中国の従業員データを海外本社へ提供する場合：人事管理に関する免除措置

1. 本社が実際に閲覧できる情報を把握する

中国の雇用主体、海外の受領者とサービス提供者、アクセスする場所と利用者、目的、データ項目および保存期間を一覧化してください。エクスポートした表計算ファイルだけでなく、添付ファイルやリモートアクセスも対象に含めます。国家インターネット情報弁公室（CAC）の2025年10月のQ&Aは、中国国内に保存されたデータへの海外からのアクセスがデータの国外提供に当たり得ると説明しています。外国の組織の職員が中国国内にいる間にアクセスし、データを国外へ転送しない場合は、その組織が外国のものであるという理由だけで国外提供として扱われるわけではありません。

要求された各項目について、実際の人事上の判断事項と、その受領者に個人を識別できる情報を提供しなければならない理由を記録してください。例えば、本社に必要なのは個人ごとの銀行口座番号なのか、給与の合計額だけなのかを検討します。これは必要性の問題であり、いずれかの方法が常に適法であると前提にするものではありません。任意のグループ分析や採用資料は、従業員管理と区別してください。1つのシステムの中に、法的根拠の異なるデータの流れが存在することがあります。

2. グループ全体に適用されると決めつけず、人事管理の免除根拠を記録する

「データの越境流動の促進および規範化に関する規定」第5条第1項第2号は、適法に制定された労働規程および適法に締結された集団契約に基づく越境人事管理のため、従業員の個人情報を国外に提供することが真に必要な場合を対象としています。条件を満たす移転については、データ国外提供の安全評価の申告、所定の個人情報国外提供標準契約の締結、および個人情報保護認証の取得が免除されます。第5条は重要データを対象から除外しています。条件を満たすことを立証できない場合は、アクセスを開始する前に、適用される国外提供の手続を別途検討してください。

実際に適用される中国の労働規程、集団契約の資料、およびそれらを適法に制定・締結し、実施している証拠を保存してください。本社のひな形や、プラットフォームが便利であるという説明だけでは不十分です。2025年10月のQ&Aは、従業員の身分証、旅券および銀行口座について、具体的な事情に即した必要性と最小化の検討を求めています。この免除措置は、これらの書類を一律にアップロードしてよいという許可ではありません。プロジェクトにおける必要性を説明できない項目は、削除するか海外からのアクセスを制限してください。

3. 同意の要否と国外提供の仕組みを分けて判断する

「中華人民共和国個人情報保護法」（PIPL）第13条は、所定の適法な規程および集団契約に基づく人事管理に必要な場合を含め、個人情報を処理するための法的根拠を定めています。国家インターネット情報弁公室の2026年7月のQ&Aは、国外提供が第13条第1項第2号から第7号に該当する場合、本人の同意は不要である一方、国外提供についての告知はなお必要であると確認しています。具体的な活動が、なぜ同意を要しない法定の根拠を満たすのかを記録してください。国外提供の仕組みに関する免除要件を満たすというだけでは、この検討を行ったことにはなりません。

第39条に基づく告知には、海外の受領者とその連絡先、処理の目的と方法、情報の種類、および当該受領者に対して権利を行使する方法と手続を含める必要があります。保存期間を含む第17条の一般的な告知要件にも対応してください。個別の同意が必要な場合は、一括した承認ではなく、具体的な内容について十分な説明を受けたうえでの意思表示を得ます。センシティブ個人情報については、第28–30条に基づき、特定の目的、十分な必要性、厳格な保護措置、および必要性と個人の権利利益への影響に関する追加説明を検討してください。

4. 採用資料のアップロードを個別の事実に即して検討する

2026年7月のQ&Aは、具体的な線引きを示しています。海外本社または関連会社が中国での採用判断に参加しない場合、応募者の履歴書を国外に提供する必要性はありません。採用判断に直接参加する場合は、対象となる応募者とデータ項目を、その判断に必要な最小限の範囲に限定し、適用される国外提供の要件に従ってください。すべての応募者を、人事管理に関する免除措置の対象となる従業員として自動的に扱ってはいけません。

グローバルな採用モジュールを有効にする前に、実際の決定者、海外での審査が必要な候補者、およびアクセスを終了する時点を確認してください。将来のグループ内の求人に向けて広範な人材プールを構築することは、中国の特定の募集職位について採用を決めることとは目的が異なります。その目的と法的根拠を別途検討し、確認せずに現在の採用に関する理由を流用してはいけません。この区別は、法律メモだけでなく、システムの権限設定と告知内容にも反映させてください。

5. 影響評価と運用開始に向けた資料を完成させる

個人情報保護法第55–56条は、国外への個人情報提供に先立ち、個人情報保護影響評価を実施し、処理の状況を記録することを求めています。適法性、必要性、個人への影響、リスクおよび保護措置を検討してください。評価報告書と処理記録は、少なくとも3年間保存します。これは、基礎となるすべての人事書類を3年間保存するよう求めるものではありません。第19条は、法律または行政法規に別段の定めがある場合を除き、原則として目的の達成に必要な最短の保存期間を求めています。

データの流れを示す図、項目ごとの必要性分析、規程と集団契約の資料、免除または別の手続に関する評価、告知および必要な同意の証拠、影響評価、受領者に関する取決めならびにアクセス制御を整えてください。第38条は、海外の受領者が個人情報保護法の保護基準を満たすことを確保する措置を求めています。処理を委託するサービス提供者については、第21条の契約および監督の取決めも必要です。削除、権利行使の請求およびインシデント対応の責任を明確にします。受領者、データ項目または新たな用途を追加する前に、分析を再確認してください。

初回の法的検討では、中国の主体、人事管理の目的、受領者の所在地、おおよその従業員規模、および予定するデータの種類について、機密情報を含まない概要を送ってください。最初のお問い合わせに、従業員の身分証、銀行情報または履歴書を添付しないでください。詳細資料については、安全な確認手順を取り決める必要があります。