מה ישתנה אם סין תאשר את כללי הפרטיות החדשים לפלטפורמות הגדולות?

מינהל מרחב הסייבר של סין (CAC) פרסם ב־7 באוגוסט 2026 טיוטה בת 50 סעיפים בשם הוראות להגנת מידע אישי בידי מעבדי מידע אישי גדולים. הטיוטה מאחדת שתי הצעות קודמות של ה־CAC, אך עדיין אינה חוק מחייב.

המשמעות המעשית עשויה להיות רחבה: ארגונים שייכללו בהגדרה של "מעבד מידע אישי גדול" יידרשו להתמודד עם חובות חדשות בתחומי הרישום, האחסון, העברת המידע לחו״ל, הדיווח והפיקוח העצמאי.

עד מתי אפשר להגיש הערות?

המועד האחרון להגשת הערות הוא 7 בספטמבר 2026. ניתן לשלוח אותן בדוא״ל לכתובת shujuju@cac.gov.cn, או בדואר ל־CAC, ללשכת ניהול נתוני הרשת, בכתובת 15 Fucheng Road, מחוז Haidian, בייג׳ינג 100048. במשלוח בדואר יש לציין על המעטפה שמדובר בהתייעצות בנושא הטיוטה.

מאחר שמדובר בהצעה להערות הציבור, אין לראות בדרישותיה חובות ציות סופיות. סעיף 50 בטיוטה אף אינו מציין מועד כניסה לתוקף.

מי ייחשב למעבד מידע אישי גדול?

הטיוטה אינה מסתמכת רק על מספר המשתמשים. היא מציעה בחינה רחבה, שתכלול בין היתר את השאלות הבאות:

• האם הארגון מעבד מידע אישי הנוגע ליותר מ־10 מיליון אנשים;
• האם הוא מספק שירותים מקוונים חשובים הכרוכים בעיבוד מידע אישי, או מפעיל כמה תחומי פעילות רלוונטיים;
• האם לפעילותו יש השפעה משמעותית על הביטחון הלאומי, הפעילות הכלכלית, היציבות החברתית, בריאות הציבור או ביטחון הציבור.

ארגונים המעבדים מידע של יותר מ־10 מיליון בני אדם, וכן ארגונים שסבורים כי הם עומדים במבחנים הרחבים יותר, יידרשו להגיש בקשה להכרה דרך ה־CAC ברמה המחוזית. ה־CAC הארצי, יחד עם רשויות רלוונטיות אחרות, יקבע את הרשימה ויפרסם אותה. הרשויות יוכלו גם לדרוש מארגון שנראה כי הוא עומד בתנאים, אך לא הגיש בקשה, להשלים את התהליך.

לכן, ההצעה עשויה לחול על פלטפורמות בעלות השפעה רבה גם במקרים שבהם מספר המשתמשים לבדו אינו מכריע.

אפשרות להגבלות על גופים זרים

לפי הטיוטה, הרגולטור הסיני יוכל לפרסם רשימה של ארגונים או יחידים זרים שפעילות עיבוד המידע האישי שלהם פוגעת בזכויותיהם של אזרחים סינים, או מסכנת את הביטחון הלאומי או את האינטרס הציבורי של סין. גופים שיופיעו ברשימה עלולים להיות מוגבלים או להיחסם מקבלת מידע אישי מסין.

מדובר בהשלכה אפשרית לא רק על הפלטפורמה הסינית שמעבירה את המידע, אלא גם על הנמען שמחוץ לסין. בכך הטיוטה מרחיבה את בחינת הסיכונים הנדרשת בהעברות מידע חוצות גבולות מעבר לבדיקת פרטיות שגרתית.

עיבוד מידע והסכמה מפורשת

מעבדים שייכללו בתחום הכללים יידרשו לפעול לפי עקרונות של חוקיות, הגינות, נחיצות ותום לב. איסוף המידע יצטרך להיות מוגבל למה שנחוץ למוצר או לשירות הרלוונטי, ואסור יהיה לאסוף מידע עודף.

כאשר ההסכמה היא הבסיס המשפטי לעיבוד, תידרש הסכמה נפרדת לפעולות בעלות רמת סיכון גבוהה, ובהן:

• העברת מידע למעבד מידע אישי אחר;
• העברת מידע אל מחוץ לסין;
• פרסום המידע;
• עיבוד מידע אישי רגיש.

שינוי במטרת העיבוד, בשיטת העיבוד או בסוגי המידע המעובדים יחייב קבלת הסכמה מחודשת. בנוסף, הטיוטה דורשת לאפשר לאנשים דרך נוחה למשוך את הסכמתם.

עיבוד מידע של ילדים מתחת לגיל 14 יחייב הסכמה של הורה או אפוטרופוס, לצד מנגנון נגיש למתן ההסכמה או לביטולה.

אחסון בתוך סין ופיקוח על מרכזי נתונים

מידע אישי שנאסף או נוצר במסגרת פעילות בסין יידרש להישמר בתוך סין. מרכז הנתונים עצמו יצטרך להיות ממוקם בסין ולעמוד במדיניות ובתקנים הלאומיים הרלוונטיים. בנוסף, הנציג המשפטי או הבקר בפועל של הגוף המנהל את מרכז הנתונים יידרש להיות אזרח סיני.

הטיוטה מטילה אחריות גם על מפעילי מרכזי הנתונים. בין היתר, הם יידרשו להחזיק בקרות פנימיות ותוכניות תגובה לאירועים, לזהות ולתקן חולשות אבטחה, להודיע לפלטפורמה ולרשויות במקרים הנדרשים ולסייע בטיפול בדליפות מידע.

