Protože jde o návrh k veřejnému připomínkování, měly by organizace jeho požadavky zatím chápat jako navrhované povinnosti, nikoli jako definitivní pravidla pro compliance. Článek 50 navíc ponechává datum účinnosti nevyplněné.

Koho může Čína označit za velkého zpracovatele?

Návrh nestaví pouze na jednom číselném limitu. Při posuzování má hrát roli více okolností, zejména zda organizace:

• zpracovává osobní údaje více než 10 milionů fyzických osob;
• poskytuje důležité internetové služby spojené se zpracováním osobních údajů nebo provozuje více relevantních obchodních činností;
• má významný dopad na národní bezpečnost, fungování ekonomiky, sociální stabilitu, veřejné zdraví nebo bezpečnost.

Organizace, které zpracovávají údaje více než 10 milionů lidí, i subjekty, které samy vyhodnotí, že splňují širší kritéria, by musely požádat o zařazení prostřednictvím provinčního úřadu CAC. Národní CAC spolu s dalšími příslušnými orgány následně určí a veřejně zveřejní seznam dotčených subjektů. Úřady by také mohly vyzvat organizaci, která zjevně kritéria splňuje, ale sama žádost nepodala, aby registrační proces dokončila.

Návrh tak může dopadnout i na vlivné platformy, u nichž samotný počet uživatelů nebude jediným rozhodujícím faktorem.

Omezení pro zahraniční příjemce dat

Národní úřad pro kyberprostor by mohl veřejně zařadit na seznam zahraniční organizace nebo jednotlivce, jejichž zpracování osobních údajů porušuje práva čínských občanů nebo ohrožuje čínskou národní bezpečnost či veřejný zájem. Subjekty na tomto seznamu by mohly čelit omezení nebo zákazu přijímat osobní údaje z Číny.

Možný důsledek by se tak netýkal pouze čínské platformy, která data předává, ale také zahraničního příjemce. Posuzování přeshraničních toků dat by proto bylo širší než běžná kontrola ochrany soukromí.

Přísnější pravidla zpracování a souhlasu

Od velkých zpracovatelů by se očekávalo, že budou osobní údaje zpracovávat zákonně, přiměřeně, nezbytně a v dobré víře. Sběr by měl být omezen na údaje nutné pro konkrétní produkt nebo službu a nesměl by být nadměrný.

Pokud je právním základem zpracování souhlas, návrh by vyžadoval samostatný souhlas například pro:

• předání údajů jinému zpracovateli osobních údajů;
• poskytnutí údajů mimo území Číny;
• zveřejnění údajů;
• zpracování citlivých osobních údajů.

Změna účelu, způsobu nebo kategorií zpracování by vyžadovala nový souhlas. Jednotlivci by zároveň měli mít k dispozici pohodlný způsob, jak svůj souhlas odvolat.

U dětí mladších 14 let by zpracování vyžadovalo souhlas rodiče nebo jiného zákonného zástupce. Platforma by musela nabídnout dostupný mechanismus pro udělení i odvolání tohoto souhlasu.

Osobní údaje by se měly ukládat v Číně

Osobní údaje shromážděné nebo vytvořené v souvislosti s činností v Číně by se podle návrhu musely ukládat v Číně. Datové centrum by se muselo nacházet na čínském území a splňovat příslušné národní politiky a standardy. Právní zástupce nebo skutečný kontrolující subjekt jeho provozovatele by navíc musel být čínským občanem.

Povinnosti by se týkaly také provozovatelů datových center. Ti by měli udržovat interní kontrolní mechanismy a plány reakce na incidenty, vyhledávat a odstraňovat bezpečnostní slabiny, v případech stanovených pravidly informovat platformu a úřady a pomáhat při řešení úniků dat.

Pro společnosti využívající externí cloudovou nebo jinou infrastrukturu by se výběr datového centra, smluvní nastavení i průběžný dohled staly klíčovou součástí compliance, nikoli jen technickým nebo nákupním rozhodnutím.

Přeshraniční přenosy zůstanou možné, ale pod kontrolou

Požadavek na domácí ukládání automaticky neznamená zákaz každého přenosu dat do zahraničí. Návrh připouští poskytnutí údajů mimo Čínu, pokud je to skutečně nezbytné pro podnikání. Organizace by však musela využít příslušný čínský mechanismus pro vývoz dat a získat potřebný samostatný souhlas.

