Ce este legea chineză privind protecția datelor personale? Explicarea contextului adoptării și a măsurilor pe care companiile japoneze ar trebui să le ia

Este posibil ca persoanele responsabile cu aspectele juridice ale companiilor care plănuiesc să își extindă afacerile în China sau care deja au făcut acest lucru să se confrunte adesea cu dificultăți legate de protecția datelor personale în China.

Acest articol oferă o prezentare cuprinzătoare a reglementărilor legale pe care trebuie să le cunoașteți atunci când vă extindeți afacerile în China. De asemenea, explicăm clar metodele de abordare și aspectele la care companiile japoneze trebuie să fie atente. Vă invităm să folosiți acest material ca referință pentru a înțelege legea chineză privind protecția datelor personale și pentru a începe să luați măsuri în acest sens.

Contextul și obiectivele adoptării Legii privind protecția datelor personale din China

Până în prezent, în China nu exista o lege care să reglementeze în mod cuprinzător protecția datelor personale, asemenea Legii privind protecția datelor personale din Japonia. Cu toate acestea, au existat inițiative de a elabora o astfel de lege, iar la 1 noiembrie 2021 a fost promulgată și pusă în aplicare prima lege care reglementează în mod cuprinzător protecția datelor personale în China, denumită “Legea privind protecția datelor personale din China”.

Deși legi precum “Legea securității cibernetice” și “Legea securității datelor” au un puternic accent pe securitatea națională, Legea privind protecția datelor personale din China se concentrează mai mult pe protecția drepturilor individuale.

Structura Legii privind protecția datelor personale din China pare să fie puternic influențată de reglementările recente din alte țări, cum ar fi “Regulamentul General privind Protecția Datelor (GDPR)” al Uniunii Europene. Cu toate acestea, punctele care constituie baza legalității și detaliile privind drepturile persoanei vizate sunt unice, ceea ce necesită măsuri specifice de conformare.

Obiectivele reglementării Legii Protecției Datelor Personale din China

În acest capitol, vom explica obiectivele reglementării Legii Protecției Datelor Personale din China.
Dacă sunt îndeplinite condițiile de mai jos, activitatea va fi supusă reglementării, așadar este important să fim atenți.

• Când scopul este de a oferi produse sau servicii persoanelor fizice din China
• Când scopul este de a analiza sau evalua comportamentul persoanelor fizice din China
• În alte cazuri stabilite prin lege

Legea Protecției Datelor Personale din China poate avea efecte nu doar în interiorul țării, ci și în străinătate. De asemenea, chiar și în afara Chinei, dacă se desfășoară activități de vânzare sau analiză comportamentală care vizează “persoanele fizice” aflate în China, legea respectivă va fi aplicabilă, deci este esențial să fim precauți.

Aspecte esențiale pentru înțelegerea Legii Protecției Datelor Personale din China

În acest capitol, vom explica pe rând cele opt puncte esențiale pentru a înțelege protecția datelor personale în China.

Baza legală a legalității

Companiile pot manipula informațiile personale numai dacă se încadrează în una dintre bazele legalității stabilite de Legea Chineză de Protecție a Informațiilor Personale.

Cele 7 baze legale sunt următoarele:

• Consimțământul persoanei în cauză
• Executarea unui contract
• Îndeplinirea unei obligații legale
• Sănătatea publică
• Interesul public
• Procesarea informațiilor personale publicate
• Alte circumstanțe stabilite prin lege sau alte reglementări

După cum se poate observa, “interesul legitim” prezent în GDPR nu este inclus. Prin urmare, se poate presupune că va exista un număr mai mare de situații în care va fi necesar să se obțină consimțământul persoanei pentru a manipula informațiile personale, comparativ cu GDPR.

În plus, consimțământul în sine trebuie să fie definit ca ceva ce “persoana poate retrage oricând cu ușurință”. Este necesară o atenție deosebită pentru a avea o interfață de utilizator (UI) care permite retragerea ușoară a consimțământului și pentru a descrie metoda de retragere într-un mod concis și ușor de înțeles.

Informare

Înainte de a prelucra datele personale, companiile trebuie să notifice persoanele vizate în termeni clari și ușor de înțeles despre aspectele cerute de Legea Chineză pentru Protecția Datelor Personale (Chinese Personal Information Protection Law).

