定義
中華人民共和国個人情報保護法（通称 PIPL、2021年11月1日施行）は、中国における個人情報の取扱いを包括的に規律する初の専用法律です。EUのGDPRに類似した枠組みを持ちながら、中国特有のデータ主権思想と国家安全保障の観点が強く反映されています。
DTC・越境EC事業者にとっての核心は次の3点です。
1. 域外適用：中国国内の個人から情報を取得する限り、海外事業者にも適用される（第3条）
2. 越境移転規制：中国国内で収集した個人情報を国外に持ち出す際、原則として政府承認または標準契約が必要（第38条〜第40条）
3. 同意原則：処理のほぼすべての場面で「単独の同意（個別同意）」が求められる
違反時の制裁は最大5,000万元または前年度売上高の5%のいずれか高い方、さらに事業停止・営業許可取消もあり得ます。
類比：PIPLは「越境ECの通関税関」に近い
GDPRを「EU域内の交通ルール」とすれば、PIPLは「中国という国境を越えるデータの税関」です。
- 商品を輸出するには通関手続きが必要 → データを輸出するには安全評価・標準契約・認証のいずれかが必要
- 税関申告書には品目・数量・用途を書く → データ出境申告には情報の種類・量・目的を書く
- 無申告輸出は没収・罰金 → 無承認の越境移転は営業停止・巨額制裁
つまり「中国からデータを出す」という行為自体が、独立したコンプライアンス工程として設計されている点が、他国の法令と決定的に異なります。
公式・数的基準
PIPL運用の実務判断は、以下の閾値で分岐します。
【越境移転の要否判定】 累計出境個人情報量（年間） ├─ 10万人未満 → 標準契約 or 認証 ├─ 10万人以上100万人未満 → 標準契約 or 認証（届出必須） ├─ 100万人以上 → 安全評価（CAC承認）必須 └─ 重要データ → 量に関わらず安全評価必須 【同意取得の原則】 有効な同意 = 単独同意 + 目的明示 + 撤回可能 + 自由意思 （包括同意・みなし同意は無効） 【制裁金】 max( 5,000万元 , 前年度売上高 × 5% )
具体データ例：
- 年間出境量 9万8,000人 → 標準契約で対応可
- 年間出境量 120万人 → 国家網信辦（CAC）の安全評価が必須
- 違反時の上限制裁 5,000万元（約10億円相当、1元=20円換算）
比較表：PIPL vs GDPR vs 中国サイバーセキュリティ法
| 項目 | PIPL | GDPR | 中国サイバーセキュリティ法 |
|---|---|---|---|
| 施行年 | 2021年 | 2018年 | 2017年 |
| 域外適用 | あり（中国国内の個人対象） | あり（EU居住者対象） | 限定的 |
| 越境移転の原則 | 原則禁止・条件付許可 | 十分性認定等で許可 | 重要データは原則国内保存 |
| 同意の要件 | 単独同意・撤回可能 | 明確な同意 | 同意＋実名化 |
| 最大制裁金 | 5,000万元 or 売上5% | 2,000万ユーロ or 売上4% | 200万元 |
| 監督機関 | 国家網信辦（CAC） | 各国DPA | 国家網信辦 |
| データ分類 | 個人情報／敏感個人情報／重要データ | 個人データ／特別カテゴリ | 重要データ／個人情報 |
DTC実務では、PIPL＋サイバーセキュリティ法＋データ安全法の「三法体制」で判断する必要があります。
応用シーン：越境EC・DTCでの具体対応
シーン1：中国顧客の注文データを日本サーバーで管理
- 氏名・住所・電話番号は「個人情報」→ 越境移転に該当
- 年間10万人未満なら標準契約（CAC雛形）を締結し、個人情報保護影響評価（PIPIA）を実施
- チェックアウト画面で単独同意チェックボックスを設置（他規約と混在不可）
シーン2：中国向け越境ECで決済代行を利用
- 決済情報は「敏感個人情報」→ 单独同意＋影響評価が必須
- 決済代行会社が中国国内法人か海外法人かで移転ルートが変わる
- 14歳未満の顧客には保護者同意が必要
シーン3：CRMで中国顧客にメルマガ配信
- マーケティング目的の処理は目的明示＋単独同意
- オプトアウト手段を常時提供（撤回権）
- 同意ログは3年以上保存推奨
シーン4：中国国内に物流拠点を設置
- 国内処理なら越境移転規制は原則不適用
- ただし「重要データ」（例：大量の位置情報）に該当すれば国内保存義務
よくある誤解
❌ 誤解1：GDPR対応済みならPIPLもOK
→ 別物です。PIPLは「単独同意」「越境移転の事前承認」「重要データの国内保存」など、GDPRにない固有要件があります。
❌ 誤解2：中国顧客が少なければ適用外
→ 適用されます。1人でも中国国内の個人から情報を取れば域外適用。閾値は「越境移転の手続き方法」の分岐であり、適用法令の有無ではありません。
❌ 誤解3：同意は規約に埋め込めば足りる
→ 不十分。PIPLは単独同意を要求し、他の条款と分離したチェックボックスが必要です。包括同意は無効となります。
❌ 誤解4：越境移転は標準契約を結べば自由
→ 100万人以上は安全評価（CAC承認）が必須。標準契約は10万人未満〜100万人未満のレンジ限定です。
❌ 誤解5：違反しても中国国内に拠点がなければ執行されない
→ 越境ECでも、中国国内の決済・物流パートナーを通じて間接的に執行されるケースが増加。実務上は「事実上の市場排除」リスクがあります。
関連用語
- 個人信息保護影響評価（PIPIA）：越境移転前に義務付けられるリスク評価
- 単独同意（单独同意）：他の条項と分離した個別の同意取得
- 敏感個人情報：金融・医療・生体・位置・14歳未満など
- 重要データ（重要数据）：国家安全に関わるデータ、国内保存義務
- 標準契約（标准合同）：CACが定める越境移転用の雛形契約
- 安全評価（安全评估）：CACによる事前承認手続き
- 個人情報保護認証（个人信息保护认证）：第三者認証スキーム
- データ安全法：PIPLと並ぶ中国データ三法の一つ
- サイバーセキュリティ法：重要データの国内保存を規定
まとめ：PIPLは「中国からデータを出す」行為を独立した規制対象として設計した点が最大の特徴です。DTC・越境ECでは、①単独同意のUI設計、②年間出境量のモニタリング、③標準契約または安全評価の選択、この3点を最初に固めることが実務の出発点となります。