Що змінять 50 статей китайського проєкту правил приватності для великих платформ

Хто може вважатися великим обробником персональної інформації

Проєкт пропонує оцінювати статус компанії комплексно, а не лише за кількістю користувачів. Серед критеріїв названі такі обставини:

• організація обробляє персональні дані понад 10 мільйонів фізичних осіб;
• надає важливі онлайн-сервіси, пов’язані з обробкою персональної інформації, або веде кілька відповідних напрямів діяльності;
• її робота істотно впливає на національну безпеку, функціонування економіки, суспільну стабільність, громадське здоров’я чи безпеку.

Організації, які обробляють дані понад 10 мільйонів людей, а також ті, що самостійно вважають себе такими, що відповідають ширшим критеріям, повинні будуть подати заявку на визнання свого статусу через провінційний підрозділ CAC.

Національна CAC спільно з іншими компетентними органами визначатиме перелік таких організацій і оприлюднюватиме його. Влада також зможе зобов’язати компанію, яка, ймовірно, відповідає критеріям, пройти цю процедуру навіть без її власної заявки.

Отже, під дію правил потенційно можуть потрапити впливові платформи, для яких сама кількість користувачів не дає однозначної відповіді.

Можливі обмеження для іноземних компаній і громадян

Національний регулятор у сфері кіберпростору зможе публічно вносити до переліку іноземні організації або фізичних осіб, якщо їхня обробка персональної інформації порушує права громадян Китаю або загрожує національній безпеці чи суспільним інтересам країни.

Для таких суб’єктів можуть запроваджуватися обмеження або заборони на отримання персональної інформації з Китаю.

Це створює потенційні ризики не лише для китайської платформи, яка передає дані, а й для закордонного отримувача. Відповідно, оцінка транскордонних потоків даних має охоплювати не тільки стандартну перевірку дотримання вимог приватності.

Вимоги до обробки даних і згоди користувачів

Великі обробники повинні будуть діяти на засадах законності, належності, необхідності та добросовісності. Збір інформації має обмежуватися даними, необхідними для відповідного продукту чи послуги, і не може бути надмірним.

Якщо правовою підставою обробки є згода, окрема згода буде потрібна для низки операцій із підвищеним ризиком, зокрема для:

• передачі інформації іншому обробнику персональних даних;
• передачі інформації за межі Китаю;
• оприлюднення інформації;
• обробки чутливих персональних даних.

Зміна мети, способу або категорій обробки вимагатиме повторного отримання згоди. Також проєкт передбачає зручний механізм її відкликання.

Для обробки даних дітей віком до 14 років знадобиться згода одного з батьків або іншого законного представника. Платформа повинна буде забезпечити доступний механізм надання та відкликання такої згоди.

Зберігання даних у Китаї та вимоги до дата-центрів

Персональна інформація, зібрана або створена внаслідок діяльності на території Китаю, повинна буде зберігатися в Китаї. Дата-центр має бути розташований у країні та відповідати чинним національним політикам і стандартам.

Крім того, законний представник або фактичний контролер органу управління дата-центру повинен бути громадянином Китаю.

Окремі обов’язки покладатимуться і на операторів дата-центрів. Вони мають підтримувати внутрішні системи контролю та плани реагування на інциденти, виявляти й усувати вразливості, повідомляти платформу та державні органи у передбачених випадках і допомагати реагувати на витоки даних.

Для компаній, які користуються зовнішньою інфраструктурою, вибір дата-центру, умови договорів і операційний контроль стануть частиною програми дотримання вимог, а не лише технічним чи закупівельним питанням.

Транскордонна передача залишиться можливою, але буде обмеженою

Вимога зберігати дані всередині Китаю не означатиме автоматичної заборони кожної передачі інформації за кордон. Проєкт допускає транскордонне надання даних, якщо воно справді необхідне для бізнесу, але вимагає дотримання китайських процедур експорту даних і отримання окремої згоди.

