กฎหมายคุ้มครองข้อมูลส่วนบุคคลของจีนคืออะไร? อธิบายถึงแรงจูงใจในการจัดทําและมาตรการที่บริษัทญี่ปุ่นควรดําเนินการ

บริษัทที่กำลังวางแผนหรือที่ได้ขยายธุรกิจไปยังประเทศจีนอาจมีความกังวลเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลในจีนไม่น้อยเลยทีเดียวสำหรับผู้ที่รับผิดชอบด้านกฎหมายของบริษัท

ในบทความนี้ เราจะนำเสนอกฎระเบียบที่ควรทราบอย่างครอบคลุมเมื่อต้องการขยายธุรกิจไปยังประเทศจีน นอกจากนี้ เรายังจะอธิบายวิธีการตอบสนองและจุดที่บริษัทญี่ปุ่นควรจะปฏิบัติตามอย่างชัดเจน โปรดใช้ข้อมูลนี้เป็นข้อมูลอ้างอิงในขณะที่คุณเรียนรู้และเริ่มต้นการป้องกันข้อมูลส่วนบุคคลของจีน

พื้นหลังและวัตถุประสงค์ของการกำหนดกฎหมายคุ้มครองข้อมูลส่วนบุคคลของจีน

ก่อนหน้านี้ในจีนยังไม่มีกฎหมายที่กำหนดการคุ้มครองข้อมูลส่วนบุคคลอย่างครอบคลุมเหมือนกับกฎหมายคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่น (Japanese Personal Information Protection Law) อย่างไรก็ตาม มีการเคลื่อนไหวเพื่อจัดทำกฎหมายคุ้มครองข้อมูลส่วนบุคคลมาตั้งแต่ก่อนหน้านี้ และในวันที่ 1 พฤศจิกายน 2021 กฎหมายคุ้มครองข้อมูลส่วนบุคคลของจีน (Chinese Personal Information Protection Law) ได้ถูกบังคับใช้เป็นครั้งแรกในจีน ซึ่งเป็นกฎหมายที่กำหนดการคุ้มครองข้อมูลส่วนบุคคลอย่างครอบคลุม

โดยเฉพาะ “กฎหมายความมั่นคงไซเบอร์” (Cybersecurity Law) และ “กฎหมายความมั่นคงข้อมูล” (Data Security Law) ถึงแม้จะเป็นกฎหมายที่มีส่วนเกี่ยวข้องกับความมั่นคงของรัฐอย่างมาก แต่กฎหมายคุ้มครองข้อมูลส่วนบุคคลของจีนนั้นมีเนื้อหาที่เน้นการคุ้มครองสิทธิของบุคคลเป็นหลัก

โครงสร้างหลักของกฎหมายคุ้มครองข้อมูลส่วนบุคคลของจีนได้รับอิทธิพลอย่างมากจากกฎหมายของประเทศต่างๆ ในช่วงหลังนี้ เช่น “กฎหมายคุ้มครองข้อมูลทั่วไปของสหภาพยุโรป” (EU General Data Protection Regulation – GDPR) อย่างไรก็ตาม ในเรื่องของหลักการที่ถือว่าเป็นการกระทำที่ถูกต้องตามกฎหมาย หรือสิทธิของบุคคลนั้น มีรายละเอียดที่เป็นเอกลักษณ์เฉพาะตัว จึงต้องการมาตรการในการจัดการที่เฉพาะเจาะจง

กฎระเบียบของกฎหมายคุ้มครองข้อมูลส่วนบุคคลของจีน

ในบทนี้ เราจะอธิบายเกี่ยวกับวัตถุประสงค์ของกฎระเบียบคุ้มครองข้อมูลส่วนบุคคลของจีน
หากเงื่อนไขต่อไปนี้เป็นจริง จะต้องเป็นวัตถุประสงค์ของการควบคุม ดังนั้นควรให้ความสนใจ

• ในกรณีที่มีวัตถุประสงค์เพื่อจัดหาสินค้าหรือบริการให้กับบุคคลในประเทศจีน
• ในกรณีที่มีวัตถุประสงค์เพื่อวิเคราะห์หรือประเมินพฤติกรรมของบุคคลในประเทศจีน
• ในกรณีอื่นๆ ที่กฎหมายกำหนดไว้

