「データ越境移転に関わるセキュリティ評価弁法」が2022年9月1日より実施

上海ハイウェイス法律事務所の法律相談事例！連載 ～第45回～

法律物語

法定代表者が「高額消費禁止令」を受けた場合は、逃げ道はあるのか?

A 社と B 社は契約に関する紛争で訴訟による解決を求め、最終的に B 社が勝訴した。しかし、A 社が確定判決を履行しなかっ たため、B 社は強制執行を申請した。W 氏が A 社の法定代表者であったため、B 社は W 氏を「高額消費禁止リスト」に追加する ことを申請した。2019 年、A 社の法定代表者が W 氏から Z 氏に変更され、その後、W 氏は裁判所に高額消費禁止令の解除を 申請した(詳細は、(2020)粤 01 執復 349 号を参照)。

一般的に法定代表者が高額消費禁止令を受けた後、工商変更登録を行い、法定代表者を他人に変更すること自体に問題は ない。但し、そのような場合、新しい法定代表者に高額消費禁止令が下されるのか、また元法定代表者に対する高額消費禁止 令は解除されるのかという点が問題となる。

『執行債務者への高額消費及び関連消費の禁止に関する最高人民法院の若干規定』第 3 条第2項には、「執行債務者が企 業である場合、高額消費禁止措置を課された後、執行債務者及びその法定代表者、主要責任者、債務履行に影響を与える直 接責任者、及び実質的支配者は前項で規定された行為(注:第1項に規定された 9 種の高額消費及び生活上・業務上必要では ない消費行為を指す)を行ってはならない。」と規定している。

以上の規定から鑑みて、変更後の新しい法定代表者が高額消費禁止令の対象となることは間違いない。

それでは、それに伴い元法定代表者は高額消費禁止令の解除を申請することができるか?

答えは定かではない。

現行規定において、『執行における善意文明の執行理念の一層強化に関する最高人民法院の意見』第 17 条には、「執行債 務者である企業が高額消費を制限された後、その法定代表者、主要責任者が経営管理上の確かな必要性に基づき変更を行 い、元法定代表者、主要責任者がその個人本人に対する高額消費禁止措置の解除を申請する場合、本人が会社の実質的支 配者ではないこと、債務履行に影響を与える直接責任者ではないことを立証しなければならない。人民法院は審査により事実 であることが認められた場合、高額消費禁止措置の解除申請を認可し、変更後の法定代表者、主要責任者に対して法に従い 高額消費禁止措置をとる。」と規定している。当該規定によると、元法定代表者は、その個人本人に対する高額消費禁止措置 の解除を申請する場合、立証責任を負う。つまり、法定代表者が変更されたとしても、元法定代表者に対する高額消費禁止措 置が解除できるとは限らないのだ。

また、司法実務において、裁判所毎に上述の規定の適用ルールが異なる。以下では、北京、上海、広州を例に説明する。

北京の裁判所は、全体的に見て元法定代表者に「友好的」である。例えば、北京高級裁判所は、「S は LS 会社の法定代表者 ではなくなったため、LS 社に対する高額消費禁止措置の対象とならない。S に対する消費制限措置を解除すべきである」と判断 した。(詳細は、(2019)京執复 210 号、(2019)京執复 129 号等を参照)。北京市中級裁判所は基本的には同じ観点を示しており、 「法定代表者変更後、元法定代表者に対する高額消費禁止措置は行わない」と判断した。( (2020)京 01 執異 32 号、(2020)京02 執異 206 号、(2020)京 03 執复 107 号等)。

それに対し、上海の裁判所は元法定代表者に対する規定の適用に厳格である。「元法定代表者は、本人が会社経営に関与 しておらず、実質的支配者ではないことを証明できる場合にのみ、元法定代表者に対する高額消費禁止令を解除できる」として いる。ある典型的な案例においても、上海市中級裁判所は「債権成立及び訴訟過程で、当時の法定代表者に対して高額消費 禁止の執行措置をとることが、不適切とは言えない。元法定代表者は裁判所に証拠を提供し、正常な営業活動において法定 代表者の変更が必要であることを証明しなければならない。」と指摘した(詳細は(2021)滬 01 執复 348 号を参照)。

