Menedżer produktu w Berlinie forsuje aktualizację funkcji. Zespół ds. rozwoju w Londynie prowadzi kampanię za pośrednictwem agencji w Szanghaju. Dostawca SaaS w Singapurze po cichu przechowuje transkrypcje obsługi klienta, które obejmują nazwiska, numery telefonów i fragmenty identyfikatorów użytkowników w Chengdu. Żaden z tych zespołów nie uważa się za działający w Chinach. Wszystkie z nich są, w rozumieniu ustawy o ochronie danych osobowych, podmiotami przetwarzającymi chińskie dane osobowe – i wszystkie są objęte zakresem tej ustawy.
Trzy lata po wejściu w życie ustawy o ochronie danych osobowych sytuacja regulacyjna ustabilizowała się na tyle, że „czekamy, jak to się rozwinie” nie jest już stanowiskiem, którego można obronić. Chińska administracja cyberprzestrzeni wydała środki wykonawcze, zmieniła je i doprecyzowała progi. Zagraniczne przedsiębiorstwa mają obecnie wystarczający sygnał, aby stworzyć wykonalne podstawy dotyczące zgodności. W tym artykule przedstawiono, jak ta podstawa wygląda w praktyce.
Eksterytorialny czynnik wyzwalający, którego większość zespołów nie docenia
PIPL ma zastosowanie do przetwarzania w Chinach oraz – co najważniejsze – do przetwarzania poza Chinami, którego celem są osoby fizyczne w Chinach w celu dostarczania produktów lub usług albo analizy ich zachowania. Sformułowanie jest szerokie i zamierzone. Aplikacja konsumencka dostępna w języku mandaryńskim w globalnym sklepie z aplikacjami, witryna B2C dostarczająca adresy na kontynencie, kanał analityczny segmentujący użytkowników według chińskich miast: każdy z nich jest prawdopodobnym czynnikiem wyzwalającym.
Praktyczną konsekwencją jest to, że zakres rzadko jest czystym „tak” lub „nie”. Pytaniem jest, które linie produktów, które kohorty użytkowników i jakie zbiory danych znajdują się w zasięgu prawa. Pierwszym zadaniem w zakresie zgodności nie jest zatem sporządzenie informacji o ochronie prywatności. Jest to mapowanie danych: określanie, gdzie chińskie dane osobowe trafiają do Twoich systemów, gdzie są przechowywane, kto ma z nimi kontakt i gdzie je opuszczają. Dopóki ta mapa nie powstanie, każda dalsza kontrola to domysły.
Zgoda: podstawa zgodna z prawem, a nie pole wyboru
PIPL jest często opisywany jako system oparty na zgodzie, co w zagranicznych zarządach przekłada się na „dodanie pola wyboru”. To zaniża wartość tego obowiązku. PIPL uznaje kilka podstaw prawnych – konieczność umowną, obowiązek ustawowy, zarządzanie zasobami ludzkimi, interes publiczny i inne – ale zgoda pozostaje najważniejszym czynnikiem, a prawo ustanawia wysokie standardy w tym, co się liczy.
Zgoda w ramach PIPL musi być świadoma, dobrowolna i wyraźna. Jeżeli przetwarzanie dotyczy wrażliwych danych osobowych (rachunki finansowe, dane zdrowotne, biometryczne, dane osobowe osób małoletnich poniżej 14 roku życia, śledzenie lokalizacji i podobne kategorie) lub transferu transgranicznego, wymagana jest osobna zgoda. „Odrębne” oznacza dokładnie to: odrębny, konkretny akt umowy, a nie paragraf ukryty w ogólnej akceptacji warunków.
Funkcjonalna architektura zgody dla firm zagranicznych zazwyczaj obejmuje:
- Warstwowa informacja, która podaje prostym językiem chińskim tożsamość podmiotu przetwarzającego, kategorie danych osobowych, cele, okres przechowywania i prawa użytkownika.
- Przełączniki szczegółowe dla wrażliwych kategorii przetwarzania i marketingu, oddzielone od zgody na usługę podstawową.
- Odrębny transgraniczny przepływ zgody, który określa zagranicznego odbiorcę, jurysdykcję docelową i cel przekazania.
- Mechanizm wycofania, który jest tak łatwy w użyciu, jak pierwotny przepływ zgody, bez ciemnych wzorców.
- Dziennik audytu, w którym rejestruje się, dla każdego użytkownika, na co, kiedy i w oparciu o którą wersję powiadomienia wyrażono zgodę.
Ostatni punkt ma większe znaczenie, niż zespoły się spodziewają. Organy regulacyjne i kontrahenci coraz częściej proszą o dowody, a nie twierdzenia.
Transfer transgraniczny: trzy trasy, jedna decyzja
Przenoszenie chińskich danych osobowych za granicę to obszar, w którym zagraniczne firmy najczęściej odkrywają, że ich istniejąca architektura jest niezgodna. PIPL zapewnia trzy główne mechanizmy udoskonalane kolejnymi środkami CAC:- Ocena bezpieczeństwa CAC. Obowiązkowe dla operatorów krytycznej infrastruktury informatycznej, dla procesorów przetwarzających dane osobowe powyżej określonych progów ilościowych oraz w przypadku przesyłania „ważnych danych”. Jest to ocena przeprowadzona przez rząd, a nie samocertyfikacja.
- Standardowe klauzule umowne (Chińskie SCC). Wzór umowy pomiędzy chińskim eksporterem a zagranicznym odbiorcą, złożony w regionalnym CAC wraz z oceną skutków dla ochrony danych osobowych. Nadaje się do transferów średniej wielkości poniżej progów oceny.
