बर्लिन में एक उत्पाद प्रबंधक एक फीचर अपडेट को आगे बढ़ा रहा है। लंदन में एक विकास टीम शंघाई एजेंसी के माध्यम से एक अभियान चलाती है। सिंगापुर में एक SaaS प्रदाता चुपचाप ग्राहक सहायता प्रतिलेख संग्रहीत करता है जिसमें चेंगदू में उपयोगकर्ताओं के नाम, फोन नंबर और आईडी टुकड़े शामिल होते हैं। इनमें से कोई भी टीम खुद को चीन में सक्रिय नहीं मानती। ये सभी, व्यक्तिगत सूचना संरक्षण कानून के प्रयोजनों के लिए, चीनी व्यक्तिगत जानकारी के प्रोसेसर हैं - और ये सभी दायरे में हैं।
व्यक्तिगत सूचना संरक्षण कानून प्रभावी होने के तीन साल बाद, नियामक तस्वीर इतनी व्यवस्थित हो गई है कि "हम यह देखने के लिए इंतजार कर रहे हैं कि यह कैसे सुलझता है" अब बचाव योग्य मुद्रा नहीं है। चीन के साइबरस्पेस प्रशासन ने कार्यान्वयन उपाय जारी किए हैं, उन्हें संशोधित किया है और सीमाएं स्पष्ट की हैं। विदेशी व्यवसायों के पास अब व्यावहारिक अनुपालन आधार रेखा बनाने के लिए पर्याप्त संकेत हैं। यह टुकड़ा बताता है कि व्यवहार में वह आधार रेखा कैसी दिखती है।
अलौकिक ट्रिगर को अधिकांश टीमें कम आंकती हैं
पीआईपीएल चीन के अंदर प्रसंस्करण पर लागू होता है, और - गंभीर रूप से - चीन के बाहर प्रसंस्करण पर जो उत्पादों या सेवाओं को प्रदान करने, या उनके व्यवहार का विश्लेषण करने के उद्देश्य से चीन में व्यक्तियों को लक्षित करता है। प्रारूपण व्यापक और जानबूझकर किया गया है। वैश्विक ऐप स्टोर पर मंदारिन में उपलब्ध एक उपभोक्ता ऐप, एक बी2सी वेबसाइट जो मुख्य भूमि के पते पर भेजी जाती है, एक एनालिटिक्स पाइपलाइन जो उपयोगकर्ताओं को चीनी शहर के आधार पर विभाजित करती है: प्रत्येक एक प्रशंसनीय ट्रिगर है।
व्यावहारिक परिणाम यह है कि गुंजाइश शायद ही कभी साफ हां या ना में होती है। यह सवाल है कि कौन सी उत्पाद श्रृंखलाएं, कौन से उपयोगकर्ता समूह, और कौन से डेटासेट कानून की पहुंच के भीतर हैं। इसलिए पहला अनुपालन कार्य गोपनीयता नोटिस का मसौदा तैयार करना नहीं है। यह डेटा की मैपिंग है: यह पहचानना कि चीनी व्यक्तिगत जानकारी आपके सिस्टम में कहां प्रवेश करती है, कहां संग्रहीत है, कौन इसे छूता है और कहां छोड़ता है। जब तक वह मानचित्र मौजूद नहीं है, प्रत्येक डाउनस्ट्रीम नियंत्रण अनुमान है।
सहमति: वैध आधार, चेकबॉक्स नहीं
पीआईपीएल को अक्सर सहमति-आधारित व्यवस्था के रूप में वर्णित किया जाता है, और विदेशी बोर्डरूम में इसका अनुवाद "टिक-बॉक्स जोड़ें" में किया जाता है। यह दायित्व को कम करके बेचता है। पीआईपीएल कई वैध आधारों को मान्यता देता है - संविदात्मक आवश्यकता, वैधानिक कर्तव्य, मानव संसाधन प्रशासन, सार्वजनिक हित, और अन्य - लेकिन सहमति ही काम की चीज बनी हुई है, और कानून जो मायने रखता है उसके लिए एक उच्च मानक निर्धारित करता है।
