Ένας διαχειριστής προϊόντων στο Βερολίνο προωθεί μια ενημέρωση λειτουργιών. Μια ομάδα ανάπτυξης στο Λονδίνο διεξάγει μια καμπάνια μέσω ενός πρακτορείου της Σαγκάης. Ένας πάροχος SaaS στη Σιγκαπούρη αποθηκεύει αθόρυβα μεταγραφές υποστήριξης πελατών που περιλαμβάνουν ονόματα, αριθμούς τηλεφώνου και τμήματα ταυτότητας χρηστών στο Τσενγκντού. Καμία από αυτές τις ομάδες δεν πιστεύει ότι δραστηριοποιείται στην Κίνα. Όλοι αυτοί είναι, για τους σκοπούς του Νόμου για την Προστασία Προσωπικών Πληροφοριών, επεξεργαστές κινεζικών προσωπικών πληροφοριών — και όλοι τους εμπίπτουν στο πεδίο εφαρμογής.
Τρία χρόνια αφότου τέθηκε σε ισχύ ο Νόμος για την Προστασία Προσωπικών Δεδομένων, η ρυθμιστική εικόνα έχει σταθεροποιηθεί αρκετά ώστε το "περιμένουμε να δούμε πώς θα ξεφύγει" δεν είναι πλέον μια υπερασπιστή στάση. Η Διοίκηση Κυβερνοχώρου της Κίνας έχει εκδώσει εκτελεστικά μέτρα, τα αναθεώρησε και διευκρίνισε τα κατώτατα όρια. Οι ξένες επιχειρήσεις έχουν πλέον αρκετό σήμα για να δημιουργήσουν μια λειτουργική βάση συμμόρφωσης. Αυτό το κομμάτι καθορίζει πώς φαίνεται αυτή η γραμμή βάσης στην πράξη.
Το εξωεδαφικό έναυσμα υποτιμούν οι περισσότερες ομάδες
Το PIPL ισχύει για την επεξεργασία εντός της Κίνας και — κρίσιμα — για την επεξεργασία εκτός Κίνας που στοχεύει άτομα στην Κίνα με σκοπό την παροχή προϊόντων ή υπηρεσιών ή την ανάλυση της συμπεριφοράς τους. Η σύνταξη είναι ευρεία και σκόπιμη. Μια εφαρμογή καταναλωτών διαθέσιμη στα Mandarin σε ένα παγκόσμιο κατάστημα εφαρμογών, ένας ιστότοπος B2C που αποστέλλεται σε διευθύνσεις της ηπειρωτικής χώρας, ένας αγωγός αναλυτικών στοιχείων που τμηματοποιεί τους χρήστες ανά πόλη της Κίνας: το καθένα είναι μια εύλογη ενεργοποίηση.
Η πρακτική συνέπεια είναι ότι το πεδίο εφαρμογής σπάνια είναι ένα καθαρό ναι ή όχι. Είναι ζήτημα ποιες σειρές προϊόντων, ποιες κοόρτες χρηστών και ποια σύνολα δεδομένων βρίσκονται εντός της εμβέλειας του νόμου. Ως εκ τούτου, η πρώτη εργασία συμμόρφωσης δεν είναι η σύνταξη ειδοποίησης απορρήτου. Πρόκειται για δεδομένα χαρτογράφησης: προσδιορίζει πού εισέρχονται κινεζικές προσωπικές πληροφορίες στα συστήματά σας, πού αποθηκεύονται, ποιος τα αγγίζει και πού φεύγει. Μέχρι να υπάρξει αυτός ο χάρτης, κάθε έλεγχος κατάντη είναι εικασία.
Συναίνεση: νόμιμη βάση, όχι πλαίσιο ελέγχου
Το PIPL περιγράφεται συχνά ως καθεστώς συναίνεσης και σε ξένες αίθουσες συνεδριάσεων αυτό μεταφράζεται σε "προσθήκη πλαισίου ελέγχου". Αυτό υποτιμά την υποχρέωση. Η PIPL αναγνωρίζει πολλές νόμιμες βάσεις — συμβατική αναγκαιότητα, καταστατικό καθήκον, διοίκηση ανθρώπινου δυναμικού, δημόσιο συμφέρον και άλλες — αλλά η συναίνεση παραμένει το πλεονέκτημα και ο νόμος θέτει υψηλά πρότυπα για το τι μετράει.
