メニュー

コラム｜データ

中国の取引先と名簿をやりとりするとき、まず数える人数。個人情報の越境と10万人の線

公開：2026-11-01　更新：2026-11-01　文：渡部 秀雄（DXプランニング代表）

中国欧州

中国の取引先や子会社と名簿をやりとりする総務担当の方に向けた記事です。中国では、国外へ出した人数で手続きが分かれます。日本では、1人分から手続きが要ります。何人分・どの項目かを数えて、手続きを確かめる手順を紹介します。

ExcelCSVPDF 変換・突き合わせ 整ったデータに重複・誤りも点検

中国の取引先や子会社と、従業員名簿や顧客名簿をやりとりしている総務・事務担当の方に向けた記事です。中国では、名簿を国外へ出す手続きが人数で分かれます。日本では、1人分でも外国への提供として手続きが要ります。

例えば月曜の朝、上海の取引先から「展示会で集めた来場者名簿を、御社に送りたい」とメールが届いたとします。中国側で確かめる目安は、その年の1月1日から国外へ出した累計が10万人未満かどうかです。2026年6月には、上海市網信弁（上海市のインターネット当局）が、大手旅行会社・携程の系列企業に1000万元（約145万米ドル）の罰金と是正命令を出しました。越境データの安全評価の要件を守らず、個人情報を違法に国外へ出したことが理由です（Global Times、2026-06-13）。

この記事では、名簿を受け取る前・送る前に、何人分・どの項目かを数えて手続きを確かめる手順を紹介します。

この記事の要点
  • 中国では、その年の1月1日から国外へ出した累計人数で、手続きの経路が分かれます。
  • センシティブ情報（法律で特に慎重に扱うよう定められた個人情報）を除いて10万人未満で、重要データ（中国の法令で特に厳しく扱うよう求められるデータ）がなければ、当局への届出や審査は要りません。
  • それでも、中国の本人への告知と単独同意（国外へ出すことだけについて取る同意）は要ります。
  • 日本から中国へ出すときは、人数に関係なく個人情報保護法第28条（外国にある第三者への提供の決まり）がかかります。

中国は人数で、日本は1人から

結論から書きます。中国から名簿を受け取るとき、まず数えるのは「その年の1月1日から中国の外へ出した人数」です。数えるときは、センシティブ情報を除きます。

名簿のやりとりを確かめる手順中国からは年初からの累計人数を数え、日本からは1人分でも第28条を確かめます。中国は人数で、日本は1人から中国と行き来する名簿・その年の1月1日からの累計・人手順1名簿を一覧にする手順2年初からの人数を数える手順3センシティブ情報を分ける手順4経路を決める手順5告知と同意を確かめる手順6第28条を確かめる出所：CAC「促进和规范数据跨境流动规定」（2024年）個人情報保護委員会「外国にある第三者への提供編」（令和7年）
名簿の向きと人数から手続きを確かめる6つの手順

この線は、2024年の規定の第5条第4号と、2026年9月施行の簡素化規定の第10条第5号に書かれています。一方、日本には人数の線がありません。同じ名簿でも、向きによって確かめる法律が変わります。

この記事で示す手順は、次の6つです。

  1. 中国と行き来する名簿を一覧にする
  2. その年の1月1日からの人数を数える
  3. センシティブ情報と重要データを分ける
  4. 3つの経路のどれに当たるかを決める
  5. 告知と単独同意の取り方を確かめる
  6. 日本から出すときは第28条を確かめる

記事の最後に、名簿ごとに書き込める「名簿のやりとり確認表」を付けています。手順を読みながら、そのまま埋められる形です。

まず、中国の人数の線がどう決まっているかを見ます。

中国で名簿を国外へ出す3つの経路

中国では、名簿を国外へ出す手続きが3つの経路に分かれます。どれに当たるかは、その年の1月1日から国外へ出した累計人数で決まります。この線は、国家网信办（国家インターネット情報弁公室。以下CAC）が2024年3月22日に出した規定（令第16号。以下「2024年規定」）で定められました。

センシティブ情報を除き10万人未満なら、当局への手続きは要りません。

範囲：重要情報インフラ運営者（電力・通信など社会の基盤を担う事業者）以外。単位：人（その年の1月1日からの累計）

経路条件手続きの中身
免除センシティブ情報を除き10万人未満。または下の①〜④・⑥に当たる標準契約・認証・安全評価は不要
標準契約か認証センシティブ情報を除き10万人以上100万人未満。またはセンシティブ情報が1万人未満標準契約（当局が定めた書式の契約を結び、届け出る方法）か、認証（専門の認証機関の審査を受ける方法。証書は3年有効）
安全評価100万人以上。センシティブ情報が1万人以上。重要データを含む。重要情報インフラ運営者安全評価（当局に申し出て審査を受ける方法）

