مشروع الصين المؤلف من 50 مادة: قيود جديدة على منصات البيانات الكبرى

• تعالج معلومات شخصية تخص أكثر من 10 ملايين شخص طبيعي؛
• تقدم خدمات إلكترونية مهمة تتضمن معالجة معلومات شخصية، أو تدير عدة مجالات أعمال ذات صلة؛ و
• تملك تأثيرًا جوهريًا في الأمن القومي أو النشاط الاقتصادي أو الاستقرار الاجتماعي أو الصحة العامة أو السلامة.

وستحتاج المؤسسات التي تعالج معلومات أكثر من 10 ملايين شخص، وكذلك المؤسسات التي ترى أنها تستوفي المعايير الأوسع، إلى التقدم بطلب تصنيف عبر إدارة الفضاء السيبراني على مستوى المقاطعة. وبعد ذلك، تحدد الإدارة الوطنية، بالتعاون مع الجهات المختصة الأخرى، القائمة وتعلنها للعامة. كما يمكن للسلطات أن تطلب من مؤسسة تبدو مؤهلة لكنها لم تتقدم بطلب أن تستكمل إجراءات التصنيف.

وبذلك، قد يشمل المشروع بعض المنصات المؤثرة حتى عندما لا يكون عدد المستخدمين وحده كافيًا لحسم مسألة خضوعها للقواعد.

قيود محتملة على الجهات والأفراد الأجانب

سيمنح المشروع الجهة الوطنية المنظمة للفضاء السيبراني صلاحية إدراج مؤسسات أو أفراد أجانب في قائمة معلنة إذا كانت أنشطة معالجة المعلومات الشخصية التي يقومون بها تنتهك حقوق المواطنين الصينيين أو تهدد الأمن القومي أو المصلحة العامة في الصين. وقد تواجه الجهات المدرجة قيودًا أو حظرًا على تلقي المعلومات الشخصية من داخل الصين.

وهذا يفتح بابًا لعواقب امتثال محتملة على المتلقي الموجود خارج الصين، وليس فقط على المنصة الصينية التي تنقل البيانات. كما يوسع تقييم مخاطر تدفقات البيانات العابرة للحدود بحيث يتجاوز مراجعة الخصوصية التقليدية.

متطلبات المعالجة والموافقة

سيُتوقع من الجهات المشمولة معالجة المعلومات الشخصية وفق مبادئ المشروعية والملاءمة والضرورة وحسن النية. كما يجب أن يقتصر جمع البيانات على ما يلزم للمنتج أو الخدمة المعنية، وألا يكون مفرطًا.

وعندما تكون الموافقة هي الأساس القانوني للمعالجة، سيفرض المشروع موافقة منفصلة على عدد من الأنشطة الأعلى خطورة، من بينها:

• تقديم المعلومات إلى جهة أخرى تعالج المعلومات الشخصية؛
• تقديم المعلومات إلى خارج الصين؛
• نشر المعلومات للعامة؛ و
• معالجة المعلومات الشخصية الحساسة.

كما ستتطلب أي تغييرات في غرض المعالجة أو أسلوبها أو فئات البيانات المستخدمة الحصول على موافقة جديدة. ويدعو المشروع أيضًا إلى توفير وسيلة سهلة لسحب الموافقة.

أما معالجة بيانات الأطفال دون سن 14 عامًا، فستتطلب موافقة أحد الوالدين أو وصيّ آخر، مع توفير آلية ميسرة لمنح تلك الموافقة أو سحبها.

التخزين داخل الصين وضوابط مراكز البيانات

سيتعين تخزين المعلومات الشخصية التي جُمعت أو أُنشئت من خلال عمليات داخل الصين في الأراضي الصينية. كما يجب أن يقع مركز البيانات داخل الصين وأن يلتزم بالسياسات والمعايير الوطنية المعمول بها. ويجب أن يكون الممثل القانوني أو المتحكم الفعلي في الجهة المديرة لمركز البيانات مواطنًا صينيًا.

ويحمّل المشروع مشغلي مراكز البيانات مسؤوليات مباشرة أيضًا. إذ يُتوقع منهم وضع ضوابط داخلية وخطط للاستجابة للحوادث، وتحديد الثغرات الأمنية ومعالجتها، وإخطار المنصة والسلطات عند الاقتضاء، والمساعدة في التعامل مع خروقات البيانات.

وبالنسبة إلى الشركات التي تعتمد على مزودي بنية تحتية خارجيين، سيجعل ذلك اختيار مركز البيانات والتعاقد معه والإشراف على عملياته عناصر أساسية في برنامج الامتثال، لا مجرد قرارات تقنية أو شرائية.

النقل عبر الحدود سيبقى ممكنًا، لكن ضمن قيود

لا يعني شرط التخزين المحلي تلقائيًا إلغاء كل عمليات نقل البيانات إلى الخارج. فالمشروع يتيح تقديم المعلومات عبر الحدود عندما تكون هناك حاجة فعلية مرتبطة بالأعمال، لكنه يشترط الالتزام بآليات تصدير البيانات المعمول بها في الصين والحصول على الموافقة المنفصلة المطلوبة.