Velcí zpracovatelé by proto museli rozlišovat mezi uložením osobních údajů v Číně a jejich poskytnutím zahraničnímu příjemci. První varianta by představovala základní požadavek na místo uložení, druhá by spouštěla další právní a procesní kontroly.

Větší odpovědnost vedení a pravidelné reportování

Návrh počítá s formálnější strukturou ochrany soukromí. Její součástí by byl pověřenec pro ochranu osobních údajů z řad vrcholového vedení. Podle popisů návrhu by tato osoba měla být čínským občanem, neměla by mít trvalý pobyt ani dlouhodobé povolení k pobytu v zahraničí a musela by mít odborné znalosti a relevantní praxi v oblasti ochrany osobních údajů.

Další navrhovaná opatření zahrnují:

• přímé compliance struktury a jasné rozdělení odpovědností;
• pravidelná posouzení dopadů na ochranu osobních údajů;
• pravidelné compliance audity;
• sledování zpracovatelských činností a bezpečnostních zranitelností;
• postupy pro identifikaci a nápravu rizik;
• účinné kanály pro stížnosti a uplatňování práv jednotlivců;
• každoroční veřejnou zprávu o společenské odpovědnosti v oblasti ochrany osobních údajů.

Návrh zároveň zdůrazňuje zvláštní ochranu nezletilých, včetně praktických mechanismů rodičovského souhlasu a jeho odvolání.

Nezávislý dozorčí výbor by znamenal zásadní změnu

Každý dotčený zpracovatel by musel zřídit výbor pro dohled nad ochranou osobních údajů, který by nezávisle kontroloval nakládání s daty.

Navrhovaný výbor by musel:

• mít lichý počet členů;
• mít nejméně sedm členů;
• být velikostí přiměřený rozsahu podnikání a uživatelské základně;
• mít alespoň dvě třetiny externích členů;
• mít v čele externího člena se seniorními schopnostmi v oblasti auditů compliance ochrany osobních údajů.

Externí členové by museli být nezávislí, důvěryhodní a zkušení v relevantní compliance práci. Obecně by mohli současně působit nejvýše ve třech velkých zpracovatelských subjektech.

Úkolem výboru by bylo dohlížet na dodržování pravidel a významné otázky ochrany osobních údajů, posuzovat interní politiky i vysoce rizikové zpracování, vydávat stanoviska či doporučení a podporovat odpovědnost prostřednictvím reportingu a kontrolních mechanismů. Organizace by mu zároveň musela poskytnout dostatečné zdroje pro výkon této činnosti.

Nešlo by tedy jen o jmenování pověřence pro ochranu osobních údajů. Návrh by vytvořil další, oddělenou úroveň dohledu, v níž by převládali externí odborníci, a dal by ochraně soukromí pevné místo ve struktuře odpovědnosti organizace.

Co by měly potenciálně dotčené organizace udělat?

Prvním krokem je posoudit, zda organizace splňuje číselný limit, nebo širší kritéria významu a dopadu. Současně by měla připravit případné připomínky před 7. zářím 2026. Společnosti, které mohou do působnosti návrhu spadat, by si měly zmapovat zejména:

1. počet osob, jejichž údaje zpracovávají, a kategorie těchto údajů;
2. hlavní služby, obchodní činnosti a možný dopad na veřejný zájem;
3. místo uložení osobních údajů z Číny a osoby či subjekty kontrolující příslušná datová centra;
4. procesy získávání souhlasu u citlivých údajů, zveřejnění, předávání a vývozu;
5. mechanismy přeshraničních přenosů a zahraniční příjemce;
6. odpovědnost vrcholového vedení a nastavení auditů;
7. požadavky na nezávislost, složení a zdroje dozorčího výboru.

Návrh se ještě může změnit. Jeho směr je však zřejmý: Čína zvažuje systém, který by s největšími a nejvlivnějšími zpracovateli osobních údajů zacházel jako s organizacemi vyžadujícími přísnější provozní kontroly, domácí infrastrukturu, odpovědnost na úrovni vedení a externí dohled nad ochranou soukromí.