Η συγκατάθεση σύμφωνα με το PIPL πρέπει να είναι ενημερωμένη, εθελοντική και ρητή. Όταν η επεξεργασία περιλαμβάνει ευαίσθητες προσωπικές πληροφορίες (οικονομικοί λογαριασμοί, υγεία, βιομετρικά δεδομένα, προσωπικά στοιχεία ανηλίκων κάτω των 14 ετών, παρακολούθηση τοποθεσίας και παρόμοιες κατηγορίες) ή διασυνοριακή μεταφορά, απαιτείται ξεχωριστή συγκατάθεση. Το "ξεχωριστό" σημαίνει ακριβώς αυτό: μια ξεχωριστή, συγκεκριμένη πράξη συμφωνίας, όχι μια παράγραφος που είναι θαμμένη μέσα σε μια αποδοχή γενικών όρων.
Μια λειτουργική αρχιτεκτονική συναίνεσης για ξένες επιχειρήσεις περιλαμβάνει γενικά:
- Μια πολυεπίπεδη ειδοποίηση που αναφέρει, σε απλά κινέζικα, την ταυτότητα του επεξεργαστή, τις κατηγορίες προσωπικών πληροφοριών, τους σκοπούς, την περίοδο διατήρησης και τα δικαιώματα του χρήστη.
- Ευκρινείς εναλλαγές για ευαίσθητες κατηγορίες επεξεργασίας και για μάρκετινγκ, διαχωρισμένες από τη συγκατάθεση βασικής υπηρεσίας.
- Μια ξεχωριστή διασυνοριακή ροή συναίνεσης που ονομάζει τον παραλήπτη στο εξωτερικό, τη δικαιοδοσία προορισμού και τον σκοπό της μεταφοράς.
- Ένας μηχανισμός απόσυρσης που είναι τόσο εύκολος στη χρήση όσο και η αρχική ροή συναίνεσης, χωρίς σκούρα μοτίβα.
- Ένα αρχείο καταγραφής ελέγχου που καταγράφει, ανά χρήστη, σε τι συναίνεσε, πότε και σε ποια έκδοση της ειδοποίησης.
Ο τελευταίος βαθμός έχει μεγαλύτερη σημασία από ό,τι περιμένουν οι ομάδες. Οι ρυθμιστικές αρχές και οι αντισυμβαλλόμενοι ζητούν όλο και περισσότερο αποδεικτικά στοιχεία, όχι ισχυρισμούς.
Διασυνοριακή μεταφορά: τρία δρομολόγια, μία απόφαση
Η μεταφορά κινεζικών προσωπικών πληροφοριών στην υπεράκτια είναι η περιοχή όπου οι ξένες επιχειρήσεις ανακαλύπτουν συχνότερα ότι η υπάρχουσα αρχιτεκτονική τους δεν συμμορφώνεται. Το PIPL παρέχει τρεις κύριους μηχανισμούς, οι οποίοι βελτιώθηκαν με τα επόμενα μέτρα CAC:- Αξιολόγηση ασφάλειας CAC. Υποχρεωτικό για χειριστές υποδομής πληροφοριών ζωτικής σημασίας, για επεξεργαστές που χειρίζονται προσωπικές πληροφορίες πάνω από τα προβλεπόμενα όρια όγκου και για μεταφορές "σημαντικών δεδομένων". Αυτή είναι μια κυβερνητική κριτική, όχι μια αυτοπιστοποίηση.
- Τυπικές συμβατικές ρήτρες (SCC της Κίνας). Ένα πρότυπο σύμβασης μεταξύ του Κινέζου εξαγωγέα και του αποδέκτη του εξωτερικού, που κατατέθηκε στην επαρχιακή CAC μαζί με μια εκτίμηση επιπτώσεων στην προστασία των προσωπικών πληροφοριών. Κατάλληλο για μεταφορές μεσαίου όγκου κάτω από τα όρια αξιολόγησης.