กฎหมายคุ้มครองข้อมูลส่วนบุคคลของจีนนั้น ในบางกรณีอาจมีผลบังคับใช้ไม่เพียงแต่ภายในประเทศจีนเท่านั้น แต่ยังรวมถึงต่างประเทศด้วย นอกจากนี้ แม้จะอยู่ต่างประเทศ หากดำเนินธุรกิจขายสินค้าหรือวิเคราะห์พฤติกรรมของ ‘บุคคล’ ที่อยู่ในจีน ก็จะต้องปฏิบัติตามกฎหมายนี้เช่นกัน ดังนั้นควรให้ความสนใจ

ความเข้าใจเกี่ยวกับกฎหมายการปกป้องข้อมูลส่วนบุคคลของจีน

ในบทนี้ เราจะอธิบายถึง 8 ประเด็นสำคัญที่จะช่วยให้คุณเข้าใจกฎหมายการปกป้องข้อมูลส่วนบุคคลของจีนได้ดียิ่งขึ้น

หลักฐานของความถูกต้องตามกฎหมาย

บริษัทสามารถจัดการข้อมูลส่วนบุคคลได้ก็ต่อเมื่อตรงตามหลักฐานของความถูกต้องตามที่กฎหมายการปกป้องข้อมูลส่วนบุคคลของจีนกำหนดไว้เท่านั้น

หลักฐานทั้ง 7 ประการมีดังนี้

• ความยินยอมจากบุคคลนั้น
• การปฏิบัติตามสัญญา
• การปฏิบัติตามหน้าที่ตามกฎหมาย
• สาธารณสุข
• ผลประโยชน์ของสาธารณะ
• การจัดการข้อมูลส่วนบุคคลที่ได้รับการเปิดเผย
• เหตุการณ์อื่นๆ ที่กำหนดไว้ในกฎหมายหรือข้อบังคับ

จากที่กล่าวมาข้างต้น จะเห็นได้ว่าไม่รวมถึง “ผลประโยชน์ที่ชอบด้วยกฎหมาย” ที่มีอยู่ใน GDPR ดังนั้น เมื่อเปรียบเทียบกับ GDPR จะเห็นว่ามีสถานการณ์ที่ต้องใช้ความยินยอมจากบุคคลเป็นหลักฐานในการจัดการข้อมูลส่วนบุคคลมากขึ้น

นอกจากนี้ ความยินยอมเองต้องถูกกำหนดให้เป็น “สิ่งที่บุคคลนั้นสามารถถอนกลับได้ง่ายทุกเมื่อ” จำเป็นต้องมีการพิจารณาให้มี UI ที่ทำให้สามารถถอนความยินยอมได้ง่าย หรือมีการบันทึกวิธีการถอนความยินยอมอย่างชัดเจนและเข้าใจง่าย

การให้ข้อมูล

ก่อนที่บริษัทจะดำเนินการในการจัดการข้อมูลส่วนบุคคล จำเป็นต้องแจ้งให้ผู้ที่เป็นเจ้าของข้อมูลทราบถึงรายละเอียดที่กฎหมายการปกป้องข้อมูลส่วนบุคคลของจีน (Chinese Personal Information Protection Law) กำหนดไว้ โดยใช้ภาษาที่ชัดเจนและเข้าใจง่าย

นอกจากนี้ บริษัทยังต้องให้ข้อมูลที่ละเอียดยิ่งขึ้น ไม่เพียงแต่วัตถุประสงค์ในการจัดการข้อมูลเท่านั้น แต่ยังรวมถึงวิธีการประมวลผล ประเภทของข้อมูลส่วนบุคคล ระยะเวลาในการเก็บรักษา รวมไปถึงวิธีการและขั้นตอนในการใช้สิทธิ์ของตนเองด้วย

การตกลงกับผู้รับมอบหมายงาน

เมื่อมีการมอบหมายการจัดการข้อมูลส่วนบุคคลให้กับผู้อื่น จำเป็นต้องทำข้อตกลงหรือสัญญากับผู้รับมอบหมายเกี่ยวกับวัตถุประสงค์ในการประมวลผล ระยะเวลา วิธีการประมวลผล และมาตรการป้องกันที่จะดำเนินการ

นอกจากนี้ คุณยังต้องรับผิดชอบในการกำกับดูแลการประมวลผลข้อมูลที่ได้มอบหมายไปด้วย ในกรณีที่มีการจัดการข้อมูลส่วนบุคคลร่วมกับบริษัทอื่น ควรทำข้อตกลงล่วงหน้าเกี่ยวกับวัตถุประสงค์และวิธีการจัดการข้อมูล รวมถึงสิทธิ์และหน้าที่ของทั้งสองฝ่ายเช่นเดียวกับในกรณีของการมอบหมายงาน