עבור חברות המשתמשות בספקי תשתית חיצוניים, המשמעות היא שבחירת מרכז הנתונים, ניסוח החוזים והפיקוח השוטף יהפכו לחלק מרכזי מתוכנית הציות — ולא רק להחלטה טכנית או רכשית.

העברת מידע לחו״ל עדיין תהיה אפשרית, אך מוגבלת

חובת האחסון המקומי לא תבטל אוטומטית כל העברה של מידע אל מחוץ לסין. הטיוטה מאפשרת העברה חוצת גבולות כאשר היא נחוצה באמת לצורך הפעילות העסקית, אך מחייבת שימוש במנגנוני הייצוא הסיניים הרלוונטיים וקבלת ההסכמה הנפרדת הנדרשת.

בפועל, מעבדים גדולים יצטרכו להבחין בין שני מצבים: שמירת מידע אישי בתוך סין, שתהיה דרישת הבסיס, ומתן גישה או העברת מידע לנמען בחו״ל, שיחייבו בקרות משפטיות ופרוצדורליות נוספות.

אחריות ניהולית, ניטור ודיווח

הטיוטה מציעה מבנה פורמלי יותר לניהול ציות לפרטיות, כולל מינוי ממונה על הגנת מידע אישי מתוך ההנהלה הבכירה. דיווחים על ההצעה מתארים גם תנאים לתפקיד, ובהם אזרחות סינית, היעדר תושבות קבע או מעמד תושב לטווח ארוך במדינה זרה, ידע מקצועי בהגנת מידע אישי וניסיון רלוונטי.

אמצעי הממשל התאגידי הנוספים כוללים:

• מערכי ציות ישירים וחלוקת אחריות ברורה;
• ביצוע קבוע של הערכות השפעה על הגנת מידע אישי;
• ביקורות ציות תקופתיות;
• ניטור של פעולות עיבוד ושל חולשות אבטחה;
• הליכים לזיהוי סיכונים ולתיקונם;
• ערוצים יעילים להגשת תלונות ולמימוש זכויות של אנשים; וכן
• פרסום דוח שנתי פומבי על האחריות החברתית בתחום הגנת המידע האישי.

הטיוטה מדגישה גם אמצעי הגנה ייעודיים לקטינים, לרבות תהליכים מעשיים לקבלת הסכמת הורים ולמשיכתה.

ועדת פיקוח עצמאית: השינוי המבני הבולט

כל מעבד מידע אישי שיוגדר כגדול יידרש להקים ועדת פיקוח על הגנת מידע אישי, שתבחן באופן עצמאי את אופן הטיפול שלו במידע.

לפי ההצעה, הוועדה תידרש:

• לכלול מספר אי־זוגי של חברים;
• לכלול לפחות שבעה חברים;
• להיות בגודל התואם את היקף הפעילות ואת מספר המשתמשים של הארגון;
• לכלול לפחות שני שלישים חברים חיצוניים;
• להיות בראשות חבר חיצוני בעל יכולת בכירה בביקורות ציות בתחום הגנת המידע האישי.

החברים החיצוניים יידרשו להיות עצמאיים, בעלי מוניטין ובעלי ניסיון בעבודת ציות רלוונטית. בדרך כלל, הם לא יוכלו לכהן במקביל ביותר משלושה מעבדים גדולים.

הוועדה תפקח על הציות ועל סוגיות מהותיות הנוגעות להגנת מידע אישי, תבחן מדיניות ועיבודים בסיכון גבוה, תפרסם חוות דעת או המלצות ותסייע ביצירת מנגנוני דיווח ופיקוח. הארגון יידרש להעמיד לרשותה משאבים מספיקים כדי שתוכל למלא את תפקידה.

זהו צעד רחב יותר ממינוי ממונה פרטיות. אם יאושר, הוא ייצור שכבת פיקוח נפרדת, הנשענת בעיקר על גורמים חיצוניים, ויעניק לממשל בתחום הפרטיות מקום רשמי במבנה האחריות של הארגון.

מה כדאי לארגונים שעשויים להיכלל בתחום לעשות כעת?

הצעד המיידי הוא לבדוק אם הארגון עומד ברף של יותר מ־10 מיליון אנשים, או במבחנים הרחבים יותר של חשיבות והשפעה. במקביל, כדאי להכין הערות לקראת המועד האחרון — 7 בספטמבר — ולמפות:

1. את מספר האנשים שהמידע שלהם מעובד ואת סוגי המידע;
2. את השירותים המרכזיים, תחומי הפעילות וההשפעה האפשרית על האינטרס הציבורי;
3. את מיקום המידע האישי הסיני ואת זהות הגורם השולט במרכזי הנתונים הרלוונטיים;
4. את מנגנוני ההסכמה למידע רגיש, גילוי מידע, פרסום והעברה לחו״ל;
5. את מנגנוני ההעברה חוצת הגבולות ואת הנמענים הזרים;
6. את אחריות ההנהלה הבכירה ואת סידורי הביקורת; וכן
7. את העצמאות, ההרכב והמשאבים הנדרשים לוועדת הפיקוח.

ההצעה עדיין עשויה להשתנות. אולם הכיוון ברור: סין שוקלת מערכת שתטיל על מעבדי המידע הגדולים והמשפיעים ביותר בקרות תפעוליות מחמירות יותר, תשתיות מקומיות, אחריות בדרג הבכיר ופיקוח חיצוני על הגנת הפרטיות.