中国のデータ越境規制は緩和されている──中国拠点MESのアーキテクチャ設計を見直す

現行の枠組み：リスクベースへの転換

根拠法令は 「促进和规范数据跨境流动规定」（2024年3月22日施行） です。従来の一律規制からリスクベース・アプローチへ転換し、明確に緩和方向にあります。

申告免除には4つのシナリオがあります。①契約履行上の必要性、②人事労務管理（従業員の基本人事データ移転、グローバル人材情報の一元管理）、③緊急事態における生命・健康・財産の保護、④年間10万人未満の非センシティブ個人情報移転。

免除されても残る3つの義務

ここが実務の落とし穴です。申告が免除されても、次の義務は残ります。

1. 本人への越境移転の通知
2. データ移転に特化した「個別同意」の取得（包括同意では不可）
3. 個人情報保護影響評価（PIA）の実施と3年間の保管

MESの文脈では、作業者の氏名・従業員ID・生体認証・作業実績を日本本社へ送る設計をとる場合、この3点が必要になります。作業実績そのものは個人情報ではありませんが、作業者IDと紐づいた瞬間に個人情報になるという点が設計上の分岐点です。

運用実績と、執行の選別的な厳格化

2026年3月23日、国家インターネット情報弁公室が施行2周年の総括を公表しました。

• 9つの自由貿易試験区が、自動車・小売・航空など22分野をカバーするデータ出境ネガティブリストを公表
• 試点は当初の5都市から8つの省級行政区が追加され全国に拡大
• EU・ドイツ・ASEAN諸国と二国間メカニズムを構築
• 複数都市にデータ越境「一站式（ワンストップ）」サービスセンターを設置

地方でも動きが続いており、北京は自由貿易試験区のデータ出境ネガティブリスト（2025年版）と管理弁法を2026年5月11日に公布、上海は2026年4月25日にネガティブリストを市全域へ拡大しました。

一方で、2025年9月にフランス高級ブランドの上海支社による顧客データの違法越境移転事案が公表されています。緩和と選別的な執行強化が同時進行しているのが現状です。

MESアーキテクチャへの落とし込み

個人情報のルールは緩和方向ですが、「重要データ（重要数据）」に該当すると安全評価が必要になります。重要データの定義は業種別カタログに委ねられており、製造業の多くのカテゴリーで未確定です。運用上は「該当すると当局に判定されるまでは該当しない」とされていますが（网信办Q&A）、法的リスクは残ります。

実務では次の二層構造が主流です。

MES選定時には、この二層構造をアーキテクチャとして最初から支持できるかが判定基準になります。SaaS前提でデータリージョンを選べない製品は、この時点で候補から外れることがあります。

加えて確認すべき点が2つあります。

• 等級保護（等保2.0）：MESは業務システムとして等級認定の対象になり得ます。多くの製造業で2級、重要インフラ関連は3級。3級となると年次の測評（監査）が必須です
• 輸出管理の逆方向：2026年2月、中国商務部が日本企業・組織 計40社を輸出管理コントロールリストおよび注視リストに掲載しました。「日本本社のサーバーに中国工場の工程データを置く」設計は、日本側の輸出管理と中国側のデータ規制の双方から点検が必要になっています

よくある質問

工程実績データだけなら、自由に日本へ送ってよいのですか？

作業者IDと紐づかない設備・工程データは個人情報規制の対象外です。ただし「重要データ（重要数据）」に該当すると安全評価が必要になり、その定義は業種別カタログに委ねられ多くの製造分野で未確定です。当面は生データを域内に留め、集計値を送る設計が安全側の選択です。

一度構築した越境の仕組みは、規制が変わったら作り直しですか？

規制は2024年以降緩和方向ですが、執行は選別的に厳格化しています。二層構造（域内保持＋集計送信）で設計しておけば、緩和されても厳格化されても構成変更が最小で済みます。規制の方向に依存しないアーキテクチャにしておくことが、作り直しリスクへの最も有効な備えです。