PIPL i praksis: Hvad udenlandske virksomheder faktisk skal gøre

En produktchef i Berlin skubber en funktionsopdatering. Et vækstteam i London kører en kampagne gennem et Shanghai-bureau. En SaaS-udbyder i Singapore gemmer stille og roligt kundesupportudskrifter, der inkluderer navne, telefonnumre og ID-fragmenter af brugere i Chengdu. Ingen af ​​disse hold opfatter sig selv som opererende i Kina. De er alle, med henblik på loven om beskyttelse af personlige oplysninger, behandlere af kinesiske personoplysninger - og alle er inden for rammerne.

Tre år efter, at loven om beskyttelse af personlige oplysninger trådte i kraft, har reguleringsbilledet sat sig nok til, at "vi venter på at se, hvordan det ryster ud" ikke længere er en forsvarlig holdning. Cyberspace Administration of China har udstedt gennemførelsesforanstaltninger, revideret dem og præciseret tærskler. Udenlandske virksomheder har nu nok signal til at opbygge en brugbar compliance baseline. Dette stykke beskriver, hvordan denne baseline ser ud i praksis.

Den ekstraterritoriale trigger undervurderer de fleste hold

PIPL gælder for behandling i Kina, og - kritisk - for behandling uden for Kina, der er rettet mod enkeltpersoner i Kina med det formål at levere produkter eller tjenester eller analysere deres adfærd. Udarbejdelsen er bred og bevidst. En forbruger-app tilgængelig på mandarin i en global app-butik, et B2C-websted, der sender til fastlandsadresser, en analysepipeline, der segmenterer brugere efter kinesisk by: hver er en plausibel trigger.

Den praktiske konsekvens er, at omfanget sjældent er et rent ja eller nej. Det er et spørgsmål om, hvilke produktlinjer, hvilke brugerkohorter, og hvilke datasæt der sidder inden for lovens rækkevidde. Den første compliance-opgave er derfor ikke at udarbejde en fortrolighedserklæring. Det er kortlægningsdata: identificere, hvor kinesiske personlige oplysninger kommer ind i dine systemer, hvor de gemmes, hvem der rører ved dem, og hvor de forlader dem. Indtil det kort eksisterer, er enhver downstream-kontrol gætværk.

Samtykke: lovligt grundlag, ikke et afkrydsningsfelt

PIPL beskrives ofte som et samtykkestyret regime, og i udenlandske bestyrelseslokaler bliver dette oversat til "tilføj et afkrydsningsfelt". Det undersælger forpligtelsen. PIPL anerkender adskillige lovmæssige grundlag - kontraktmæssig nødvendighed, lovbestemt pligt, HR-administration, offentlig interesse og andre - men samtykke forbliver arbejdshesten, og loven sætter en høj standard for, hvad der tæller.

Samtykke under PIPL skal være informeret, frivilligt og eksplicit. Hvor behandlingen involverer følsomme personoplysninger (finansielle konti, helbred, biometriske data, personoplysninger om mindreårige under 14 år, lokalitetssporing og lignende kategorier) eller grænseoverskridende overførsel, kræves separat samtykke. "Separat" betyder præcis det: en særskilt, specifik aftalehandling, ikke et afsnit begravet i en accept af generelle vilkår.

En brugbar samtykkearkitektur for udenlandske virksomheder omfatter generelt:

1. En lagdelt meddelelse, der på almindeligt kinesisk angiver processorens identitet, kategorierne af personlige oplysninger, formålene, opbevaringsperioden og brugerens rettigheder.
2. Granulære skift for følsomme behandlingskategorier og til markedsføring, adskilt fra kernetjenestegodkendelsen.
3. En særskilt grænseoverskridende samtykkestrøm, der navngiver den oversøiske modtager, destinationens jurisdiktion og formålet med overførslen.
4. En tilbagetrækningsmekanisme, der er lige så nem at bruge som den oprindelige samtykkestrøm, uden mørke mønstre.
5. En revisionslog, der pr. bruger registrerer, hvad der blev givet samtykke til, hvornår og mod hvilken version af meddelelsen.

Det sidste point betyder mere, end holdene forventer. Regulatorer og modparter beder i stigende grad om beviser, ikke påstande.

Grænseoverskridende overførsel: tre ruter, én beslutning

Flytning af kinesiske personlige oplysninger offshore er det område, hvor udenlandske virksomheder oftest opdager, at deres eksisterende arkitektur ikke overholder kravene. PIPL giver tre hovedmekanismer, forfinet af efterfølgende CAC-foranstaltninger:- CAC-sikkerhedsvurdering. Obligatorisk for operatører af kritisk informationsinfrastruktur, for processorer, der håndterer personlige oplysninger over foreskrevne mængdetærskler og for overførsler af "vigtige data". Dette er en regeringsledet gennemgang, ikke en selvcertificering.

• Standard Contractual Clauses (Kina SCC'er). En skabelonkontrakt mellem den kinesiske eksportør og den oversøiske modtager, indgivet til det provinsielle CAC sammen med en konsekvensvurdering for beskyttelse af personlige oplysninger. Velegnet til mellemvolumen overførsler under vurderingstærsklerne.
• Certificering til beskyttelse af personlige oplysninger. Udstedt af CAC-akkrediterede organer. I praksis er denne rute mest nyttig til koncerninterne overførsler inden for multinationale selskaber.