पीआईपीएल के तहत सहमति सूचित, स्वैच्छिक और स्पष्ट होनी चाहिए। जहां प्रसंस्करण में संवेदनशील व्यक्तिगत जानकारी (वित्तीय खाते, स्वास्थ्य, बायोमेट्रिक डेटा, 14 वर्ष से कम उम्र के नाबालिगों की व्यक्तिगत जानकारी, स्थान ट्रैकिंग और समान श्रेणियां) या सीमा पार स्थानांतरण शामिल है, वहां अलग से सहमति की आवश्यकता होती है। "पृथक" का बिल्कुल यही मतलब है: समझौते का एक विशिष्ट, विशिष्ट कार्य, न कि सामान्य शर्तों की स्वीकृति के अंदर छिपा हुआ कोई पैराग्राफ।
विदेशी व्यवसायों के लिए एक व्यावहारिक सहमति वास्तुकला में आम तौर पर शामिल हैं:
- एक स्तरित नोटिस जिसमें स्पष्ट चीनी भाषा में प्रोसेसर की पहचान, व्यक्तिगत जानकारी की श्रेणियां, उद्देश्य, अवधारण अवधि और उपयोगकर्ता के अधिकार बताए गए हैं।
- संवेदनशील प्रसंस्करण श्रेणियों और विपणन के लिए ग्रेन्युलर टॉगल, मुख्य सेवा सहमति से अलग।
- एक विशिष्ट सीमा पार सहमति प्रवाह जो विदेशी प्राप्तकर्ता, गंतव्य क्षेत्राधिकार और हस्तांतरण के उद्देश्य का नाम देता है।
- एक निकासी तंत्र जिसका उपयोग करना मूल सहमति प्रवाह जितना ही आसान है, बिना किसी गहरे पैटर्न के।
- एक ऑडिट लॉग जो प्रति उपयोगकर्ता रिकॉर्ड करता है कि नोटिस के किस संस्करण के लिए, कब और क्या सहमति दी गई थी।
अंतिम बिंदु टीमों की अपेक्षा से अधिक मायने रखता है। नियामक और प्रतिपक्ष दावे नहीं, बल्कि सबूत मांग रहे हैं।
सीमा पार स्थानांतरण: तीन मार्ग, एक निर्णय
चीनी व्यक्तिगत जानकारी को विदेश ले जाना वह क्षेत्र है जहां विदेशी व्यवसायों को अक्सर पता चलता है कि उनकी मौजूदा संरचना गैर-अनुपालक है। पीआईपीएल तीन प्रमुख तंत्र प्रदान करता है, जिन्हें बाद के सीएसी उपायों द्वारा परिष्कृत किया गया है:- सीएसी सुरक्षा मूल्यांकन। महत्वपूर्ण सूचना अवसंरचना ऑपरेटरों के लिए, निर्धारित वॉल्यूम सीमा से ऊपर व्यक्तिगत जानकारी को संभालने वाले प्रोसेसर के लिए, और "महत्वपूर्ण डेटा" के हस्तांतरण के लिए अनिवार्य है। यह सरकार द्वारा संचालित समीक्षा है, स्व-प्रमाणन नहीं।
- मानक संविदात्मक खंड (चीन एससीसी)। चीनी निर्यातक और विदेशी प्राप्तकर्ता के बीच एक टेम्पलेट अनुबंध, व्यक्तिगत सूचना सुरक्षा प्रभाव मूल्यांकन के साथ प्रांतीय सीएसी के साथ दायर किया गया। मूल्यांकन सीमा से नीचे मध्य-मात्रा हस्तांतरण के लिए उपयुक्त।
