Čína se potýká s dvojím cílem: vyvážit bezpečnost s podporou datové ekonomiky

Začátkem června Čína oficiálně zavedla předpisy o standardních smlouvách pro přeshraniční přenos osobních údajů, které vyžadují, aby zpracovatelé údajů (včetně společností zpracovávajících údaje méně než 1 milionu osob) před přenosem měli uzavřené smlouvy se zahraničními příjemci.

Nová pravidla jsou součástí snahy Pekingu zpřísnit kontrolu nad domácími daty ve jménu národní bezpečnosti.

V současné době se nejvyšší právní rámec země pro správu ochrany osobních údajů skládá ze tří zákonů: zákona o kybernetické bezpečnosti, zákona o ochraně osobních údajů a zákona o ochraně osobních údajů.

Ústřední vláda proto zavedla režim správy exportu osobních údajů. Kromě opatření ve standardní smlouvě tento režim zahrnuje pravidla, která vyžadují, aby společnosti provedly registraci v rámci bezpečnostního posouzení u národního orgánu pro dohled nad internetem nebo požádaly příslušný orgán o certifikaci ochrany osobních údajů.

Nová pravidla se týkají všech zahraničních podniků, čínských společností kótovaných v zahraničí a odvětví bohatých na data, jako je maloobchod, internet, zdravotnictví , automobilový průmysl, civilní letectví a finance.

Xu Ke, ředitel výzkumného centra pro digitální ekonomiku a právní inovace na Univerzitě mezinárodního obchodu a ekonomie, uvedl, že regulační orgány se potýkají s nalezením rovnováhy mezi posílením bezpečnosti dat a podporou ekonomického růstu založeného na datech.

Vysoký počet firem, nízká míra schválení

Podle opatření pro bezpečnostní posouzení přeshraničních přenosů dat, která vstoupila v platnost 1. září, musí společnosti zpracovávající osobní údaje více než 1 milionu lidí podstoupit bezpečnostní posouzení, pokud chtějí přenášet data do zahraničí.

Společnosti musí předkládat zprávy o sebehodnocení bezpečnosti místním regulačním orgánům sítí a Čínské správě kyberprostoru (CAC) ke dvěma kolům kontroly.

V současné době je přenos dat do zahraničí považován za legální, pokud předávající podepíše s příjemcem smlouvu a předloží, že předávaná data projdou bezpečnostním testem příslušného orgánu.

Přestože opatření vstoupila v platnost v září, jejich implementace byla obtížná kvůli velkému počtu společností a nedostatku lidských zdrojů pro vyhodnocování jejich bezpečnostních zpráv.

Společnosti, které uchovávají osobní údaje méně než 1 milionu lidí, musí také předkládat zprávy o bezpečnosti dat, pokud je chtějí převést na zahraniční partnery.

Do konce dubna obdržela šanghajská správa kyberprostoru více než 400 hodnotících zpráv, z nichž CAC schválila pouze 0,5 procenta.

Podobná situace je i jinde. V celé zemi úřady obdržely více než 1 000 žádostí o přenos dat do zahraničí, z nichž méně než 10 prošlo dvěma koly přezkumu, uvedly zdroje z Caixinu.

Na národní úrovni vykonává většinu práce spojené s kontrolou a schvalováním bezpečnostních zpráv technické centrum kybernetické bezpečnosti CNCERT/CC, které má celkem přibližně 100 zaměstnanců.

„Vágní“ kritéria

Kromě personálních omezení zpomaluje proces schvalování také nejasnosti v hodnotících kritériích, přičemž regulační orgány a společnosti se neshodují v tom, proč je požadovaný přenos údajů nezbytný.

Žadatel musí například vysvětlit, proč je předání údajů zahraniční straně za účelem zpracování zákonné, přiměřené a nezbytné, ale žádné další pokyny nejsou poskytnuty.

Pan Xu Ke varoval, že uplatnění mechanismu „vše v jednom“ by mohlo vést k nadměrným omezením pro určitá odvětví a sektory, což by bránilo volnému toku dat, protože úroveň obav o národní bezpečnost je odlišná.

He Yuan, výkonný ředitel Výzkumného centra pro datové právo na Šanghajské univerzitě Jiao Tong, poznamenal, že by se pracovní zátěž místních regulačních orgánů mohla výrazně zvýšit, jelikož i společnosti s méně než 1 milionem zaměstnanců budou muset od června podepisovat standardní smlouvy.

„Přísné“ předpisy pro správu dat vytvářejí pro podniky náklady a brání volnému toku dat.

Od roku 2023 pevninské úřady zintenzivnily své úsilí v oblasti publicity, například vydáváním pokynů pro korporace, aby se seznámily s pravidly pro přenos údajů.

Vysoké náklady na dodržování předpisů, obtíže s komunikací se zahraničními příjemci a regulační nejistota však patří mezi faktory, které Peking nedokázal v zájmu podniků vyřešit.

Drahý

Aby se předešlo problémům, firmy mají tendenci konzultovat předkládání zpráv o bezpečnostním posouzení s agenturami třetích stran.

Poplatky za služby účtované těmito konzultačními agenturami však mohou snadno dosáhnout stovek milionů juanů, což znevýhodňuje malé firmy. Kvalita služeb poskytovaných těmito agenturami se také může lišit.

I s pomocí konzultantů má mnoho podniků stále potíže se získáním schválení. Mnoho žádostí podaných poprvé plně nesplňuje regulační požadavky, uvedl Zhang Yao, partner v šanghajské advokátní kanceláři Sun & Young Partners.

Ačkoli regulační orgány objasnily požadavky týkající se klíčových otázek, jakou data je třeba přenášet do zahraničí, prostřednictvím jakých systémů, komu a zda existují bezpečnostní rizika, „řešení těchto otázek vyžaduje ze strany společností mnoho nákladů a úsilí“.

A nadnárodní společnosti, i když se jim podaří odeslat osobní údaje do zahraničí, stále čelí neustálým investicím do dodržování předpisů při jejich následném použití, uvedl Chen Jihong, partner pekingské advokátní kanceláře Zhong Lun.

Navíc musí převodce dat předložit informace o zahraničním příjemci ve zprávě – což je něco, co je jen málo společností ochotno sdílet. Například gigant Microsoft veřejně prohlásil, že „nespolupracuje“ s čínskými žádostmi o posouzení bezpečnosti dat.

(Podle Nikkei Asia)

Zdroj