وعمليًا، سيتعين على الجهات الكبرى التمييز بين تخزين البيانات داخل الصين وتقديمها إلى متلقٍ موجود في الخارج. فالأول سيكون متطلب التخزين الأساسي، بينما يترتب على الثاني تطبيق ضوابط قانونية وإجرائية إضافية.

مساءلة داخلية وإبلاغ أكثر صرامة

يقترح المشروع هيكلًا أكثر رسمية للامتثال للخصوصية، بما في ذلك تعيين مسؤول لحماية المعلومات الشخصية من الإدارة العليا. وتشير التقارير حول المشروع إلى شروط لهذا المنصب، تشمل حمل الجنسية الصينية، وعدم امتلاك إقامة دائمة أو تصريح إقامة طويلة الأجل في دولة أجنبية، إلى جانب المعرفة المهنية بحماية المعلومات الشخصية والخبرة ذات الصلة.

وتشمل تدابير الحوكمة المقترحة كذلك:

• إنشاء هياكل امتثال مباشرة وتحديد المسؤوليات بوضوح؛
• إجراء تقييمات دورية لأثر حماية المعلومات الشخصية؛
• تنفيذ عمليات تدقيق دورية للامتثال؛
• مراقبة أنشطة المعالجة والثغرات الأمنية؛
• وضع إجراءات لتحديد المخاطر ومعالجتها؛
• توفير قنوات فعالة للشكاوى ولممارسة الأفراد حقوقهم؛ و
• نشر تقرير سنوي عام عن المسؤولية الاجتماعية في مجال حماية المعلومات الشخصية.

ويشدد المشروع أيضًا على توفير ضمانات خاصة للقاصرين، بما في ذلك آليات عملية لموافقة الوالدين وسحبها.

لجان رقابة مستقلة: تغيير هيكلي بارز

سيتعين على كل جهة مشمولة إنشاء لجنة للرقابة على حماية المعلومات الشخصية، تتولى الإشراف بصورة مستقلة على ممارساتها في التعامل مع البيانات.

ويُقترح أن تستوفي اللجنة الشروط التالية:

• أن يكون عدد أعضائها فرديًا؛
• ألا يقل عدد الأعضاء عن سبعة؛
• أن يتناسب حجمها مع حجم الأعمال وقاعدة المستخدمين؛
• أن يكون ما لا يقل عن ثلثي أعضائها من خارج المؤسسة؛ و
• أن يرأسها عضو خارجي يتمتع بقدرة متقدمة على تدقيق الامتثال في مجال حماية المعلومات الشخصية.

كما يجب أن يتحلى الأعضاء الخارجيون بالاستقلالية والسمعة المهنية والخبرة في أعمال الامتثال ذات الصلة. وبوجه عام، لن يُسمح للعضو الخارجي بالعمل في أكثر من ثلاث جهات كبرى في الوقت نفسه.

وستشمل مسؤوليات اللجنة الإشراف على امتثال الجهة والقضايا الجوهرية المتعلقة بحماية المعلومات الشخصية، ومراجعة السياسات وعمليات المعالجة عالية المخاطر، وإصدار الآراء أو التوصيات، وتعزيز المساءلة عبر ترتيبات الإبلاغ والرقابة. كما ستلتزم الجهة بتوفير الموارد الكافية لتمكين اللجنة من أداء مهامها.

وهذا يتجاوز مجرد تعيين مسؤول للخصوصية؛ إذ ينشئ المشروع طبقة رقابة منفصلة يغلب عليها الأعضاء الخارجيون، ويمنح حوكمة الخصوصية مكانًا رسميًا في هيكل مساءلة المؤسسة.

ماذا ينبغي أن تفعل المؤسسات التي قد يشملها المشروع؟

تتمثل الخطوة العاجلة في تقييم ما إذا كانت المؤسسة قد تستوفي حد الحجم أو المعايير الأوسع المتعلقة بأهمية خدماتها وتأثيرها، ثم إعداد الملاحظات قبل انتهاء مهلة 7 سبتمبر. وينبغي للشركات التي قد تقع ضمن نطاق المشروع أن ترسم خريطة تشمل:

1. عدد الأشخاص الذين تعالج معلوماتهم وفئات تلك المعلومات؛
2. الخدمات الرئيسية ومجالات الأعمال وحجم التأثير المحتمل في المصلحة العامة؛
3. أماكن تخزين المعلومات الشخصية الصينية والجهة التي تسيطر على مراكز البيانات المعنية؛
4. مسارات الموافقة على البيانات الحساسة والإفصاح والنشر والتصدير؛
5. آليات النقل عبر الحدود والمتلقين الموجودين خارج الصين؛
6. مسؤوليات الإدارة العليا وترتيبات التدقيق؛ و
7. استقلال لجنة الرقابة المقترحة وعضويتها والموارد اللازمة لعملها.

ولا يزال المشروع قابلًا للتعديل. لكن اتجاهه العام واضح: تدرس الصين نظامًا يعامل أكبر الجهات وأكثرها تأثيرًا في معالجة البيانات باعتبارها مؤسسات تحتاج إلى ضوابط تشغيلية مشددة، وبنية تحتية محلية، ومساءلة على مستوى الإدارة العليا، ورقابة خارجية على الخصوصية.