चूंकि यह सार्वजनिक राय के लिए जारी किया गया मसौदा है, इसलिए इसकी शर्तों को अंतिम अनुपालन दायित्व नहीं माना जाना चाहिए। अनुच्छेद 50 में लागू होने की तारीख अभी खाली छोड़ी गई है।

किन संस्थाओं को “बड़ा पर्सनल-इन्फॉर्मेशन हैंडलर” माना जाएगा?

मसौदा केवल उपयोगकर्ताओं की संख्या के आधार पर फैसला नहीं करता। इसमें संस्था के आकार, सेवाओं और उसके संभावित प्रभाव का व्यापक आकलन प्रस्तावित है। प्रमुख मानदंडों में शामिल हैं:

• 1 करोड़ से अधिक प्राकृतिक व्यक्तियों की व्यक्तिगत जानकारी प्रोसेस करना;
• व्यक्तिगत जानकारी से जुड़ी महत्वपूर्ण ऑनलाइन सेवाएं देना या ऐसी कई कारोबारी गतिविधियां चलाना; और
• राष्ट्रीय सुरक्षा, आर्थिक गतिविधियों, सामाजिक स्थिरता, सार्वजनिक स्वास्थ्य या सुरक्षा पर महत्वपूर्ण प्रभाव डालना।

1 करोड़ से अधिक लोगों की जानकारी प्रोसेस करने वाली संस्थाओं के साथ-साथ वे संस्थाएं भी, जो व्यापक मानदंडों के आधार पर खुद को पात्र मानती हैं, प्रांतीय CAC के माध्यम से पदनाम या सूचीबद्धता के लिए आवेदन करेंगी। राष्ट्रीय CAC, अन्य संबंधित विभागों के साथ मिलकर, अंतिम सूची तय कर उसे सार्वजनिक करेगा। यदि कोई संस्था पात्र दिखाई देती है लेकिन आवेदन नहीं करती, तो अधिकारी उसे प्रक्रिया पूरी करने के लिए कह सकते हैं।

इसका मतलब है कि केवल उपयोगकर्ता संख्या निर्णायक न होने पर भी प्रभावशाली प्लेटफॉर्म इस व्यवस्था के दायरे में आ सकते हैं।

विदेशी संस्थाओं और व्यक्तियों पर संभावित पाबंदियां

मसौदा राष्ट्रीय साइबर नियामक को उन विदेशी संस्थाओं या व्यक्तियों को सार्वजनिक सूची में डालने का अधिकार देने का प्रस्ताव करता है, जिनकी व्यक्तिगत जानकारी प्रोसेस करने की गतिविधियां चीनी नागरिकों के डेटा अधिकारों का उल्लंघन करती हैं या चीन की राष्ट्रीय सुरक्षा अथवा सार्वजनिक हित के लिए खतरा पैदा करती हैं। सूची में शामिल पक्षों पर चीन से व्यक्तिगत जानकारी प्राप्त करने को सीमित या प्रतिबंधित किया जा सकता है।

इस प्रावधान का असर केवल डेटा भेजने वाले चीनी प्लेटफॉर्म पर नहीं, बल्कि विदेशों में डेटा प्राप्त करने वाली संस्थाओं पर भी पड़ सकता है। इससे सीमा-पार डेटा प्रवाह का जोखिम आकलन सामान्य प्राइवेसी समीक्षा से कहीं व्यापक हो जाएगा।

डेटा प्रोसेसिंग और सहमति के नए नियम

कवर की गई संस्थाओं से व्यक्तिगत जानकारी को वैधता, उचितता, आवश्यकता और सद्भावना के सिद्धांतों के अनुसार प्रोसेस करने की अपेक्षा होगी। किसी उत्पाद या सेवा के लिए जितनी जानकारी जरूरी हो, संग्रह उतने तक ही सीमित रहना चाहिए और जरूरत से अधिक डेटा नहीं लिया जा सकेगा।

जहां सहमति कानूनी आधार होगी, वहां कुछ अधिक जोखिम वाले कामों के लिए अलग और स्पष्ट सहमति लेनी होगी, जैसे:

• जानकारी किसी दूसरी व्यक्तिगत जानकारी प्रोसेस करने वाली संस्था को देना;
• जानकारी चीन के बाहर भेजना;
• जानकारी सार्वजनिक करना; और
• संवेदनशील व्यक्तिगत जानकारी प्रोसेस करना।

