คำตอบการวิจัย
ประเด็นสำคัญ สำนักงานบริหารไซเบอร์สเปซแห่งจีนเปิดรับฟังความคิดเห็นต่อร่างกฎ 50 มาตรา ความคิดเห็นต้องส่งภายในวันที่ 7 กันยายน 2026 และกฎดังกล่าวยังไม่มีผลบังคับใช้ [5][7] เกณฑ์ผู้ประมวลผลข้อมูลส่วนบุคคลรายใหญ่ไม่ได้ดูแค่จำนวนผู้ใช้มากกว่า 10 ล้านคน แต่ยังพิจารณาความสำคัญของบริการและผลกระทบต่อความมั่นคง เศรษฐกิจ สังคม สุขภาพ หรือความปลอดภัยด้วย [7] ข้อเสนอสำคัญ包括การเก็บข้อมูลไว้ในจีน การขอความยินยอมแยกสำหรับกิจกรรมที่มีความเสี่ยงสูง การแต่งตั้งผู้รับผิดชอบระดับผู้บริหาร และการตั้งคณะกรรมการกำกับที่มีสมาชิกอย่างน้อย 7 คน โดยอย่างน้อยสองในสามต้องเป็นบุคคลภายนอก [1... What does China’s Cyberspace Administration propose in its 50-article draft regulation on large platforms’ handling of personal information— Illustrative image for China’s proposed rules on large personal-information handlers. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: What does China’s Cyberspace Administration propose in its 50-article draft regulation on large platforms’ handling of personal information—. Article summary: China’s Cyberspace Administration (CAC) is consulting on a 50-article draft, the *Provisions on Personal Information Protection for Large Personal Information Handlers*. It consolidates two earlier proposals and is not y. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
openai.com สำนักงานบริหารไซเบอร์สเปซแห่งจีน (Cyberspace Administration of China หรือ CAC ) เปิดรับฟังความคิดเห็นต่อร่างกฎ 50 มาตราในชื่อ ข้อกำหนดว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลสำหรับผู้ประมวลผลข้อมูลส่วนบุคคลรายใหญ่ (Provisions on Personal Information Protection for Large Personal Information Handlers)
ร่างดังกล่าวเผยแพร่เมื่อวันที่ 7 สิงหาคม 2026 โดยรวบรวมข้อเสนอรับฟังความคิดเห็น 2 ฉบับก่อนหน้าเข้าไว้ด้วยกัน และยังไม่ใช่กฎหมายที่มีผลบังคับใช้
สาระสำคัญไม่ได้จำกัดอยู่เพียงวิธีเก็บข้อมูลผู้ใช้ในแต่ละวัน แต่ยังครอบคลุมการขึ้นทะเบียน การจัดเก็บข้อมูลภายในประเทศ การโอนข้อมูลออกนอกจีน การรายงาน การประเมินความเสี่ยง และการกำกับดูแลโดยบุคคลภายนอก สำหรับองค์กรที่มีการประมวลผลข้อมูลในวงกว้างหรือมีอิทธิพลต่อประโยชน์สาธารณะอย่างมีนัยสำคัญ
กำหนดส่งความคิดเห็นและช่องทางยื่นข้อเสนอ
คนยังถาม คำตอบสั้น ๆ สำหรับ "ร่างกฎข้อมูลส่วนบุคคลฉบับใหม่ของจีนอาจเปลี่ยนเกมแพลตฟอร์มขนาดใหญ่" คืออะไร สำนักงานบริหารไซเบอร์สเปซแห่งจีนเปิดรับฟังความคิดเห็นต่อร่างกฎ 50 มาตรา ความคิดเห็นต้องส่งภายในวันที่ 7 กันยายน 2026 และกฎดังกล่าวยังไม่มีผลบังคับใช้ [5][7]
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? สำนักงานบริหารไซเบอร์สเปซแห่งจีนเปิดรับฟังความคิดเห็นต่อร่างกฎ 50 มาตรา ความคิดเห็นต้องส่งภายในวันที่ 7 กันยายน 2026 และกฎดังกล่าวยังไม่มีผลบังคับใช้ [5][7] เกณฑ์ผู้ประมวลผลข้อมูลส่วนบุคคลรายใหญ่ไม่ได้ดูแค่จำนวนผู้ใช้มากกว่า 10 ล้านคน แต่ยังพิจารณาความสำคัญของบริการและผลกระทบต่อความมั่นคง เศรษฐกิจ สังคม สุขภาพ หรือความปลอดภัยด้วย [7]
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? ข้อเสนอสำคัญ包括การเก็บข้อมูลไว้ในจีน การขอความยินยอมแยกสำหรับกิจกรรมที่มีความเสี่ยงสูง การแต่งตั้งผู้รับผิดชอบระดับผู้บริหาร และการตั้งคณะกรรมการกำกับที่มีสมาชิกอย่างน้อย 7 คน โดยอย่างน้อยสองในสามต้องเป็นบุคคลภายนอก [1...
