'n Produkbestuurder in Berlyn stoot 'n kenmerkopdatering. 'n Groeispan in Londen voer 'n veldtog deur 'n Shanghai-agentskap. ’n SaaS-verskaffer in Singapoer stoor rustig klantedienstranskripsies wat die name, telefoonnommers en ID-fragmente van gebruikers in Chengdu insluit. Nie een van hierdie spanne dink dat hulle in China werk nie. Almal van hulle is, vir die doeleindes van die Wet op die Beskerming van Persoonlike Inligting, verwerkers van Chinese persoonlike inligting - en almal van hulle is binne die bestek.
Drie jaar nadat die wet op die beskerming van persoonlike inligting in werking getree het, het die regulatoriese prentjie genoeg gevestig dat "ons wag om te sien hoe dit uitskud" nie meer 'n verdedigbare houding is nie. Die Kuberruimte-administrasie van China het implementeringsmaatreëls uitgereik, dit hersien en drempels uitgeklaar. Buitelandse besighede het nou genoeg sein om 'n werkbare voldoeningsbasislyn te bou. Hierdie stuk sit uiteen hoe daardie basislyn in die praktyk lyk.
Die ekstraterritoriale sneller wat die meeste spanne onderskat
PIPL is van toepassing op verwerking binne China, en - krities - op verwerking buite China wat individue in China teiken met die doel om produkte of dienste te verskaf, of om hul gedrag te analiseer. Die opstel is breed en doelbewus. 'n Verbruikersprogram beskikbaar in Mandaryns op 'n wêreldwye toepassingwinkel, 'n B2C-webwerf wat na vastelandadresse gestuur word, 'n ontledingspyplyn wat gebruikers volgens Chinese stad segmenteer: elkeen is 'n aanneemlike sneller.
Die praktiese gevolg is dat omvang selde 'n skoon ja of nee is. Dit is 'n kwessie van watter produklyne, watter gebruikerskohorte en watter datastelle binne die wet se bereik sit. Die eerste voldoeningstaak is dus nie om 'n privaatheidskennisgewing op te stel nie. Dit is kartering van data: identifiseer waar Chinese persoonlike inligting jou stelsels binnekom, waar dit gestoor word, wie daaraan raak en waar dit vertrek. Totdat daardie kaart bestaan, is elke stroomaf beheer raaiwerk.
Toestemming: wettige basis, nie 'n merkblokkie nie
PIPL word dikwels beskryf as 'n toestemmingsgeleide regime, en in buitelandse raadsale word dit vertaal in "voeg 'n regmerkie by". Dit onderverkoop die verpligting. PIPL erken verskeie wettige basisse - kontraktuele noodsaaklikheid, statutêre plig, HR-administrasie, openbare belang, en ander - maar toestemming bly die werkesel, en die wet stel 'n hoë standaard vir wat tel.
Toestemming onder PIPL moet ingelig, vrywillig en eksplisiet wees. Waar die verwerking sensitiewe persoonlike inligting (finansiële rekeninge, gesondheid, biometriese data, die persoonlike inligting van minderjariges onder 14, liggingopsporing en soortgelyke kategorieë) of oorgrensoorplasing behels, word afsonderlike toestemming vereis. "Afsonderlik" beteken presies dit: 'n duidelike, spesifieke daad van ooreenkoms, nie 'n paragraaf wat in 'n algemene termaanvaarding begrawe is nie.
'n Werkbare toestemmingsargitektuur vir buitelandse besighede sluit gewoonlik in:
- 'n Gelaagde kennisgewing wat, in gewone Chinees, die identiteit van die verwerker, die kategorieë van persoonlike inligting, die doeleindes, die bewaringstydperk en die gebruiker se regte vermeld.
- Korrelwissels vir sensitiewe verwerkingskategorieë en vir bemarking, geskei van die kerndienstoestemming.
- 'n Duidelike oorgrens-toestemmingsvloei wat die oorsese ontvanger, die bestemmingsjurisdiksie en die doel van die oordrag noem.
- 'n Onttrekkingsmeganisme wat so maklik is om te gebruik soos die oorspronklike toestemmingsvloei, met geen donker patrone nie.
- 'n Ouditlogboek wat per gebruiker aanteken waartoe ingestem is, wanneer en teen watter weergawe van die kennisgewing.
Die laaste punt maak meer saak as wat spanne verwag. Reguleerders en teenpartye vra toenemend vir bewyse, nie bewerings nie.
Oorgrensoorplasing: drie roetes, een besluit
Die verskuiwing van Chinese persoonlike inligting oorsee is die gebied waar buitelandse besighede die meeste ontdek dat hul bestaande argitektuur nie voldoen nie. PIPL verskaf drie hoofmeganismes, verfyn deur daaropvolgende CAC-maatreëls:- CAC sekuriteit assessering. Verpligtend vir kritieke inligting infrastruktuur operateurs, vir verwerkers wat persoonlike inligting hanteer bo voorgeskrewe volume drempels, en vir oordragte van "belangrike data". Dit is 'n regering-geleide hersiening, nie 'n self-sertifisering.
- Standaard kontraktuele klousules (China SCC's). 'n Sjabloonkontrak tussen die Chinese uitvoerder en die oorsese ontvanger, ingedien by die provinsiale CAC saam met 'n impakbeoordeling vir persoonlike inligtingbeskerming. Geskik vir middelvolume-oordragte onder die assesseringsdrempels.