प्रोसेसिंग के उद्देश्य, तरीके या डेटा की श्रेणियों में बदलाव होने पर दोबारा सहमति लेनी होगी। उपयोगकर्ताओं को सहमति वापस लेने का आसान तरीका भी देना होगा।

14 वर्ष से कम उम्र के बच्चों की जानकारी प्रोसेस करने के लिए माता-पिता या किसी अन्य अभिभावक की सहमति जरूरी होगी। इसके लिए सहमति देने और वापस लेने का सुलभ तंत्र उपलब्ध कराना होगा।

चीन में डेटा स्टोरेज और डेटा सेंटर की शर्तें

चीन में संचालन के दौरान एकत्र या उत्पन्न की गई व्यक्तिगत जानकारी चीन के भीतर ही स्टोर करनी होगी। संबंधित डेटा सेंटर भी चीन में स्थित होना चाहिए और लागू राष्ट्रीय नीतियों तथा मानकों का पालन करना होगा। डेटा सेंटर के प्रबंधन निकाय का कानूनी प्रतिनिधि या वास्तविक नियंत्रक चीनी नागरिक होना चाहिए।

मसौदे में डेटा सेंटर ऑपरेटरों पर भी जिम्मेदारियां डाली गई हैं। उन्हें आंतरिक नियंत्रण और घटना-प्रतिक्रिया योजनाएं बनाए रखनी होंगी, सुरक्षा कमजोरियों की पहचान कर उन्हें ठीक करना होगा, जरूरत पड़ने पर प्लेटफॉर्म और अधिकारियों को सूचित करना होगा तथा डेटा उल्लंघन की प्रतिक्रिया में सहयोग देना होगा।

बाहरी इंफ्रास्ट्रक्चर प्रदाताओं का इस्तेमाल करने वाली कंपनियों के लिए डेटा सेंटर का चयन, अनुबंध की शर्तें और संचालन की निगरानी अब केवल तकनीकी या खरीद संबंधी फैसले नहीं रहेंगे। वे अनुपालन कार्यक्रम का अहम हिस्सा बन जाएंगे।

सीमा-पार डेटा ट्रांसफर संभव, लेकिन कड़े नियंत्रणों के साथ

चीन में डेटा स्टोर करने की शर्त का अर्थ यह नहीं है कि हर तरह का आउटबाउंड ट्रांसफर अपने-आप खत्म हो जाएगा। मसौदा कारोबारी जरूरत होने पर सीमा-पार डेटा उपलब्ध कराने की संभावना रखता है, लेकिन संस्था को चीन के लागू डेटा-निर्यात तंत्र का पालन करना होगा और अलग से आवश्यक सहमति लेनी होगी।

व्यवहार में बड़े डेटा हैंडलर्स को चीन में डेटा रखने और किसी विदेशी प्राप्तकर्ता को डेटा उपलब्ध कराने के बीच स्पष्ट अंतर करना होगा। पहला बुनियादी स्टोरेज नियम होगा, जबकि दूसरा अतिरिक्त कानूनी और प्रक्रियात्मक नियंत्रणों को सक्रिय करेगा।

वरिष्ठ प्रबंधन की जवाबदेही और नियमित रिपोर्टिंग

मसौदा अधिक औपचारिक प्राइवेसी-कंप्लायंस ढांचे का प्रस्ताव करता है। इसमें वरिष्ठ प्रबंधन में से एक व्यक्तिगत-जानकारी-सुरक्षा अधिकारी नियुक्त करना शामिल है। इस पद के लिए रिपोर्टों में चीनी नागरिकता, किसी विदेशी देश की स्थायी निवास स्थिति या लंबे समय की निवास अनुमति का न होना, व्यक्तिगत जानकारी सुरक्षा का पेशेवर ज्ञान और संबंधित अनुभव जैसी शर्तों का उल्लेख किया गया है।

प्रस्तावित अन्य व्यवस्थाओं में शामिल हैं:

• सीधे अनुपालन ढांचे और स्पष्ट रूप से तय जिम्मेदारियां;
• नियमित व्यक्तिगत-जानकारी-सुरक्षा प्रभाव आकलन;
• समय-समय पर अनुपालन ऑडिट;
• डेटा प्रोसेसिंग गतिविधियों और सुरक्षा कमजोरियों की निगरानी;
• जोखिम की पहचान और उसे दूर करने की प्रक्रिया;
• शिकायतों तथा व्यक्तिगत अधिकारों के इस्तेमाल के लिए प्रभावी माध्यम; और
• हर साल सार्वजनिक व्यक्तिगत-जानकारी-सुरक्षा सामाजिक-जिम्मेदारी रिपोर्ट।