広東の裁判所の見解は以下の通りだ。「執行債務者である企業の法定代表者が変更された後、元法定代表者は従来通り の法定代表者の地位にないので、当該元法定代表者に対して高額消費禁止措置を講じるべきではない。但し、当該元法定代 表者が上述の規定でいう直接責任者又は実質的支配者に該当する場合はその限りではない。」(詳細は、(2019)粤執复 946 号 を参照)。この見解は、上海の裁判所に近いと思われる。

従って、関連事案が発生した場合は、当事者は関連地区の実務観点や要求を確認し、相応の対策を講じることをが望まし い。

最後に、注意すべきことは、裁判所によって、元法定代表者を確定する時点において、その見解にバラつきがあることだ。訴訟 に係る契約の締結時点をもって法定代表者主体を確定すべきと判断する裁判所(例えば、(2019)滬 01 執复 136 号、(2019)粤執 复 152 号)、裁判所の審理時点をもって法定代表者主体を確定すべきとする裁判所などがある(例えば、(2019)蘇執复 61 号)。

実務検討

フラットフォームの「セーフハーバー」が消えているか?

『譚談交通』というビデオが各プラットフォームから削除されたというニュースが注目を浴びている。インターネット権利侵害事 件において、権利者は権利保護措置を講じるが、その一方でプラットフォームに責任を追及することも多い。

米国「デジタルミレニアム著作権法」に由来する「セーフハーバールール」は、ネットワークプラットフォームのためのセーフハー バーを構築した。つまり、明らかな権利侵害行為を無視し、相応の措置を取らない場合を除いて、ネットワークプラットフォームは 「セーフハーバールール」に基づき免責とすることができる。

近年、立法と司法における変化は、ネットワークプラットフォームの「セーフハーバー」は縮小を示している。つまり、ネットワー クプラットフォームの「セーフハーバー」が絶対的に安全な存在ではなくなったと言える。

 立法の角度からみると、ネットワークサービス提供者に対する要求は「通知-削除」から「通知-必要な措置」、義務は単一 的なものから多様的なもの、単純なものから複雑なものがある。

2006 年 7 月 1 日から施行されている『情報ネットワーク伝播権保護条例』によると、ネットワークサービス提供者は権利者から 通知を受けた後、直ちに権利侵害製品を削除し、リンクを切断する義務、いわゆる「通知-削除」義務を負う。

『権利侵害責任法』が 2010 年 7 月 1 日に施行後、ネットワークサービス提供者の義務は、削除、ブロック、リンク切断など必要 な措置を講じること、即ち「通知-必要な措置」義務に拡充された。「など」という表現により、ネットワークサービス提供者の義務 は「決められた」ものではなく、「一部の列挙」であることを示しており、権利侵害製品の削除とリンクの切断だけに止まらない。そ の後『電子商取引法』(2019 年 1 月 1 日施行)により、ネットワークサービス提供者が講じるべき必要な措置の種類が、さらにアッ

プグレードされ、取引とサービスの終了についても追加された。

最後に、2021 年 1 月 1 日より施行されている『民法典』は、『電子商取引法』と『権利侵害責任法』の規定を織り込み、法典によ りネットワークプラットフォームの「通知-必要な措置」という「セーフハーバールール」の原則"の内包を固定した。

司法実務からみて、「セーフハーバールール」によって責任を負う必要がないことを主張できる余地が小さくなっている。具 体的には、

第一に、瑕疵通知の効力が認められている点だ。

2012 年浙江泛亜電子商務有限公司と北京百度網訊科技有限公司、百度在線網絡技術(北京)有限公司の著作権侵害紛争 案件において、最高裁判所は、「著作権者である泛亜会社はその作品について詳細に把握しており、検索エンジンサービス 提供者が権利侵害リンクを正確にブロックする適切な情報を提供できる条件を備えている。弁護士の公文書によると、泛亜 会社は歌手の名前については提供していない。歌の名前だけでは正確なフィルタリングの効果を達成できないのは明らかなた め、被告が適時に合理的な措置を講じず、権利侵害リンクを切断しなかったことによって起こった結果に対して、自ら相応の責任 を負うものとする。」と認定した。その時、裁判所は「ネットワークサービス提供者が「通知-削除」義務を履行することは、権利者 が正確な権利侵害リンクを提供し、通知内容において明確的かつ具体的な要求を示したことを前提とする。」と判断したと考えら れる。