กฎระเบียบเกี่ยวกับการโอนย้ายข้ามพรมแดน

เมื่อต้องการส่งมอบข้อมูลส่วนบุคคลที่รวบรวมภายในประเทศจีนให้กับบุคคลที่สามในต่างประเทศ จะต้องดำเนินการตาม 2 ข้อต่อไปนี้

ข้อแรกคือ ต้องแจ้งชื่อและข้อมูลติดต่อของผู้รับข้อมูลส่วนบุคคล วัตถุประสงค์ในการประมวลผล วิธีการประมวลผล ประเภทของข้อมูลส่วนบุคคล และวิธีการที่บุคคลนั้นสามารถใช้สิทธิ์กับผู้รับข้อมูลได้ รวมถึงกระบวนการต่างๆ นอกจากนี้ ยังต้องได้รับความยินยอมจากบุคคลนั้นๆ อย่างเฉพาะเจาะจง

ข้อที่สองคือ ต้องดำเนินการตามหนึ่งในสี่มาตรการต่อไปนี้

• ผ่านการประเมินความปลอดภัยของรัฐ
• ได้รับการรับรองการปกป้องข้อมูลส่วนบุคคลจากหน่วยงานที่เชี่ยวชาญ
• ทำสัญญากับผู้รับข้อมูลในต่างภูมิภาคตามสัญญามาตรฐาน
• ตอบสนองเงื่อนไขอื่นๆ ที่กำหนดโดยหน่วยงานข้อมูลอินเทอร์เน็ตของรัฐ

ขึ้นอยู่กับเนื้อหาของข้อมูลส่วนบุคคลที่จะโอนย้าย อาจจำเป็นต้องมีการประเมินความปลอดภัยของรัฐ ดังนั้น ควรตรวจสอบความจำเป็นในการประเมินความปลอดภัยของรัฐตาม ‘กฎหมายการประเมินความปลอดภัยของข้อมูลที่โอนย้ายข้ามประเทศ’ ก่อนที่จะเลือกมาตรการที่ควรดำเนินการ

เกี่ยวกับสิทธิ์

กฎหมายการคุ้มครองข้อมูลส่วนบุคคลของจีน (Chinese Personal Information Protection Law) ให้สิทธิ์แก่บุคคลนั้น ได้แก่ สิทธิ์ในการทราบข้อมูล, สิทธิ์ในการเข้าถึง, สิทธิ์ในการทำสำเนา, สิทธิ์ในการถอนความยินยอม, สิทธิ์ในการพกพาข้อมูล, สิทธิ์ในการแก้ไข, และสิทธิ์ในการลบข้อมูล ฯลฯ

นอกจากนี้ กฎหมายดังกล่าวยังยอมรับ “สิทธิ์ของผู้เสียชีวิต” ซึ่งไม่ได้รับการยอมรับใน GDPR (General Data Protection Regulation) ของยุโรป “สิทธิ์ของผู้เสียชีวิต” หมายถึง ในกรณีที่บุคคลนั้นเสียชีวิต ญาติที่ใกล้ชิดสามารถใช้สิทธิ์เหล่านั้นแทนผู้เสียชีวิตได้ ดังนั้น เราควรให้ความสำคัญกับการคุ้มครองข้อมูลของผู้ที่เสียชีวิตด้วย

หน้าที่ในการรายงานเหตุการณ์

เพื่อป้องกันการรั่วไหลของข้อมูลส่วนบุคคล บริษัทจำเป็นต้องดำเนินการตามที่ระบบการจัดการความปลอดภัยข้อมูล (Japanese ISMS: Information Security Management System) กำหนดไว้ ซึ่งคล้ายคลึงกับมาตรการที่ต้องดำเนินการ

ตัวอย่างของมาตรการที่ต้องดำเนินการมีดังนี้

• การกำหนดนโยบายภายใน
• การจัดการแยกประเภทข้อมูลตามระดับความลับ
• การเข้ารหัสข้อมูลตามความจำเป็น
• การดำเนินการทำให้ข้อมูลเป็นนามแฝง
• การจัดการฝึกอบรมให้กับพนักงาน
• การกำหนดกระบวนการตอบสนองต่อเหตุการณ์ เป็นต้น

