中國網信辦擬推50條私隱規定：大型平台或須內地存資料及設外部監督委員會

換句話說，平台是否屬於規管範圍，未必單靠用戶數目就能決定。即使未達到單一數字門檻，只要服務具重要性及廣泛社會影響，也可能被納入。

境外機構或個人或面對資料接收限制

草案提出，對於在處理個人資料時侵犯中國公民個人資料權益，或危害中國國家安全、公共利益的境外組織或個人，國家網信部門可以將其列入限制或禁止提供個人資料的名單，並向公眾公布。被列名者可能受到限制，甚至被禁止接收來自中國的個人資料。

這項安排意味著，跨境資料流動的風險不只落在中國境內負責傳送資料的平台身上，境外接收者本身亦可能成為監管對象。企業進行跨境私隱評估時，考慮範圍或因此由一般的私隱合規問題，擴展至國家安全及公共利益層面。

個人資料處理及同意要求會更仔細

受規管的處理者須按照合法、正當、必要及誠信原則處理個人資料。收集範圍須限於產品或服務所必需的資料，不得過度收集。

如果機構以同意作為處理資料的法律基礎，草案要求就多項較高風險活動取得單獨同意，包括：

• 向另一名個人資料處理者提供資料；
• 將資料提供到中國境外；
• 公開資料；以及
• 處理敏感個人資料。

如果處理目的、方法或資料類別有變，機構須重新取得同意；同時亦要提供方便用戶撤回同意的方式。

至於未滿14歲兒童的資料，處理時須取得父母或其他監護人同意，並要提供容易使用的機制，讓監護人可以給予或撤回同意。

中國內地收集的資料須在內地儲存

草案要求，透過在中國內地的業務收集或產生的個人資料，須儲存在中國內地。所使用的數據中心亦須設於中國內地，並符合適用的國家政策及標準；數據中心管理機構的法定代表人或實際控制人，亦須為中國公民。

數據中心營運者同樣會承擔責任，包括：

• 建立內部控制制度及事故應變計劃；
• 找出及修補保安漏洞；
• 在規定情況下通知平台及有關當局；以及
• 協助處理資料外洩事故。

對於使用第三方雲端、託管或數據中心服務的企業而言，選擇服務供應商、訂立合約，以及持續監察其運作，將不再只是技術或採購決定，而會成為私隱合規的一部分。

跨境傳送未被完全禁止，但條件更多

內地儲存要求並不代表所有資料都不能傳出境外。草案容許因業務確有需要而向中國境外提供個人資料，但機構須遵守中國現行的資料出境機制，並取得所需的單獨同意。

企業需要清楚區分兩件事：

1. 在內地儲存資料：屬於基本儲存要求；
2. 向境外接收者提供資料：會觸發額外的法律程序、出境機制及同意要求。

因此，跨國企業不能只確認資料庫放在內地，亦要逐一盤點哪些資料會被境外公司、服務供應商或其他接收者存取。

高層問責、風險監察及年度報告

草案要求建立更正式的私隱合規架構，包括由高級管理層成員出任個人資料保護負責人。相關報道指，該職位還涉及中國國籍、沒有外國永久居留或長期居留身份、具備個人資料保護專業知識及相關經驗等條件。

其他擬議治理措施包括：

• 設立直接的合規架構，清楚分配責任；
• 定期進行個人資料保護影響評估；
• 定期接受合規審核；
• 監察資料處理活動及保安漏洞；
• 建立風險識別及補救程序；
• 提供有效的投訴渠道及行使個人權利的途徑；以及
• 每年公開個人資料保護社會責任報告。

草案亦特別強調未成年人的保障，包括實際可行的家長同意及撤回同意機制。

外部成員主導的監督委員會是最大結構性變化

每個受規管的大型個人資料處理者，均須成立個人資料保護監督委員會，獨立監督機構的資料處理活動。

按草案，委員會須符合以下條件：

• 成員人數必須為單數；
• 至少有7名成員；
• 人數須與機構的業務規模及用戶數量相稱；
• 至少三分之二成員為外部成員；以及
• 主席須為外部成員，並具備較高水平的個人資料保護合規審計能力。

外部成員須保持獨立、具良好聲譽及相關合規經驗；一般而言，同一名外部成員同時服務的大型處理者不得超過3家。

委員會的職責包括：

• 監督機構的私隱合規及重大個人資料保護事項；
• 審查相關政策及高風險資料處理活動；
• 提出意見或建議；以及
• 透過報告及監督安排，加強機構的問責。

機構亦須提供足夠資源，確保委員會可以履行職能。

這項要求的意義，不只是多聘一名私隱主任，而是在企業內另設一層由外部人士主導的監督架構，令個人資料治理正式納入組織的問責制度。

企業現階段應該做甚麼？

草案尚未成為正式規定，但可能受影響的企業可先進行以下盤點，並在9月7日限期前準備意見：

1. 正在處理的個人資料涉及多少人，以及資料類別為何；
2. 主要服務、業務線及可能涉及的公共利益影響；
3. 中國內地個人資料的儲存地點，以及相關數據中心由誰控制；
4. 敏感資料、資料披露、公開資料及出境傳送的同意流程；
5. 跨境傳送機制及境外接收者；
6. 高級管理層責任、合規及審計安排；以及
7. 監督委員會所需的獨立性、成員組成及資源。

草案日後仍可能修改，但監管方向已相當清楚：中國正考慮對規模最大、社會影響最深的大型個人資料處理者，施加更高程度的營運控制、內地基礎設施要求、高層問責，以及由外部成員參與的私隱監督。