Chiny chcą zaostrzyć zasady ochrony danych dla największych platform

Chińska Administracja Cyberprzestrzeni (CAC) rozpoczęła konsultacje nad 50-artykułowym projektem zatytułowanym Przepisy dotyczące ochrony danych osobowych przez dużych przetwarzających dane osobowe. Dokument opublikowano 7 sierpnia 2026 r. i nie jest on jeszcze obowiązującym prawem. Projekt łączy dwa wcześniejsze projekty konsultowane przez CAC.

Regulacja ma dotyczyć organizacji, które przetwarzają dane osobowe na bardzo dużą skalę albo których działalność może mieć istotny wpływ na bezpieczeństwo narodowe Chin, gospodarkę, społeczeństwo, zdrowie publiczne lub bezpieczeństwo. W praktyce oznaczałaby nie tylko dodatkowe wymogi przy codziennym zbieraniu danych, lecz także nowe obowiązki w zakresie rejestracji, przechowywania informacji, transferów zagranicznych, raportowania i niezależnego nadzoru.

Do kiedy można zgłaszać uwagi?

Uwagi do projektu należy przekazać CAC do 7 września 2026 r. Można je wysłać pocztą elektroniczną na adres shujuju@cac.gov.cn albo listownie do Biura Zarządzania Danymi Sieciowymi CAC pod adresem: 15 Fucheng Road, dzielnica Haidian, Pekin 100048. Na kopercie należy wskazać, że przesyłka dotyczy tych konsultacji.

To wciąż projekt poddany konsultacjom, dlatego organizacje powinny traktować opisane w nim wymogi jako proponowane obowiązki, a nie ostateczne zasady zgodności. Artykuł 50 nie wskazuje daty wejścia przepisów w życie.

Kogo mogą objąć nowe przepisy?

Projekt nie opiera się wyłącznie na jednym progu liczbowym. Przy ocenie, czy organizacja jest „dużym przetwarzającym dane osobowe”, mają być brane pod uwagę m.in. następujące czynniki:

• przetwarzanie danych osobowych dotyczących ponad 10 mln osób;
• świadczenie ważnych usług internetowych związanych z przetwarzaniem danych osobowych albo prowadzenie kilku istotnych rodzajów działalności;
• istotny wpływ na bezpieczeństwo narodowe, funkcjonowanie gospodarki, stabilność społeczną, zdrowie publiczne lub bezpieczeństwo.

Podmioty przetwarzające informacje o ponad 10 mln osób, a także organizacje, które uznają, że spełniają szersze kryteria, musiałyby wystąpić o wyznaczenie ich jako dużego przetwarzającego za pośrednictwem CAC na poziomie prowincji. Lista byłaby ustalana i publicznie ogłaszana przez centralną CAC wraz z innymi właściwymi organami. Władze mogłyby również nakazać przeprowadzenie procedury organizacji, która prawdopodobnie spełnia kryteria, ale sama nie złożyła wniosku.

Oznacza to, że projekt może objąć także wpływowe platformy, w przypadku których sama liczba użytkowników nie przesądza jeszcze o kwalifikacji.

Możliwe ograniczenia dla zagranicznych podmiotów

Centralny regulator cyberprzestrzeni mógłby publicznie umieszczać na specjalnej liście zagraniczne organizacje lub osoby, których działania związane z przetwarzaniem danych naruszają prawa chińskich obywateli albo zagrażają bezpieczeństwu narodowemu lub interesowi publicznemu Chin. Podmioty wpisane na listę mogłyby zostać objęte ograniczeniem lub zakazem otrzymywania danych osobowych z Chin.

To potencjalnie istotna konsekwencja również dla zagranicznych odbiorców danych, a nie tylko dla chińskiej platformy, która przekazuje informacje. Ocena ryzyka przy transferach transgranicznych musiałaby więc uwzględniać szerszy zestaw czynników niż standardowy przegląd prywatności.

Zasady przetwarzania i zgoda użytkownika

Objęte regulacją podmioty musiałyby przetwarzać dane zgodnie z zasadami legalności, właściwości, niezbędności i dobrej wiary. Zakres zbieranych informacji powinien być ograniczony do danych potrzebnych do działania danego produktu lub usługi i nie mógłby być nadmierny.

Jeżeli podstawą prawną przetwarzania byłaby zgoda, osobnej zgody wymagałyby m.in. następujące działania:

• przekazanie informacji innemu podmiotowi przetwarzającemu dane osobowe;
• przekazanie informacji poza Chiny;
• upublicznienie informacji;
• przetwarzanie danych wrażliwych.

Zmiana celu, sposobu lub kategorii przetwarzania wymagałaby ponownego uzyskania zgody. Projekt przewiduje także wygodny mechanizm jej wycofania.

Przetwarzanie danych dzieci poniżej 14. roku życia wymagałoby zgody rodzica lub innego opiekuna. Platforma musiałaby zapewnić prosty i dostępny sposób udzielania oraz wycofywania takiej zgody.

Dane przechowywane w Chinach i wymogi wobec centrów danych

Dane osobowe zebrane lub wygenerowane w związku z działalnością prowadzoną w Chinach musiałyby być przechowywane na terytorium Chin. Centrum danych również musiałoby znajdować się w Chinach i spełniać obowiązujące krajowe polityki oraz standardy. Przedstawiciel ustawowy albo faktyczny kontroler podmiotu zarządzającego takim centrum danych musiałby być obywatelem Chin.

Projekt nakładałby obowiązki także na operatorów centrów danych. Musieliby oni utrzymywać wewnętrzne mechanizmy kontroli i plany reagowania na incydenty, wykrywać oraz usuwać luki w zabezpieczeniach, powiadamiać platformę i organy w przypadkach wymaganych przepisami, a także pomagać w reagowaniu na naruszenia.