2021 年北京愛奇芸科技有限公司が北京字節跳動科技有限公司を訴えた『延禧攻略』の情報ネットワーク伝播権侵害事件に おいて、愛奇芸会社は字節会社に対して 20 通以上の警告状・弁護士書簡を送り、このドラマの権利帰属、放送プラットフォー ム、放送計画などを通知した。北京の裁判所は「上述の手紙の内容だけでは、字節会社に対して権利侵害に係る全てのショート ビデオを直ちに削除する義務を履行させることはできない。しかし、字節会社はプロのショートビデオプラットフォームの経営者と して、ユーザーの権利侵害行為に合理的かつ充分な関心を寄せ、大規模又は深刻な権利侵害による影響を制止・予防する必 要があり、上記の手紙の内容瑕疵のみを理由に、完全に無視するような態度をとるべきではない。」と判断した。

第二に、「必要な措置」が、事後の削除遮断から事前のフィルタリング遮断に拡張し、形式的要件から実質的要件まで満た す点だ。

2013 年広東中凱知的財産サービス有限公司と凌源市情報ネットワーク管理センター、中国共産党凌源市委員会弁公室の著 作権侵害紛争事件において、最高裁判所は、「中凱サービス会社は、凌源情報センターによりリンクを張られたサイトの権利侵 害を認識していた、又は認識すべきだったかに関わらず、検索やリンクサービスを提供したことを立証しなかった。中凱サービス 会社のクレームを受けた後、凌源情報センターはリンクを張られたサイトとのリンクを切断したため、権利侵害責任を負う必要が ない」と判断した。2014 年北京中青文文化伝媒有限公司等の著作権帰属、権利侵害紛争案件において、北京の高級裁判所 は、「ネットワークサービス提供者はその作品がベストセラーであるか否かの情報を得るルートがない。仮にその作品がベストセ ラーであることを認識したとしても、ネットサービス提供者に対して、限られた情報に基いたキーワードを設定し、さらにブロッやク フィルタリングする義務を与えることは、合理的な情報の伝播を妨げ、情報の交流と共有に不利になる。」と指摘した。

2021 年深圳市テンセントコンピュータシステム有限公司、テンセント科技(北京)有限公司、重慶テンセン情報技術有限公司が 北京微播視界科技有限公司、重慶天極魅客科技有限公司を訴えた訴訟の前の著作権侵害差止請求の仮処分命令を申し立て た案件において、重慶の中級裁判所は北京微播会社に対して、「闘羅大陸」のアニメ作品の情報ネットワーク伝播権を侵害する 全ての動画を、アプリ「抖音」から削除するための、かつユーザーがアップロード・伝播した「闘羅大陸」のアニメ作品の情報ネット ワーク伝播権を侵害する動画をフィルタリング・遮断するための有効な措置を講じるよう命令した。

上述の『延禧攻略』の情報ネットワーク伝播権案件において、裁判所は、「字節会社は、ユーザーがアプリ「今日頭条」を通じ て、字節会社の情報記憶空間と情報フロー推薦サービスを利用して、『延禧攻略』の情報ネットワーク伝播権の侵害行為を実施 したことを認識していたはずである場合、削除、ブロックなどの措置を確実に実施しており、法による相応の措置を講じるという要 求を満たしている。しかし、本件証拠による実際の処理結果から見て、その時に字節会社が取った措置は、明らかな権利侵害を 有効に制止・予防するという実質的要求には合致しない。本件において字節会社が講じた関連措置は「必要充分」な程度に達し ていないと認定すべきである。」と判断したのは偶然ではない。

技術の進歩に伴い、ネットワークプラットフォームの「セーフハーバー」は消えつつあるようだ。削除、ブロック、リンク切断以外 に、ネットサービス提供者は自主的審査、フィルタリング、遮断などの義務を負う。「セーフハーバー」のおかげで「枕を高くして眠 ることができる」という時代はもう二度と戻ってこない。

