本稿は、個人情報や会社の利益、そして積み上げた信用を失う前に読んでおくべき「中国のシステムに関係する危険な法律」を、現役エンジニアの視点でわかりやすく整理した保存版である。
最初にはっきりさせておきたい。この記事は「中国系企業はすべて危ない」という話ではない。技術力の高い中国のエンジニアも、まっとうに仕事をする中国系の会社も数多くある。問題は個人の資質ではなく、その人たちすら逆らえない「法制度」と、その不透明な運用にある。この構造を理解しないまま発注すると、善意の相手であっても情報が抜けてしまう。だからこそ知っておく価値がある。
なぜ「NDAを信じるエンジニア」ほど危ないのか
NDAは、契約を結んだ当事者どうしを縛る「私人間の約束」だ。破れば損害賠償や取引停止という民事上の責任が生じる。日本国内どうしの取引なら、これで十分に機能する。ところが相手が中国の法律の下にいる場合、話がまるで変わる。
中国の一連の法律は「公法上の義務」だ。国家が命じたとき、中国の国民や中国系の企業はそれを拒めない。ここで両者がぶつかると、当事者は冷静に天秤にかける。NDAを破れば民事上の賠償で済むが、国家の命令に逆らえば刑事罰や行政処分が待っている。どちらを選ぶかは、火を見るより明らかだ。さらに悪いことに、後述する法律には「協力したことを秘密にする義務」まで組み込まれている。つまり発注側は、情報が抜かれたことにすら気づけない。
NDAは「性善説のアクセス制御」に近い。相手を信じて鍵を渡す設計だ。だが中国の法律は、その相手の頭上に「拒否できない上位権限」を持つ第三者(国家)を置いてしまう。監査ログにも残らず、通知も来ない。これは設計として無防備すぎる。
危険の正体は「5つの法律」が連動する網
中国のデータ関連法は、単独ではなく互いに補い合って一枚の網を作っている。国家安全を最優先する「総体的国家安全観」という理念のもと、次の5つがかみ合っている。まずは全体像を押さえよう。
| 法律 | 施行 | エンジニアに効く核心 |
| 国家情報法 | 2017年 | 個人も企業も、国の情報活動への協力を拒めない(第7条) |
| サイバーセキュリティ法 | 2017年 | データの国内保存義務と、当局への技術支援義務(第28条) |
| データセキュリティ法 | 2021年 | データの国外持ち出しを国家が審査・管理(第2条で域外適用) |
| 個人情報保護法(PIPL) | 2021年 | 日本国内での取り扱いにも網がかかる域外適用(第3条) |
| 反スパイ法(改正) | 2023年 | 日常の業務データ収集がスパイ行為と認定されうる(第4条) |
その1 国家情報法 — 「協力を拒めない」というルール
2017年に施行された国家情報法は、この網の中心にある。第7条はこう定める。「いかなる組織および個人も、法に基づき国の情報活動に協力し、その秘密を守らなければならない」。読み方はシンプルだ。中国の国民や企業は、国から情報提供を求められたら拒否できない。そして協力した事実を口外することも禁じられる。
さらに国家の情報活動は国内外で行うとされており、海外にいる中国籍の人にも波及しうる。日本にいる中国籍のエンジニアであっても、法律の建前上は協力を求められる対象になりうる、ということだ。ここが、日本の常識で考えると見落としやすい落とし穴になる。
例えば、
日本企業
│
├─ 中国の開発会社
│ │
│ ├─ 中国人SE
│ ├─ 中国国内サーバー
│ └─ 中国国内の管理者
│
└─ 日本企業の本番DB
│
├─ 顧客情報
├─ 契約情報
├─ 銀行口座
└─ システム仕様という構成の場合、
「開発会社との契約で秘密保持契約を結んだから大丈夫」
とは言い切れません。
中国法上の国家情報活動への協力義務と、企業間契約上の守秘義務は別問題だからです。
その2 データセキュリティ法 — 持ち出しを国家が握る
2021年9月に施行されたデータセキュリティ法は、データそのものを国家の管理対象に引き上げた。第2条は、中国の国外でのデータ取り扱いであっても、中国の国家安全や公共の利益を害する場合には責任を追及すると明記しており、域外適用を打ち出している。
エンジニアが特に注意すべきは、中国国内のデータを、当局の承認なしに外国の司法機関や法執行機関へ渡すことを禁じている点だ。これは、多国籍で開発している現場に思わぬ足かせをはめる。違法な国外移転への罰金は最大で1000万元規模とされ、サイバーセキュリティ法の時代より大幅に重くなった。データは「国の資産」だという発想が、条文の隅々ににじんでいる。
国家安全や犯罪捜査のために公安機関・国家安全機関がデータを取得する場合、関係する組織・個人は協力しなければならないという規定があります。
つまり、
日本企業のデータ
↓
中国企業のシステム
↓
中国国内で管理
↓
中国当局からデータ提供要求