- व्यक्तिगत सूचना सुरक्षा प्रमाणन। सीएसी-मान्यता प्राप्त निकायों द्वारा जारी किया गया। व्यवहार में यह मार्ग बहुराष्ट्रीय कंपनियों के भीतर अंतर-समूह स्थानांतरण के लिए सबसे उपयोगी है।
2024 की छूटों में कुछ कम मात्रा वाले स्थानांतरण, व्यक्ति के साथ अनुबंध करने के लिए आवश्यक स्थानांतरण (सीमा पार ई-कॉमर्स, यात्रा बुकिंग, वीज़ा आवेदन), और सीमा पार रोजगार प्रबंधन के लिए आवश्यक मानव संसाधन हस्तांतरण के लिए छूट की शुरुआत की गई। ये छूटें वास्तविक हैं लेकिन संकीर्ण हैं। वे वॉल्यूम गणना, संविदात्मक आवश्यकता की प्रकृति, और संवेदनशील व्यक्तिगत जानकारी शामिल है या नहीं, इस पर ध्यान देते हैं। समय-समय पर समीक्षा के बिना किसी छूट को स्थायी मुद्रा मानना एक सामान्य गलती है।
जो भी मार्ग लागू होता है, प्रत्येक सीमा पार हस्तांतरण के लिए व्यक्तिगत सूचना सुरक्षा प्रभाव मूल्यांकन की आवश्यकता होती है - दस्तावेजीकरण, कम से कम तीन वर्षों तक बनाए रखा जाता है, और जब प्रसंस्करण में भौतिक परिवर्तन होता है तो अद्यतन किया जाता है।
यथार्थवादी अनुपालन आधार रेखा
चीनी उपयोगकर्ता डेटा को संभालने वाले मध्यम आकार के विदेशी व्यवसाय के लिए, एक रक्षात्मक आधार रेखा लगभग इस तरह दिखती है:
- सभी चीनी व्यक्तिगत जानकारी प्रवाह को कवर करने वाला एक डेटा मानचित्र, कम से कम सालाना ताज़ा किया जाता है।
- एक चीनी भाषा की गोपनीयता सूचना और एक सहमति वास्तुकला जो सामान्य, संवेदनशील और सीमा पार सहमति को अलग करती है।
- चीन के अंदर एक नामित प्रतिनिधि या इकाई, जहां आवश्यक हो, प्रकाशित संपर्क विवरण के साथ।
- फ़ाइल पर अंतर्निहित प्रभाव मूल्यांकन के साथ एक चुना हुआ सीमा-पार स्थानांतरण तंत्र - मूल्यांकन, एससीसी, या प्रमाणन।
- क्लाउड और एनालिटिक्स प्रदाताओं सहित डेटा को छूने वाले किसी भी आगे के प्रोसेसर को कवर करने वाला विक्रेता परिश्रम।
- एक घटना प्रतिक्रिया प्रक्रिया जो नियामकों और प्रभावित व्यक्तियों दोनों के लिए पीआईपीएल की अधिसूचना अपेक्षाओं को पूरा करती है।
- उत्पाद, इंजीनियरिंग और विपणन टीमों के लिए आंतरिक प्रशिक्षण, जो नए प्रभाव मूल्यांकन को ट्रिगर करता है।
इनमें से कोई भी विदेशी नहीं है. मोटे तौर पर, यह वही अनुशासन है जो एक परिपक्व जीडीपीआर कार्यक्रम पहले से ही अभ्यास कर रहा है, जिसमें सहमति ग्रैन्युलैरिटी, सीमा पार फाइलिंग और भाषा पर चीनी-विशिष्ट ओवरले शामिल हैं।
जहां विदेशी टीमें आम तौर पर गलतियां करती हैं