- Πιστοποίηση προστασίας προσωπικών δεδομένων. Εκδίδεται από διαπιστευμένους από την CAC φορείς. Στην πράξη αυτή η διαδρομή είναι πιο χρήσιμη για ενδοομιλικές μεταφορές εντός πολυεθνικών.
Οι χαλαρώσεις του 2024 εισήγαγαν εξαιρέσεις για ορισμένες μεταφορές χαμηλού όγκου, μεταφορές απαραίτητες για την εκτέλεση σύμβασης με το άτομο (διασυνοριακό ηλεκτρονικό εμπόριο, ταξιδιωτικές κρατήσεις, αιτήσεις βίζας) και μεταφορές ανθρώπινου δυναμικού που είναι απαραίτητες για τη διασυνοριακή διαχείριση της απασχόλησης. Αυτές οι εξαιρέσεις είναι πραγματικές αλλά περιορισμένες. Ενεργοποιούν τις μετρήσεις όγκου, για τη φύση της συμβατικής αναγκαιότητας και για το εάν εμπλέκονται ευαίσθητες προσωπικές πληροφορίες. Η αντιμετώπιση μιας εξαίρεσης ως μόνιμη στάση χωρίς περιοδική επανεξέταση είναι ένα κοινό λάθος.
Όποια διαδρομή και αν ισχύει, κάθε διασυνοριακή μεταφορά απαιτεί αξιολόγηση επιπτώσεων στην προστασία των προσωπικών πληροφοριών — τεκμηριωμένη, διατηρημένη για τουλάχιστον τρία χρόνια και ενημερωμένη όταν αλλάξει ουσιαστικά η επεξεργασία.
Η ρεαλιστική γραμμή βάσης συμμόρφωσης
Για μια ξένη επιχείρηση μέτριου μεγέθους που χειρίζεται δεδομένα Κινέζων χρηστών, μια αξιόπιστη γραμμή βάσης μοιάζει περίπου με αυτό:
- Ένας χάρτης δεδομένων που καλύπτει όλες τις κινεζικές ροές προσωπικών πληροφοριών, που ανανεώνεται τουλάχιστον ετησίως.
- Μια σημείωση απορρήτου στην κινεζική γλώσσα και μια αρχιτεκτονική συναίνεσης που διακρίνει τη γενική, την ευαίσθητη και τη διασυνοριακή συναίνεση.
- Ορισμένος αντιπρόσωπος ή οντότητα εντός της Κίνας, όπου απαιτείται, με δημοσιευμένα στοιχεία επικοινωνίας.
- Ένας επιλεγμένος μηχανισμός διασυνοριακής μεταφοράς — αξιολόγηση, SCC ή πιστοποίηση — με την υποκείμενη εκτίμηση επιπτώσεων στο αρχείο.
- Επιμέλεια προμηθευτή που καλύπτει οποιονδήποτε επόμενο επεξεργαστή αγγίζει τα δεδομένα, συμπεριλαμβανομένων των παρόχων cloud και αναλυτικών στοιχείων.
- Μια διαδικασία απόκρισης συμβάντων που ανταποκρίνεται στις προσδοκίες ειδοποίησης της PIPL τόσο προς τις ρυθμιστικές αρχές όσο και προς τα επηρεαζόμενα άτομα.
- Εσωτερική εκπαίδευση για ομάδες προϊόντων, μηχανικής και μάρκετινγκ σχετικά με το τι ενεργοποιεί μια νέα εκτίμηση επιπτώσεων.
Τίποτα από αυτά δεν είναι εξωτικό. Είναι, σε γενικές γραμμές, η ίδια πειθαρχία που εφαρμόζει ήδη ένα ώριμο πρόγραμμα GDPR, με επικαλύψεις ειδικά για τα κινεζικά σχετικά με την ευαισθησία συναίνεσης, τις διασυνοριακές καταθέσεις και τη γλώσσα.