Protože jde o návrh k veřejnému připomínkování, měly by organizace jeho požadavky zatím chápat jako navrhované povinnosti, nikoli jako definitivní pravidla pro compliance. Článek 50 navíc ponechává datum účinnosti nevyplněné.

Koho může Čína označit za velkého zpracovatele?

Návrh nestaví pouze na jednom číselném limitu. Při posuzování má hrát roli více okolností, zejména zda organizace:

• zpracovává osobní údaje více než 10 milionů fyzických osob;
• poskytuje důležité internetové služby spojené se zpracováním osobních údajů nebo provozuje více relevantních obchodních činností;
• má významný dopad na národní bezpečnost, fungování ekonomiky, sociální stabilitu, veřejné zdraví nebo bezpečnost.

Organizace, které zpracovávají údaje více než 10 milionů lidí, i subjekty, které samy vyhodnotí, že splňují širší kritéria, by musely požádat o zařazení prostřednictvím provinčního úřadu CAC. Národní CAC spolu s dalšími příslušnými orgány následně určí a veřejně zveřejní seznam dotčených subjektů. Úřady by také mohly vyzvat organizaci, která zjevně kritéria splňuje, ale sama žádost nepodala, aby registrační proces dokončila.

Návrh tak může dopadnout i na vlivné platformy, u nichž samotný počet uživatelů nebude jediným rozhodujícím faktorem.

Omezení pro zahraniční příjemce dat

Národní úřad pro kyberprostor by mohl veřejně zařadit na seznam zahraniční organizace nebo jednotlivce, jejichž zpracování osobních údajů porušuje práva čínských občanů nebo ohrožuje čínskou národní bezpečnost či veřejný zájem. Subjekty na tomto seznamu by mohly čelit omezení nebo zákazu přijímat osobní údaje z Číny.

Možný důsledek by se tak netýkal pouze čínské platformy, která data předává, ale také zahraničního příjemce. Posuzování přeshraničních toků dat by proto bylo širší než běžná kontrola ochrany soukromí.

Přísnější pravidla zpracování a souhlasu

Od velkých zpracovatelů by se očekávalo, že budou osobní údaje zpracovávat zákonně, přiměřeně, nezbytně a v dobré víře. Sběr by měl být omezen na údaje nutné pro konkrétní produkt nebo službu a nesměl by být nadměrný.

Pokud je právním základem zpracování souhlas, návrh by vyžadoval samostatný souhlas například pro:

• předání údajů jinému zpracovateli osobních údajů;
• poskytnutí údajů mimo území Číny;
• zveřejnění údajů;
• zpracování citlivých osobních údajů.

Změna účelu, způsobu nebo kategorií zpracování by vyžadovala nový souhlas. Jednotlivci by zároveň měli mít k dispozici pohodlný způsob, jak svůj souhlas odvolat.

U dětí mladších 14 let by zpracování vyžadovalo souhlas rodiče nebo jiného zákonného zástupce. Platforma by musela nabídnout dostupný mechanismus pro udělení i odvolání tohoto souhlasu.

Osobní údaje by se měly ukládat v Číně

Osobní údaje shromážděné nebo vytvořené v souvislosti s činností v Číně by se podle návrhu musely ukládat v Číně. Datové centrum by se muselo nacházet na čínském území a splňovat příslušné národní politiky a standardy. Právní zástupce nebo skutečný kontrolující subjekt jeho provozovatele by navíc musel být čínským občanem.

Povinnosti by se týkaly také provozovatelů datových center. Ti by měli udržovat interní kontrolní mechanismy a plány reakce na incidenty, vyhledávat a odstraňovat bezpečnostní slabiny, v případech stanovených pravidly informovat platformu a úřady a pomáhat při řešení úniků dat.

Pro společnosti využívající externí cloudovou nebo jinou infrastrukturu by se výběr datového centra, smluvní nastavení i průběžný dohled staly klíčovou součástí compliance, nikoli jen technickým nebo nákupním rozhodnutím.

Přeshraniční přenosy zůstanou možné, ale pod kontrolou

Požadavek na domácí ukládání automaticky neznamená zákaz každého přenosu dat do zahraničí. Návrh připouští poskytnutí údajů mimo Čínu, pokud je to skutečně nezbytné pro podnikání. Organizace by však musela využít příslušný čínský mechanismus pro vývoz dat a získat potřebný samostatný souhlas.

