বার্লিনে একজন প্রোডাক্ট ম্যানেজার একটি ফিচার আপডেট করছেন। লন্ডনের একটি গ্রোথ টিম সাংহাই এজেন্সির মাধ্যমে একটি প্রচারণা চালায়। সিঙ্গাপুরের একটি SaaS প্রদানকারী নীরবে গ্রাহক সহায়তা প্রতিলিপি সংরক্ষণ করে যাতে চেংদুতে ব্যবহারকারীদের নাম, ফোন নম্বর এবং আইডি টুকরা অন্তর্ভুক্ত থাকে। এই দলগুলোর কোনোটিই নিজেদের চীনে কাজ করছে বলে মনে করে না। এগুলি সবই, ব্যক্তিগত তথ্য সুরক্ষা আইনের উদ্দেশ্যে, চাইনিজ ব্যক্তিগত তথ্যের প্রসেসর - এবং সেগুলি সমস্তই সুযোগের মধ্যে রয়েছে৷
ব্যক্তিগত তথ্য সুরক্ষা আইন কার্যকর হওয়ার তিন বছর পরে, নিয়ন্ত্রক চিত্রটি যথেষ্ট স্থির হয়েছে যে "আমরা এটি কীভাবে কাঁপছে তা দেখার জন্য অপেক্ষা করছি" আর একটি প্রতিরক্ষামূলক ভঙ্গি নয়। চীনের সাইবারস্পেস প্রশাসন বাস্তবায়নের ব্যবস্থা জারি করেছে, সেগুলি সংশোধন করেছে এবং থ্রেশহোল্ডগুলি স্পষ্ট করেছে৷ বিদেশী ব্যবসার কাছে এখন একটি কার্যকরী সম্মতি বেসলাইন তৈরি করার জন্য যথেষ্ট সংকেত রয়েছে। এই অংশটি অনুশীলনে বেসলাইন দেখতে কেমন তা নির্ধারণ করে।
বহির্মুখী ট্রিগার বেশিরভাগ দল অবমূল্যায়ন করে
PIPL চীনের অভ্যন্তরে প্রক্রিয়াকরণের ক্ষেত্রে প্রযোজ্য, এবং - সমালোচনামূলকভাবে - চীনের বাইরে প্রক্রিয়াকরণের জন্য যা পণ্য বা পরিষেবা প্রদানের উদ্দেশ্যে বা তাদের আচরণ বিশ্লেষণের উদ্দেশ্যে চীনের ব্যক্তিদের লক্ষ্য করে। খসড়াটি বিস্তৃত এবং ইচ্ছাকৃত। একটি গ্লোবাল অ্যাপ স্টোরে ম্যান্ডারিনে উপলব্ধ একটি ভোক্তা অ্যাপ, একটি B2C ওয়েবসাইট যা মূল ভূখণ্ডের ঠিকানায় পাঠানো হয়, একটি বিশ্লেষণ পাইপলাইন যা ব্যবহারকারীদেরকে চীনা শহর অনুসারে ভাগ করে: প্রতিটি একটি প্রশংসনীয় ট্রিগার।
ব্যবহারিক ফলাফল হল যে সুযোগ খুব কমই একটি পরিষ্কার হ্যাঁ বা না। কোন পণ্যের লাইন, কোন ব্যবহারকারীর সমগোত্রীয়তা এবং কোন ডেটাসেটগুলি আইনের নাগালের মধ্যে রয়েছে তা একটি প্রশ্ন৷ তাই প্রথম সম্মতির কাজটি একটি গোপনীয়তা বিজ্ঞপ্তির খসড়া তৈরি করা নয়। এটি ডেটা ম্যাপিং: চীনা ব্যক্তিগত তথ্য আপনার সিস্টেমে কোথায় প্রবেশ করে, কোথায় এটি সংরক্ষণ করা হয়, কারা এটি স্পর্শ করে এবং কোথায় এটি ছেড়ে যায় তা চিহ্নিত করা। সেই মানচিত্রটি বিদ্যমান না হওয়া পর্যন্ত, প্রতিটি ডাউনস্ট্রিম নিয়ন্ত্রণ অনুমান কাজ।
সম্মতি: বৈধ ভিত্তি, চেকবক্স নয়
পিআইপিএলকে প্রায়ই সম্মতি-নেতৃত্বাধীন শাসন হিসাবে বর্ণনা করা হয় এবং বিদেশী বোর্ডরুমে এটি "একটি টিক-বক্স যোগ করুন"-এ অনুবাদ করা হয়। যে বাধ্যবাধকতা undersells. পিআইপিএল বেশ কিছু আইনগত ভিত্তিকে স্বীকৃতি দেয় — চুক্তিভিত্তিক প্রয়োজনীয়তা, সংবিধিবদ্ধ শুল্ক, এইচআর প্রশাসন, জনস্বার্থ, এবং অন্যান্য — কিন্তু সম্মতিই রয়ে গেছে কাজের ঘোড়া, এবং আইন যা গণনা করে তার জন্য একটি উচ্চ মান নির্ধারণ করে।