Όπου οι ξένες ομάδες συνήθως το κάνουν λάθος
Τρία μοτίβα επαναλαμβάνονται. Πρώτον, η αντιμετώπιση του PIPL ως άσκησης μετάφρασης σε μια ειδοποίηση GDPR - τα δύο καθεστώτα επικαλύπτονται αλλά αποκλίνουν ως προς τη συναίνεση, τη διασυνοριακή μηχανική και τον ρόλο του κράτους. Δεύτερον, υποθέτοντας ότι επειδή τα δεδομένα φιλοξενούνται εκτός Κίνας, το PIPL δεν ισχύει. η εξωεδαφικότητα είναι ο κανόνας, όχι η εξαίρεση. Τρίτον, αφήστε τη διασυνοριακή κατάθεση έως ότου το ζητήσει μια ρυθμιστική αρχή ή ένας κινέζος εμπορικός αντισυμβαλλόμενος, οπότε το χρονοδιάγραμμα δεν είναι πλέον δικό σας για έλεγχο.
Η διαδρομή αξιολόγησης ασφάλειας CAC ειδικότερα δεν είναι μια διαδικασία που ανταμείβει την προετοιμασία της τελευταίας στιγμής. Οι αρχειοθετήσεις SCC είναι ταχύτερες, αλλά εξακολουθούν να απαιτούν μια σωστά τεκμηριωμένη εκτίμηση επιπτώσεων πίσω από αυτές.
Η συμμόρφωση με το απόρρητο των δεδομένων της Κίνας είναι, τελικά, ζήτημα επιχειρησιακής ωριμότητας και όχι νομικής εξυπνάδας. Οι κανόνες είναι γνωστοί. Το κόστος της αγνόησής τους - μέτρα επιβολής, μπλοκαρισμένες μεταφορές, χαμένες εμπορικές συμφωνίες με Κινέζους εταίρους που τώρα θέτουν οι ίδιοι τις ερωτήσεις - γίνεται όλο και πιο συγκεκριμένο.
Για ξένες ομάδες που χρειάζονται συμβουλές πιστοποιημένες από τη ΛΔΚ σχετικά με μια συγκεκριμένη δομή μεταγραφής, ροή συναίνεσης ή κατάθεση, η υπηρεσία [Κινέζος Δικηγόρος](/προϊόντα/Κινέζος δικηγόρος) της Serene Jade σάς συνδυάζει με δικηγόρο που είναι δεκτός στην ηπειρωτική χώρα και το Χονγκ Κονγκ.
Συχνές ερωτήσεις
Χρειαζόμαστε μια οντότητα της Κίνας μόνο για την υποβολή SCC; Όχι απαραίτητα. Ο Κινέζος εξαγωγέας βάσει των SCC είναι όποιος κατέχει τις προσωπικές πληροφορίες εντός της Κίνας — μπορεί να είναι η τοπική θυγατρική σας, ένας συνεργάτης σε κοινοπραξία ή μια κινεζική πλατφόρμα μέσω της οποίας δραστηριοποιείτε. Εάν δεν έχετε καθόλου παρουσία, τίθεται το ερώτημα εάν πρέπει να ορίσετε έναν εξουσιοδοτημένο εκπρόσωπο σύμφωνα με το άρθρο 53 του PIPL.Η αποστολή δεδομένων στο Χονγκ Κονγκ υπολογίζεται ως διασυνοριακή μεταφορά; Ναι. Για τους σκοπούς της PIPL, το Χονγκ Κονγκ αντιμετωπίζεται ως εκτός της ηπειρωτικής Κίνας, επομένως οι μεταφορές εκεί απαιτούν έναν από τους τρεις μηχανισμούς ή έγκυρη εξαίρεση, στην ίδια βάση με τις μεταφορές στο Λονδίνο ή τη Φρανκφούρτη.
Μπορούμε να βασιστούμε στην εξαίρεση συμβατικής αναγκαιότητας για τα δεδομένα πελατών SaaS; Μόνο όπου η μεταβίβαση είναι πραγματικά απαραίτητη για την εκτέλεση της σύμβασης που έχει συνάψει το άτομο — για παράδειγμα, εκπλήρωση μιας παραγγελίας που υπέβαλε. Οι μεταφορές B2B SaaS δεδομένων τελικού χρήστη, τα αναλυτικά στοιχεία και οι περισσότερες περιπτώσεις χρήσης μάρκετινγκ δεν εμπίπτουν σε αυτές και χρειάζονται SCC, πιστοποίηση ή αξιολόγηση.