注：免除でも告知と単独同意は必要です。出所：CAC「促进和规范数据跨境流动规定」第5・7・8条（2024-03-22）、CAC・国家市場監督管理総局「个人信息出境认证办法」（2025-10-17掲載）

免除になる6つの条件

2026年9月1日施行の簡素化規定（国家网信办・公安部令第25号）第10条は、免除の条件を次の6つに整理しました。重要データは、どれに当たっても免除になりません。

  1. 本人が当事者の契約の締結・履行（越境EC・送金・ホテル予約・ビザなど）
  2. 労働規章・集団契約にもとづく、国をまたぐ人事管理
  3. 緊急時の生命・財産の保護
  4. 法定の職責・義務の履行（2024年規定の条件に加わったもの）
  5. その年の1月1日からの累計が10万人未満（センシティブ情報を除く）
  6. その他

人数は合算され、分けられない

標準契約や認証で出した人数も、その年の累計に入ります。累計が100万人（センシティブ情報は1万人）を超えたら、年初からの分も含めて安全評価を申報します（CACのQ&A「数据出境安全管理政策法规问答」、2026-01-30）。人数を分けて安全評価を避けることは、2026年1月1日施行の認証弁法で禁じられています。

2つの「10万人」は別の物差しです。簡素化規定の対象になる小型処理者は「扱う人数が10万人未満」の事業者で、数える期間は条文に書かれていません（第2条）。越境の免除は「その年の1月1日から国外へ出した累計」です。混ぜて数えると、経路を取り違えます。

小型処理者向けの簡素化

簡素化規定は、扱う人数が少ない事業者の事務を軽くしています（2026-07-24公表）。

  • 合規監査（法令を守っているかの点検）は、少なくとも5年に1回、自己点検表で行う（第13条）
  • 影響評価は、簡易な評価表で行える（第14条）
  • 認証の取得者は、有効期間中は監査が免除される（第17条）
  • 初めての違反で被害が軽く、すぐ改めた場合は、処罰しないことができる（第18条）。繰り返すと信用記録に載る（第21条）
どの経路でも、本人への告知と単独同意の義務は残ります（簡素化規定 第10条第3款）。2024年規定の第10条は、これに影響評価を加えた3つを、すべての経路で求めています。

この仕組みに沿って、自社の名簿を確かめる手順に移ります。

名簿のやりとりを確かめる手順

手順は6つです。自分の場面から、読む手順を選べます。

出ている症状読む手順
中国の取引先から「名簿を送りたい」と連絡が来た手順1　名簿を一覧にする
今年、中国から何人分を受け取ったか分からない手順2　年初からの人数を数える
採用候補の履歴書を本社で見たいと言われた手順3　センシティブ情報を分ける
自社と相手がどの経路に当たるか知りたい手順4　経路を決める
同意書の書式を相談された手順5　告知と同意を確かめる
日本の顧客名簿を中国の協力先に渡したい手順6　第28条を確かめる

手順 1名簿を一覧にする

どの名簿が日中を行き来しているか、全体が見えないとき

向き・名簿名・項目・人数・受け取る人と保存先を1行ずつ並べます。

向きは「中国→日本」と「日本→中国」に分けます。例えば、展示会の来場者名簿と、現地の従業員名簿は別の行にします。この工程で、見落としている名簿があるという心配が減ります。

手順 2年初からの人数を数える

線を超えたかどうか、答えられないとき

1月1日から国外へ出した人数を、名簿ごとに足していきます。

同じ人が複数の名簿にいるときの数え方は、条文で確かめられませんでした。相手側の担当者と数え方をそろえ、決めた内容を一覧に書いておきます。年の途中で線を超えることへの注意は、China Briefing（2026-07-21）も挙げています。この工程で、気づかないうちに経路が変わる心配が減ります。

手順 3センシティブ情報を分ける

名簿に、本人の評価や身元に関わる情報が入っていそうなとき

センシティブ情報と重要データが入っていないかを、項目ごとに確かめます。

センシティブ情報は1人分でも、10万人未満の免除（第10条第5号）から外れます。範囲は中国の個人情報保護法の定義によるため、現地の担当者と項目を突き合わせます。この工程で、人数は少ないのに手続きが要る場面を見逃す心配が減ります。

採用候補の履歴書は、2026年7月のCACのQ&A（Q3）が答えています。国外の本社が採用の決定に関わらないなら、送る必要はないとされています。関わるなら、人数と項目を最小にして3つの経路のどれかで送り、単独同意と影響評価も行います（2026-07-24）。