PIPL-এর অধীনে সম্মতি অবশ্যই জানাতে হবে, স্বেচ্ছায় এবং সুস্পষ্ট। যেখানে প্রক্রিয়াকরণে সংবেদনশীল ব্যক্তিগত তথ্য (আর্থিক অ্যাকাউন্ট, স্বাস্থ্য, বায়োমেট্রিক ডেটা, 14 বছরের কম বয়সীদের ব্যক্তিগত তথ্য, অবস্থান ট্র্যাকিং এবং অনুরূপ বিভাগ) বা আন্তঃসীমান্ত স্থানান্তর জড়িত থাকে, আলাদা সম্মতি প্রয়োজন। "পৃথক" মানে ঠিক যে: একটি স্বতন্ত্র, নির্দিষ্ট চুক্তির কাজ, সাধারণ শর্তাবলীর সম্মতির ভিতরে সমাহিত একটি অনুচ্ছেদ নয়।
বিদেশী ব্যবসার জন্য একটি কার্যকর সম্মতি আর্কিটেকচারে সাধারণত অন্তর্ভুক্ত থাকে:
- একটি স্তরবিশিষ্ট নোটিশ যাতে বলা হয়, সাধারণ চীনা ভাষায়, প্রসেসরের পরিচয়, ব্যক্তিগত তথ্যের বিভাগ, উদ্দেশ্য, ধরে রাখার সময়কাল এবং ব্যবহারকারীর অধিকার।
- সংবেদনশীল প্রক্রিয়াকরণ বিভাগ এবং বিপণনের জন্য দানাদার টগল, মূল পরিষেবা সম্মতি থেকে আলাদা।
- একটি স্বতন্ত্র আন্তঃসীমান্ত সম্মতি প্রবাহ যা বিদেশী প্রাপকের নাম, গন্তব্যের এখতিয়ার এবং স্থানান্তরের উদ্দেশ্য।
- একটি প্রত্যাহার প্রক্রিয়া যা মূল সম্মতি প্রবাহের মতোই ব্যবহার করা সহজ, কোন অন্ধকার প্যাটার্ন ছাড়াই।
- একটি অডিট লগ যা রেকর্ড করে, প্রতি ব্যবহারকারী, নোটিশের কোন সংস্করণে, কখন এবং কোনটির বিরুদ্ধে সম্মতি দেওয়া হয়েছিল।
শেষ পয়েন্টটি দলের প্রত্যাশার চেয়ে বেশি গুরুত্বপূর্ণ। নিয়ন্ত্রক এবং প্রতিপক্ষ ক্রমবর্ধমান প্রমাণের জন্য জিজ্ঞাসা করে, দাবি নয়।
আন্তঃসীমান্ত স্থানান্তর: তিনটি রুট, একটি সিদ্ধান্ত
চীনা ব্যক্তিগত তথ্য অফশোরে স্থানান্তর করা হল এমন একটি এলাকা যেখানে বিদেশী ব্যবসাগুলি প্রায়শই আবিষ্কার করে যে তাদের বিদ্যমান আর্কিটেকচার অ-সঙ্গত। PIPL তিনটি প্রধান প্রক্রিয়া প্রদান করে, যা পরবর্তী CAC ব্যবস্থা দ্বারা পরিমার্জিত হয়:- CAC নিরাপত্তা মূল্যায়ন। গুরুত্বপূর্ণ তথ্য অবকাঠামো অপারেটরদের জন্য বাধ্যতামূলক, নির্ধারিত ভলিউম থ্রেশহোল্ডের উপরে ব্যক্তিগত তথ্য পরিচালনাকারী প্রসেসরের জন্য এবং "গুরুত্বপূর্ণ ডেটা" স্থানান্তরের জন্য। এটি একটি সরকার-নেতৃত্বাধীন পর্যালোচনা, একটি স্ব-প্রত্যয়ন নয়।
- স্ট্যান্ডার্ড কন্ট্রাকচুয়াল ক্লজ (চীন SCCs)। চীনা রপ্তানিকারক এবং বিদেশী প্রাপকের মধ্যে একটি টেমপ্লেট চুক্তি, ব্যক্তিগত তথ্য সুরক্ষা প্রভাব মূল্যায়ন সহ প্রাদেশিক CAC-তে দায়ের করা হয়েছে। মূল্যায়ন থ্রেশহোল্ডের নীচে মধ্য-ভলিউম স্থানান্তরের জন্য উপযুক্ত।
