Берлиндегі өнім менеджері мүмкіндік жаңартуын жібереді. Лондондағы өсу тобы Шанхай агенттігі арқылы науқан жүргізеді. Сингапурдағы SaaS провайдері Чэндудағы пайдаланушылардың аттары, телефон нөмірлері және идентификатор фрагменттерін қамтитын тұтынушыларға қолдау көрсету транскрипттерін тыныш сақтайды. Бұл командалардың ешқайсысы өздерін Қытайда жұмыс істейді деп санамайды. Олардың барлығы «Жеке ақпаратты қорғау туралы» заңның мақсаттары үшін қытайлық жеке ақпаратты өңдеушілер болып табылады және олардың барлығы қолданылу аясына жатады.
«Жеке ақпаратты қорғау туралы» заң күшіне енгеннен кейін үш жыл өткен соң, реттеуші сурет жеткілікті түрде шешілді, сондықтан «біз оның қалай сілкінетінін күтеміз» енді қорғалатын ұстаным емес. Қытайдың киберкеңістік әкімшілігі іске асыру шараларын шығарды, оларды қайта қарады және шекті мәндерді нақтылады. Шетелдік бизнесте қазір жарамды сәйкестік негізін құру үшін жеткілікті сигнал бар. Бұл бөлімде бұл базаның іс жүзінде қандай болатыны көрсетілген.
Экстерриториялық триггерді командалардың көпшілігі жете бағаламады
PIPL Қытайдың ішінде өңдеуге, ал ең маңыздысы — өнімдерді немесе қызметтерді ұсыну немесе олардың мінез-құлқын талдау мақсатында Қытайдағы жеке тұлғаларға бағытталған Қытайдан тыс өңдеуге қолданылады. Жобалау кең және әдейі. Жаһандық қолданбалар дүкенінде мандарин тілінде қолжетімді тұтынушы қолданбасы, материктік мекенжайларға жіберілетін B2C веб-сайты, пайдаланушыларды Қытай қаласы бойынша бөлетін аналитикалық құбыр: әрқайсысы ақылға қонымды триггер.
Практикалық нәтиже мынада, ауқым сирек иә немесе жоқ таза болады. Бұл қандай өнім желілері, қандай пайдаланушылар топтары және қандай деректер жиынтығы заңның қол жетімділігінде екендігі туралы мәселе. Сондықтан бірінші сәйкестік міндеті - құпиялылық туралы хабарламаны әзірлеу емес. Бұл деректерді картаға түсіру: қытайлық жеке ақпарат сіздің жүйеңізге қай жерде кіретінін, қайда сақталатынын, оған кім тиетінін және қайда кететінін анықтау. Бұл карта болғанша, әрбір төменгі ағынды басқару болжам болып табылады.
Келісім: құсбелгі емес, заңды негіз
PIPL көбінесе келісімге негізделген режим ретінде сипатталады, ал шетелдік кеңес бөлмелерінде бұл «белгі қосу» деп аударылады. Бұл міндеттемені төмендетеді. PIPL бірнеше заңды негіздерді мойындайды - келісім-шарттық қажеттілік, заңмен белгіленген міндет, кадрларды басқару, қоғамдық мүдде және басқалар - бірақ келісім жұмыс күші болып қала береді және заң маңызды нәрсеге жоғары стандарт қояды.
PIPL бойынша келісім ақпараттандырылған, ерікті және анық болуы керек. Өңдеу құпия жеке ақпаратты (қаржы шоттары, денсаулық сақтау, биометриялық деректер, 14 жасқа толмағандардың жеке ақпараты, орналасқан жерді бақылау және ұқсас санаттар) немесе трансшекаралық тасымалдауды қамтитын болса, бөлек келісім қажет. "Бөлек" дәл мынаны білдіреді: жалпы шарттарды қабылдаудың ішінде жасырылған абзац емес, нақты, нақты келісім актісі.