手順 4経路を決める

手順2・3の結果がそろったとき

人数とセンシティブ情報の有無を、3つの経路の表に当てはめます。

あわせて、契約の履行や人事管理など、人数によらない免除の条件に当たるかも確かめます。小型処理者が安全評価を申請するときは、省級網信部門（省ごとの当局）が結論案をまとめ、国家網信部門が承認します（簡素化規定 第10条第4款）。この工程で、相手の手続きの説明を自社でも確かめられるようになります。

手順 5告知と同意を確かめる

同意書の文面や、取り方を相談されたとき

国外へ出すことの同意が、ほかの同意と分かれているかを見ます。

同意は具体的・明確でなければならず、ほかの処理との抱き合わせや包括的な同意は認められません（2026年7月のQ&A Q1）。同意が要らない例外に当たる場合でも、国外へ出すことの告知は必要です。現地で自己点検表と影響評価表を使っているかも、ここで聞きます。この工程で、免除だから何もしなくてよいという思い込みを防げます。

手順 6第28条を確かめる

日本から中国の取引先・子会社へ名簿を渡すとき

日本には人数の線がなく、1人分でも外国にある第三者への提供になります。

法第27条第1項各号の場合を除き、経路は2つです。1つは、国名・その国の制度・相手の保護措置を示したうえでの本人の事前同意です。もう1つは基準適合体制（契約・覚書などで、相手に必要な保護措置を取らせる体制）です。中国は、同等の水準にあると認められる国（EUと英国のみ）に当たりません。

基準適合体制による場合は、相当措置が続けて実施されるよう確保し、本人に求められたら情報を提供する義務があります（個人情報保護委員会 外国第三者提供編ガイドライン、令和7年12月一部改正）。この工程で、中国側だけ確かめて日本側を見落とす心配が減ります。

日本とEUと並べると、中国の人数の線がどこに効くかが見えてきます。

日本・EUとの比較

人数で手続きを分けるのは、中国・日本・EUの3つのうち中国だけです。日本とEUは、相手の国と相手の体制で手続きを分けています。

下の表は、名簿を国外へ出すときの決まりを、5つの観点で並べたものです。

観点中国日本EU
①手続きを分ける基準その年に国外へ出した人数と、情報の種類（センシティブ情報・重要データ）相手の国と相手の体制。同等の水準と認められた国はEUと英国だけで、中国は含まれない相手の国の保護水準（十分性認定）。認定は17の国・地域・機関で、日本・韓国は含まれ、中国は含まれない
②人数の線あり。10万人と100万人。センシティブ情報は1万人なし。1人分でも外国にある第三者への提供になるなし。企業の規模や量の基準もない
③本人の同意・告知どの経路でも、告知と単独同意が必要原則は本人の事前同意。国名・その国の制度・相手の保護措置の情報を示す—
④契約による経路標準契約（10万人以上100万人未満など）。認証も選べる基準適合体制（契約・覚書など）。相当措置が続くように確保する標準契約条項（SCC、2021-06-04採択）
⑤執行の事例携程の系列企業に1000万元の罰金と是正命令（上海市網信弁、2026-06）——

注：中国の人数は、重要情報インフラ運営者以外の場合です。センシティブ情報を除いた、その年の1月1日から国外へ出した累計で数えます。十分性認定は、EUと同じ水準の保護があると欧州委員会が認めることです。「—」は、今回の取材の範囲で扱っていない項目です。出所：中国＝CAC「促进和规范数据跨境流动规定」（2024-03-22）、CAC・公安部「小型个人信息处理者个人信息保护简化措施规定」（2026-07-24）、Global Times（2026-06-13）／日本＝個人情報保護委員会「外国にある第三者への提供編」ガイドライン（令和7年12月一部改正）／EU＝欧州委員会のSCCのページ（2026-11-01閲覧）と十分性認定のページ（2026-11-01閲覧）

3つに共通するのは、契約で手当てする道があることです。中国は標準契約、日本は基準適合体制、EUはSCCです。違いはその道を使う条件で、中国は人数、日本とEUは相手の国で決まります。

日本の中小企業にとっての意味

同じ名簿でも、向きによって確かめる法律が変わります。例えば、展示会で集めた来場者300人分の名簿を考えます。

  • 中国から日本へ受け取る場合：確かめるのは中国の決まりで、手続きを行うのは名簿を出す中国の相手側です。ほかの名簿と合わせて10万人未満で、センシティブ情報も重要データもなければ、標準契約などは要りません。それでも、中国の本人への告知と単独同意は要ります。
  • 日本から中国へ渡す場合：確かめるのは日本の個人情報保護法第28条です。300人でも1人でも、本人の事前同意か、契約・覚書による基準適合体制が要ります。