तीन पैटर्न दोहराए जाते हैं. सबसे पहले, पीआईपीएल को जीडीपीआर नोटिस पर अनुवाद अभ्यास के रूप में मानना - दोनों शासन व्यवस्थाएं ओवरलैप होती हैं लेकिन सहमति, सीमा पार यांत्रिकी और राज्य की भूमिका पर भिन्न होती हैं। दूसरा, यह मानते हुए कि चूंकि डेटा चीन के बाहर होस्ट किया गया है, पीआईपीएल लागू नहीं होता है; बाह्यक्षेत्रीयता नियम है, अपवाद नहीं। तीसरा, जब तक कोई नियामक या चीनी वाणिज्यिक प्रतिपक्ष इसकी मांग नहीं करता, तब तक सीमा पार फाइलिंग को छोड़ देना, जिसके बाद समयरेखा पर आपका नियंत्रण नहीं रहेगा।
विशेष रूप से सीएसी सुरक्षा मूल्यांकन मार्ग ऐसी प्रक्रिया नहीं है जो अंतिम समय की तैयारी को पुरस्कृत करती है। एससीसी फाइलिंग तेज़ हैं लेकिन फिर भी उनके पीछे उचित रूप से प्रमाणित प्रभाव मूल्यांकन की आवश्यकता होती है।
चीन डेटा गोपनीयता अनुपालन, अंततः, कानूनी चतुराई के बजाय परिचालन परिपक्वता का प्रश्न है। नियम जानने योग्य हैं. उन्हें नज़रअंदाज करने की कीमत - प्रवर्तन कार्रवाई, अवरुद्ध स्थानांतरण, चीनी भागीदारों के साथ खोए हुए वाणिज्यिक सौदे जो अब खुद सवाल पूछते हैं - तेजी से ठोस हो रहा है।
विदेशी टीमों के लिए जिन्हें विशिष्ट स्थानांतरण संरचना, सहमति प्रवाह, या फाइलिंग पर पीआरसी-योग्य सलाह की आवश्यकता होती है, सेरेन जेड की [चीनी वकील] (/ उत्पाद / चीनी-वकील) सेवा आपको बार-प्रवेशित मुख्य भूमि और हांगकांग वकील के साथ जोड़ती है।
अक्सर पूछे जाने वाले प्रश्न
क्या हमें केवल एससीसी दाखिल करने के लिए चीन की इकाई की आवश्यकता है? जरूरी नहीं. एससीसी के तहत चीनी निर्यातक वह है जो चीन के अंदर व्यक्तिगत जानकारी रखता है - वह आपकी स्थानीय सहायक कंपनी, एक संयुक्त उद्यम भागीदार, या एक चीनी मंच हो सकता है जिसके माध्यम से आप काम करते हैं। यदि आपकी कोई उपस्थिति नहीं है, तो सवाल यह उठता है कि क्या आपको पीआईपीएल अनुच्छेद 53 के तहत एक नामित प्रतिनिधि नियुक्त करना चाहिए।क्या हांगकांग को डेटा भेजना सीमा पार स्थानांतरण के रूप में गिना जाता है? हाँ. पीआईपीएल उद्देश्यों के लिए हांगकांग को मुख्य भूमि चीन के बाहर माना जाता है, इसलिए वहां स्थानांतरण के लिए लंदन या फ्रैंकफर्ट में स्थानांतरण के समान तीन तंत्रों में से एक या वैध छूट की आवश्यकता होती है।
क्या हम अपने SaaS ग्राहक डेटा के लिए संविदात्मक आवश्यकता छूट पर भरोसा कर सकते हैं? केवल वहीं जहां व्यक्ति द्वारा किए गए अनुबंध को पूरा करने के लिए स्थानांतरण वास्तव में आवश्यक है - उदाहरण के लिए, उनके द्वारा दिए गए आदेश को पूरा करना। अंतिम-उपयोगकर्ता डेटा, विश्लेषण और अधिकांश विपणन उपयोग के मामलों का B2B SaaS स्थानांतरण इसके बाहर आता है और इसके लिए SCCs, प्रमाणन या मूल्यांकन की आवश्यकता होती है।