Wat verandert er volgens China’s 50-artikelenvoorstel voor grote platforms?

China’s Cyberspace Administration of China (CAC), de Chinese internet- en cyberspaceautoriteit, heeft een openbare consultatie geopend over een ontwerp met 50 artikelen: de Provisions on Personal Information Protection for Large Personal Information Handlers. Het voorstel, gepubliceerd op 7 augustus 2026, voegt twee eerdere CAC-consultatieteksten samen en is nog geen geldende wet.

De regels zijn bedoeld voor organisaties die persoonsgegevens op zeer grote schaal verwerken of waarvan de activiteiten grote gevolgen kunnen hebben voor de nationale veiligheid, de economie, de samenleving, de volksgezondheid of de openbare veiligheid. Voor zulke organisaties zouden niet alleen de dagelijkse privacyprocessen veranderen. Ook registratie, opslag, doorgifte naar het buitenland, rapportage en onafhankelijk toezicht zouden aan strengere eisen moeten voldoen.

Tot wanneer kunnen organisaties reageren?

Reacties moeten uiterlijk 7 september 2026 bij de CAC binnen zijn. Dat kan per e-mail via shujuju@cac.gov.cn of per post naar het Network Data Management Bureau van de CAC, Fucheng Road 15, district Haidian, Beijing 100048. Op de envelop moet worden vermeld dat het om deze consultatie gaat.

Omdat het om een ontwerp voor publieke inspraak gaat, moeten organisaties de bepalingen voorlopig zien als voorgestelde verplichtingen en niet als definitieve compliance-eisen. Artikel 50 vermeldt nog geen datum waarop de regels in werking zouden treden.

Wanneer geldt een organisatie als grote verwerker?

Het voorstel kijkt niet alleen naar één harde gebruikersgrens. De CAC wil verschillende factoren samen beoordelen. Daarbij gaat het onder meer om de vraag of een organisatie:

• persoonsgegevens verwerkt van meer dan 10 miljoen natuurlijke personen;
• belangrijke online diensten aanbiedt waarbij persoonsgegevens worden verwerkt, of meerdere relevante bedrijfsonderdelen heeft; en
• een aanzienlijke invloed heeft op de nationale veiligheid, het economisch functioneren, de maatschappelijke stabiliteit, de volksgezondheid of de openbare veiligheid.

Organisaties die gegevens van meer dan 10 miljoen mensen verwerken, en organisaties die zelf vaststellen dat zij aan de bredere criteria voldoen, zouden via de provinciale CAC een aanvraag voor aanwijzing moeten indienen. De nationale CAC zou samen met andere bevoegde instanties de lijst vaststellen en openbaar maken. Ook kunnen autoriteiten organisaties die vermoedelijk onder de regels vallen verplichten alsnog de procedure te doorlopen.

Dat betekent dat ook invloedrijke platforms binnen de reikwijdte kunnen vallen wanneer alleen het aantal gebruikers geen doorslaggevende uitkomst geeft.

Mogelijke beperkingen voor buitenlandse organisaties

De nationale cyberspaceautoriteit zou buitenlandse organisaties of personen openbaar kunnen aanwijzen wanneer hun verwerking van persoonsgegevens de rechten van Chinese burgers schendt of de nationale veiligheid of het publieke belang van China in gevaar brengt. Organisaties en personen op die lijst kunnen vervolgens worden beperkt of verboden om persoonsgegevens uit China te ontvangen.

De mogelijke consequenties zouden daarmee niet alleen gelden voor het Chinese platform dat gegevens doorstuurt, maar ook voor de buitenlandse ontvanger. Bij grensoverschrijdende datastromen zou bovendien een bredere risicoanalyse nodig zijn dan bij een gebruikelijke privacybeoordeling.

Strengere eisen aan verwerking en toestemming

Grote verwerkers zouden persoonsgegevens moeten verwerken volgens de beginselen van rechtmatigheid, behoorlijkheid, noodzakelijkheid en goede trouw. De verzameling zou beperkt moeten blijven tot gegevens die noodzakelijk zijn voor het betreffende product of de betreffende dienst; bovenmatige verzameling zou niet zijn toegestaan.

Wanneer toestemming de wettelijke grondslag vormt, zou afzonderlijke toestemming nodig zijn voor verschillende activiteiten met een hoger risico, waaronder:

• het verstrekken van gegevens aan een andere verwerker;
• het verstrekken van gegevens buiten China;
• het openbaar maken van gegevens; en
• de verwerking van gevoelige persoonsgegevens.

Een wijziging van het doel, de methode of de categorieën van verwerking zou opnieuw toestemming vereisen. Ook moet het voor betrokkenen eenvoudig zijn om hun toestemming in te trekken.

Voor kinderen jonger dan 14 jaar zou verwerking alleen mogen plaatsvinden met toestemming van een ouder of andere wettelijke voogd. Daarvoor zou een toegankelijk mechanisme voor het geven én intrekken van toestemming beschikbaar moeten zijn.

Persoonsgegevens en datacenters in China opslaan

Persoonsgegevens die door activiteiten in China worden verzameld of gegenereerd, zouden in China moeten worden opgeslagen. Het datacenter moet zich in China bevinden en voldoen aan de toepasselijke nationale beleidsregels en normen. De wettelijke vertegenwoordiger of feitelijke zeggenschaphouder van de beherende entiteit van het datacenter zou bovendien Chinees staatsburger moeten zijn.