คำตอบการวิจัย
ประเด็นสำคัญ สำนักงานบริหารไซเบอร์สเปซแห่งจีนเปิดรับฟังความคิดเห็นต่อร่างกฎ 50 มาตรา ความคิดเห็นต้องส่งภายในวันที่ 7 กันยายน 2026 และกฎดังกล่าวยังไม่มีผลบังคับใช้ [5][7] เกณฑ์ผู้ประมวลผลข้อมูลส่วนบุคคลรายใหญ่ไม่ได้ดูแค่จำนวนผู้ใช้มากกว่า 10 ล้านคน แต่ยังพิจารณาความสำคัญของบริการและผลกระทบต่อความมั่นคง เศรษฐกิจ สังคม สุขภาพ หรือความปลอดภัยด้วย [7] ข้อเสนอสำคัญ包括การเก็บข้อมูลไว้ในจีน การขอความยินยอมแยกสำหรับกิจกรรมที่มีความเสี่ยงสูง การแต่งตั้งผู้รับผิดชอบระดับผู้บริหาร และการตั้งคณะกรรมการกำกับที่มีสมาชิกอย่างน้อย 7 คน โดยอย่างน้อยสองในสามต้องเป็นบุคคลภายนอก [1... What does China’s Cyberspace Administration propose in its 50-article draft regulation on large platforms’ handling of personal information— Illustrative image for China’s proposed rules on large personal-information handlers. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: What does China’s Cyberspace Administration propose in its 50-article draft regulation on large platforms’ handling of personal information—. Article summary: China’s Cyberspace Administration (CAC) is consulting on a 50-article draft, the *Provisions on Personal Information Protection for Large Personal Information Handlers*. It consolidates two earlier proposals and is not y. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
openai.com สำนักงานบริหารไซเบอร์สเปซแห่งจีน (Cyberspace Administration of China หรือ CAC ) เปิดรับฟังความคิดเห็นต่อร่างกฎ 50 มาตราในชื่อ ข้อกำหนดว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลสำหรับผู้ประมวลผลข้อมูลส่วนบุคคลรายใหญ่ (Provisions on Personal Information Protection for Large Personal Information Handlers)
ร่างดังกล่าวเผยแพร่เมื่อวันที่ 7 สิงหาคม 2026 โดยรวบรวมข้อเสนอรับฟังความคิดเห็น 2 ฉบับก่อนหน้าเข้าไว้ด้วยกัน และยังไม่ใช่กฎหมายที่มีผลบังคับใช้
สาระสำคัญไม่ได้จำกัดอยู่เพียงวิธีเก็บข้อมูลผู้ใช้ในแต่ละวัน แต่ยังครอบคลุมการขึ้นทะเบียน การจัดเก็บข้อมูลภายในประเทศ การโอนข้อมูลออกนอกจีน การรายงาน การประเมินความเสี่ยง และการกำกับดูแลโดยบุคคลภายนอก สำหรับองค์กรที่มีการประมวลผลข้อมูลในวงกว้างหรือมีอิทธิพลต่อประโยชน์สาธารณะอย่างมีนัยสำคัญ
กำหนดส่งความคิดเห็นและช่องทางยื่นข้อเสนอ
คนยังถาม คำตอบสั้น ๆ สำหรับ "ร่างกฎข้อมูลส่วนบุคคลฉบับใหม่ของจีนอาจเปลี่ยนเกมแพลตฟอร์มขนาดใหญ่" คืออะไร สำนักงานบริหารไซเบอร์สเปซแห่งจีนเปิดรับฟังความคิดเห็นต่อร่างกฎ 50 มาตรา ความคิดเห็นต้องส่งภายในวันที่ 7 กันยายน 2026 และกฎดังกล่าวยังไม่มีผลบังคับใช้ [5][7]
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? สำนักงานบริหารไซเบอร์สเปซแห่งจีนเปิดรับฟังความคิดเห็นต่อร่างกฎ 50 มาตรา ความคิดเห็นต้องส่งภายในวันที่ 7 กันยายน 2026 และกฎดังกล่าวยังไม่มีผลบังคับใช้ [5][7] เกณฑ์ผู้ประมวลผลข้อมูลส่วนบุคคลรายใหญ่ไม่ได้ดูแค่จำนวนผู้ใช้มากกว่า 10 ล้านคน แต่ยังพิจารณาความสำคัญของบริการและผลกระทบต่อความมั่นคง เศรษฐกิจ สังคม สุขภาพ หรือความปลอดภัยด้วย [7]
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? ข้อเสนอสำคัญ包括การเก็บข้อมูลไว้ในจีน การขอความยินยอมแยกสำหรับกิจกรรมที่มีความเสี่ยงสูง การแต่งตั้งผู้รับผิดชอบระดับผู้บริหาร และการตั้งคณะกรรมการกำกับที่มีสมาชิกอย่างน้อย 7 คน โดยอย่างน้อยสองในสามต้องเป็นบุคคลภายนอก [1...