Dla firm korzystających z zewnętrznych dostawców infrastruktury oznaczałoby to, że wybór centrum danych, zapisy umowne i bieżący nadzór operacyjny stałyby się kluczową częścią programu zgodności, a nie wyłącznie kwestią techniczną lub zakupową.

Transfery zagraniczne nadal możliwe, ale pod kontrolą

Wymóg przechowywania danych w Chinach nie oznaczałby automatycznego zakazu każdego transferu za granicę. Projekt dopuszcza przekazywanie danych poza Chiny, jeśli jest to rzeczywiście potrzebne z powodów biznesowych, ale wymagałby zastosowania chińskich mechanizmów dotyczących eksportu danych oraz uzyskania odrębnej zgody.

Duże podmioty musiałyby więc wyraźnie odróżniać przechowywanie danych w Chinach od przekazywania ich zagranicznemu odbiorcy. Pierwsze byłoby podstawowym wymogiem dotyczącym lokalizacji, drugie uruchamiałoby dodatkowe procedury i zabezpieczenia prawne.

Większa odpowiedzialność wewnętrzna i raportowanie

Projekt przewiduje bardziej sformalizowany system zarządzania prywatnością, w tym powołanie inspektora ochrony danych osobowych z grona kadry kierowniczej. Opisy projektu wskazują także dodatkowe warunki dla tej funkcji: chińskie obywatelstwo, brak zagranicznego prawa stałego pobytu lub długoterminowego zezwolenia na pobyt, specjalistyczna wiedza z zakresu ochrony danych osobowych oraz odpowiednie doświadczenie.

Pozostałe proponowane rozwiązania obejmują:

• bezpośrednie struktury zgodności i jasno przypisane obowiązki;
• regularne oceny skutków dla ochrony danych osobowych;
• okresowe audyty zgodności;
• monitorowanie procesów przetwarzania i podatności zabezpieczeń;
• procedury identyfikowania oraz usuwania ryzyk;
• skuteczne kanały składania skarg i wykonywania praw przez osoby, których dane dotyczą;
• coroczny publiczny raport dotyczący społecznej odpowiedzialności w zakresie ochrony danych osobowych.

Projekt kładzie również nacisk na szczególne zabezpieczenia dotyczące małoletnich, w tym praktyczne mechanizmy zgody rodzicielskiej i jej wycofania.

Niezależny komitet nadzorczy jako nowy szczebel kontroli

Każdy podmiot objęty regulacją musiałby utworzyć komitet nadzoru nad ochroną danych osobowych, który niezależnie kontrolowałby sposób przetwarzania informacji.

Zgodnie z projektem komitet musiałby:

• mieć nieparzystą liczbę członków;
• liczyć co najmniej siedem osób;
• być odpowiednio liczny w stosunku do skali działalności i bazy użytkowników;
• składać się co najmniej w dwóch trzecich z członków zewnętrznych;
• mieć przewodniczącego będącego członkiem zewnętrznym i posiadającego wysokie kompetencje w zakresie audytu zgodności ochrony danych osobowych.

Członkowie zewnętrzni musieliby być niezależni, cieszyć się dobrą reputacją i mieć doświadczenie w odpowiednich obszarach zgodności. Co do zasady jedna osoba mogłaby zasiadać jednocześnie w komitetach nie więcej niż trzech dużych podmiotów.

Do zadań komitetu należałoby nadzorowanie zgodności oraz istotnych kwestii związanych z ochroną danych osobowych, analizowanie polityk i procesów wysokiego ryzyka, wydawanie opinii lub rekomendacji, a także wzmacnianie odpowiedzialności poprzez raportowanie i mechanizmy nadzorcze. Organizacja musiałaby zapewnić komitetowi zasoby niezbędne do wykonywania tych funkcji.

Byłoby to rozwiązanie wykraczające poza obowiązek powołania inspektora lub osoby odpowiedzialnej za prywatność. Projekt tworzy dodatkową warstwę nadzoru, zdominowaną przez osoby zewnętrzne, i formalnie umieszcza ochronę danych w strukturze odpowiedzialności organizacyjnej.

Co projekt oznacza dla firm, które mogą zostać objęte regulacją?

Pierwszym krokiem powinno być sprawdzenie, czy organizacja może spełniać próg skali albo szersze kryteria znaczenia i wpływu. Firmy powinny także przygotować uwagi przed upływem terminu 7 września 2026 r.

Podmioty potencjalnie objęte projektem powinny przeanalizować:

1. liczbę osób, których dane są przetwarzane, oraz kategorie tych danych;
2. główne usługi, obszary działalności i możliwy wpływ na interes publiczny;
3. miejsce przechowywania chińskich danych osobowych oraz podmioty kontrolujące odpowiednie centra danych;
4. mechanizmy uzyskiwania zgody na przetwarzanie danych wrażliwych, ujawnianie, publikowanie i eksport;
5. procedury transferów transgranicznych i zagranicznych odbiorców;
6. odpowiedzialność kadry kierowniczej oraz rozwiązania audytowe;
7. niezależność, skład i zasoby wymagane dla komitetu nadzorczego.

Projekt może jeszcze ulec zmianie. Jego kierunek jest jednak wyraźny: Chiny rozważają system, w którym największe i najbardziej wpływowe podmioty przetwarzające dane będą podlegać zaostrzonym wymogom operacyjnym, obowiązkowej lokalizacji infrastruktury, odpowiedzialności na szczeblu kierowniczym i zewnętrznemu nadzorowi nad prywatnością.