มาตรการด้านการจัดการความปลอดภัยได้ถูกกำหนดไว้ในกฎหมายไซเบอร์ความปลอดภัย (Japanese Cybersecurity Law) และกฎหมายความปลอดภัยข้อมูล (Japanese Data Security Law) ดังนั้น การจัดเรียงและตรวจสอบมาตรการตามข้อกำหนดของทั้งสามกฎหมายเป็นสิ่งที่แนะนำ

บทความที่เกี่ยวข้อง：กฎหมายไซเบอร์ความปลอดภัยของจีนคืออะไร? การอธิบายจุดสำคัญที่ต้องปฏิบัติตาม[ja]

บทความที่เกี่ยวข้อง：กฎหมายความปลอดภัยข้อมูลของจีนคืออะไร? การอธิบายมาตรการที่บริษัทญี่ปุ่นควรดำเนินการ[ja]

หน้าที่ในการแต่งตั้ง DPO และตัวแทน

บริษัทจะต้องแต่งตั้ง DPO (Data Protection Officer หรือ ผู้รับผิดชอบด้านการปกป้องข้อมูล) เมื่อจำนวนข้อมูลส่วนบุคคลที่บริษัทจัดการมีปริมาณถึงระดับหนึ่งที่กำหนดไว้

นอกจากนี้ บริษัทที่ตกอยู่ภายใต้การบังคับใช้กฎหมายนอกเขตอาณาจักรจะต้องมีการตั้งตัวแทนภายในประเทศจีน และจำเป็นต้องรายงานชื่อและข้อมูลการติดต่อไปยังหน่วยงานที่รับผิดชอบ

หน้าที่ในการดำเนินการประเมินผลกระทบการคุ้มครองข้อมูลส่วนบุคคล

บริษัทจำเป็นต้องดำเนินการประเมินความเสี่ยงล่วงหน้าและควบคุมความเสี่ยงอย่างเหมาะสม หากตกอยู่ในหนึ่งในห้ากรณีต่อไปนี้:

กรณีที่จำเป็นต้องดำเนินการประเมินผลกระทบมีดังนี้:

• กรณีที่มีการจัดการข้อมูลที่ละเอียดอ่อน
• กรณีที่มีการตัดสินใจโดยอัตโนมัติ
• กรณีที่มีการมอบหมายการจัดการข้อมูลส่วนบุคคลให้กับบุคคลที่สามหรือมีการให้ข้อมูลส่วนบุคคลแก่บุคคลที่สาม
• กรณีที่มีการโอนย้ายข้อมูลส่วนบุคคลไปยังต่างประเทศ
• กรณีที่มีผลกระทบอย่างมากต่อสิทธิและผลประโยชน์ของบุคคล

โทษทางกฎหมายของกฎหมายคุ้มครองข้อมูลส่วนบุคคลในจีน

หากมีการฝ่าฝืนกฎหมายนี้ อาจต้องเผชิญกับโทษทางกฎหมายที่สูงมาก สูงสุดถึง 50 ล้านหยวน หรือเท่ากับ 5% ของยอดขายในปีก่อนหน้า นอกจากนี้ กฎหมายนี้ยังมีผลบังคับใช้นอกเขตอาณาจักรด้วย ดังนั้น บริษัทญี่ปุ่นที่ดำเนินธุรกิจกับจีนจำเป็นต้องดำเนินการตอบสนองอย่างเร่งด่วน

มาตรการที่บริษัทญี่ปุ่นควรดำเนินการเพื่อคุ้มครองข้อมูลส่วนบุคคล

ในบทนี้ เราจะแนะนำมาตรการคุ้มครองข้อมูลส่วนบุคคลที่บริษัทญี่ปุ่นควรดำเนินการ 4 ข้อ

ทบทวนโครงสร้างภายในองค์กร

ขั้นตอนแรก ควรพิจารณาทบทวนโครงสร้างภายในองค์กร มีหน้าที่ให้ต้องตั้งตัวแทนหรือ DPO (Data Protection Officer) จึงจำเป็นต้องทบทวนโครงสร้างภายใน

ตัวอย่างเช่น การตั้งแผนกเฉพาะทางด้านกฎหมายและเทคโนโลยีที่รับผิดชอบงานความเป็นไปตามกฎหมายของข้อมูลที่มีข้อมูลส่วนบุคคล การจัดระเบียบกระบวนการทำงาน และการดำเนินการแมปข้อมูลอย่างละเอียด