ผู้สนใจต้องส่งความคิดเห็นถึง CAC ภายในวันที่ 7 กันยายน 2026 โดยส่งอีเมลไปที่ shujuju@cac.gov.cn หรือส่งทางไปรษณีย์ไปยังสำนักงานบริหารไซเบอร์สเปซแห่งจีน สำนักบริหารจัดการข้อมูลเครือข่าย เลขที่ 15 ถนนฝู่เฉิง เขตไห่เตี้ยน กรุงปักกิ่ง 100048 และควรระบุชื่อการรับฟังความคิดเห็นไว้บนซองจดหมาย
เนื่องจากเป็นร่างที่อยู่ระหว่างการรับฟังความคิดเห็น องค์กรต่าง ๆ จึงควรมองข้อกำหนดเหล่านี้เป็น หน้าที่ที่เสนอไว้ ไม่ใช่ภาระการปฏิบัติตามขั้นสุดท้าย โดยมาตรา 50 ของร่างยังเว้นว่างวันที่มีผลบังคับใช้ไว้
ใครบ้างอาจถูกจัดเป็นผู้ประมวลผลข้อมูลรายใหญ่ ร่างกฎใช้การประเมินหลายปัจจัย ไม่ได้อาศัยตัวเลขผู้ใช้เพียงอย่างเดียว เกณฑ์สำคัญประกอบด้วยว่าองค์กรนั้น:
ประมวลผลข้อมูลส่วนบุคคลของบุคคลธรรมดามากกว่า 10 ล้านคน
ให้บริการออนไลน์ที่มีความสำคัญและเกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล หรือดำเนินธุรกิจที่เกี่ยวข้องหลายประเภท
มีผลกระทบอย่างมีนัยสำคัญต่อความมั่นคงของชาติ การดำเนินงานทางเศรษฐกิจ เสถียรภาพทางสังคม สุขภาพของประชาชน หรือความปลอดภัย
องค์กรที่ประมวลผลข้อมูลของคนมากกว่า 10 ล้านคน รวมถึงองค์กรที่ประเมินตนเองว่าเข้าเกณฑ์ด้านความสำคัญและผลกระทบ จะต้องยื่นขอการรับรองสถานะผ่าน CAC ระดับมณฑล
จากนั้น CAC ส่วนกลางร่วมกับหน่วยงานที่เกี่ยวข้องจะเป็นผู้พิจารณาและประกาศรายชื่ออย่างเป็นทางการ ขณะเดียวกัน หน่วยงานรัฐก็สามารถสั่งให้องค์กรที่ดูเหมือนจะเข้าเกณฑ์ แต่ยังไม่ได้ยื่นคำขอ เข้าสู่กระบวนการดังกล่าวได้
นั่นหมายความว่าแพลตฟอร์มที่มีอิทธิพลสูงบางรายอาจอยู่ในขอบเขตของกฎ แม้จำนวนผู้ใช้เพียงอย่างเดียวจะยังไม่ชี้ขาดก็ตาม
ต่างชาติอาจถูกจำกัดการรับข้อมูลจากจีน ร่างกฎเปิดทางให้หน่วยงานกำกับดูแลไซเบอร์สเปซของจีนประกาศรายชื่อองค์กรหรือบุคคลต่างชาติที่ดำเนินกิจกรรมประมวลผลข้อมูลส่วนบุคคลซึ่งละเมิดสิทธิของพลเมืองจีน หรือเป็นภัยต่อความมั่นคงของชาติและประโยชน์สาธารณะของจีน
ผู้ที่อยู่ในรายชื่ออาจถูกจำกัดหรือห้ามรับข้อมูลส่วนบุคคลจากจีนโดยสิ้นเชิง
ข้อเสนอนี้จึงอาจสร้างความเสี่ยงด้านการปฏิบัติตามกฎให้แก่ผู้รับข้อมูลในต่างประเทศโดยตรง ไม่ใช่เฉพาะแพลตฟอร์มจีนที่เป็นผู้ส่งข้อมูลเท่านั้น และทำให้การประเมินความเสี่ยงของการไหลเวียนข้อมูลข้ามพรมแดนต้องพิจารณาประเด็นด้านความมั่นคงและประโยชน์สาธารณะควบคู่กับเรื่องความเป็นส่วนตัว
หลักเกณฑ์การประมวลผลและการขอความยินยอม ผู้ประมวลผลข้อมูลที่อยู่ในขอบเขตของกฎจะต้องดำเนินการตามหลักความชอบด้วยกฎหมาย ความเหมาะสม ความจำเป็น และความสุจริต การเก็บข้อมูลต้องจำกัดเฉพาะข้อมูลที่จำเป็นต่อผลิตภัณฑ์หรือบริการนั้น ๆ และต้องไม่เกินความจำเป็น
หากใช้ความยินยอมเป็นฐานทางกฎหมาย ร่างกฎกำหนดให้ต้องขอความยินยอมแยกต่างหากสำหรับกิจกรรมที่มีความเสี่ยงสูง ได้แก่:
การส่งข้อมูลให้ผู้ประมวลผลข้อมูลส่วนบุคคลรายอื่น
การส่งข้อมูลออกนอกจีน
การเปิดเผยข้อมูลต่อสาธารณะ