2024-lempelserne indførte undtagelser for visse overførsler i lavt volumen, overførsler, der er nødvendige for at udføre en kontrakt med den enkelte (grænseoverskridende e-handel, rejsebestillinger, visumansøgninger) og HR-overførsler, der er nødvendige for grænseoverskridende ansættelsesledelse. Disse undtagelser er reelle, men snævre. De aktiverer mængdetællinger, på arten af ​​den kontraktlige nødvendighed og på, om der er tale om følsomme personoplysninger. At behandle en dispensation som en permanent kropsholdning uden periodisk gennemgang er en almindelig fejl.

Uanset hvilken vej der gælder, kræver enhver grænseoverskridende overførsel en konsekvensvurdering af beskyttelsen af ​​personoplysninger - dokumenteret, opbevaret i mindst tre år og opdateret, når behandlingen ændres væsentligt.

Den realistiske compliance baseline

For en udenlandsk virksomhed af moderat størrelse, der håndterer kinesiske brugerdata, ser en forsvarlig baseline nogenlunde sådan ud:

• Et datakort, der dækker alle kinesiske personlige informationsstrømme, opdateret mindst årligt.
• En kinesisk-sproget privatlivsmeddelelse og en samtykkearkitektur, der skelner generelt, følsomt og grænseoverskridende samtykke.
• En udpeget repræsentant eller enhed i Kina, hvor det kræves, med kontaktoplysninger offentliggjort.
• En valgt grænseoverskridende overførselsmekanisme - vurdering, SCC'er eller certificering - med den underliggende konsekvensanalyse på arkivet.
• Leverandørens omhu, der dækker enhver videregående processor, der rører ved dataene, inklusive cloud- og analyseudbydere.
• En hændelsesprocedure, der opfylder PIPL's forventninger til underretning til både regulatorer og berørte personer.
• Intern træning af produkt-, ingeniør- og marketingteams om, hvad der udløser en ny konsekvensanalyse.

Intet af dette er eksotisk. Det er i store træk den samme disciplin, som et modent GDPR-program allerede praktiserer, med kinesisk-specifikke overlejringer om samtykkegranularitet, grænseoverskridende ansøgninger og sprog.

Hvor udenlandske hold typisk tager fejl

Tre mønstre går igen. For det første, at behandle PIPL som en oversættelsesøvelse på en GDPR-meddelelse - de to regimer overlapper hinanden, men divergerer med hensyn til samtykke, om grænseoverskridende mekanik og om statens rolle. For det andet, hvis det antages, at fordi data hostes uden for Kina, gælder PIPL ikke; ekstraterritorialitet er reglen, ikke undtagelsen. For det tredje, at forlade den grænseoverskridende ansøgning, indtil en regulator eller en kinesisk kommerciel modpart beder om det, hvorefter tidslinjen ikke længere er din at kontrollere.

Navnlig CAC-sikkerhedsvurderingsruten er ikke en proces, der belønner forberedelse i sidste øjeblik. SCC-ansøgninger er hurtigere, men kræver stadig en korrekt dokumenteret konsekvensvurdering bag dem.

Kinas overholdelse af databeskyttelse er i sidste ende et spørgsmål om operationel modenhed snarere end juridisk klogskab. Reglerne er kendte. Omkostningerne ved at ignorere dem - håndhævelsesforanstaltninger, blokerede overførsler, tabte kommercielle aftaler med kinesiske partnere, som nu selv stiller spørgsmålene - bliver mere og mere konkrete.

For udenlandske teams, der har brug for PRC-kvalificeret rådgivning om en specifik overførselsstruktur, samtykkestrøm eller arkivering, parrer Serene Jades kinesisk advokat dig med en advokat på fastlandet og Hongkong, der er godkendt af en advokat.

Ofte stillede spørgsmål

Har vi brug for en kinesisk enhed bare for at indgive SCC'er? Ikke nødvendigvis. Den kinesiske eksportør under SCC'erne er den, der har de personlige oplysninger i Kina - det kan være dit lokale datterselskab, en joint venture-partner eller en kinesisk platform, du opererer igennem. Hvis du slet ikke er tilstede, bliver spørgsmålet, om du skal udpege en udpeget repræsentant i henhold til PIPL artikel 53.Tæller afsendelse af data til Hongkong som en grænseoverskridende overførsel? Ja. Til PIPL-formål behandles Hong Kong som uden for det kinesiske fastland, så overførsler dertil kræver en af ​​de tre mekanismer eller en gyldig undtagelse, på samme måde som overførsler til London eller Frankfurt.

Kan vi stole på den kontraktmæssige nødvendighedsfritagelse for vores SaaS-kundedata? Kun hvis overførslen reelt er nødvendig for at opfylde den kontrakt, den enkelte har indgået - for eksempel ved at opfylde en ordre, de har afgivet. B2B SaaS-overførsler af slutbrugerdata, analyser og de fleste markedsføringstilfælde falder uden for det og kræver SCC'er, certificering eller vurdering.