立法動向

「データ越境移転に関わるセキュリティ評価弁法」が2022年9月1日より実施

『データ越境移転に関わるセキュリティ評価弁法』(以下『弁法』という)は2022年5月19日に公布されており、2022年9月1 日 より施行される。外資企業の場合、海外の関連企業とデータに関わるやり取りを行うことがが多いため、規定違反を避けるには、 特に『弁法』の関連規定に注意を払わなければならない。以下は『弁法』のポイントを説明する。

1.評価の対象

「弁法」第2条によれば、データ処理者が中国域内にて業務上収集・作成した重要データ及び個人情報を域外に提供する場 合、法律、行政法規に別途定めのある場合を除き、本弁法の規定に従い、セキュリティー評価を実施しなければならない。

つまり、個人情報と重要データに限り、越境移転する前に自社または当局でセキュリティ評価を実施すれば越境移転は可能と なる。また、実務において「域外に提供する」とは、以下の何れかの状況に該当する場合を指す。1係るデータを中国の域外に移 転し保存する。→ネットによる転送又は持ち出し。2中国域内にあるデータベースのアクセス情報又はポートを域外の主体に提 供する。→検索機能又はダウンロード機能。

2.越境移転に先立つ自己セキュリティー評価

「弁法」第5条によれば、データ処理者が域外へのデータ提供を申告する前に、越境リスクを自ら評価しなければならないとされ ている。重点的に評価する必要がある項目は以下の通りである。

①データの越境及び域外の受領者がデータを処理する目的、範囲、方式等の合法性、正当性、必要性

②越境データの規模、範囲、種類、センシティブの程度、越境データが国家安全、公共利益、個人あるいは組織の合法権益に もたらすリスク

③域外の受領者が果たすべき責任義務を承諾しており、責任義務を履行する管理及び技術措置、能力等が、データ越境のセ キュリティーを保障できるかどうか

④データ越境中及び越境後の漏洩、既存、改ざん、 濫用等のリスク、個人が個人情報権益を保護する方法が整備されている かどうか

⑤域外の受領者と締結したデータ越境に関する契約又はその他の法的効力を有する文書(以下、「法的文書」と総称する)がデータセキュリティー保護責任義務について十分に約定しているかどうか

⑥その他データ越境のセキュリティー問題に影響を与え得る事項 本条にいう「データ処理者」とは、特に限定されていないことから、重要データや個人情報を越境移転させようとするすべてのデ

ータ処理者を指すものと考えられる。よって、社員の個人情報を日本の本社に送るだけで顧客やユーザーの個人情報に関して 取り扱わない場合でも、セキュリティ評価を実施しなければならない。

3. 当局が行うセキュリティ評価

「弁法」第4条によれば、データ処理者が域外にデータを提供するにあたり、以下のいずれかの事情に該当する場合、所在地 の省レベルのインターネット情報部門を通じてCACにデータ越境セキュリティー 評価を申請しなければならない。

①重要データを域外に提供する場合

②重要情報インフラ運営者又は100万を満たす個人情報を処理する情報処理者が域外に個人情報を提供する場合

③前年度1月1日より、域外に提供した個人情報が累計10万人以上である場合又はセンシティブ個人情報が累計1万人以上で あるデータ処理者が域外に個人情報を提供する場合

④CACが規定するその他申請を必要とするデータ越境セキュリティー評価の情況

よって、特定の条件に該当する場合に限り、 自社でセキュリティ評価を実施した上で、さらにインターネット情報部門によるセ キュリティ評価を受けなければならない。CACによるセキュリティ評価は、現地法人等が所在する地域の省レベルのインターネッ ト情報部門を通じて申請する。

4.当局によるセキュリティー評価の申請手続き

「弁法」第6条によれば、セキュリティー評価申請の場合には、以下の材料を提出しなければならない。1申請書。2データ越 境リスクの自己評価報告、3データ処理者が域外受領者と締結した契約或いはその他の法律効力を有する文書等。4セキュリ ティー評価に必要なその他の材料