การประมวลผลข้อมูลส่วนบุคคลที่มีความละเอียดอ่อน
หากมีการเปลี่ยนแปลงวัตถุประสงค์ วิธีการ หรือประเภทของข้อมูลที่ประมวลผล จะต้องขอความยินยอมใหม่ และต้องจัดให้มีช่องทางที่สะดวกสำหรับบุคคลในการถอนความยินยอม
สำหรับเด็กอายุต่ำกว่า 14 ปี การประมวลผลข้อมูลต้องได้รับความยินยอมจากบิดามารดาหรือผู้ปกครอง พร้อมมีกลไกที่ใช้งานได้ง่ายสำหรับการให้หรือถอนความยินยอมดังกล่าว
ข้อมูลที่เก็บหรือสร้างในจีนต้องอยู่ในจีน ข้อมูลส่วนบุคคลที่เก็บรวบรวมหรือสร้างขึ้นจากการดำเนินงานในจีนจะต้องจัดเก็บไว้ภายในจีน โดยศูนย์ข้อมูลที่ใช้ต้องตั้งอยู่ในจีนและปฏิบัติตามนโยบายและมาตรฐานระดับชาติที่เกี่ยวข้อง
นอกจากนี้ นิติบุคคลที่บริหารศูนย์ข้อมูลจะต้องมีผู้แทนตามกฎหมายหรือผู้ควบคุมที่แท้จริงเป็นพลเมืองจีน
ร่างกฎยังวางภาระไว้กับผู้ให้บริการศูนย์ข้อมูลด้วย โดยต้องมีระบบควบคุมภายในและแผนรับมือเหตุการณ์ ระบุและแก้ไขช่องโหว่ด้านความปลอดภัย แจ้งแพลตฟอร์มและหน่วยงานรัฐเมื่อจำเป็น รวมถึงช่วยเหลือในการรับมือเหตุข้อมูลรั่วไหล
สำหรับบริษัทที่พึ่งพาผู้ให้บริการโครงสร้างพื้นฐานภายนอก การเลือกศูนย์ข้อมูล การจัดทำสัญญา และการกำกับดูแลการปฏิบัติงานจะกลายเป็นหัวใจของแผนปฏิบัติตามกฎ ไม่ใช่เพียงเรื่องทางเทคนิคหรือการจัดซื้อจัดจ้างเท่านั้น
ยังโอนข้อมูลออกนอกจีนได้ แต่มีเงื่อนไขมากขึ้น ข้อกำหนดให้จัดเก็บข้อมูลภายในประเทศไม่ได้หมายความว่าการส่งข้อมูลออกนอกจีนจะถูกห้ามทั้งหมด ร่างกฎยังเปิดทางให้โอนข้อมูลข้ามพรมแดนได้เมื่อมีความจำเป็นต่อธุรกิจอย่างแท้จริง แต่ผู้ดำเนินการต้องใช้กลไกการส่งข้อมูลออกนอกประเทศตามกฎของจีน และต้องได้รับความยินยอมแยกต่างหากตามที่กำหนด
ในทางปฏิบัติ องค์กรขนาดใหญ่จะต้องแยกให้ชัดเจนระหว่างการ เก็บข้อมูลไว้ในจีน กับการ ส่งข้อมูลให้ผู้รับในต่างประเทศ การจัดเก็บในจีนจะเป็นข้อกำหนดพื้นฐาน ส่วนการส่งออกจะมาพร้อมขั้นตอนและการควบคุมทางกฎหมายเพิ่มเติม
เพิ่มความรับผิดชอบระดับผู้บริหารและระบบรายงาน ร่างกฎเสนอให้ผู้ประมวลผลข้อมูลรายใหญ่มีโครงสร้างกำกับดูแลความเป็นส่วนตัวที่เป็นทางการมากขึ้น รวมถึงแต่งตั้งผู้รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลจากฝ่ายบริหารระดับสูง โดยรายงานเกี่ยวกับร่างกฎระบุว่าบุคคลดังกล่าวต้องมีสัญชาติจีน ไม่มีสถานะผู้มีถิ่นพำนักถาวรหรือใบอนุญาตพำนักระยะยาวในต่างประเทศ มีความรู้เฉพาะด้านการคุ้มครองข้อมูลส่วนบุคคล และมีประสบการณ์ที่เกี่ยวข้อง
มาตรการกำกับดูแลอื่น ๆ ที่เสนอ ได้แก่:
จัดตั้งโครงสร้างกำกับการปฏิบัติตามกฎโดยตรงและกำหนดผู้รับผิดชอบอย่างชัดเจน
จัดทำการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคลเป็นประจำ
ตรวจสอบการปฏิบัติตามกฎเป็นระยะ
ติดตามกิจกรรมการประมวลผลและช่องโหว่ด้านความปลอดภัย
มีกระบวนการระบุความเสี่ยงและแก้ไขปัญหา
จัดให้มีช่องทางที่มีประสิทธิภาพสำหรับการร้องเรียนและการใช้สิทธิของบุคคล
เผยแพร่รายงานความรับผิดชอบต่อสังคมด้านการคุ้มครองข้อมูลส่วนบุคคลเป็นประจำทุกปี