- Certyfikat ochrony danych osobowych. Wydawany przez jednostki akredytowane przez CAC. W praktyce ta trasa jest najbardziej użyteczna w przypadku transferów wewnątrzgrupowych w ramach korporacji międzynarodowych.
W ramach rozluźnień wprowadzonych na rok 2024 wprowadzono zwolnienia dla niektórych transferów o niewielkiej wartości, transferów niezbędnych do wykonania umowy z osobą fizyczną (transgraniczny handel elektroniczny, rezerwacje podróży, wnioski wizowe) oraz transferów kadrowych niezbędnych do transgranicznego zarządzania zatrudnieniem. Wyjątki te są realne, ale wąskie. Zwracają uwagę na liczbę transakcji, charakter konieczności umownej oraz to, czy w grę wchodzą wrażliwe dane osobowe. Traktowanie zwolnienia jako postawy stałej bez okresowego przeglądu jest częstym błędem.
Niezależnie od tego, która trasa ma zastosowanie, każdy transfer transgraniczny wymaga oceny skutków dla ochrony danych osobowych – udokumentowanej, przechowywanej przez co najmniej trzy lata i aktualizowanej w przypadku istotnych zmian w przetwarzaniu.
Realistyczna podstawa zgodności
W przypadku średniej wielkości zagranicznej firmy obsługującej dane chińskich użytkowników możliwa do obrony linia bazowa wygląda mniej więcej tak:
- Mapa danych obejmująca wszystkie przepływy danych osobowych w Chinach, odświeżana co najmniej raz w roku.
- Informacja o ochronie prywatności w języku chińskim i architektura zgód, która rozróżnia zgodę ogólną, poufną i transgraniczną.
- W razie potrzeby wyznaczony przedstawiciel lub podmiot w Chinach, z opublikowanymi danymi kontaktowymi.
- Wybrany mechanizm transferu transgranicznego – ocena, SKU lub certyfikacja – wraz z znajdującą się w aktach oceną skutków.
- Staranność dostawcy obejmująca każdego dalszego podmiotu przetwarzającego dane, w tym dostawców usług w chmurze i usług analitycznych.
- Procedura reagowania na incydenty, która spełnia oczekiwania PIPL w zakresie powiadamiania zarówno organów regulacyjnych, jak i osób, których to dotyczy.
- Wewnętrzne szkolenia dla zespołów ds. produktu, inżynierii i marketingu na temat czynników skłaniających do przeprowadzenia nowej oceny wpływu.
Nic z tego nie jest egzotyczne. Zasadniczo jest to ta sama dyscyplina, którą praktykuje już dojrzały program RODO, ze specyficznymi dla Chin nakładami na szczegółowość zgody, zgłoszenia transgraniczne i język.
Gdzie zagraniczne zespoły zazwyczaj się mylą
Powtarzają się trzy wzorce. Po pierwsze, traktowanie PIPL jako tłumaczenia powiadomienia o RODO – te dwa systemy pokrywają się, ale różnią się pod względem zgody, mechanizmów transgranicznych i roli państwa. Po drugie, zakładając, że ponieważ dane są przechowywane poza Chinami, PIPL nie ma zastosowania; Eksterytorialność jest regułą, a nie wyjątkiem. Po trzecie, pozostawienie zgłoszenia transgranicznego do czasu, aż zwróci się o to organ regulacyjny lub chiński kontrahent handlowy, kiedy to nie będziesz już miał wpływu na harmonogram.
Szczególnie procedura oceny bezpieczeństwa CAC nie jest procesem nagradzającym przygotowanie w ostatniej chwili. Zgłoszenia SCC są szybsze, ale nadal wymagają odpowiednio udokumentowanej oceny skutków.
Ostatecznie przestrzeganie zasad ochrony danych w Chinach jest kwestią dojrzałości operacyjnej, a nie sprytu prawnego. Zasady są znane. Koszty ich ignorowania – działania egzekucyjne, zablokowane transfery, utracone umowy handlowe z chińskimi partnerami, którzy teraz sami zadają pytania – są coraz bardziej konkretne.
W przypadku zespołów zagranicznych, które potrzebują porady wykwalifikowanej w ChRL w sprawie konkretnej struktury przeniesienia, przepływu zgód lub składania wniosków, usługa chińskiego prawnika Serene Jade zapewnia dostęp do prawnika posiadającego uprawnienia adwokackie na kontynencie i w Hongkongu.
Często zadawane pytania
Czy potrzebujemy podmiotu z Chin tylko do składania SCC? Nie koniecznie. Chińskim eksporterem w ramach SKU jest osoba, która przechowuje dane osobowe w Chinach – może to być lokalna spółka zależna, partner joint venture lub chińska platforma, za pośrednictwem której działasz. Jeżeli w ogóle nie jesteś obecny, pojawia się pytanie, czy powinieneś wyznaczyć wyznaczonego przedstawiciela zgodnie z art. 53 PIPL.Czy przesłanie danych do Hongkongu liczy się jako przelew transgraniczny? Tak. Dla celów PIPL Hongkong traktowany jest jak obszar spoza Chin kontynentalnych, zatem transfery do tego kraju wymagają jednego z trzech mechanizmów lub ważnego zwolnienia, na takich samych zasadach jak transfery do Londynu czy Frankfurtu.
Czy możemy polegać na zwolnieniu z konieczności umownej w przypadku danych naszych klientów SaaS? Tylko wtedy, gdy przeniesienie jest rzeczywiście konieczne do wykonania umowy, którą zawarła dana osoba fizyczna – na przykład w celu realizacji złożonego przez nią zamówienia. Transfery danych użytkowników końcowych, analiz i większości zastosowań marketingowych w trybie B2B SaaS wykraczają poza ten zakres i wymagają SCC, certyfikacji lub oceny.