- Sertifisering vir beskerming van persoonlike inligting. Uitgereik deur CAC-geakkrediteerde liggame. In die praktyk is hierdie roete die nuttigste vir intra-groep oordragte binne multinasionale ondernemings.
Die 2024-verslappings het vrystellings ingestel vir sekere laevolume-oordragte, oorplasings wat nodig is om 'n kontrak met die individu uit te voer (oorgrens-e-handel, reisbesprekings, visumaansoeke), en HR-oordragte wat nodig is vir oorgrens-werkbestuur. Hierdie vrystellings is werklik maar eng. Hulle skakel volumetellings aan, oor die aard van die kontraktuele noodsaaklikheid, en of sensitiewe persoonlike inligting betrokke is. Die behandeling van 'n vrystelling as 'n permanente postuur sonder periodieke hersiening is 'n algemene fout.
Watter roete ook al van toepassing is, elke oorgrensoorplasing vereis 'n impakbeoordeling van persoonlike inligtingbeskerming - gedokumenteer, vir ten minste drie jaar behou, en bygewerk wanneer die verwerking wesenlik verander.
Die realistiese voldoeningsbasislyn
Vir 'n buitelandse onderneming van matige grootte wat Chinese gebruikersdata hanteer, lyk 'n verdedigbare basislyn min of meer so:
- 'n Datakaart wat alle Chinese persoonlike inligtingvloei dek, ten minste jaarliks verfris.
- 'n Chinees-taal privaatheidskennisgewing en 'n toestemmingsargitektuur wat algemene, sensitiewe en grensoverschrijdende toestemming onderskei.
- 'n Aangewese verteenwoordiger of entiteit binne China, waar nodig, met kontakbesonderhede gepubliseer.
- 'n Gekose oorgrensoordragmeganisme - assessering, SCC's of sertifisering - met die onderliggende impakbeoordeling op lêer.
- Verkoper-ywerigheid wat enige verdere verwerker dek wat die data raak, insluitend wolk- en ontledingsverskaffers.
- 'n Insidentreaksieprosedure wat voldoen aan PIPL se kennisgewingsverwagtinge aan beide reguleerders en geaffekteerde individue.
- Interne opleiding vir produk-, ingenieurs- en bemarkingspanne oor wat 'n vars impakbeoordeling veroorsaak.
Niks hiervan is eksoties nie. Dit is in die breë dieselfde dissipline wat 'n volwasse GDPR-program reeds beoefen, met Sjinees-spesifieke oorleggings oor toestemmingsgranulariteit, grensoverschrijdende indienings en taal.
Waar buitelandse spanne dit gewoonlik verkeerd verstaan
Drie patrone kom terug. Eerstens, die behandeling van PIPL as 'n vertaaloefening op 'n GDPR-kennisgewing - die twee regimes oorvleuel maar verskil oor toestemming, oor grensmeganika en oor die rol van die staat. Tweedens, met die veronderstelling dat omdat data buite China gehuisves word, PIPL nie van toepassing is nie; ekstraterritorialiteit is die reël, nie die uitsondering nie. Derdens, om die grensoverschrijdende liassering te verlaat totdat 'n reguleerder of 'n Chinese kommersiële teenparty daarvoor vra, op watter punt die tydlyn nie meer joune is om te beheer nie.
Veral die CAC-sekuriteitsevalueringsroete is nie 'n proses wat voorbereiding op die laaste minuut beloon nie. SCC-indienings is vinniger, maar vereis steeds 'n behoorlik bewysde impakbeoordeling agter hulle.
Nakoming van dataprivaatheid in China is uiteindelik 'n kwessie van operasionele volwassenheid eerder as wetlike slimmigheid. Die reëls is kenbaar. Die koste om hulle te ignoreer - afdwingingsaksie, geblokkeerde oordragte, verlore kommersiële ooreenkomste met Chinese vennote wat nou self die vrae vra - word toenemend konkreet.
Vir buitelandse spanne wat PRC-gekwalifiseerde advies benodig oor 'n spesifieke oordragstruktuur, toestemmingsvloei of liassering, kombineer Serene Jade se Chinese prokureur diens jou met advokaat op die vasteland en Hongkong wat deur die balie toegelaat word.
Gereelde vrae
Het ons 'n China-entiteit nodig net om SCC's in te dien? Nie noodwendig nie. Die Chinese uitvoerder onder die SCC's is wie ook al die persoonlike inligting in China hou - dit kan jou plaaslike filiaal, 'n gesamentlike ondernemingsvennoot of 'n Chinese platform wees waardeur jy werk. As jy glad nie teenwoordig is nie, word die vraag of jy 'n aangewese verteenwoordiger ingevolge PIPL Artikel 53 moet aanstel.Tel die stuur van data na Hongkong as 'n oorgrensoorplasing? Ja. Vir PIPL-doeleindes word Hong Kong as buite die vasteland van China behandel, so oordragte daar vereis een van die drie meganismes of 'n geldige vrystelling, op dieselfde voet as oordragte na Londen of Frankfurt.
Kan ons staatmaak op die kontraktuele noodsaaklikheidvrystelling vir ons SaaS-kliëntdata? Slegs waar die oordrag werklik nodig is om die kontrak uit te voer wat die individu aangegaan het - byvoorbeeld die uitvoering van 'n bestelling wat hulle geplaas het. B2B SaaS-oordragte van eindgebruikerdata, ontledings en die meeste bemarkingsgebruikgevalle val daarbuite en benodig SCC's, sertifisering of assessering.