Ook exploitanten van datacenters krijgen volgens het voorstel eigen verantwoordelijkheden. Zij zouden interne controles en incidentresponsplannen moeten onderhouden, beveiligingszwakheden moeten opsporen en verhelpen, waar nodig het platform en de autoriteiten moeten informeren en moeten meewerken aan de afhandeling van datalekken.

Voor bedrijven die gebruikmaken van externe infrastructuurproviders maakt dit de keuze, contractering en operationele controle van een datacenter tot een centraal onderdeel van het privacyprogramma — en niet louter tot een technische of inkoopbeslissing.

Uitwisseling met het buitenland blijft mogelijk, maar onder voorwaarden

De verplichting om gegevens binnen China op te slaan zou niet automatisch elke doorgifte naar het buitenland uitsluiten. Het ontwerp laat grensoverschrijdende verstrekking toe wanneer die voor de bedrijfsvoering daadwerkelijk nodig is, maar vereist naleving van de Chinese exportprocedures en afzonderlijke toestemming.

Organisaties zouden in de praktijk een duidelijk onderscheid moeten maken tussen het opslaan van gegevens in China en het verstrekken ervan aan een ontvanger in het buitenland. Opslag in China zou de basisregel zijn; verstrekking naar het buitenland zou aanvullende juridische en procedurele controles activeren.

Meer verantwoordelijkheid binnen de organisatie

Het voorstel vraagt om een formelere privacystructuur, met onder meer een functionaris voor de bescherming van persoonsgegevens uit het senior management. Volgens berichtgeving over het voorstel moet deze functionaris onder meer de Chinese nationaliteit hebben, geen permanente verblijfsstatus of langdurige verblijfsvergunning in een ander land hebben, beschikken over professionele kennis van privacybescherming en relevante ervaring hebben.

Andere voorgestelde maatregelen zijn:

• een directe compliance-structuur met duidelijk toegewezen verantwoordelijkheden;
• regelmatige privacy-effectbeoordelingen;
• periodieke compliance-audits;
• toezicht op verwerkingsactiviteiten en beveiligingskwetsbaarheden;
• procedures voor risico-identificatie en herstelmaatregelen;
• goed bereikbare kanalen voor klachten en voor het uitoefenen van individuele rechten; en
• een jaarlijks openbaar maatschappelijk-verantwoordelijkheidsrapport over de bescherming van persoonsgegevens.

Het ontwerp benadrukt daarnaast specifieke bescherming voor minderjarigen, waaronder praktische procedures voor ouderlijke toestemming en het intrekken daarvan.

Onafhankelijk toezichtscomité als nieuwe bestuurslaag

Elke organisatie die onder de regeling valt, zou een comité voor toezicht op de bescherming van persoonsgegevens moeten instellen. Dat comité moet onafhankelijk toezicht houden op de manier waarop de organisatie gegevens verwerkt.

Het voorgestelde comité moet:

• uit een oneven aantal leden bestaan;
• minstens zeven leden tellen;
• qua omvang aansluiten bij de bedrijfsactiviteiten en het aantal gebruikers;
• voor minstens twee derde uit externe leden bestaan; en
• worden geleid door een extern lid met ruime deskundigheid in compliance-audits rond de bescherming van persoonsgegevens.

Externe leden moeten onafhankelijk, betrouwbaar en ervaren zijn in relevante compliancewerkzaamheden. In de regel zouden zij bij maximaal drie grote verwerkers tegelijk mogen zetelen.

Het comité zou toezicht houden op de naleving van de regels en op belangrijke privacykwesties, beleid en verwerkingen met een hoog risico beoordelen, adviezen of aanbevelingen uitbrengen en via rapportage- en toezichtmechanismen bijdragen aan de verantwoordingsplicht. De organisatie moet het comité bovendien voldoende middelen geven om zijn taken uit te voeren.

Dit gaat verder dan alleen het benoemen van een privacyfunctionaris. Het zou een afzonderlijke toezichtlaag creëren die grotendeels uit externe leden bestaat en privacybeheer een formele plaats geven binnen de bestuurs- en verantwoordingsstructuur van grote organisaties.

Wat moeten mogelijk betrokken organisaties nu doen?

De eerste stap is nagaan of de organisatie voldoet aan de grens van 10 miljoen personen of aan de bredere criteria rond belang en impact. Daarna kunnen organisaties vóór 7 september reageren op het voorstel. Bedrijven die mogelijk binnen de reikwijdte vallen, zouden daarnaast in kaart moeten brengen:

1. hoeveel mensen zij betreffen en welke categorieën persoonsgegevens zij verwerken;
2. welke belangrijke diensten en bedrijfsonderdelen zij hebben en welke gevolgen die voor het publieke belang kunnen hebben;
3. waar Chinese persoonsgegevens worden opgeslagen en wie de betreffende datacenters beheert;
4. hoe toestemming wordt geregeld voor gevoelige gegevens, verstrekking, openbaarmaking en doorgifte naar het buitenland;
5. welke mechanismen gelden voor grensoverschrijdende doorgifte en welke buitenlandse ontvangers betrokken zijn;
6. welke verantwoordelijkheden bij het senior management en de auditfunctie liggen; en
7. welke onafhankelijkheid, samenstelling en middelen nodig zouden zijn voor het toezichtscomité.

Het voorstel kan nog veranderen. De richting is echter duidelijk: China overweegt een systeem waarin de grootste en meest invloedrijke dataverwerkers te maken krijgen met zwaardere operationele controles, infrastructuur in eigen land, verantwoordelijkheid op het hoogste organisatieniveau en extern privacytoezicht.