↓
中国企業が拒否できるのか？という問題が発生します。
ここは、「中国企業が日本企業との契約を守るか」だけで考えてはいけないポイントです。
その3 サイバーセキュリティ法 — データの国内保存という鎖国
2017年施行のサイバーセキュリティ法は、この一連の流れの起点だ。国が「重要情報インフラ」を指定し、その運営者には一定のデータを中国国内に保存する義務を課す。いわゆるデータのローカライゼーション(国内保存)である。
加えて第28条は、ネットワーク事業者に対し、公安機関や国家安全機関のために技術的な支援と協力を提供せよと定める。つまり、サービス提供者は当局の捜査に協力する義務を負っている。中国国内でデータを扱う限り、そのデータは物理的にも制度的にも「国内に囲い込まれ」、当局の手が届く場所に置かれることになる。
特に以前から問題として指摘されているのが、
公安・国家安全機関に対する技術的支援・協力
です。
つまり、
「うちは単なるソフトウェア開発会社だから国家機関とは関係ない」
という単純な整理はできません。
その4 個人情報保護法(PIPL) — 日本にいても網がかかる
2021年11月に施行された個人情報保護法、通称PIPL(ピーアイピーエル)は、日本の個人情報保護の枠組みと似た顔をしているが、中身はより強い。第3条は、中国国内の人に商品やサービスを提供する目的などがあれば、たとえ処理を行う場所が日本国内であっても中国法が適用されると定めている。これが域外適用だ。
中国国内で集めた個人データを国外へ移転するには、当局の安全評価、認証の取得、または中国版の標準契約の締結といった重い手続きが必要になる。本人の同意も必須だ。重大な違反では、企業に最大5000万元、または前年度売上高の5%という桁違いの過料が科されうる。責任者個人が罰金の対象になる点も見逃せない。なお、2024年には一部の手続きを免除する緩和規定も出ており、実務は少しずつ整理されつつあるが、根っこにある域外適用の強さは変わっていない。
例えば日本企業が、
顧客氏名
住所
電話番号
メールアドレス
銀行口座
担当者
契約情報などを中国の開発会社に渡す場合、
「単なるテストデータだから」
では済まない可能性があります。
中国国内で個人情報を処理する場合だけでなく、中国国外への提供などについても規制があります。
したがって、開発会社に渡すDBについては、
本番データをそのまま渡さない
という設計が非常に重要です。
その5 反スパイ法 — 日常業務がスパイ行為に化ける
2023年7月に施行された改正反スパイ法は、外国企業にとって最も肌感覚で怖い法律かもしれない。旧法の全5章40条から、改正法は全6章71条へと大幅に増えた。核心は第4条で、スパイ行為の定義が「国家の安全と利益に関わる文書、データ、資料、物品」の窃取や不正な提供にまで拡大された点だ。
「国家の安全と利益」という言葉の輪郭が極めて曖昧なため、ごく普通の市場調査、競合分析、本社への業務データ送信までもが、運用次第でスパイ行為とみなされうる。実際、2023年3月に拘束された日本の製薬会社の社員は、2025年7月に懲役3年6か月の実刑判決を受けた。報道によれば、2015年以降に拘束された日本人は少なくとも17人にのぼる。出張者や駐在員そのものがリスクにさらされるという現実を、この法律は突きつけている。
核心 なぜNDAは「紙切れ」になりうるのか
ここまでを踏まえて、冒頭の問いに戻ろう。日本のエンジニアはNDAを信用する。だが中国の法律は、その信用を成り立たせている前提を静かに崩してしまう。理由は3つに整理できる。
- 上位権限の存在。NDAは当事者どうしの約束にすぎない。国家という上位の存在が「情報を出せ」と命じれば、相手はそちらに従うしかない。契約より法律が優先される。
- 秘密保持義務による不可視化。協力した事実を口外できないため、情報が抜かれても発注側には通知が来ない。監査証跡も残らない。検知できない漏えいは、対処のしようがない。
- 域外適用による射程の広さ。相手が日本国内で作業していても、中国籍や中国系である限り、法律の建前上は網の中にいる。「日本法人を経由しているから安心」とは言い切れない。
誤解しないでほしい。NDAが無意味だと言っているのではない。NDAは必要だ。ただしNDAだけでは不十分であり、外国の国家権力による強制の前では上限がある、ということだ。契約という一枚の壁に頼りきるのは、単一障害点(SPOF)に全てを預けるのと同じ危うさがある。
どんな事象で問題が表面化するのか
抽象論だけでは危機感は湧かない。実際の開発現場で、どんな瞬間にこのリスクが牙をむくのか。ありがちなシナリオを並べる。
- 本番環境の顧客個人データに、オフショアの担当者が「開発のため」という名目でアクセスできる設定になっていた。最小権限の原則が守られていない典型だ。
