Что изменит 50-статейный проект Китая о защите персональных данных на крупных платформах

Администрация киберпространства Китая (CAC) начала общественное обсуждение 50-статейного проекта под названием «Положения о защите персональных данных крупными обработчиками персональных данных». Документ опубликован 7 августа 2026 года, объединяет два ранее вынесенных на обсуждение проекта и пока не является действующим нормативным актом.

Проект рассчитан на организации, которые обрабатывают персональные данные в очень больших масштабах либо чья деятельность может существенно влиять на национальную безопасность Китая, экономику, общество, общественное здоровье или безопасность. Для таких компаний последствия могут выйти далеко за рамки обычного сбора данных: им могут потребоваться специальная регистрация, хранение информации внутри страны, дополнительные процедуры трансграничной передачи, регулярная отчетность и независимый внешний надзор.

До какого числа принимаются замечания и как их отправить

Комментарии к проекту необходимо направить в CAC до 7 сентября 2026 года. Их можно отправить по электронной почте на адрес shujuju@cac.gov.cn или почтовым отправлением в Бюро управления сетевыми данными CAC по адресу: 100048, Китай, Пекин, район Хайдянь, улица Фучэн, 15. На конверте следует указать, что письмо относится к данному общественному обсуждению.

Поскольку речь идет о проекте, организации должны воспринимать его положения как предлагаемые обязанности, а не как окончательные требования к соблюдению законодательства. В статье 50 дата вступления документа в силу не указана.

Какие организации могут признать крупными обработчиками данных

Проект предлагает оценивать статус организации комплексно, а не только по числу пользователей. Среди указанных факторов:

• обработка персональных данных более чем 10 миллионов физических лиц;
• предоставление важных онлайн-сервисов, связанных с обработкой персональных данных, либо ведение нескольких соответствующих направлений бизнеса;
• существенное влияние на национальную безопасность, работу экономики, социальную стабильность, общественное здоровье или безопасность.

Организации, обрабатывающие данные более чем 10 миллионов человек, а также компании, которые самостоятельно считают, что соответствуют более широким критериям, должны будут подать заявление о признании через провинциальное подразделение CAC. Национальная CAC совместно с другими компетентными органами будет определять перечень таких организаций и публиковать его. Власти также смогут обязать пройти процедуру компанию, которая, по их оценке, соответствует критериям, но не подала заявление самостоятельно.

Таким образом, проект потенциально может затронуть влиятельные платформы даже в тех случаях, когда одного показателя числа пользователей недостаточно для однозначного вывода.

Возможные ограничения для иностранных организаций и граждан

Проект наделяет национального интернет-регулятора правом публично включать в специальный список иностранные организации или физических лиц, чья обработка персональных данных нарушает права граждан Китая либо угрожает национальной безопасности или общественным интересам страны. Для включенных в список получателей могут быть введены ограничения или запрет на получение персональных данных из Китая.

Это создает потенциальные последствия не только для китайской платформы, передающей информацию, но и для зарубежного получателя. Оценка рисков при трансграничной передаче данных в таком случае должна учитывать не только стандартные вопросы конфиденциальности.

Обработка данных и требования к согласию

Крупные обработчики должны будут соблюдать принципы законности, надлежащего характера обработки, необходимости и добросовестности. Сбор информации необходимо ограничивать данными, требуемыми для соответствующего продукта или услуги; избыточный сбор не допускается.

Если правовым основанием обработки является согласие, отдельное согласие потребуется для ряда операций повышенного риска, в частности для:

• передачи информации другому обработчику персональных данных;
• передачи информации за пределы Китая;
• публикации информации;
• обработки чувствительных персональных данных.

При изменении целей, способов или категорий обработки потребуется получить согласие заново. Проект также предусматривает удобный механизм отзыва согласия.

Для обработки данных детей младше 14 лет понадобится согласие родителя или иного законного представителя. Платформа должна будет предоставить понятный и доступный механизм выдачи и отзыва такого согласия.

Хранение данных в Китае и требования к дата-центрам

Персональные данные, собранные или созданные в рамках деятельности в Китае, должны будут храниться внутри страны. Дата-центр также должен находиться в Китае и соответствовать применимым государственным политикам и национальным стандартам. Законный представитель или фактический контролирующий лицо организации, управляющей дата-центром, должно быть гражданином Китая.