- ব্যক্তিগত তথ্য সুরক্ষা শংসাপত্র। CAC-স্বীকৃত সংস্থাগুলি দ্বারা জারি করা হয়েছে। বাস্তবে এই রুটটি বহুজাতিক কোম্পানির মধ্যে আন্তঃগ্রুপ স্থানান্তরের জন্য সবচেয়ে উপযোগী।
2024 শিথিলকরণ কিছু কম-ভলিউম স্থানান্তর, ব্যক্তির সাথে একটি চুক্তি সম্পাদনের জন্য প্রয়োজনীয় স্থানান্তর (ক্রস-বর্ডার ই-কমার্স, ভ্রমণ বুকিং, ভিসা আবেদন) এবং আন্তঃসীমান্ত কর্মসংস্থান ব্যবস্থাপনার জন্য প্রয়োজনীয় এইচআর স্থানান্তরের জন্য ছাড় চালু করেছে। এই ছাড়গুলো বাস্তব কিন্তু সংকীর্ণ। তারা ভলিউম গণনা চালু করে, চুক্তির প্রয়োজনীয়তার প্রকৃতি এবং সংবেদনশীল ব্যক্তিগত তথ্য জড়িত কিনা। পর্যায়ক্রমিক পর্যালোচনা ছাড়া একটি স্থায়ী ভঙ্গি হিসাবে একটি অব্যাহতি চিকিত্সা একটি সাধারণ ত্রুটি.
যে রুটই প্রযোজ্য হোক না কেন, প্রতিটি আন্তঃসীমান্ত স্থানান্তরের জন্য একটি ব্যক্তিগত তথ্য সুরক্ষা প্রভাব মূল্যায়ন প্রয়োজন — নথিভুক্ত, কমপক্ষে তিন বছরের জন্য ধরে রাখা, এবং যখন প্রক্রিয়াকরণ বস্তুগতভাবে পরিবর্তিত হয় তখন আপডেট করা হয়।
বাস্তবসম্মত কমপ্লায়েন্স বেসলাইন
চীনা ব্যবহারকারীর ডেটা পরিচালনার মাঝারি আকারের বিদেশী ব্যবসার জন্য, একটি প্রতিরক্ষাযোগ্য বেসলাইন মোটামুটি এইরকম দেখায়:
- সমস্ত চীনা ব্যক্তিগত তথ্য প্রবাহ কভার করে একটি ডেটা মানচিত্র, অন্তত বার্ষিক রিফ্রেশ করা হয়।
- একটি চীনা-ভাষার গোপনীয়তা বিজ্ঞপ্তি এবং একটি সম্মতি আর্কিটেকচার যা সাধারণ, সংবেদনশীল এবং আন্তঃসীমান্ত সম্মতির পার্থক্য করে।
- চীনের অভ্যন্তরে একটি মনোনীত প্রতিনিধি বা সত্তা, যেখানে প্রয়োজন, যোগাযোগের বিশদ প্রকাশ সহ।
- একটি নির্বাচিত ক্রস-বর্ডার ট্রান্সফার মেকানিজম — মূল্যায়ন, SCC, বা সার্টিফিকেশন — ফাইলে অন্তর্নিহিত প্রভাব মূল্যায়ন সহ।
- ক্লাউড এবং অ্যানালিটিক্স প্রোভাইডার সহ ডেটা স্পর্শ করে এমন কোনও অগ্রবর্তী প্রসেসরকে কভার করে বিক্রেতার অধ্যবসায়৷
- একটি ঘটনা প্রতিক্রিয়া পদ্ধতি যা নিয়ন্ত্রক এবং প্রভাবিত ব্যক্তি উভয়ের কাছে PIPL-এর বিজ্ঞপ্তি প্রত্যাশা পূরণ করে।
- পণ্য, প্রকৌশল এবং বিপণন দলের জন্য অভ্যন্তরীণ প্রশিক্ষণ যা একটি নতুন প্রভাব মূল্যায়ন শুরু করে।
এর কোনোটাই বহিরাগত নয়। এটি, বিস্তৃতভাবে, একই শৃঙ্খলা একটি পরিপক্ক জিডিপিআর প্রোগ্রাম ইতিমধ্যে অনুশীলন করে, সম্মতি গ্রানুলারিটি, ক্রস-বর্ডার ফাইলিং এবং ভাষার উপর চীনা-নির্দিষ্ট ওভারলে সহ।
যেখানে বিদেশী দল সাধারণত ভুল করে