Velcí zpracovatelé by proto museli rozlišovat mezi uložením osobních údajů v Číně a jejich poskytnutím zahraničnímu příjemci. První varianta by představovala základní požadavek na místo uložení, druhá by spouštěla další právní a procesní kontroly.

Větší odpovědnost vedení a pravidelné reportování

Návrh počítá s formálnější strukturou ochrany soukromí. Její součástí by byl pověřenec pro ochranu osobních údajů z řad vrcholového vedení. Podle popisů návrhu by tato osoba měla být čínským občanem, neměla by mít trvalý pobyt ani dlouhodobé povolení k pobytu v zahraničí a musela by mít odborné znalosti a relevantní praxi v oblasti ochrany osobních údajů.

Další navrhovaná opatření zahrnují:

• přímé compliance struktury a jasné rozdělení odpovědností;
• pravidelná posouzení dopadů na ochranu osobních údajů;
• pravidelné compliance audity;
• sledování zpracovatelských činností a bezpečnostních zranitelností;
• postupy pro identifikaci a nápravu rizik;
• účinné kanály pro stížnosti a uplatňování práv jednotlivců;
• každoroční veřejnou zprávu o společenské odpovědnosti v oblasti ochrany osobních údajů.

Návrh zároveň zdůrazňuje zvláštní ochranu nezletilých, včetně praktických mechanismů rodičovského souhlasu a jeho odvolání.

Nezávislý dozorčí výbor by znamenal zásadní změnu

Každý dotčený zpracovatel by musel zřídit výbor pro dohled nad ochranou osobních údajů, který by nezávisle kontroloval nakládání s daty.

Navrhovaný výbor by musel:

• mít lichý počet členů;
• mít nejméně sedm členů;
• být velikostí přiměřený rozsahu podnikání a uživatelské základně;
• mít alespoň dvě třetiny externích členů;
• mít v čele externího člena se seniorními schopnostmi v oblasti auditů compliance ochrany osobních údajů.

Externí členové by museli být nezávislí, důvěryhodní a zkušení v relevantní compliance práci. Obecně by mohli současně působit nejvýše ve třech velkých zpracovatelských subjektech.

Úkolem výboru by bylo dohlížet na dodržování pravidel a významné otázky ochrany osobních údajů, posuzovat interní politiky i vysoce rizikové zpracování, vydávat stanoviska či doporučení a podporovat odpovědnost prostřednictvím reportingu a kontrolních mechanismů. Organizace by mu zároveň musela poskytnout dostatečné zdroje pro výkon této činnosti.

Nešlo by tedy jen o jmenování pověřence pro ochranu osobních údajů. Návrh by vytvořil další, oddělenou úroveň dohledu, v níž by převládali externí odborníci, a dal by ochraně soukromí pevné místo ve struktuře odpovědnosti organizace.

Co by měly potenciálně dotčené organizace udělat?

Prvním krokem je posoudit, zda organizace splňuje číselný limit, nebo širší kritéria významu a dopadu. Současně by měla připravit případné připomínky před 7. zářím 2026. Společnosti, které mohou do působnosti návrhu spadat, by si měly zmapovat zejména:

1. počet osob, jejichž údaje zpracovávají, a kategorie těchto údajů;
2. hlavní služby, obchodní činnosti a možný dopad na veřejný zájem;
3. místo uložení osobních údajů z Číny a osoby či subjekty kontrolující příslušná datová centra;
4. procesy získávání souhlasu u citlivých údajů, zveřejnění, předávání a vývozu;
5. mechanismy přeshraničních přenosů a zahraniční příjemce;
6. odpovědnost vrcholového vedení a nastavení auditů;
7. požadavky na nezávislost, složení a zdroje dozorčího výboru.

Návrh se ještě může změnit. Jeho směr je však zřejmý: Čína zvažuje systém, který by s největšími a nejvlivnějšími zpracovateli osobních údajů zacházel jako s organizacemi vyžadujícími přísnější provozní kontroly, domácí infrastrukturu, odpovědnost na úrovni vedení a externí dohled nad ochranou soukromí.