De asemenea, nu doar scopul prelucrării este necesar să fie comunicat, ci și metoda de procesare, tipurile de informații personale, perioada de stocare, precum și modul și procedura de exercitare a drepturilor sunt informații detaliate care trebuie furnizate.

Acordul cu subcontractantul

Când subcontractați prelucrarea datelor cu caracter personal, este necesar să conveniți în prealabil cu subcontractantul asupra scopului prelucrării, termenului, metodei de prelucrare și măsurilor de protecție, prin intermediul unui contract de subcontractare.

În același timp, veți asuma și responsabilitatea de supraveghere a prelucrării subcontractate. Când prelucrați datele personale în colaborare cu alte companii, la fel ca în cazul subcontractării, este important să conveniți în prealabil asupra scopului și metodei de prelucrare a datelor personale, precum și asupra drepturilor și obligațiilor ambelor părți.

Reglementările privind transferul transfrontalier

Când furnizați informații personale colectate în China către terți din afara țării, sunt necesare următoarele două măsuri.

Prima este să notificați numele și datele de contact ale destinatarului informațiilor personale, scopul și metodele de procesare, tipurile de informații personale, modul și procedura prin care persoanele pot exercita drepturile față de destinatar. De asemenea, trebuie să obțineți consimțământul individual al persoanei în cauză.

A doua măsură este să implementați una dintre următoarele patru acțiuni:

• Trecerea evaluării de securitate naționale
• Obținerea certificării de protecție a informațiilor personale de la o instituție specializată
• Încheierea unui contract cu destinatarul din afara regiunii pe baza unui contract standard
• Îndeplinirea altor condiții stabilite de departamentul național de informații pe internet

În funcție de conținutul informațiilor personale care urmează să fie transferate, evaluarea de securitate națională poate fi obligatorie. Prin urmare, verificați necesitatea evaluării de securitate naționale conform ‘Metodologiei de evaluare a securității transferului de date în afara țării’ și apoi alegeți măsurile corespunzătoare de luat.

Despre drepturi

Legea chineză privind protecția datelor personale (Chinese Personal Information Protection Law) recunoaște persoanei în cauză diverse drepturi, cum ar fi dreptul de a cunoaște, dreptul de acces, dreptul de a copia, dreptul de retragere, portabilitatea, dreptul de corectare și dreptul de ștergere.

De asemenea, spre deosebire de GDPR, este recunoscut și “dreptul persoanelor decedate”. “Dreptul persoanelor decedate” se referă la posibilitatea ca rudele apropiate să exercite aceste drepturi în numele persoanei decedate. Prin urmare, este important să fim atenți și la protecția informațiilor persoanelor decedate.

Obligația de raportare a incidentelor

Pentru a preveni scurgerile de informații personale, companiile sunt solicitate să adopte măsuri similare cu cele cerute de ISMS (Sistemul de Management al Securității Informațiilor).

Exemple de măsuri solicitate sunt următoarele:

• Elaborarea de proceduri interne
• Managementul clasificării în funcție de gradul de confidențialitate
• Criptarea, după caz
• Implementarea pseudonimizării și alte măsuri similare
• Realizarea de programe de educație pentru angajați
• Elaborarea unui proces de răspuns la incidente etc.

Măsurile de gestionare a securității sunt reglementate și de legea japoneză a securității cibernetice și de legea japoneză a securității datelor, astfel încât este recomandat să organizați și să verificați măsurile în conformitate cu cerințele celor trei legi.

Articol relevant: Ce este Legea Securității Cibernetice din China? Explicarea punctelor cheie de conformitate[ja]

Articol relevant: Ce este Legea Securității Datelor din China? Explicarea măsurilor pe care companiile japoneze ar trebui să le ia[ja]

Obligația de numire a unui DPO și a unui reprezentant

Companiile sunt obligate să numească un DPO (Responsabil cu Protecția Datelor) atunci când volumul de date personale prelucrate atinge un anumit prag.

În plus, companiile care sunt subiecte ale aplicării extrateritoriale trebuie să desemneze un reprezentant în interiorul Chinei, să raporteze numele și detaliile de contact ale acestuia autorității competente.