又、セキュリティ評価に必要な期間については、「弁法」第12条によれば、CACが書面による受理通知書をデータ処理者に発 行した日から45営業日以内にデータ越境キュリティー評価を完成されるものとし、状況が複雑な場合、又は補充・校正材料が必 要な場合は、延長することができるとされている。また、キュリティー評価結果は、書面形式でデータ処理者に通知するものとし ている。

なお、「弁法」第6条によれば、データ処理者は、評価結果に対して異議がある場合、評価結果を受け取った日から15営業日 以内にCACに再評価を申請することができる。再評価結果が最終的な結論となるとされている。

5.当局によるセキュリティ評価のチェック項目

「弁法」第8条によれば、CACは、データ越境活動が国家安全、公共利益、個人あるいは組織の合法的な権益にリスクを与え る可能性があるかどうかに焦点があてられ、主として以下の事項を中心にセキュリティー評価を行う。

①データ越境の目的、範囲、方式等の合法性、正当性、必要性

②’域外受領者が所在する国家又は地区のデータセキュリティー保護政策法規及びインターネットセキュリティー環境が越境デ ータのセキュリティーに対する影響及び域外の受領者のデータ保護レベルが中国の法律、行政法規や強行的な国家標準の要求に達しているかどうか

③越境データの規模、範囲、種類、センシティブの程度、越境中及び越境後の改ざん、破壊、漏洩、紛失、移転又は違法に取 得され違法に利用されることなどのリスク

④データセキュリティー及び個人情報権益が十分有効に保障されているかどうか

⑤データ処理者及び越境受領者が締結しようとしている契約において、データセキュリティー保護責任義務について十分な約 定があるかどうか

⑥中国の法律、行政法規、部門規則を遵守しているかどうか

⑦CACが評価に必要と認めるその他の事項

6.データ越境セキュリティー評価結果の有効期間

「弁法」第14条によれば、データ越境セキュリティー評価結果の有効期間は評価結果の発行日から起算し、2年間とし、有効期 間内に以下のいずれかの状況が発生した場合、データ処理者は再度、評価を申請しなければならない。

①域外にデータを提供する目的、方式、範囲、種類及び域外受領者のデータ処理の用途、方式に変更が生じデータのセキ ュリティーに影響を与える、又は個人情報や重要データを域外で保存する期限が延長される場合

②域外受領者の所在する国家や地区のデータセキュリティー保護における法令政策及びインタネットセキュリティー環境に 変化が発生し、又はその他不可抗力が発生した場合、又はデータ処理者又は域外受領者の実際の支配権に変更が生じ た、或いはデータ処理者が域外受領者と交わした法的文書に変更等が生じ越境データのセキュリティーに影響を及ぼす 可能性がある場合

③越境データのセキュリティーに影響を与えうるその他の状況

なお、有効期間が満了となり、元のデータ越境活動を継続して行う必要がある場合、データ処理者は満了前60営業日までに 再度評価を申請しなければならない。

7. 域外受領者との間に締結される契約等法的文書

「弁法」第9条によれば、データ処理者が3域外受領者と締結する法的文書には、データセキュリティー保護責任義務を十分 に約定しているものであり、最低限以下の内容を含むものとされている。

①データ越境の目的、範囲、方式等、受領者のデータ処理の用途、方式等

②データの域外の保存場所、期限及び保存期間及び合意目的が達成された又は法的文書終了した際の越境データの処理 方法

③域外の受領者がその他組織、個人に再移転することを制限する合意条項

④域外受領者が実際の支配権又は経営範囲の実質的な変更や所在する国家や地区のデータセキュリティー保護における 法令政策及びインタネットセキュリティー環境に変化が発生した、又はその他不可抗力によりデータセキュリティーを保障 することが難しくなった場合に講じるべき安全措置

⑤データセキュリティー保護義務に違反した場合の救済措置、違約責任及び争議解決条項

越境データ改ざん、破壊、漏洩、紛失、移転又は違法に取得、利用される等のリスクがある場合、応急処置を行うための 要求、個人による個人情報権益保護に滞りのないルート及び方法を保障すること

---