このため、名簿の一覧表には「向き」の列と「人数」の列を両方持たせます。向きの列で、どちらの法律を確かめるかが決まります。人数の列で、中国側の経路が決まります。

この2つの列で確かめる考え方は、名簿以外の業務にも当てはまります。

採用・人事やほかの業種への広がり

2026年の発表を見ると、確かめる対象は名簿だけではありません。人事・旅行・施設の運営にも及んでいます。

  • 人事・採用：CACは2026-07-24のQ&Aで、応募者の履歴書を国外の本社へ送る場合について答えました。判断の材料は、採用との関連度・人数の規模・データ項目の範囲の3つです。採用や評価の情報を日本の本社と共有する場合や、人事システムを日中で共用する場合も、同じ物差しで確かめておくとよい対象です（CAC 2026-07-24）。
  • 旅行・プラットフォーム：携程の系列企業への罰金の発表では、年初から公共サービス分野のネット企業で、違法な越境が見つかったとされています。予約や会員の情報を国外と共有する業種は、同じ確認が必要です（Global Times 2026-06-13）。
  • 施設の運営者・出店者：園区（工業団地など）や物業（建物の管理会社）の運営者が出す統一の処理規則を、小型処理者が使えます（簡素化規定 第5条）。オンラインのプラットフォームが監査・評価を済ませていれば、出店者は同じ手続きを繰り返さなくてよいとされています（第8条）。中国の工業団地に拠点がある場合や、中国の通販サイトに出店している場合は、運営者の規則を確かめると手間を減らせる可能性があります。

では、この先どの論点が動きそうか。次の節で、公表された事実と見立てを分けて見ます。

今後の展開

人数の線そのものが変わるより、出した人数を記録して示せるかが問われる方向に進む可能性がある、と見ています。以下では、根拠（公表された事実）と見立て（考察）を分けて並べます。

半年以内（2027年春ごろまで）

根拠：簡素化規定は2026年9月1日に施行されました。手順4で触れた小型処理者の安全評価（省級がまとめ、国家が承認）について、取材の範囲では、運用の細則や実績の公表は確認できませんでした（第10条第4款）。

見立て：細則が出るまでは、評価がどの程度軽くなるかは読めません。当面は、今の3つの経路の表で判断を続けることになると見ています。

根拠：CACのQ&Aは、2026年1月と2026年7月に出ています。7月の回では、履歴書の越境と単独同意の取り方に個別に答えました。

見立て：次のQ&Aで、人事や告知・同意の論点がさらに詳しくなる可能性があります。その場合、相手先の同意書の書式が見直されることも考えられます。

1〜2年（2027〜2028年）

根拠：China Briefing（2026年7月21日）は、2025年のDior案件が警告と是正命令にとどまったのに対し、2026年は金銭の罰則が出たことを変化として挙げています。同誌によると、情状が重い場合の上限は、5000万元または前年売上高の5%です。

見立て：執行は「注意で済む段階」から「罰金が出る段階」に移りつつあると見ています。

根拠：認証の証書は3年有効です（認証弁法）。安全評価の結果も3年有効で、延長は期限の60営業日前までに申請します（2024年規定 第9条）。延長の条件の一つは、今後3年で出す人数の増加が、元の評価で認められた人数の20%以内であることです（2026年7月のQ&A）。

見立て：認証や評価の更新が近づくと、何人分を出したかの記録を示す場面が増える可能性があります。そのとき、受け取る側の日本企業にも人数の確認が来ることが考えられます。

その先

根拠：EUの十分性認定は、認めたあとも見直されます。日本は2023-04-04に1回目の見直しの報告が出ました。韓国は2026-07-23に、十分な保護水準が続いていると結論されています。日本の個人情報保護委員会は、外国第三者提供のガイドラインを令和7年12月に一部改正しました。

見立て：契約の書式や記録の求め方は、どの地域でも少しずつ変わっていくと見ています。中国だけでなく、日本とEUの見直しや改正も、名簿の一覧を見直すきっかけになりえます。

2つのシナリオと見ておくべき兆し

シナリオ中国側で起きること日本の中小企業への影響
A　執行が強まる処罰の公表が続く相手先から、人数と同意の記録を求められる
B　簡素化の運用が進む小型処理者の安全評価の実績や細則が出る自己点検表・評価表で済む範囲が広がり、相手先の手続きが軽くなる