Obligația de a efectua Evaluarea Impactului asupra Protecției Datelor Personale

Companiile trebuie să efectueze o evaluare a riscurilor în avans și să controleze adecvat riscurile atunci când se încadrează în oricare dintre următoarele cinci cazuri:

Cazurile în care este necesară efectuarea obligatorie a evaluării sunt următoarele:

• Când se prelucrează informații sensibile
• Când se efectuează decizii automatizate
• Când se externalizează prelucrarea datelor personale sau când se furnizează date personale terților
• Când se transferă date personale în afara țării
• Când există un impact semnificativ asupra drepturilor și intereselor individuale

Sancțiunile legii protecției datelor personale în China

În cazul încălcării legii, există riscul de a fi aplicate sancțiuni severe (care pot ajunge până la 50 de milioane de yuani sau 5% din cifra de afaceri a anului precedent). Deoarece legea se aplică și în afara granițelor Chinei, companiile japoneze care desfășoară activități în China trebuie să răspundă rapid la aceste cerințe.

Măsuri de protecție a datelor personale pe care companiile japoneze ar trebui să le ia

În acest capitol, vom prezenta patru măsuri de protecție a datelor personale pe care companiile japoneze ar trebui să le implementeze.

Revizuirea structurii interne

În primul rând, ar trebui să luați în considerare revizuirea structurii interne. Din cauza obligației de a numi un reprezentant sau un DPO (Data Protection Officer), este necesar să revizuiți structura internă a companiei.

Ca exemple, putem menționa înființarea unui departament specializat în drept și tehnologie, responsabil cu conformitatea datelor care includ informații personale, organizarea fluxurilor de lucru și efectuarea unui mapping detaliat al datelor.

Actualizarea regulamentelor și politicilor

De asemenea, este important să actualizați regulamentele și politicile. Trebuie să actualizați regulamentele și politicile pentru a fi conforme cu cele trei legi chinezești privind datele.

Mai mult decât atât, nu este suficient să elaborați regulamente care reflectă doar cerințele legale; este necesar să dezvoltați proceduri operaționale pe care toți angajații să le poată executa.

Înțelegerea realității operaționale

Deoarece Legea japoneză de Protecție a Datelor Personale a fost promulgată pe 1 noiembrie 2021, este necesar să înțelegeți realitatea operațională și să luați măsuri constante. De asemenea, angajații companiei sunt obligați să respecte regulile stricte privind manipularea adecvată și respectarea legilor.

Prin urmare, companiile ar trebui să organizeze periodic instruiri pentru angajați, pentru a le aprofunda cunoștințele despre legislația și procedurile actuale.

Construirea unui sistem de cooperare cu experții

Construirea și întărirea unui sistem de cooperare cu experții este esențială. Colaborând cu experți familiarizați cu reglementările legale din China, puteți răspunde rapid la provocări. În plus, companiile trebuie să monitorizeze și să evalueze periodic conformitatea cu protecția datelor personale. Astfel, construirea unui sistem de cooperare cu experți externi este indispensabilă.

Rezumat: Înțelegerea mai multor reglementări legale și asigurarea unei reacții precise

Pe 1 noiembrie 2021, în China a fost implementată pentru prima dată legea cuprinzătoare de protecție a informațiilor personale, denumită „Legea Chineză de Protecție a Informațiilor Personale”. Pentru companiile care își desfășoară activitatea la nivel global, reglementările chineze legate de date (Legea Securității Cibernetice, Legea Securității Datelor, Legea de Protecție a Informațiilor Personale) sunt legi care nu pot fi ignorate, având în vedere importanța pieței și severitatea reglementărilor. În unele cazuri, este esențial să vă asigurați că aveți un sistem bine pus la punct pentru a putea efectua practicile necesare, cu ajutorul specialiștilor, dacă este necesar.

Ghidul măsurilor implementate de către firma noastră

Cabinetul de Avocatură Monolith este o firmă de avocatură cu o experiență bogată în IT, și în special în domeniul Internetului și al legii. În ultimii ani, afacerile globale s-au extins semnificativ, iar necesitatea verificărilor legale efectuate de specialiști este în creștere. Cabinetul nostru oferă soluții pentru problemele legate de dreptul internațional.

Domeniile de expertiză ale Cabinetului de Avocatură Monolith: Drept internațional și afaceri externe[ja]