- ソースコードや設計書、認証情報が中国国内のサーバーに保存され、当局の求めがあれば提出されうる状態にあった。
- 委託先のエンジニアが中国国内で当局から情報提供を求められ、NDAがあっても法律上は拒めなかった。発注側は最後まで気づかない。
- 中国国内で集めたデータが国内保存義務でロックされ、日本側がプロジェクト撤退時に自由に持ち出せなくなった。
- 仕様確認のため中国へ出張した自社社員が、反スパイ法の嫌疑で拘束され、プロジェクト全体が停止した。
どれも、悪意ある相手を前提としていない点に注目してほしい。まっとうな相手でも、法律に強制されれば同じ結果になる。だから守り方も、相手を疑うのではなく「構造で守る」方向に切り替える必要がある。
発注リストに中国系企業があったら確認すべきこと
外部発注の候補に中国のエンジニアや中国系のシステム会社が入っている場合、契約前に最低限これだけは確認したい。ポイントは、金融系のシステム設計でおなじみの「障害の隔離」「最小権限」「監査証跡」という発想をそのまま持ち込むことだ。
| 確認項目 | なぜ効くか(エンジニア視点) |
| 準拠法と裁判管轄 | どの国の法律で契約を解釈するかを日本法にできるか。中国法が優先される余地を契約に残さない。 |
| 実際の作業国と作業者の所在 | 日本法人経由でも、実作業が中国国内なら中国法が及ぶ。名義ではなく実態を確認する。 |
| データ保存の物理的な場所 | どのサーバーの、どの国のリージョンに置かれるか。国内保存義務との衝突を避ける。 |
| アクセス権の範囲(最小権限) | 委託先が本番データや個人情報に触れる必要が本当にあるか。渡さずに済むものは渡さない。 |
| 監査証跡(ログ)の取得可否 | 誰がいつ何にアクセスしたかを発注側が追えるか。追えない環境は原則として避ける。 |
| 再委託の可否と連鎖 | 二次請け三次請けで、管理の届かない相手にデータが渡らないか。連鎖を契約で縛る。 |
| 個人情報の匿名化と仮名化 | 生データを渡さず、個人を識別できない形にできないか。漏れても被害を最小化する。 |
| 終了後のデータ返却と破棄 | 成果物と一緒にデータが残り続けないか。返却・破棄の方法と報告を契約に明記する。 |
誤解してはいけない — 「中国系のすべてが問題」ではない
ここは強調しておきたい。本稿は特定の国籍の人を疑えという話では断じてない。優れた中国のエンジニアはたくさんいるし、真剣にセキュリティに投資している中国系の会社もある。問題は人ではなく、その人すら逆らえない法制度と、不透明な運用にある。
だから正しい姿勢は「中国系だから排除する」ではない。「どんな委託先が相手でも、最小権限とデータの隔離、監査証跡で構造的に守る」ことだ。これは差別ではなく、純粋なリスク管理である。相手の善意に頼るのではなく、善意が裏切られても被害が広がらない設計にしておく。金融系のシステムで当たり前にやっている「フォールトアイソレーション(障害の隔離)」の考え方を、委託先選定にも適用するだけだ。相手を信頼することと、信頼に全てを賭けることは違う。
各法律の名称、施行時期、条文の要旨は公開情報にもとづく。国家情報法は2017年施行で第7条に協力義務。データセキュリティ法は2021年9月施行で域外適用。サイバーセキュリティ法は2017年施行でデータ国内保存と第28条の協力義務。個人情報保護法(PIPL)は2021年11月施行で第3条の域外適用。改正反スパイ法は2023年7月施行で全6章71条。日本の製薬会社社員が2023年に拘束され2025年7月に実刑判決を受けた事案、2015年以降に日本人が少なくとも17人拘束されたという報道も、公表された事実である。
「NDAが無力になりうる」という表現は、法律が最悪の形で運用された場合を想定した注意喚起であり、すべての委託が必ず危険という意味ではない。個別の契約で中国法がどこまで実際に優先されるかはケースバイケースであり、専門的な判断が必要になる。重要な発注では、必ず国際取引に詳しい弁護士や専門家に相談してほしい。
現役エンジニアの結論
中国のシステム関連法は、国家安全を最優先する理念のもとで、データと人を国家の管理下に置く仕組みになっている。NDAという私人間の約束は、その前では上限を持つ。だからこそ、契約書一枚に安心を預けるのではなく、渡すデータを最小化し、アクセスを絞り、ログで見張り、いざというときに被害を隔離できる構造を先に作っておく。
これは中国に限った話ではなく、あらゆる外部発注に通じる原則だ。ただ、法律で協力が強制され、しかもそれが秘密にされる国が相手のときは、原則の重みが一段跳ね上がる。個人情報も、会社の利益も、そして一度失えば取り戻せない信用も、守れるのは事前の設計だけだ。発注のハンコを押す前に、もう一度このチェックリストを開いてほしい。