中国の最新のデータ輸出規制は、正当な事業運営のための越境データフローに重大な障壁を生じさせるおそれがある。
このような制限は、企業による同国での事業やその国との取引を思いとどまらせるリスクがあり、最終的には同国の貿易競争力を低下させかねない。
中国は、越境データ移転規制が製造業とデジタル経済の両分野におけるリーダーとしての地位を脅かしかねないことを検討すべきである。
2022年下半期、中国はデータに関する既存の法令を補足する形で、データ輸出規制の詳細を発表した。
越境データ移転を全面的に禁止しているわけではないものの、越境データ移転に課される制限や手続きは、正当な事業運営のための越境データフローに重大な障壁を生じさせかねない。
このような制限は、企業による中国での事業や中国との取引を思いとどまらせるおそれがあり、最終的には同国の貿易競争力を低下させかねない。
中国のデータ規則は越境データフローを制限している
2018年の施行以来、欧州連合（EU）の一般データ保護規則（GDPR）はデータ保護の世界的な基準として高く評価されてきた。多くの欧米の観察者にとっては意外かもしれないが、中国の個人情報保護法は、GDPRの多くの概念と規制の枠組みを取り入れている。
例えば、中国は個人情報をGDPRと同様の方法で定義している。中国は、個人データの取得時および当該データの国外移転時に、GDPRと同じ同意要件を採用している。また中国は、越境データ移転を規律するための標準契約条項を定めるGDPRのアプローチも採用している。
中国がGDPRに倣っていることは、データに関する規制の相互運用性の確保に役立ち、グローバルに事業を展開する企業のデータコンプライアンス負担の軽減につながっている。
しかしながら、GDPRと中国のデータ関連法令・規制との間には一部のアプローチに類似点があるものの、越境データフローに対する中国の姿勢は、データの自由な流通を是認するGDPRの一般原則から大きく逸脱している。その具体的な内容は以下のとおりである。
第一に、中国は「重要情報インフラ」のデータおよび「コア／重要データ」を国内に保存することを義務付けている。これらのデータを事業目的で国外に移転する必要がある場合、データの運営者および保有者は、データセキュリティ審査の手続きを経て、必要な承認を取得しなければならない。「重要情報インフラ」や「コア／重要」の定義は曖昧である。個人データの重要性は、データ提供者が移転を計画している、または管理している量（当該データの全部を移転する計画であるかどうかを問わない）に応じて決まる。
第二に、GDPRでは、市場参加者がGDPR域内から、GDPRに匹敵する十分な保護水準を有する国へデータを自由に移転することが認められている。「保護水準の十分性」に基づく越境データ移転に関するこのような広範な免除は、中国には存在しない。
第三に、GDPRでは、GDPRが定める要件を満たす「拘束的企業準則」または「行動規範」を企業が整備していれば、データを自由に移転できるなど、企業がデータを国境を越えて移転する余地がより大きく認められている。中国では、これらの選択肢は利用できない。
さらに、越境データ移転の資格を有する企業であっても、「標準契約条項およびプライバシー影響評価報告書を記録する」ことを、所管の規制当局に対して求められている前に行うことが求められており、これは中国国外へ合法的にデータを移転できるようになるまでの要件である。このような要件は、定期的に越境データ処理を必要とする企業にとって実務上の障害となる。
2001年のドーハ・ラウンドは、世界貿易機関（WTO）加盟国間で行われた直近の貿易交渉ラウンドであるが、当時はデータが世界貿易における重要な課題ではなかった。
中国の貿易上の義務は主にWTOを中心に発展してきた。データのローカライゼーション規則を定めたり、越境データフローを制限したりすることを妨げるWTOのルールは存在しない。
WTOへの加盟以降、中国は世界の工場となった。世界の工場としての地位により、中国はデータと人工知能技術を活用した先進的な製造業を発展させることも可能になっている。
中国は物品の製造拠点であるにとどまらず、活況を呈するデジタル経済も有している。その規模は絶対値では米国に次ぐ世界第2位である。中国のテック企業は、長年にわたり、デジタルサービス分野における外国企業との競争がないことや、プライバシー関連規則が緩やかであることの恩恵を受けてきた。
中国のデータフロー政策が同国にとって不利に働く可能性
しかしながら、データフローに対する制限により、中国は世界の工場としての地位だけでなく、デジタル経済の旗手としての地位にも課題に直面している。越境データフローに関する政策は、ベトナムやシンガポールといった中国の貿易競争相手に有利に働く可能性がある。
データは、製造業の将来においてより重要な役割を果たしつつある。2020年以降、サプライチェーンのリスク分散を目的として、ますます多くの企業が中国以外の国、例えばベトナムへサプライチェーンを移転し始めている。
ベトナムではデータの国内保存が義務付けられているものの、ベトナム国外へのデータ移転については、中国ほど厳格な要件は課されていない。ベトナムは、GDPRの「保護水準の十分性」の原則を支持している。
さらに、中国は主要経済国との間で越境データ移転に関する条約をいまだ締結していない一方、ベトナムは環太平洋パートナーシップに関する包括的及び先進的な協定（CPTPP）への参加を通じて、越境データ移転を認めることを約束している。
ベトナムは、貿易上の約束を遵守するため、軍事や国家安全保障に関係しない分野における越境データに対する制限を緩和するよう、CPTPPの他の参加国から圧力を受けている。
世界的なフィンテック拠点として認められているシンガポール
中国はフィンテック分野で目覚ましい成果を上げているが、後発であるシンガポールは、世界的なフィンテック拠点とみなされている。シンガポールは越境データ移転に対して寛容な姿勢を取っている。データのローカライゼーションは、原則ではなく例外である。
ベトナムと同様に、シンガポールもGDPRの「保護水準の十分性」の原則に従っており、多くの国・地域を「保護水準の十分性」を満たすものとして認めている。
例えば、シンガポールは、アジア太平洋経済協力（APEC）の越境プライバシールール（CBPR）システムおよび処理者プライバシー認証（PRP）システムを、越境データ移転に必要な保護基準を満たすものとみなしている。
CBPRまたはPRPの認証を取得した海外のデータ受領者は、移転された個人データに対して同等の保護を提供する法的資格を有するとみなされる。シンガポールが自由なデータフローを受け入れていることは、世界中から人材や投資を一層引きつけ、同国のフィンテック産業の発展を後押しするものとなろう。
データは集約されたときに最も大きな力を発揮する
「データは新しい石油である」という表現は、以前からよく使われてきた。データは集約されたときに最も大きな力を発揮する。豊富で多様なデータの集積は、金融犯罪の防止、新薬の開発、製造業における物流や資源配分の最適化に役立つ。
個人のプライバシーの保護と国家安全保障が、すべての国にとって重要かつ正当な目的であることに変わりはないものの、越境データ移転を過度に制限することは、グローバルに事業を展開する企業に重い負担を課し、国内のスタートアップの世界展開を阻害し、外国直接投資を抑制し、最終的には国の貿易競争力を低下させる。
貿易競争相手国が越境データ交換に対して開放的な姿勢を維持する一方で、中国は製造業とデジタル経済の両分野における現在の優位性を危うくしている。中国が様々な多国間貿易協定への加盟を目指す中、越境データ移転政策と、それが現実にどのように執行されるかは、同国が検討すべき重要な課題となる。
