営主体自身が所轄公安機関に対して行うものです。なぜなら、登録された「ネットワーク運営者」はベンダーではなく主体自身だからです。能力のあるMSPは、届出と評価に無事に臨めるよう準備を整えてくれるチームであり、主体自身の届出義務の代替とはならないと考えてください。

MLPS評価はどのくらいの頻度で更新する必要がありますか

等級区分と現地の執行実務によって期待は異なりますが、第3級以上のシステムは一般に周期的に評価を受けることが期待され、それより低い等級のシステムはより低い頻度で見直されます。定められた周期にかかわらず、システムの実質的な変更——新しいアーキテクチャ、重要な新しいデータフロー、セキュリティインシデントなど——は、更新サイクルのどの段階にあっても、一般に再評価のきっかけとなります。貴社のシステムの等級区分に応じた具体的な想定周期については、評価機関または弁護士に確認してください。地域によって実務が異なる場合があります。

アリババクラウドやテンセントクラウドでホスティングしていれば、それだけでMLPSを満たしますか

いいえ、それだけでは満たしません。中国の大手クラウドプラットフォームは、そのインフラ層について独自のMLPS認証を保有していることがあり、それ自体は確かに有用な基盤です——しかし、そのインフラの上で稼働させるアプリケーション、設定、アクセス制御、データは、等級区分の観点からは一般に貴社自身のシステムとして扱われ、その等級区分、必要に応じた届出、独立した評価は引き続き貴社の責任です。認証済みプラットフォームでのホスティングは根本的なリスクの一部を軽減しますが、貴社自身の等級区分と届出の代わりにはなりません。

MLPSとPIPLのコンプライアンスを、文書化するだけでなく正しく実行する

これらすべての目的は、完璧で静的なコンプライアンス状態を達成することではありません——MLPSの等級区分、PIPLの越境メカニズム、そしてそれらに付随する閾値は、両制度が施行されて以来すでに複数回変更されており、今後も変更される可能性が高いものです。時間が経っても揺るがないのは、一つの習慣です:自社がどのようなシステムを運用しているかを把握し、個人情報が実際にどこへ向かっているかを把握し、書類を最新の状態に保ち、慌てることなくこの両方の問いに答えられる責任者を指定しておくこと。新しい中国オフィスのためにITを構築している場合でも、正式なMLPS等級評価を一度も行わずに何年も運用してきた環境を見直している場合でも、上記のチェックリストを一度きりのコンプライアンス対応としてではなく、システムごとに順を追って確認することをお勧めします。この規律を、それを支える体制——マネージドITセキュリティサービス、適切に導入されたITインフラ、そして「中国コンプライアンス」を漠然と語るのではなく、MLPSとPIPLを名前で理解しているサポートパートナー——と組み合わせれば、文書だけが示す以上に堅固な立場に立つことができます。現在のシステムとデータフローを本チェックリストに照らして整理したい場合は、お問い合わせください。貴社固有の環境に沿って整理いたします。

本ガイドは一般的かつ実務的なコンプライアンス情報を提供するものであり、法的助言ではありません。MLPSおよびPIPL上の義務——等級区分の閾値、越境移転メカニズム、適用される罰則を含む——は、貴社固有のシステム、データフロー、リスクプロファイルによって異なり、また変更される可能性があります。本稿の内容に基づいて行動する前に、重要な事項については資格を有する中国大陸の弁護士にご確認ください。