তিনটি নিদর্শন পুনরাবৃত্তি হয়. প্রথমত, জিডিপিআর নোটিশে পিআইপিএল-কে অনুবাদ অনুশীলন হিসাবে বিবেচনা করা — দুটি শাসন ওভারল্যাপ কিন্তু সম্মতিতে, আন্তঃসীমান্ত যান্ত্রিকতা এবং রাষ্ট্রের ভূমিকার উপর ভিন্ন। দ্বিতীয়ত, ধারণা করা হচ্ছে যেহেতু ডেটা চীনের বাইরে হোস্ট করা হয়েছে, পিআইপিএল প্রযোজ্য নয়; বহির্মুখীতা নিয়ম, ব্যতিক্রম নয়। তৃতীয়ত, একটি নিয়ন্ত্রক বা চীনা বাণিজ্যিক কাউন্টারপার্টি এটির জন্য অনুরোধ না করা পর্যন্ত ক্রস-বর্ডার ফাইলিং ছেড়ে দিন, এই বিন্দুতে টাইমলাইনটি আর আপনার নিয়ন্ত্রণে থাকবে না।
বিশেষ করে CAC নিরাপত্তা মূল্যায়ন রুট এমন কোনো প্রক্রিয়া নয় যা শেষ মুহূর্তের প্রস্তুতিকে পুরস্কৃত করে। SCC ফাইলিং দ্রুততর কিন্তু এখনও তাদের পিছনে একটি সঠিকভাবে প্রমাণিত প্রভাব মূল্যায়ন প্রয়োজন।
চীন তথ্য গোপনীয়তা সম্মতি, শেষ পর্যন্ত, আইনি চতুরতার পরিবর্তে অপারেশনাল পরিপক্কতার একটি প্রশ্ন। নিয়ম জ্ঞাত। তাদের উপেক্ষা করার খরচ - প্রয়োগকারী পদক্ষেপ, অবরুদ্ধ স্থানান্তর, চীনা অংশীদারদের সাথে হারিয়ে যাওয়া বাণিজ্যিক চুক্তি যারা এখন নিজেরাই প্রশ্ন জিজ্ঞাসা করে - ক্রমবর্ধমানভাবে কংক্রিট হচ্ছে।
বিদেশী দলগুলির জন্য যাদের একটি নির্দিষ্ট স্থানান্তর কাঠামো, সম্মতি প্রবাহ, বা ফাইলিং সম্পর্কে PRC-যোগ্য পরামর্শের প্রয়োজন, Serene Jade's Chinese Lawyer পরিষেবা আপনাকে বার-ভর্তি মেইনল্যান্ড এবং হংকং কাউন্সেলের সাথে যুক্ত করে।
প্রায়শই জিজ্ঞাসিত প্রশ্ন
শুধু SCC ফাইল করার জন্য কি আমাদের একটি চায়না সত্তার প্রয়োজন? অগত্যা নয়। SCCs-এর অধীনে চাইনিজ রপ্তানিকারক হল যে কেউ চীনের অভ্যন্তরে ব্যক্তিগত তথ্য ধারণ করে — সেটি হতে পারে আপনার স্থানীয় সহায়ক, যৌথ উদ্যোগের অংশীদার, অথবা একটি চীনা প্ল্যাটফর্ম যার মাধ্যমে আপনি কাজ করেন। আপনার যদি একেবারেই উপস্থিতি না থাকে, তাহলে প্রশ্ন হয়ে যায় আপনার PIPL আর্টিকেল 53 এর অধীনে একজন মনোনীত প্রতিনিধি নিয়োগ করা উচিত কিনা।হংকং-এ ডেটা পাঠানো কি ক্রস-বর্ডার ট্রান্সফার হিসেবে গণ্য হয়? হ্যাঁ। পিআইপিএল-এর উদ্দেশ্যে হংকংকে চীনের মূল ভূখণ্ডের বাইরে হিসাবে বিবেচনা করা হয়, তাই সেখানে স্থানান্তরের জন্য লন্ডন বা ফ্রাঙ্কফুর্টে স্থানান্তরের মতো একই পদে তিনটি প্রক্রিয়া বা বৈধ ছাড়ের প্রয়োজন হয়।
আমরা কি আমাদের SaaS গ্রাহকের ডেটার জন্য চুক্তিভিত্তিক প্রয়োজনীয়তা ছাড়ের উপর নির্ভর করতে পারি? শুধুমাত্র যেখানে স্থানান্তর প্রকৃতপক্ষে একজন ব্যক্তির মধ্যে প্রবেশ করা চুক্তি সম্পাদন করার জন্য প্রয়োজনীয় - উদাহরণস্বরূপ, তাদের দেওয়া একটি আদেশ পূরণ করা। B2B SaaS এন্ড-ইউজার ডেটা, অ্যানালিটিক্স এবং বেশিরভাগ মার্কেটিং ব্যবহারের ক্ষেত্রে স্থানান্তর এর বাইরে পড়ে এবং SCC, সার্টিফিকেশন বা মূল্যায়ন প্রয়োজন।