Обязанности появятся и у операторов дата-центров. От них ожидаются внутренние меры контроля и планы реагирования на инциденты, выявление и устранение уязвимостей, уведомление платформы и органов власти в предусмотренных случаях, а также помощь в расследовании и устранении последствий утечек.

Для компаний, использующих внешних инфраструктурных провайдеров, выбор дата-центра, условия договора и текущий операционный контроль станут полноценными элементами программы соблюдения требований, а не только техническими или закупочными вопросами.

Трансграничная передача останется возможной, но будет ограничена

Требование о хранении данных внутри страны не означает автоматический запрет на любую передачу информации за рубеж. Проект допускает трансграничное предоставление данных, если оно действительно необходимо для бизнеса, однако организация должна будет использовать предусмотренные китайским законодательством механизмы экспорта данных и получить отдельное согласие.

На практике крупным обработчикам придется четко разделять хранение персональных данных в Китае и передачу данных зарубежному получателю. Первое станет базовым требованием к размещению информации, а второе повлечет дополнительные юридические и процедурные меры контроля.

Усиление внутренней ответственности и отчетности

Проект предусматривает более формальную систему управления конфиденциальностью, включая назначение ответственного за защиту персональных данных из числа руководителей высшего звена. Согласно сообщениям о проекте, к этой должности предъявляются такие требования, как гражданство Китая, отсутствие постоянного вида на жительство или статуса долгосрочного проживания в другой стране, профессиональные знания в сфере защиты персональных данных и соответствующий опыт работы.

Среди других предлагаемых мер корпоративного управления:

• создание прямых структур комплаенса и четкое распределение ответственности;
• регулярная оценка воздействия на защиту персональных данных;
• периодические проверки соблюдения требований;
• мониторинг операций по обработке данных и уязвимостей информационной безопасности;
• процедуры выявления и устранения рисков;
• эффективные каналы для подачи жалоб и реализации прав физических лиц;
• ежегодный публичный отчет о социальной ответственности в сфере защиты персональных данных.

Отдельное внимание уделяется защите несовершеннолетних, включая практические механизмы получения и отзыва родительского согласия.

Независимые надзорные комитеты станут главным структурным нововведением

Каждый обработчик, подпадающий под действие правил, должен будет создать комитет по надзору за защитой персональных данных. Он будет независимо контролировать практику организации в сфере обработки информации.

Согласно проекту, комитет должен:

• состоять из нечетного числа участников;
• включать минимум семь человек;
• формироваться с учетом масштаба бизнеса и пользовательской базы;
• включать не менее двух третей внешних участников;
• возглавляться внешним участником, обладающим значительным опытом аудита соблюдения требований по защите персональных данных.

Внешние участники должны быть независимыми, заслуживающими доверия и иметь опыт соответствующей комплаенс-работы. Как правило, одному такому специалисту будет разрешено одновременно работать не более чем в трех крупных организациях.

В обязанности комитета войдут контроль соблюдения требований и рассмотрение существенных вопросов защиты персональных данных, анализ политик и операций высокого риска, подготовка заключений или рекомендаций, а также участие в системе отчетности и надзора. Организация должна будет предоставить комитету достаточные ресурсы для работы.

Это больше, чем обычное требование назначить специалиста по конфиденциальности. Проект создает отдельный уровень надзора, в котором большинство составляют внешние участники, и закрепляет защиту персональных данных в общей системе ответственности организации.

Что стоит сделать компаниям, которые могут попасть под действие проекта

Первый шаг — оценить, соответствует ли организация количественному порогу или более широким критериям значимости и влияния, а затем подготовить замечания до 7 сентября. Компаниям, которые потенциально подпадают под проект, также стоит проверить:

1. число людей, чьи данные обрабатываются, и категории этих данных;
2. основные сервисы, направления бизнеса и возможное влияние на общественные интересы;
3. где хранятся персональные данные из Китая и кто контролирует соответствующие дата-центры;
4. процессы получения согласия на обработку чувствительных данных, раскрытие, публикацию и экспорт;
5. механизмы трансграничной передачи и перечень зарубежных получателей;
6. ответственность руководства и порядок проведения аудита;
7. независимость, состав и ресурсы будущего надзорного комитета.

Проект еще может измениться. Но его общий вектор уже понятен: Китай рассматривает систему, в которой крупнейшие и наиболее значимые обработчики данных должны будут соблюдать усиленные операционные требования, использовать внутреннюю инфраструктуру, обеспечивать ответственность на уровне руководства и допускать внешний надзор за защитой персональных данных.