どちらに進むかは、次の3つで見分けられます。

  • 次のQ&Aで取り上げられる論点（人事、告知と同意）
  • 省級網信部門による処罰の公表が続くか
  • 小型処理者の安全評価の実績が公表されるか

どちらに進んでも、人数の記録は手元に残ります。人数はその年の1月1日から数えるため、2027年1月1日からは数え直しになります。それまでに名簿の一覧と数え方（同じ人が重なったときの扱いなど）を相手と決めておけば、AでもBでも同じ表で答えられます。

その表は、次の4つの作業で作れます。

今日からできること

  1. 中国と行き来する名簿を書き出す。
    どうやって：受け渡しのメールと共有フォルダを見返し、向き・名簿名・項目・人数を1行ずつ表に書きます。
  2. 今年1月1日からの累計人数を、名簿ごとに足す。
    どうやって：送った日と人数を追記する欄と合計欄を作ります。2027年1月の最初の営業日に「数え直し」の予定を入れます。
  3. 中国の担当者に3点を確かめる。
    どうやって：センシティブ情報が入っているか、告知と単独同意をどう取っているか、自己点検表（第13条）・影響評価表（第14条）を使っているかをメールで尋ね、返事を表に残します。
  4. 日本から中国へ出す名簿の手続きを決める。
    どうやって：本人の同意の文面（国名・中国の制度・相手の保護措置を示す）にするか、相手との契約・覚書（基準適合体制）にするかを決め、表の「経路」欄に書きます。

私なら、まず手順2の人数を数える表から作ります。線を超えたかどうかは、数えていないと分からないためです。一度表にすれば、あとは送るたびに1行足すだけで済みます。

そのまま使える名簿のやりとり確認表
項目記入欄
名簿名
向き中国→日本　／　日本→中国
項目（氏名・会社名・連絡先など）
今年1月1日からの累計人数　　人
同じ人が重なったときの数え方（相手と決めた内容）
センシティブ情報の有無有　／　無
重要データの有無有　／　無
当てはまる経路免除　／　標準契約か認証　／　安全評価　／　日本の第28条（同意・基準適合体制）
告知と単独同意の取り方
確かめた日　年　月　日
次に見直す日　年　月　日
線の早見（中国から出す場合。人数はその年の1月1日からの累計）：センシティブ情報を除き10万人未満は免除、10万人以上100万人未満は標準契約か認証、100万人以上は安全評価。センシティブ情報は1万人未満なら標準契約か認証、1万人以上は安全評価。重要データは人数に関係なく安全評価。日本から出す場合は人数の線がなく、1人分から第28条がかかります。

よくある疑問

Q1　自社は小さい会社です。中国の規定は関係ないのでは。

関係するかどうかは、会社の規模では決まりません。簡素化規定の対象は「扱う個人情報が10万人未満の処理者」で、人数で決まります（第2条）。国外へ出す手続きも人数で決まり、免除に当たる場合でも本人への告知と単独同意は残ります。

Q2　相手先は粤港澳大湾区の標準契約を届け出ているそうです。日本へ送るときも、それで足りますか。

粤港澳大湾区（広東・香港・マカオの経済圏）には独自の標準契約があります。ただし、届け出ていても、大湾区の外へ出すときは全国の制度（安全評価・標準契約・認証）に従う必要があるとされています。日本へ送る場合は、全国の制度で確かめることになります（CAC 2026-01-30）。

DXプランニングで受けられるサービス

データの取り扱いでは、形式のちがう名簿を読み込んで集計し、複数の名簿を全件突き合わせて重複を見つける作業を任せられます。名簿ごとの向き・項目・人数を1か所にまとめる表づくりにも使えます。料金は、データの変換・集計・突き合わせで50,000〜150,000円（多くは80,000円前後）です。

まとめ

中国は年初からの累計人数で、日本は1人分から、名簿を国外へ出す手続きが決まります。まず向きと人数の列を持つ一覧を作り、数え続けると、翌年の数え直しにも同じ表を使えます。同じ作業の繰り返しは、仕組みにできるところから。DXプランニングは、そこから考えます。

出典

この記事を書いた人渡部 秀雄（DXプランニング代表）。IT企業で、企業向けのデータ連携基盤の構築・検証、帳票づくりの自動化、ホームページのサーバー管理から更新までの運用に携わっています。IT担当がいない中小企業・団体の外部のIT担当として、相談から仕組みづくり、保守までを引き受けています。

まずは無料でご相談ください

対応できるかの確認・お見積りまでは無料です。その場で契約を求めることはありません。通常、2日以内（土日を含む）にお返事します。

無料で相談する