中国のデータ越境規制への対応が必要だとわかっていても、実際の申請手続きに踏み出せていない企業は少なくありません。「どのルートで申請すればよいかわからない」「書類の準備が進まない」「担当者が異動して経緯がわからなくなった」——こうした状況のまま時間が経過しているケースが多く見られます。
2026年1月、改正サイバーセキュリティ法が施行され、違反に対する罰則が最大1,000万元（約2億円）に強化されました。「対応が必要だと認識している」だけでは不十分で、手続きが完了していなければコンプライアンス上の問題は解消されません。
3つの申請ルートと選択の考え方
個人情報保護法（PIPL）第38条は、個人情報を国外に移転する際に、以下3つのルートのいずれかを経ることを義務付けています。どのルートが適用されるかは、移転する個人情報の件数・種類・移転先によって決まります。
① CACへの安全評価申請
移転する個人情報の量が一定の閾値を超える場合、または重要データを含む場合に必要となります。申請者は自己評価レポートを作成した上で、地方CACを通じて国家CACに申請します。審査には数ヶ月を要することがあり、準備から完了まで相応の期間を見込む必要があります。
② 標準契約（SCCs）の締結・届け出
安全評価の対象にならない規模の移転では、国が定める様式の契約書を移転先企業と締結し、個人情報保護影響評価レポートとともに地方CACへ届け出ます。2023年6月に施行されたこのルートは、比較的小規模な移転に適しています。
③ 個人情報保護認証の取得
認定機関による第三者認証を取得することで移転が認められるルートです。継続的・大規模な移転が多い企業に適しており、2026年1月から本格的な制度運用が始まりました。
申請を進める上での実務的な課題
適用ルートの判断が難しい
移転する個人情報の件数・種類・移転先の条件を正確に把握した上でルートを判断する必要がありますが、まず自社のデータフローが整理されていないケースが多くあります。棚卸しができていなければ、正しいルートの選択も書類の準備もできません。
書類の作成に専門知識が必要
申請書類の多くは中国語での作成が求められます。また、いずれのルートでも個人情報保護影響評価（PIIA）の実施が義務付けられており、自社のデータ処理実態を踏まえた専門的な記述が求められます。日本本社との情報連携が必要な場面も多く、社内だけで対応を完結させることが難しいケースがほとんどです。
申請後も継続的な管理が必要
手続きの完了が終わりではありません。移転するデータの内容や量が変わった場合には、再申請や届け出の更新が必要になることがあります。また、標準契約の有効期間や認証の更新サイクルを管理し、期限切れが生じないよう継続的に対応する体制が必要です。
NRI北京のご支援
NRI北京は、貴社の移転実態の整理から適切な申請ルートの選定、必要書類の作成・当局への申請・届け出まで一貫してサポートします。日本本社との調整が必要な場面にも対応しており、手続き全体をワンストップで支援します。
中国のデータ越境規制に精通した専門家が対応するため、どのルートが適切かの判断から始められます。「どこから手をつければよいかわからない」という段階からでもご相談ください。