मसौदा नाबालिगों के लिए विशेष सुरक्षा पर भी जोर देता है। इसमें अभिभावक की सहमति देने और वापस लेने के व्यावहारिक तथा आसान तंत्र शामिल हैं।

बाहरी सदस्यों वाली स्वतंत्र निगरानी समिति सबसे बड़ा बदलाव

हर कवर की गई संस्था को व्यक्तिगत-जानकारी-सुरक्षा निगरानी समिति बनानी होगी, जो उसके डेटा प्रबंधन तरीकों की स्वतंत्र निगरानी करेगी।

प्रस्ताव के अनुसार समिति में:

• सदस्यों की संख्या विषम होनी चाहिए;
• कम-से-कम सात सदस्य होने चाहिए;
• आकार संस्था के कारोबार और उपयोगकर्ता आधार के अनुरूप होना चाहिए;
• कम-से-कम दो-तिहाई सदस्य बाहरी होने चाहिए; और
• अध्यक्ष एक बाहरी सदस्य होना चाहिए, जिसके पास वरिष्ठ स्तर की व्यक्तिगत-जानकारी-सुरक्षा अनुपालन ऑडिट क्षमता हो।

बाहरी सदस्यों को स्वतंत्र, प्रतिष्ठित और संबंधित अनुपालन कार्य का अनुभव रखने वाला होना होगा। सामान्य तौर पर वे एक ही समय में तीन से अधिक बड़े हैंडलर्स में सेवा नहीं दे सकेंगे।

समिति संस्था के अनुपालन और व्यक्तिगत जानकारी सुरक्षा से जुड़े महत्वपूर्ण मामलों की निगरानी करेगी। वह नीतियों और उच्च-जोखिम वाली प्रोसेसिंग की समीक्षा, राय या सिफारिश जारी करने तथा रिपोर्टिंग और निगरानी के जरिए जवाबदेही मजबूत करने का काम करेगी। संस्था को समिति के प्रभावी संचालन के लिए पर्याप्त संसाधन भी देने होंगे।

यह केवल प्राइवेसी अधिकारी नियुक्त करने की शर्त नहीं है। इससे बाहरी सदस्यों के प्रभुत्व वाली एक अलग निगरानी परत बनेगी और व्यक्तिगत जानकारी की सुरक्षा को संस्था की औपचारिक जवाबदेही संरचना में जगह मिलेगी।

संभावित रूप से प्रभावित संस्थाओं को अभी क्या करना चाहिए?

तत्काल प्राथमिकता यह आकलन करना है कि संस्था 1 करोड़ लोगों की सीमा या महत्व और प्रभाव से जुड़े व्यापक मानदंडों में आती है या नहीं। इसके बाद 7 सितंबर की समयसीमा से पहले टिप्पणियां तैयार करनी चाहिए। संभावित रूप से दायरे में आने वाली कंपनियों को इन बिंदुओं का मानचित्रण भी करना चाहिए:

1. कितने लोगों की जानकारी प्रोसेस की जा रही है और उसकी कौन-कौन सी श्रेणियां हैं;
2. प्रमुख सेवाएं, कारोबारी गतिविधियां और संभावित सार्वजनिक-हित प्रभाव;
3. चीन से जुड़ी व्यक्तिगत जानकारी कहां स्टोर है और संबंधित डेटा सेंटर का नियंत्रण किसके पास है;
4. संवेदनशील डेटा, डेटा साझा करने, सार्वजनिक करने और निर्यात के लिए सहमति प्रक्रियाएं;
5. सीमा-पार ट्रांसफर के तंत्र और विदेशी प्राप्तकर्ता;
6. वरिष्ठ प्रबंधन की जिम्मेदारी और ऑडिट व्यवस्था; तथा
7. निगरानी समिति की स्वतंत्रता, सदस्यता और संसाधनों की जरूरत।

यह प्रस्ताव अभी बदल सकता है। फिर भी इसकी दिशा स्पष्ट है: चीन सबसे बड़े और सबसे अधिक प्रभाव वाले डेटा हैंडलर्स के लिए अधिक कड़े संचालन नियंत्रण, देश के भीतर डेटा इंफ्रास्ट्रक्चर, वरिष्ठ स्तर की जवाबदेही और बाहरी प्राइवेसी निगरानी वाली व्यवस्था पर विचार कर रहा है।

चूंकि यह सार्वजनिक राय के लिए जारी किया गया मसौदा है, इसलिए इसकी शर्तों को अंतिम अनुपालन दायित्व नहीं माना जाना चाहिए। अनुच्छेद 50 में लागू होने की तारीख अभी खाली छोड़ी गई है।

किन संस्थाओं को “बड़ा पर्सनल-इन्फॉर्मेशन हैंडलर” माना जाएगा?