อัปเดตกฎระเบียบและนโยบาย

การอัปเดตกฎระเบียบและนโยบายก็เป็นสิ่งสำคัญ จำเป็นต้องอัปเดตกฎระเบียบและนโยบายให้สอดคล้องกับกฎหมายข้อมูล 3 ฉบับของจีน

นอกจากนี้ ไม่เพียงแต่จะต้องกำหนดกฎระเบียบที่สะท้อนถึงข้อกำหนดของกฎหมายเท่านั้น แต่ยังต้องจัดการให้มีการดำเนินงานที่ทุกคนในองค์กรสามารถปฏิบัติได้จริง

เข้าใจสภาพการดำเนินงานจริง

เนื่องจากกฎหมายคุ้มครองข้อมูลส่วนบุคคลได้ถูกบัญญัติขึ้นเมื่อวันที่ 1 พฤศจิกายน 2021 (2021) จึงจำเป็นต้องเข้าใจสภาพการดำเนินงานจริงและดำเนินการป้องกันอย่างต่อเนื่อง นอกจากนี้ ยังมีกฎหมายที่กำหนดให้พนักงานในบริษัทต้องปฏิบัติตามกฎหมายอย่างเคร่งครัด

ดังนั้น บริษัทควรจัดการอบรมเป็นประจำให้กับพนักงาน เพื่อเพิ่มความตระหนักเกี่ยวกับกฎหมายและขั้นตอนล่าสุด

สร้างความร่วมมือกับผู้เชี่ยวชาญ

การสร้างและเสริมความร่วมมือกับผู้เชี่ยวชาญก็เป็นสิ่งที่จำเป็นไม่แพ้กัน การสร้างความร่วมมือกับผู้เชี่ยวชาญที่มีความรู้เกี่ยวกับกฎระเบียบของจีนจะช่วยให้สามารถตอบสนองได้อย่างรวดเร็ว นอกจากนี้ บริษัทยังต้องตรวจสอบและประเมินสถานะการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลอย่างสม่ำเสมอ ดังนั้น การสร้างความร่วมมือกับผู้เชี่ยวชาญภายนอกจึงเป็นสิ่งที่จำเป็นอย่างยิ่ง

สรุป: ทำความเข้าใจกฎหมายหลายฉบับและดำเนินการอย่างถูกต้อง

ในวันที่ 1 พฤศจิกายน 2021 (รีวะ 3), จีนได้นำกฎหมาย ‘กฎหมายการปกป้องข้อมูลส่วนบุคคลของจีน’ ซึ่งเป็นกฎหมายที่ครอบคลุมการปกป้องข้อมูลส่วนบุคคลเป็นครั้งแรกมาใช้บังคับ สำหรับบริษัทที่ดำเนินธุรกิจในระดับโลก กฎหมายที่เกี่ยวข้องกับข้อมูลของจีน (กฎหมายความมั่นคงไซเบอร์, กฎหมายความมั่นคงข้อมูล, กฎหมายการปกป้องข้อมูลส่วนบุคคล) เป็นกฎหมายที่ไม่สามารถมองข้ามได้ เนื่องจากความสำคัญของตลาดและความเข้มงวดของกฎระเบียบ ในบางกรณี คุณอาจต้องขอความช่วยเหลือจากผู้เชี่ยวชาญเพื่อดำเนินการปฏิบัติงานที่จำเป็นได้อย่างเหมาะสม จึงควรจัดเตรียมระบบการทำงานที่มีประสิทธิภาพอย่างรอบคอบ

แนะนำมาตรการของเรา

ที่สำนักงานกฎหมายมอนอลิธ เราเป็นสำนักงานกฎหมายที่มีประสบการณ์อันเข้มข้นในด้านไอที โดยเฉพาะอย่างยิ่งกฎหมายเกี่ยวกับอินเทอร์เน็ต ในปัจจุบัน ธุรกิจระดับโลกกำลังขยายตัวอย่างต่อเนื่อง และความจำเป็นในการตรวจสอบทางกฎหมายโดยผู้เชี่ยวชาญก็เพิ่มขึ้นเรื่อยๆ สำนักงานของเราให้บริการโซลูชันทางกฎหมายระหว่างประเทศ

สาขาที่สำนักงานกฎหมายมอนอลิธให้บริการ: กฎหมายระหว่างประเทศและธุรกิจต่างประเทศ[ja]