Шетелдік бизнес үшін жарамды келісім архитектурасы әдетте мыналарды қамтиды:
- Кәдімгі қытай тілінде процессордың идентификациясы, жеке ақпарат санаттары, мақсаттары, сақтау мерзімі және пайдаланушы құқықтары көрсетілген қабатты хабарлама.
- Негізгі қызмет келісімінен бөлек өңдеу санаттары мен маркетингке арналған Түйіршіктелген қосқыштар.
- ** Шетелдік алушыны, тағайындалған юрисдикцияны және аудару мақсатын атайтын нақты трансшекаралық келісім ағыны**.
- Қайта алу механизмі, оны бастапқы келісім ағыны сияқты пайдалану оңай, ешқандай күңгірт үлгілері жоқ.
- Тексеру журналы, ол әр пайдаланушыға не, қашан және хабарламаның қай нұсқасына қарсы келісім берілгенін жазады.
Соңғы ұпай команда күткеннен де маңызды. Реттеуші органдар мен контрагенттер дәлелдемелерді емес, дәлелдемелерді көбірек сұрайды.
Трансшекаралық трансфер: үш бағыт, бір шешім
Қытайдың жеке ақпаратын оффшорға көшіру - бұл шетелдік компаниялар өздерінің қолданыстағы архитектурасының сәйкес келмейтінін жиі анықтайтын аймақ. PIPL келесі CAC шараларымен нақтыланған үш негізгі механизмді ұсынады:- CAC қауіпсіздігін бағалау. Ақпараттық инфрақұрылымның маңызды операторлары үшін, белгіленген көлем шегінен жоғары жеке ақпаратты өңдейтін процессорлар үшін және «маңызды деректерді» тасымалдау үшін міндетті. Бұл өзін-өзі сертификаттау емес, үкімет басқаратын шолу.
- Стандартты келісім-шарттық баптар (Қытайдың SCCs). Қытайлық экспорттаушы мен шетелдегі алушы арасындағы үлгілік келісім-шарт, жеке ақпаратты қорғау әсерін бағалаумен бірге провинциялық CAC-ға жіберіледі. Бағалау шегінен төмен орташа көлемді аударымдар үшін қолайлы.
- Жеке ақпаратты қорғау сертификаты. CAC аккредиттелген органдар береді. Іс жүзінде бұл бағыт трансұлттық компаниялар ішіндегі топ ішілік трансферттер үшін ең пайдалы.
2024 жылғы жеңілдіктер кейбір аз көлемді аударымдарды, жеке тұлғамен келісім-шартты орындау үшін қажетті аударымдарды (трансшекаралық электрондық коммерция, саяхатты брондау, визалық өтінімдер) және трансшекаралық жұмыспен қамтуды басқару үшін қажетті HR аударымдарын босатуды енгізді. Бұл босатулар нақты, бірақ тар. Олар көлемді санауды, шарттық қажеттіліктің сипатын және құпия жеке ақпараттың қатысы бар-жоғын қосады. Мерзімді түрде қараусыз тұрақты қалып ретінде босатуды қарастыру жиі кездесетін қателік болып табылады.
Қай бағыт қолданылса да, әрбір трансшекаралық тасымалдау жеке ақпаратты қорғауға әсер етуді бағалауды талап етеді — құжатталған, кемінде үш жыл сақталады және өңдеу айтарлықтай өзгерген кезде жаңартылады.
Нақты сәйкестік базасы
Қытайлық пайдаланушы деректерін өңдейтін орташа өлшемді шетелдік бизнес үшін қорғалатын базалық көрсеткіш шамамен келесідей көрінеді:
- Жыл сайын жаңартылатын барлық қытайлық жеке ақпарат ағындарын қамтитын деректер картасы.
- Қытай тіліндегі құпиялылық ескертуі және жалпы, сезімтал және трансшекаралық келісімді ажырататын келісім архитектурасы.
- Қажет болған жағдайда, байланыс деректері жарияланған Қытайдағы тағайындалған өкіл немесе ұйым.
- Таңдалған трансшекаралық тасымалдау механизмі — бағалау, SCC немесе сертификаттау — файлдағы негізгі әсерді бағалау.
