PIPLデータ越境移転：CAC評価は誰がやるべき？

データ越境移転のCAC評価、あなたの会社は対象？

中国の個人情報保護法（PIPL）が施行されてから、海外へのデータ移転に関するルールが厳格化されました。特に「重要情報」を扱う企業は、国家インターネット情報弁公室（CAC）の評価を受ける必要があります。この評価、実は「やらなくていい」ケースもあるんです。まずは、あなたの会社が対象かどうかを確認しましょう。

CAC評価が必要なケース

CAC評価が必要なのは、以下のいずれかに該当する場合です：

• 重要情報を扱う事業者（重要データ取扱者）
• 100万人以上の個人情報を処理する事業者
• 過去1年間に10万人以上の個人情報を海外に提供した事業者
• 過去1年間に1万人以上の機微個人情報を海外に提供した事業者

これらの条件に当てはまらない場合、CAC評価は不要で、標準契約約款や認証などの他の手段で移転できます。

評価の流れと注意点

CAC評価は、事前に書類を提出し、60営業日以内に審査結果が出ます。評価に通らなければ移転はできません。また、評価は2年ごとに更新が必要です。評価の準備には、データマッピングや影響評価など、かなりの工数がかかるので、早めの準備が肝心です。

ちなみに、CAC評価の申請書類は、まるで税務申告のように細かいです。でも、税務申告よりはまだマシかもしれません。少なくとも、データ移転の評価は年に1回じゃないですからね。

FAQ

CAC評価はすべての企業に必要ですか？

いいえ。上記の条件に該当する事業者のみ必要です。該当しない場合は、標準契約約款や認証などの手段で移転できます。

CAC評価の有効期間は？

有効期間は2年間です。期間満了前に再申請が必要です。

CAC評価に合格しなかった場合、どうなりますか？

データの越境移転はできません。違反した場合、罰金や営業停止などの行政処分を受ける可能性があります。