Компаніям доведеться чітко розмежовувати два процеси: зберігання китайської персональної інформації в Китаї та її передачу закордонному отримувачу. Перший стане базовою вимогою до зберігання, тоді як другий спричинятиме додаткові юридичні та процедурні обмеження.

Посилення внутрішньої відповідальності та звітності

Проєкт передбачає формальнішу структуру контролю за приватністю, зокрема призначення відповідального за захист персональної інформації з-поміж керівників компанії. За повідомленнями про документ, ця особа має бути громадянином Китаю, не мати статусу постійного мешканця або дозволу на довгострокове проживання в іншій країні, а також володіти професійними знаннями та відповідним досвідом у сфері захисту персональної інформації.

Серед інших запропонованих заходів управління:

• створення прямих структур комплаєнсу та чіткий розподіл відповідальності;
• регулярне проведення оцінок впливу на захист персональної інформації;
• періодичні комплаєнс-аудити;
• моніторинг операцій з обробки даних і вразливостей систем безпеки;
• процедури виявлення та усунення ризиків;
• ефективні канали для скарг і реалізації прав людей;
• щорічний публічний звіт про соціальну відповідальність у сфері захисту персональної інформації.

Документ також наголошує на спеціальних гарантіях для неповнолітніх, включно з практичними процедурами отримання та відкликання батьківської згоди.

Незалежні наглядові комітети можуть стати головною новацією

Кожен обробник, який підпадатиме під дію правил, повинен буде створити комітет з нагляду за захистом персональної інформації. Він має незалежно контролювати практики компанії щодо обробки даних.

Запропоновані вимоги до комітету передбачають, що він повинен:

• складатися з непарної кількості членів;
• мати щонайменше сім членів;
• відповідати масштабам бізнесу та кількості користувачів організації;
• щонайменше на дві третини складатися із зовнішніх членів;
• очолюватися зовнішнім членом із високою кваліфікацією у сфері комплаєнс-аудиту захисту персональної інформації.

Зовнішні члени мають бути незалежними, авторитетними та досвідченими у відповідній комплаєнс-роботі. Як правило, вони не зможуть одночасно працювати більш ніж у трьох великих обробників.

До повноважень комітету входитимуть нагляд за дотриманням вимог і важливими питаннями захисту персональної інформації, перевірка політик та операцій із високим рівнем ризику, підготовка висновків і рекомендацій, а також підтримка системи підзвітності через звітність і наглядові процедури. Компанія повинна буде надати комітету достатні ресурси для роботи.

Таким чином, йдеться не просто про призначення відповідального за приватність. Проєкт створює окремий рівень нагляду, у якому домінуватимуть зовнішні учасники, а управління персональними даними отримає формальне місце в системі корпоративної підзвітності.

Що варто зробити потенційно охопленим компаніям

На першому етапі організаціям варто оцінити, чи відповідають вони кількісному порогу або ширшим критеріям важливості та впливу, а також підготувати зауваження до завершення консультацій 7 вересня.

Компаніям, які можуть потрапити до сфери дії правил, доцільно перевірити:

1. кількість людей, чиї дані обробляються, та категорії цієї інформації;
2. основні сервіси, напрямки діяльності та потенційний вплив на суспільні інтереси;
3. місце зберігання китайської персональної інформації та суб’єктів, які контролюють відповідні дата-центри;
4. механізми згоди для чутливих даних, розкриття, оприлюднення та експорту;
5. процедури транскордонної передачі та закордонних отримувачів;
6. відповідальність керівництва й механізми аудиту;
7. незалежність, склад і ресурси майбутнього наглядового комітету.

Проєкт ще може змінитися. Однак його загальний напрям уже зрозумілий: Китай розглядає систему, за якої найбільші та найвпливовіші обробники даних матимуть посилені операційні обмеження, внутрішню інфраструктуру в країні, відповідальність на рівні керівництва та зовнішній нагляд за захистом приватності.