- Бұлттық және аналитикалық провайдерлерді қоса, деректерге тиетін кез келген әрі қарайғы процессорды қамтитын жеткізушілерді тексеру.
- Реттеуші органдарға да, зардап шеккен тұлғаларға да PIPL хабарландыру күтулеріне сәйкес келетін оқиғаға әрекет ету процедурасы.
- Өнімге, инжинирингке және маркетингтік топтарға әсер етуді жаңа бағалауға мүмкіндік беретін ішкі оқыту.
Бұлардың ешқайсысы экзотикалық емес. Бұл, жалпы алғанда, келісімнің гранулярлығы, трансшекаралық өтінімдер және тілге қатысты қытай тіліне тән қабаттасулары бар жетілген GDPR бағдарламасы қазірдің өзінде қолданып жүрген бірдей пән.
Шетелдік командалар әдетте қателеседі
Үш үлгі қайталанады. Біріншіден, PIPL-ді GDPR хабарламасындағы аударма жаттығуы ретінде қарастыру - екі режим бір-біріне сәйкес келеді, бірақ келісімге, трансшекаралық механикаға және мемлекеттің рөліне байланысты. Екіншіден, деректер Қытайдан тыс жерде орналасқандықтан, PIPL қолданылмайды; экстерриториалдылық - бұл ерекшелік емес, ереже. Үшіншіден, реттеуші орган немесе қытайлық коммерциялық контрагент сұрағанға дейін трансшекаралық өтінімді қалдыру, сол кезде уақыт шкаласы енді сіздің бақылауыңызда болмайды.
Атап айтқанда, CAC қауіпсіздігін бағалау жолы соңғы минуттық дайындықты марапаттайтын процесс емес. SCC өтінімдері жылдамырақ, бірақ олардың артында тиісті түрде дәлелденген әсерді бағалау қажет.
Қытай деректерінің құпиялылығын сақтау, сайып келгенде, заңды ақылдылықтан гөрі операциялық жетілу мәселесі болып табылады. Ережелер белгілі. Оларды елемеу құны - мәжбүрлеу шаралары, бұғатталған аударымдар, қазір өздері сұрақ қоятын қытайлық серіктестермен жоғалған коммерциялық мәмілелер - барған сайын нақты.
Белгілі бір аударым құрылымы, келісім ағыны немесе өтініш беру бойынша ҚХР білікті кеңесін қажет ететін шетелдік командалар үшін Serene Jade компаниясының Қытай заңгері қызметі сізді материктік және Гонконгтағы адвокаттар рұқсаты бар кеңесшімен жұптайды.
Жиі қойылатын сұрақтар
Қытай ұйымы бізге SCC құжаттарын беру үшін қажет пе? Міндетті емес. SCC шеңберіндегі қытайлық экспорттаушы Қытай ішінде жеке ақпаратты кімде ұстайтын болса, ол сіздің жергілікті еншілес ұйымыңыз, бірлескен кәсіпорын серіктесіңіз немесе сіз жұмыс істейтін қытай платформасы болуы мүмкін. Егер сізде мүлде қатысу болмаса, PIPL 53-бабына сәйкес тағайындалған өкілді тағайындау керек пе деген сұрақ туындайды.Деректерді Гонконгқа жіберу трансшекаралық тасымалдау болып есептеле ме? Иә. PIPL мақсаттары үшін Гонконг материктік Қытайдан тыс болып саналады, сондықтан ондағы аударымдар үш механизмнің бірін немесе Лондонға немесе Франкфуртқа аударымдар сияқты жарамды босатуды талап етеді.
** SaaS тұтынушы деректері үшін шарттық қажеттіліктен босатуға сене аламыз ба?** Аударым жеке тұлға жасасқан шартты орындау үшін шынымен қажет болған жағдайда ғана, мысалы, олар берген тапсырысты орындау. B2B SaaS соңғы пайдаланушы деректерін, аналитиканы және көптеген маркетингтік пайдалану жағдайларын тасымалдау оның шегінен тыс қалады және SCC, сертификаттау немесе бағалауды қажет етеді.