मसौदा केवल उपयोगकर्ताओं की संख्या के आधार पर फैसला नहीं करता। इसमें संस्था के आकार, सेवाओं और उसके संभावित प्रभाव का व्यापक आकलन प्रस्तावित है। प्रमुख मानदंडों में शामिल हैं:

• 1 करोड़ से अधिक प्राकृतिक व्यक्तियों की व्यक्तिगत जानकारी प्रोसेस करना;
• व्यक्तिगत जानकारी से जुड़ी महत्वपूर्ण ऑनलाइन सेवाएं देना या ऐसी कई कारोबारी गतिविधियां चलाना; और
• राष्ट्रीय सुरक्षा, आर्थिक गतिविधियों, सामाजिक स्थिरता, सार्वजनिक स्वास्थ्य या सुरक्षा पर महत्वपूर्ण प्रभाव डालना।

1 करोड़ से अधिक लोगों की जानकारी प्रोसेस करने वाली संस्थाओं के साथ-साथ वे संस्थाएं भी, जो व्यापक मानदंडों के आधार पर खुद को पात्र मानती हैं, प्रांतीय CAC के माध्यम से पदनाम या सूचीबद्धता के लिए आवेदन करेंगी। राष्ट्रीय CAC, अन्य संबंधित विभागों के साथ मिलकर, अंतिम सूची तय कर उसे सार्वजनिक करेगा। यदि कोई संस्था पात्र दिखाई देती है लेकिन आवेदन नहीं करती, तो अधिकारी उसे प्रक्रिया पूरी करने के लिए कह सकते हैं।

इसका मतलब है कि केवल उपयोगकर्ता संख्या निर्णायक न होने पर भी प्रभावशाली प्लेटफॉर्म इस व्यवस्था के दायरे में आ सकते हैं।

विदेशी संस्थाओं और व्यक्तियों पर संभावित पाबंदियां

मसौदा राष्ट्रीय साइबर नियामक को उन विदेशी संस्थाओं या व्यक्तियों को सार्वजनिक सूची में डालने का अधिकार देने का प्रस्ताव करता है, जिनकी व्यक्तिगत जानकारी प्रोसेस करने की गतिविधियां चीनी नागरिकों के डेटा अधिकारों का उल्लंघन करती हैं या चीन की राष्ट्रीय सुरक्षा अथवा सार्वजनिक हित के लिए खतरा पैदा करती हैं। सूची में शामिल पक्षों पर चीन से व्यक्तिगत जानकारी प्राप्त करने को सीमित या प्रतिबंधित किया जा सकता है।

इस प्रावधान का असर केवल डेटा भेजने वाले चीनी प्लेटफॉर्म पर नहीं, बल्कि विदेशों में डेटा प्राप्त करने वाली संस्थाओं पर भी पड़ सकता है। इससे सीमा-पार डेटा प्रवाह का जोखिम आकलन सामान्य प्राइवेसी समीक्षा से कहीं व्यापक हो जाएगा।

डेटा प्रोसेसिंग और सहमति के नए नियम

कवर की गई संस्थाओं से व्यक्तिगत जानकारी को वैधता, उचितता, आवश्यकता और सद्भावना के सिद्धांतों के अनुसार प्रोसेस करने की अपेक्षा होगी। किसी उत्पाद या सेवा के लिए जितनी जानकारी जरूरी हो, संग्रह उतने तक ही सीमित रहना चाहिए और जरूरत से अधिक डेटा नहीं लिया जा सकेगा।

जहां सहमति कानूनी आधार होगी, वहां कुछ अधिक जोखिम वाले कामों के लिए अलग और स्पष्ट सहमति लेनी होगी, जैसे:

• जानकारी किसी दूसरी व्यक्तिगत जानकारी प्रोसेस करने वाली संस्था को देना;
• जानकारी चीन के बाहर भेजना;
• जानकारी सार्वजनिक करना; और
• संवेदनशील व्यक्तिगत जानकारी प्रोसेस करना।