ร่างกฎยังเน้นมาตรการคุ้มครองผู้เยาว์โดยเฉพาะ รวมถึงกระบวนการให้และถอนความยินยอมของผู้ปกครองที่ใช้งานได้จริง
คณะกรรมการกำกับอิสระ: การเปลี่ยนแปลงเชิงโครงสร้างครั้งใหญ่ ผู้ประมวลผลข้อมูลที่อยู่ในขอบเขตของกฎจะต้องจัดตั้ง คณะกรรมการกำกับดูแลการคุ้มครองข้อมูลส่วนบุคคล เพื่อทำหน้าที่ตรวจสอบแนวทางการจัดการข้อมูลอย่างเป็นอิสระ
คณะกรรมการที่เสนอจะต้องมีคุณสมบัติสำคัญดังนี้:
มีสมาชิกเป็นจำนวนคี่
มีสมาชิกอย่างน้อย 7 คน
มีขนาดเหมาะสมกับขนาดธุรกิจและฐานผู้ใช้
มีสมาชิกภายนอกอย่างน้อยสองในสาม
มีประธานเป็นสมาชิกภายนอกที่มีความสามารถระดับสูงด้านการตรวจสอบการปฏิบัติตามกฎคุ้มครองข้อมูลส่วนบุคคล
สมาชิกภายนอกต้องมีความเป็นอิสระ มีชื่อเสียงน่าเชื่อถือ และมีประสบการณ์ด้านงานกำกับดูแลที่เกี่ยวข้อง โดยทั่วไปจะจำกัดให้ดำรงตำแหน่งกับผู้ประมวลผลข้อมูลรายใหญ่พร้อมกันไม่เกิน 3 แห่ง
หน้าที่ของคณะกรรมการจะรวมถึงการกำกับการปฏิบัติตามกฎและประเด็นคุ้มครองข้อมูลที่มีนัยสำคัญ ตรวจสอบนโยบายและกิจกรรมประมวลผลที่มีความเสี่ยงสูง ให้ความเห็นหรือข้อเสนอแนะ ตลอดจนสนับสนุนความรับผิดชอบผ่านระบบรายงานและการกำกับดูแล องค์กรยังต้องจัดสรรทรัพยากรให้เพียงพอต่อการทำงานของคณะกรรมการ
ดังนั้น ข้อเสนอนี้จึงไม่ใช่เพียงการเพิ่มตำแหน่งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล แต่เป็นการสร้างชั้นกำกับดูแลอีกระดับที่มีบุคคลภายนอกเป็นเสียงข้างมาก และยกระดับการคุ้มครองข้อมูลให้เป็นส่วนหนึ่งของโครงสร้างความรับผิดชอบขององค์กรอย่างเป็นทางการ
องค์กรที่อาจเข้าข่ายควรเตรียมตัวอย่างไร สิ่งที่ควรทำในทันทีคือประเมินว่าองค์กรเข้าข่ายจากเกณฑ์จำนวนผู้ใช้งานหรือจากเกณฑ์ด้านความสำคัญและผลกระทบในวงกว้างหรือไม่ พร้อมจัดเตรียมความคิดเห็นก่อนเส้นตายวันที่ 7 กันยายน 2026
องค์กรที่อาจอยู่ในขอบเขตควรเริ่มทำแผนที่ข้อมูลและโครงสร้างกำกับดูแลในประเด็นต่อไปนี้:
จำนวนและประเภทของบุคคลที่องค์กรประมวลผลข้อมูล
บริการหลัก สายธุรกิจ และผลกระทบที่อาจมีต่อประโยชน์สาธารณะ
สถานที่จัดเก็บข้อมูลส่วนบุคคลของผู้ใช้ในจีน และผู้ควบคุมศูนย์ข้อมูลที่เกี่ยวข้อง
ขั้นตอนการขอความยินยอมสำหรับข้อมูลละเอียดอ่อน การเปิดเผย การเผยแพร่ และการส่งออกข้อมูล
กลไกการโอนข้อมูลข้ามพรมแดนและรายชื่อผู้รับข้อมูลในต่างประเทศ
ความรับผิดชอบของผู้บริหารระดับสูงและระบบตรวจสอบ
ความเป็นอิสระ จำนวนสมาชิก องค์ประกอบ และทรัพยากรที่จำเป็นสำหรับคณะกรรมการกำกับดูแล
ร่างกฎยังอาจมีการแก้ไขก่อนประกาศใช้ แต่ทิศทางของนโยบายค่อนข้างชัดเจน: จีนกำลังพิจารณาระบบที่มองผู้ประมวลผลข้อมูลรายใหญ่และมีอิทธิพลสูงเป็นองค์กรที่ต้องอยู่ภายใต้การควบคุมด้านการปฏิบัติงานที่เข้มข้นขึ้น มีโครงสร้างพื้นฐานภายในประเทศ ความรับผิดชอบในระดับผู้บริหาร และการกำกับดูแลด้านความเป็นส่วนตัวจากผู้เชี่ยวชาญภายนอก
