2019年9月、中国にも独自の「FaceAppプライバシー騒動」が起きた。FaceAppのプライバシー騒動。人工知能と機械学習の技術を用いたZaoアプリは、ユーザーが映画やテレビ番組の出演者の顔を有名人の顔と入れ替えられるものだった。ディープフェイクを作成するツールとして瞬く間に拡散したが、Zaoの利用規約が、プラットフォーム上で作成された画像や動画を無償で世界的に利用する権利をアプリに与えていることが判明し、すぐに懸念が広がった。
この物議を醸したユーザープライバシー条項やデータの安全性への疑問を受けて大きな世論の反発が起きた後、同社は、顔情報は一切保存しないと明らかにした。さらに圧力を受けて同社は、ユーザーがZaoをアンインストールしたりアカウントを削除したりした場合には、規制に従い関連情報を削除し、「あらゆる可能な方法で個人情報とデータの安全性を確保する」と表明した。
2018年初頭、マーク・ザッカーバーグ氏がFacebookのデータ慣行について米議会で証言した際、同氏は、プラットフォームによる個人データの利用を規制すれば、AIなどデータ集約型のイノベーションにおいて、米国が中国企業に後れを取ることになると警告した。この主張は、中国ではデータ収集に関する規制が緩いため、中国のインターネット産業がAI研究向けに膨大なユーザーデータを蓄積しているという通説を反映したものだった。
しかし、2018年から2019年は、中国の一般市民がプライバシーに目覚めた時期と見ることができる。2018年初頭、百度の創業者である李彦宏氏が「利便性と引き換えのプライバシー」という発言をした際、その発言はインターネットユーザーの間で激しい反発を招いた。折しも、同年、江蘇省の消費者権利保護団体が、同意なくユーザーデータを収集したとして百度を提訴した（この訴訟は、同社がユーザーの連絡先や行動を監視する機能を削除した後に取り下げられた）。
最近、中国のユーザーは、別のインターネット大手であるアリババに対し、個人データのプライバシーについて異議を唱えた。アリババの金融部門であるアント・フィナンシャルは、芝麻信用（ジマ・クレジット）を立ち上げた。これは、ユーザーのデジタル上の行動、取引記録、ソーシャルメディアでの存在感に基づいて融資を提供するオンライン信用スコアリングサービスである。ユーザーは、自分が同意なしに、かつ初期設定で信用スコアリングシステムに登録されていたことを知った。圧力を受けて、アリババは謝罪した。
中国の消費者は、インターネット大手に対し、プライバシーの保護を声高に求めるようになってきている。一方、2018年末、中国の全国人民代表大会は、個人データ保護法が現在の立法期の議題に正式に含まれたと発表した。2017年のサイバーセキュリティ法や2018年の電子商取引法の関連部分と合わせて、中国の個人データ保護法は、個人のデータの権利と保護に関する包括的な枠組みにつながると見られる。
新法が起草されている間に、最高位の行政インターネット規制当局である国家インターネット情報弁公室（CAC）は、2019年6月に『データ保護規制ガイドライン』を公表した。同ガイドラインは、インターネット企業による顧客データの収集と利用について、してよいことと、してはならないことに関する具体的な規則を定めており、事実上、中国における個人データ保護の基準を設定している。市場にとっては、国家法の今後の方向性を示す指針となる。
例えば、CACガイドラインは、モバイルアプリにおいてユーザーがデータをより多くコントロールできるようにする方法に特に焦点を当てている。同ガイドラインは、モバイルアプリによるユーザー情報の違法または過度な収集に当たる状況として、以下を挙げている。
ユーザーデータに関する規則が公開されていない。
ユーザー情報の収集目的、方法、範囲が明示されていない。
同意のない情報収集。
提供されるサービスと無関係な個人情報の収集。
法律で義務付けられている個人情報の削除または訂正を行わない。
主要サービスと拡張機能を抱き合わせ、すべてのサービスについて個人データの提供を利用者に強制する。
これと並行して、CACは公安部、工業・情報化部、国家市場監督管理総局とともに、スマートフォンアプリを調査する全国的なキャンペーンを開始し、違法または過度なユーザー情報の収集が行われていないかを確認している。2019年7月までに、広く利用されているアプリのグループが、その結果としてデータ収集の慣行を是正するよう命じられ、中国銀行のアプリを含む10本のアプリにはユーザープライバシーに関する規則がないことが判明した。さらに、多くのオンライン金融プラットフォームのアプリを含む40本のアプリは、データ収集に「重大な問題」があるとして注目された。
CACの規則の下で前進が見られるものの、当局が新たな基準に照らして企業をどのように監査するのか、また、それが事業運営にどのような影響を及ぼすのかといった重要な疑問は残されている。これらの基準は、新たに生まれつつある規制のプロセスにどのように適合するのだろうか。一方では、中国の枠組みは多くの点でGDPRに似ている。例えば、中国の電子商取引法における「忘れられる権利」の規定は、GDPRに定められたデータへのアクセス、訂正、消去の権利を模倣したものである。他方で、中国の枠組みには非常に中国的な特徴（例えば「データ主権」の概念）があり、一方GDPRは、より広範な国家安全保障や社会の安定という目標と明示的に結び付けられていない。
最大のモバイルインターネット利用者市場であり、データ経済圏でもある中国の個人データ権利の枠組みは、世界に大きな影響を及ぼす。現時点で全国レベルのデータ保護の方針を持たない米国に対し、関連する法的措置を加速させる刺激となる可能性がある。また、インド、ブラジル、ASEAN諸国などの主要新興経済国が、サイバー空間の活動や新興技術を規制しようとする際に、参照点を提供する可能性もある。
個人データ保護に関する取り組みが新たに生まれつつあることは喜ばしい。これらは、この重要な問題に関するグローバルな対話や、世界的な実践の形成につながり、断片化した世界の法的環境を回避する可能性がある。ザッカーバーグ氏の主張とは逆に、中国はもはやプライバシー規則に対する好都合な反論材料ではない。
