1．中国M&Aにおけるデータデューデリジェンスの重要性

　近時、中国のM&Aにおいて、データ法令のリスクが注目されるようになり、データ法令に特化したデューデリジェンス（以下、「データDD」という）の重要性が高まっている。

　その背景として、デジタル経済の発展に伴って、企業の価値に占めるデータ資産の価値の比重が大きくなっていること、データ法令によりデータの利活用が制限される場合、買収目的の達成や取引価値の算定に影響を及ぼしうること、企業が保有するデータ量やサイバー攻撃が増加するにつれて、データ法令の違反による訴訟の提起や高額の過料を科される事例が現れ始めたことなどといった理由が考えられる。

　例えば、中国での高額の過料の事例として、2022年7月、中国国家インターネット情報弁公室が、サイバーセキュリティ法、データセキュリティ法、個人情報保護法（以下、総称して「データ三法」という）に基づいて中国の配車サービス大手の滴滴出行（DiDi）に約1600億円の過料を科したことは記憶に新しい。

　このように、中国のデータ法令は違反に対するサンクションが厳しく、民事訴訟、行政処罰、刑事処罰の法的リスクが生じうる。個人情報保護法の場合、重大な違反に対しては、5000万元以下又は前年度の売上高の100分の5以下の過料や、業務の停止、許認可の取消し、責任者の処罰等を科される可能性があるため、特に注意を要する。

　このため、対象会社のデータの利活用を主な目的として買収を行う際、対象会社が機微性の高いデータを保有している場合や、機微性の高いデータの多い産業（例えば、自動車、金融、医薬、通信等の分野）に属している場合には、取引に際してデータDDを行うことがより重要になる。

　そこで、本稿では、中国におけるデータDDの実施方法、主な調査ポイント、取引における留意点について解説する。

2．データDDの実施方法

（1）概説

　データDDにおいては、（1）データのライフサイクルごとのデータ法令の遵守状況、（2）データ法令の遵守体制、（3）データ法令に関するインシデントや行政処罰の状況等を精査する。

（2）調査対象となるデータの把握

　データ資産は、知的財産権と異なり、権利の明確性や公示性が乏しく、調査対象のデータ資産を明確にするため、対象会社の保有するデータ資産の棚卸し（いわゆるデータマッピング）を行う必要がある。具体的には、データの取扱業務ごとに、データの種類（重要データや核心データに該当するか、個人情報やセンシティブ個人情報に該当するか）、データのライフサイクル（収集、保存、使用、加工、伝送、提供、削除）における取扱態様を明らかにする必要がある。

　注意すべき重要な規制として、データの越境移転規制と中国域内保存規制（いわゆるデータローカライゼーション規制）が挙げられる。中国域内で収集、生み出したデータを中国域外へ伝送、保存する場合だけでなく、中国域外から中国域内のデータへのアクセスなどがある場合にも越境移転規制が問題となるため、データマッピングにおいては、取り扱うデータが、どこの国や地域のクラウドやデータサーバーに保存されているか、中国域内で保存されているデータに対して中国域外からのアクセスが生じうるかを明らかにすることが重要である。

　また、個人情報の数量によっては、越境提供のセキュリティ評価義務（注1）、中国域内保存義務、責任者の指定・公開・報告義務が発生するため、個人情報の数量を明らかにする必要があり、特に、ホテル、教育、EC、物流、航空、小売等の企業では顧客の個人情報の数量が多くなるため注意する必要がある。なお、個人情報の数量には、会社の従業員の個人情報も含まれる。

（3）検討対象法令の範囲

■筆者プロフィール■