obsidianri.com China: CAC Consults on Large Personal Information Handler ... ผู้สนใจต้องส่งความคิดเห็นถึง CAC ภายในวันที่ 7 กันยายน 2026 โดยส่งอีเมลไปที่ shujuju@cac.gov.cn หรือส่งทางไปรษณีย์ไปยังสำนักงานบริหารไซเบอร์สเปซแห่งจีน สำนักบริหารจัดการข้อมูลเครือข่าย เลขที่ 15 ถนนฝู่เฉิง เขตไห่เตี้ยน กรุงปักกิ่ง 100048 และควรระบุชื่อการรับฟังความคิดเห็นไว้บนซองจดหมาย
เนื่องจากเป็นร่างที่อยู่ระหว่างการรับฟังความคิดเห็น องค์กรต่าง ๆ จึงควรมองข้อกำหนดเหล่านี้เป็น หน้าที่ที่เสนอไว้ ไม่ใช่ภาระการปฏิบัติตามขั้นสุดท้าย โดยมาตรา 50 ของร่างยังเว้นว่างวันที่มีผลบังคับใช้ไว้
ใครบ้างอาจถูกจัดเป็นผู้ประมวลผลข้อมูลรายใหญ่ ร่างกฎใช้การประเมินหลายปัจจัย ไม่ได้อาศัยตัวเลขผู้ใช้เพียงอย่างเดียว เกณฑ์สำคัญประกอบด้วยว่าองค์กรนั้น:
ประมวลผลข้อมูลส่วนบุคคลของบุคคลธรรมดามากกว่า 10 ล้านคน
ให้บริการออนไลน์ที่มีความสำคัญและเกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล หรือดำเนินธุรกิจที่เกี่ยวข้องหลายประเภท
มีผลกระทบอย่างมีนัยสำคัญต่อความมั่นคงของชาติ การดำเนินงานทางเศรษฐกิจ เสถียรภาพทางสังคม สุขภาพของประชาชน หรือความปลอดภัย
องค์กรที่ประมวลผลข้อมูลของคนมากกว่า 10 ล้านคน รวมถึงองค์กรที่ประเมินตนเองว่าเข้าเกณฑ์ด้านความสำคัญและผลกระทบ จะต้องยื่นขอการรับรองสถานะผ่าน CAC ระดับมณฑล
จากนั้น CAC ส่วนกลางร่วมกับหน่วยงานที่เกี่ยวข้องจะเป็นผู้พิจารณาและประกาศรายชื่ออย่างเป็นทางการ ขณะเดียวกัน หน่วยงานรัฐก็สามารถสั่งให้องค์กรที่ดูเหมือนจะเข้าเกณฑ์ แต่ยังไม่ได้ยื่นคำขอ เข้าสู่กระบวนการดังกล่าวได้
นั่นหมายความว่าแพลตฟอร์มที่มีอิทธิพลสูงบางรายอาจอยู่ในขอบเขตของกฎ แม้จำนวนผู้ใช้เพียงอย่างเดียวจะยังไม่ชี้ขาดก็ตาม
ต่างชาติอาจถูกจำกัดการรับข้อมูลจากจีน ร่างกฎเปิดทางให้หน่วยงานกำกับดูแลไซเบอร์สเปซของจีนประกาศรายชื่อองค์กรหรือบุคคลต่างชาติที่ดำเนินกิจกรรมประมวลผลข้อมูลส่วนบุคคลซึ่งละเมิดสิทธิของพลเมืองจีน หรือเป็นภัยต่อความมั่นคงของชาติและประโยชน์สาธารณะของจีน
ผู้ที่อยู่ในรายชื่ออาจถูกจำกัดหรือห้ามรับข้อมูลส่วนบุคคลจากจีนโดยสิ้นเชิง
ข้อเสนอนี้จึงอาจสร้างความเสี่ยงด้านการปฏิบัติตามกฎให้แก่ผู้รับข้อมูลในต่างประเทศโดยตรง ไม่ใช่เฉพาะแพลตฟอร์มจีนที่เป็นผู้ส่งข้อมูลเท่านั้น และทำให้การประเมินความเสี่ยงของการไหลเวียนข้อมูลข้ามพรมแดนต้องพิจารณาประเด็นด้านความมั่นคงและประโยชน์สาธารณะควบคู่กับเรื่องความเป็นส่วนตัว
หลักเกณฑ์การประมวลผลและการขอความยินยอม ผู้ประมวลผลข้อมูลที่อยู่ในขอบเขตของกฎจะต้องดำเนินการตามหลักความชอบด้วยกฎหมาย ความเหมาะสม ความจำเป็น และความสุจริต การเก็บข้อมูลต้องจำกัดเฉพาะข้อมูลที่จำเป็นต่อผลิตภัณฑ์หรือบริการนั้น ๆ และต้องไม่เกินความจำเป็น
หากใช้ความยินยอมเป็นฐานทางกฎหมาย ร่างกฎกำหนดให้ต้องขอความยินยอมแยกต่างหากสำหรับกิจกรรมที่มีความเสี่ยงสูง ได้แก่:
การส่งข้อมูลให้ผู้ประมวลผลข้อมูลส่วนบุคคลรายอื่น
การส่งข้อมูลออกนอกจีน
การเปิดเผยข้อมูลต่อสาธารณะ