प्रोसेसिंग के उद्देश्य, तरीके या डेटा की श्रेणियों में बदलाव होने पर दोबारा सहमति लेनी होगी। उपयोगकर्ताओं को सहमति वापस लेने का आसान तरीका भी देना होगा।

14 वर्ष से कम उम्र के बच्चों की जानकारी प्रोसेस करने के लिए माता-पिता या किसी अन्य अभिभावक की सहमति जरूरी होगी। इसके लिए सहमति देने और वापस लेने का सुलभ तंत्र उपलब्ध कराना होगा।

चीन में डेटा स्टोरेज और डेटा सेंटर की शर्तें

चीन में संचालन के दौरान एकत्र या उत्पन्न की गई व्यक्तिगत जानकारी चीन के भीतर ही स्टोर करनी होगी। संबंधित डेटा सेंटर भी चीन में स्थित होना चाहिए और लागू राष्ट्रीय नीतियों तथा मानकों का पालन करना होगा। डेटा सेंटर के प्रबंधन निकाय का कानूनी प्रतिनिधि या वास्तविक नियंत्रक चीनी नागरिक होना चाहिए।

मसौदे में डेटा सेंटर ऑपरेटरों पर भी जिम्मेदारियां डाली गई हैं। उन्हें आंतरिक नियंत्रण और घटना-प्रतिक्रिया योजनाएं बनाए रखनी होंगी, सुरक्षा कमजोरियों की पहचान कर उन्हें ठीक करना होगा, जरूरत पड़ने पर प्लेटफॉर्म और अधिकारियों को सूचित करना होगा तथा डेटा उल्लंघन की प्रतिक्रिया में सहयोग देना होगा।

बाहरी इंफ्रास्ट्रक्चर प्रदाताओं का इस्तेमाल करने वाली कंपनियों के लिए डेटा सेंटर का चयन, अनुबंध की शर्तें और संचालन की निगरानी अब केवल तकनीकी या खरीद संबंधी फैसले नहीं रहेंगे। वे अनुपालन कार्यक्रम का अहम हिस्सा बन जाएंगे।

सीमा-पार डेटा ट्रांसफर संभव, लेकिन कड़े नियंत्रणों के साथ

चीन में डेटा स्टोर करने की शर्त का अर्थ यह नहीं है कि हर तरह का आउटबाउंड ट्रांसफर अपने-आप खत्म हो जाएगा। मसौदा कारोबारी जरूरत होने पर सीमा-पार डेटा उपलब्ध कराने की संभावना रखता है, लेकिन संस्था को चीन के लागू डेटा-निर्यात तंत्र का पालन करना होगा और अलग से आवश्यक सहमति लेनी होगी।

व्यवहार में बड़े डेटा हैंडलर्स को चीन में डेटा रखने और किसी विदेशी प्राप्तकर्ता को डेटा उपलब्ध कराने के बीच स्पष्ट अंतर करना होगा। पहला बुनियादी स्टोरेज नियम होगा, जबकि दूसरा अतिरिक्त कानूनी और प्रक्रियात्मक नियंत्रणों को सक्रिय करेगा।

वरिष्ठ प्रबंधन की जवाबदेही और नियमित रिपोर्टिंग

मसौदा अधिक औपचारिक प्राइवेसी-कंप्लायंस ढांचे का प्रस्ताव करता है। इसमें वरिष्ठ प्रबंधन में से एक व्यक्तिगत-जानकारी-सुरक्षा अधिकारी नियुक्त करना शामिल है। इस पद के लिए रिपोर्टों में चीनी नागरिकता, किसी विदेशी देश की स्थायी निवास स्थिति या लंबे समय की निवास अनुमति का न होना, व्यक्तिगत जानकारी सुरक्षा का पेशेवर ज्ञान और संबंधित अनुभव जैसी शर्तों का उल्लेख किया गया है।

प्रस्तावित अन्य व्यवस्थाओं में शामिल हैं:

• सीधे अनुपालन ढांचे और स्पष्ट रूप से तय जिम्मेदारियां;
• नियमित व्यक्तिगत-जानकारी-सुरक्षा प्रभाव आकलन;
• समय-समय पर अनुपालन ऑडिट;
• डेटा प्रोसेसिंग गतिविधियों और सुरक्षा कमजोरियों की निगरानी;
• जोखिम की पहचान और उसे दूर करने की प्रक्रिया;
• शिकायतों तथा व्यक्तिगत अधिकारों के इस्तेमाल के लिए प्रभावी माध्यम; और
• हर साल सार्वजनिक व्यक्तिगत-जानकारी-सुरक्षा सामाजिक-जिम्मेदारी रिपोर्ट।