การประมวลผลข้อมูลส่วนบุคคลที่มีความละเอียดอ่อน
หากมีการเปลี่ยนแปลงวัตถุประสงค์ วิธีการ หรือประเภทของข้อมูลที่ประมวลผล จะต้องขอความยินยอมใหม่ และต้องจัดให้มีช่องทางที่สะดวกสำหรับบุคคลในการถอนความยินยอม
สำหรับเด็กอายุต่ำกว่า 14 ปี การประมวลผลข้อมูลต้องได้รับความยินยอมจากบิดามารดาหรือผู้ปกครอง พร้อมมีกลไกที่ใช้งานได้ง่ายสำหรับการให้หรือถอนความยินยอมดังกล่าว
ข้อมูลที่เก็บหรือสร้างในจีนต้องอยู่ในจีน ข้อมูลส่วนบุคคลที่เก็บรวบรวมหรือสร้างขึ้นจากการดำเนินงานในจีนจะต้องจัดเก็บไว้ภายในจีน โดยศูนย์ข้อมูลที่ใช้ต้องตั้งอยู่ในจีนและปฏิบัติตามนโยบายและมาตรฐานระดับชาติที่เกี่ยวข้อง
นอกจากนี้ นิติบุคคลที่บริหารศูนย์ข้อมูลจะต้องมีผู้แทนตามกฎหมายหรือผู้ควบคุมที่แท้จริงเป็นพลเมืองจีน
ร่างกฎยังวางภาระไว้กับผู้ให้บริการศูนย์ข้อมูลด้วย โดยต้องมีระบบควบคุมภายในและแผนรับมือเหตุการณ์ ระบุและแก้ไขช่องโหว่ด้านความปลอดภัย แจ้งแพลตฟอร์มและหน่วยงานรัฐเมื่อจำเป็น รวมถึงช่วยเหลือในการรับมือเหตุข้อมูลรั่วไหล
สำหรับบริษัทที่พึ่งพาผู้ให้บริการโครงสร้างพื้นฐานภายนอก การเลือกศูนย์ข้อมูล การจัดทำสัญญา และการกำกับดูแลการปฏิบัติงานจะกลายเป็นหัวใจของแผนปฏิบัติตามกฎ ไม่ใช่เพียงเรื่องทางเทคนิคหรือการจัดซื้อจัดจ้างเท่านั้น
ยังโอนข้อมูลออกนอกจีนได้ แต่มีเงื่อนไขมากขึ้น ข้อกำหนดให้จัดเก็บข้อมูลภายในประเทศไม่ได้หมายความว่าการส่งข้อมูลออกนอกจีนจะถูกห้ามทั้งหมด ร่างกฎยังเปิดทางให้โอนข้อมูลข้ามพรมแดนได้เมื่อมีความจำเป็นต่อธุรกิจอย่างแท้จริง แต่ผู้ดำเนินการต้องใช้กลไกการส่งข้อมูลออกนอกประเทศตามกฎของจีน และต้องได้รับความยินยอมแยกต่างหากตามที่กำหนด
ในทางปฏิบัติ องค์กรขนาดใหญ่จะต้องแยกให้ชัดเจนระหว่างการ เก็บข้อมูลไว้ในจีน กับการ ส่งข้อมูลให้ผู้รับในต่างประเทศ การจัดเก็บในจีนจะเป็นข้อกำหนดพื้นฐาน ส่วนการส่งออกจะมาพร้อมขั้นตอนและการควบคุมทางกฎหมายเพิ่มเติม
เพิ่มความรับผิดชอบระดับผู้บริหารและระบบรายงาน ร่างกฎเสนอให้ผู้ประมวลผลข้อมูลรายใหญ่มีโครงสร้างกำกับดูแลความเป็นส่วนตัวที่เป็นทางการมากขึ้น รวมถึงแต่งตั้งผู้รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลจากฝ่ายบริหารระดับสูง โดยรายงานเกี่ยวกับร่างกฎระบุว่าบุคคลดังกล่าวต้องมีสัญชาติจีน ไม่มีสถานะผู้มีถิ่นพำนักถาวรหรือใบอนุญาตพำนักระยะยาวในต่างประเทศ มีความรู้เฉพาะด้านการคุ้มครองข้อมูลส่วนบุคคล และมีประสบการณ์ที่เกี่ยวข้อง
มาตรการกำกับดูแลอื่น ๆ ที่เสนอ ได้แก่:
จัดตั้งโครงสร้างกำกับการปฏิบัติตามกฎโดยตรงและกำหนดผู้รับผิดชอบอย่างชัดเจน
จัดทำการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคลเป็นประจำ
ตรวจสอบการปฏิบัติตามกฎเป็นระยะ
ติดตามกิจกรรมการประมวลผลและช่องโหว่ด้านความปลอดภัย
มีกระบวนการระบุความเสี่ยงและแก้ไขปัญหา
จัดให้มีช่องทางที่มีประสิทธิภาพสำหรับการร้องเรียนและการใช้สิทธิของบุคคล
เผยแพร่รายงานความรับผิดชอบต่อสังคมด้านการคุ้มครองข้อมูลส่วนบุคคลเป็นประจำทุกปี
ร่างกฎยังเน้นมาตรการคุ้มครองผู้เยาว์โดยเฉพาะ รวมถึงกระบวนการให้และถอนความยินยอมของผู้ปกครองที่ใช้งานได้จริง
คณะกรรมการกำกับอิสระ: การเปลี่ยนแปลงเชิงโครงสร้างครั้งใหญ่ ผู้ประมวลผลข้อมูลที่อยู่ในขอบเขตของกฎจะต้องจัดตั้ง คณะกรรมการกำกับดูแลการคุ้มครองข้อมูลส่วนบุคคล เพื่อทำหน้าที่ตรวจสอบแนวทางการจัดการข้อมูลอย่างเป็นอิสระ
คณะกรรมการที่เสนอจะต้องมีคุณสมบัติสำคัญดังนี้:
มีสมาชิกเป็นจำนวนคี่
มีสมาชิกอย่างน้อย 7 คน
มีขนาดเหมาะสมกับขนาดธุรกิจและฐานผู้ใช้
มีสมาชิกภายนอกอย่างน้อยสองในสาม
มีประธานเป็นสมาชิกภายนอกที่มีความสามารถระดับสูงด้านการตรวจสอบการปฏิบัติตามกฎคุ้มครองข้อมูลส่วนบุคคล
สมาชิกภายนอกต้องมีความเป็นอิสระ มีชื่อเสียงน่าเชื่อถือ และมีประสบการณ์ด้านงานกำกับดูแลที่เกี่ยวข้อง โดยทั่วไปจะจำกัดให้ดำรงตำแหน่งกับผู้ประมวลผลข้อมูลรายใหญ่พร้อมกันไม่เกิน 3 แห่ง
หน้าที่ของคณะกรรมการจะรวมถึงการกำกับการปฏิบัติตามกฎและประเด็นคุ้มครองข้อมูลที่มีนัยสำคัญ ตรวจสอบนโยบายและกิจกรรมประมวลผลที่มีความเสี่ยงสูง ให้ความเห็นหรือข้อเสนอแนะ ตลอดจนสนับสนุนความรับผิดชอบผ่านระบบรายงานและการกำกับดูแล องค์กรยังต้องจัดสรรทรัพยากรให้เพียงพอต่อการทำงานของคณะกรรมการ
ดังนั้น ข้อเสนอนี้จึงไม่ใช่เพียงการเพิ่มตำแหน่งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล แต่เป็นการสร้างชั้นกำกับดูแลอีกระดับที่มีบุคคลภายนอกเป็นเสียงข้างมาก และยกระดับการคุ้มครองข้อมูลให้เป็นส่วนหนึ่งของโครงสร้างความรับผิดชอบขององค์กรอย่างเป็นทางการ
องค์กรที่อาจเข้าข่ายควรเตรียมตัวอย่างไร สิ่งที่ควรทำในทันทีคือประเมินว่าองค์กรเข้าข่ายจากเกณฑ์จำนวนผู้ใช้งานหรือจากเกณฑ์ด้านความสำคัญและผลกระทบในวงกว้างหรือไม่ พร้อมจัดเตรียมความคิดเห็นก่อนเส้นตายวันที่ 7 กันยายน 2026
องค์กรที่อาจอยู่ในขอบเขตควรเริ่มทำแผนที่ข้อมูลและโครงสร้างกำกับดูแลในประเด็นต่อไปนี้:
จำนวนและประเภทของบุคคลที่องค์กรประมวลผลข้อมูล
บริการหลัก สายธุรกิจ และผลกระทบที่อาจมีต่อประโยชน์สาธารณะ
สถานที่จัดเก็บข้อมูลส่วนบุคคลของผู้ใช้ในจีน และผู้ควบคุมศูนย์ข้อมูลที่เกี่ยวข้อง
ขั้นตอนการขอความยินยอมสำหรับข้อมูลละเอียดอ่อน การเปิดเผย การเผยแพร่ และการส่งออกข้อมูล
กลไกการโอนข้อมูลข้ามพรมแดนและรายชื่อผู้รับข้อมูลในต่างประเทศ
ความรับผิดชอบของผู้บริหารระดับสูงและระบบตรวจสอบ
ความเป็นอิสระ จำนวนสมาชิก องค์ประกอบ และทรัพยากรที่จำเป็นสำหรับคณะกรรมการกำกับดูแล
ร่างกฎยังอาจมีการแก้ไขก่อนประกาศใช้ แต่ทิศทางของนโยบายค่อนข้างชัดเจน: จีนกำลังพิจารณาระบบที่มองผู้ประมวลผลข้อมูลรายใหญ่และมีอิทธิพลสูงเป็นองค์กรที่ต้องอยู่ภายใต้การควบคุมด้านการปฏิบัติงานที่เข้มข้นขึ้น มีโครงสร้างพื้นฐานภายในประเทศ ความรับผิดชอบในระดับผู้บริหาร และการกำกับดูแลด้านความเป็นส่วนตัวจากผู้เชี่ยวชาญภายนอก
obsidianri.com China: CAC Consults on Large Personal Information Handler ... 