मसौदा नाबालिगों के लिए विशेष सुरक्षा पर भी जोर देता है। इसमें अभिभावक की सहमति देने और वापस लेने के व्यावहारिक तथा आसान तंत्र शामिल हैं।

बाहरी सदस्यों वाली स्वतंत्र निगरानी समिति सबसे बड़ा बदलाव

हर कवर की गई संस्था को व्यक्तिगत-जानकारी-सुरक्षा निगरानी समिति बनानी होगी, जो उसके डेटा प्रबंधन तरीकों की स्वतंत्र निगरानी करेगी।

प्रस्ताव के अनुसार समिति में:

• सदस्यों की संख्या विषम होनी चाहिए;
• कम-से-कम सात सदस्य होने चाहिए;
• आकार संस्था के कारोबार और उपयोगकर्ता आधार के अनुरूप होना चाहिए;
• कम-से-कम दो-तिहाई सदस्य बाहरी होने चाहिए; और
• अध्यक्ष एक बाहरी सदस्य होना चाहिए, जिसके पास वरिष्ठ स्तर की व्यक्तिगत-जानकारी-सुरक्षा अनुपालन ऑडिट क्षमता हो।

बाहरी सदस्यों को स्वतंत्र, प्रतिष्ठित और संबंधित अनुपालन कार्य का अनुभव रखने वाला होना होगा। सामान्य तौर पर वे एक ही समय में तीन से अधिक बड़े हैंडलर्स में सेवा नहीं दे सकेंगे।

समिति संस्था के अनुपालन और व्यक्तिगत जानकारी सुरक्षा से जुड़े महत्वपूर्ण मामलों की निगरानी करेगी। वह नीतियों और उच्च-जोखिम वाली प्रोसेसिंग की समीक्षा, राय या सिफारिश जारी करने तथा रिपोर्टिंग और निगरानी के जरिए जवाबदेही मजबूत करने का काम करेगी। संस्था को समिति के प्रभावी संचालन के लिए पर्याप्त संसाधन भी देने होंगे।

यह केवल प्राइवेसी अधिकारी नियुक्त करने की शर्त नहीं है। इससे बाहरी सदस्यों के प्रभुत्व वाली एक अलग निगरानी परत बनेगी और व्यक्तिगत जानकारी की सुरक्षा को संस्था की औपचारिक जवाबदेही संरचना में जगह मिलेगी।

संभावित रूप से प्रभावित संस्थाओं को अभी क्या करना चाहिए?

तत्काल प्राथमिकता यह आकलन करना है कि संस्था 1 करोड़ लोगों की सीमा या महत्व और प्रभाव से जुड़े व्यापक मानदंडों में आती है या नहीं। इसके बाद 7 सितंबर की समयसीमा से पहले टिप्पणियां तैयार करनी चाहिए। संभावित रूप से दायरे में आने वाली कंपनियों को इन बिंदुओं का मानचित्रण भी करना चाहिए:

1. कितने लोगों की जानकारी प्रोसेस की जा रही है और उसकी कौन-कौन सी श्रेणियां हैं;
2. प्रमुख सेवाएं, कारोबारी गतिविधियां और संभावित सार्वजनिक-हित प्रभाव;
3. चीन से जुड़ी व्यक्तिगत जानकारी कहां स्टोर है और संबंधित डेटा सेंटर का नियंत्रण किसके पास है;
4. संवेदनशील डेटा, डेटा साझा करने, सार्वजनिक करने और निर्यात के लिए सहमति प्रक्रियाएं;
5. सीमा-पार ट्रांसफर के तंत्र और विदेशी प्राप्तकर्ता;
6. वरिष्ठ प्रबंधन की जिम्मेदारी और ऑडिट व्यवस्था; तथा
7. निगरानी समिति की स्वतंत्रता, सदस्यता और संसाधनों की जरूरत।

यह प्रस्ताव अभी बदल सकता है। फिर भी इसकी दिशा स्पष्ट है: चीन सबसे बड़े और सबसे अधिक प्रभाव वाले डेटा हैंडलर्स के लिए अधिक कड़े संचालन नियंत्रण, देश के भीतर डेटा इंफ्रास्ट्रक्चर, वरिष्ठ स्तर की जवाबदेही और बाहरी प्राइवेसी निगरानी वाली व्यवस्था पर विचार कर रहा है।