Η Κίνα αγωνίζεται με διπλό στόχο την εξισορρόπηση της ασφάλειας με την προώθηση της οικονομίας δεδομένων

[διαφήμιση_1]

Στις αρχές Ιουνίου, η Κίνα έθεσε επίσημα σε ισχύ κανονισμούς σχετικά με τις τυποποιημένες συμβάσεις για διασυνοριακές μεταφορές προσωπικών πληροφοριών, οι οποίοι απαιτούν από τους επεξεργαστές δεδομένων (συμπεριλαμβανομένων των εταιρειών που επεξεργάζονται δεδομένα λιγότερων από 1 εκατομμύριο ατόμων) να έχουν συμβάσεις με παραλήπτες στο εξωτερικό πριν από τη μεταφορά.

Οι νέοι κανόνες αποτελούν μέρος των προσπαθειών του Πεκίνου να αυστηροποιήσει τον έλεγχο των εγχώριων δεδομένων στο όνομα της εθνικής ασφάλειας.

Επί του παρόντος, το κορυφαίο νομικό πλαίσιο της χώρας για τη διαχείριση της ιδιωτικής ζωής των δεδομένων αποτελείται από τρεις νόμους: τον Νόμο για την Κυβερνοασφάλεια, τον Νόμο για την Προστασία Δεδομένων και τον Νόμο για την Προστασία Προσωπικών Δεδομένων.

Συνεπώς, η κεντρική κυβέρνηση έχει θεσπίσει ένα καθεστώς διαχείρισης εξαγωγής προσωπικών δεδομένων. Εκτός από τα μέτρα της τυποποιημένης σύμβασης, το καθεστώς περιλαμβάνει κανόνες που απαιτούν από τις εταιρείες να διενεργούν καταγραφή αξιολόγησης ασφαλείας στην εθνική αρχή εποπτείας του διαδικτύου ή να υποβάλλουν αίτηση για πιστοποίηση προστασίας προσωπικών δεδομένων από την αρμόδια αρχή.

Οι νέοι κανόνες επηρεάζουν όλες τις ξένες επιχειρήσεις, τις κινεζικές εταιρείες που είναι εισηγμένες στο εξωτερικό και τους τομείς με πλούσιους σε δεδομένα, όπως το λιανικό εμπόριο, το διαδίκτυο, η υγειονομική περίθαλψη , η αυτοκινητοβιομηχανία, η πολιτική αεροπορία και τα χρηματοοικονομικά.

Ο Xu Ke, διευθυντής του ερευνητικού κέντρου για την ψηφιακή οικονομία και τη νομική καινοτομία στο Πανεπιστήμιο Διεθνών Επιχειρήσεων και Οικονομικών, δήλωσε ότι οι ρυθμιστικές αρχές αγωνίζονται να επιτύχουν μια ισορροπία μεταξύ της ενίσχυσης της ασφάλειας των δεδομένων και της προώθησης της οικονομικής ανάπτυξης που βασίζεται στα δεδομένα.

Μεγάλος αριθμός εταιρειών, χαμηλό ποσοστό έγκρισης

Σύμφωνα με τα μέτρα αξιολόγησης ασφαλείας για τις διασυνοριακές μεταφορές δεδομένων, τα οποία τέθηκαν σε ισχύ την 1η Σεπτεμβρίου, οι εταιρείες που επεξεργάζονται προσωπικά δεδομένα που αφορούν περισσότερα από 1 εκατομμύριο άτομα πρέπει να υποβάλλονται σε αξιολόγηση ασφαλείας εάν επιθυμούν να μεταφέρουν δεδομένα στο εξωτερικό.

Οι εταιρείες πρέπει να υποβάλλουν εκθέσεις αυτοαξιολόγησης ασφάλειας στις τοπικές ρυθμιστικές αρχές δικτύων και στην Διοίκηση Κυβερνοχώρου της Κίνας (CAC) για δύο γύρους αξιολόγησης.

Επί του παρόντος, η μεταφορά δεδομένων στο εξωτερικό θεωρείται νόμιμη εάν ο μεταβιβάζων υπογράψει σύμβαση με τον παραλήπτη και υποβάλει ότι τα δεδομένα που πρόκειται να μεταφερθούν περνούν το τεστ ασφαλείας της αρμόδιας αρχής.

Παρόλο που τα μέτρα τέθηκαν σε ισχύ τον Σεπτέμβριο, η εφαρμογή τους ήταν δύσκολη λόγω του μεγάλου αριθμού εταιρειών και της έλλειψης ανθρώπινου δυναμικού για την αξιολόγηση των εκθέσεων ασφαλείας τους.

Οι εταιρείες που κατέχουν προσωπικά δεδομένα για λιγότερους από 1 εκατομμύριο ανθρώπους πρέπει επίσης να υποβάλλουν εκθέσεις ασφάλειας δεδομένων εάν θέλουν να τα μεταφέρουν σε ξένους συνεργάτες.

Μέχρι τα τέλη Απριλίου, η διοίκηση κυβερνοχώρου της Σαγκάης είχε λάβει περισσότερες από 400 εκθέσεις αξιολόγησης, εκ των οποίων μόνο το 0,5% εγκρίθηκε από την CAC.

Η κατάσταση είναι παρόμοια και αλλού. Σε εθνικό επίπεδο, οι αρχές έχουν λάβει περισσότερες από 1.000 αιτήσεις για μεταφορά δεδομένων στο εξωτερικό, εκ των οποίων λιγότερες από 10 έχουν περάσει τους δύο γύρους αξιολόγησης, ανέφεραν πηγές της Caixin.

Σε εθνικό επίπεδο, το μεγαλύτερο μέρος του έργου της αναθεώρησης και έγκρισης των εκθέσεων ασφαλείας εκτελείται από το τεχνικό κέντρο κυβερνοασφάλειας του CNCERT/CC, το οποίο απασχολεί συνολικά περίπου 100 άτομα.

«Ασαφή» κριτήρια

Εκτός από τους περιορισμούς στο προσωπικό, η έλλειψη σαφήνειας στα κριτήρια αξιολόγησης επιβραδύνει τη διαδικασία έγκρισης, με τις ρυθμιστικές αρχές και τις εταιρείες να διαφωνούν ως προς το γιατί είναι απαραίτητη η απαιτούμενη μεταφορά δεδομένων.

Για παράδειγμα, ο αιτών πρέπει να εξηγήσει γιατί η διαβίβαση δεδομένων σε ξένο μέρος για επεξεργασία είναι νόμιμη, εύλογη και απαραίτητη, αλλά δεν παρέχονται περαιτέρω οδηγίες.

Ο κ. Xu Ke προειδοποίησε ότι η εφαρμογή ενός μηχανισμού «όλα σε ένα» θα μπορούσε να οδηγήσει σε υπερβολικούς περιορισμούς σε ορισμένους κλάδους και τομείς, εμποδίζοντας την ελεύθερη ροή δεδομένων, επειδή το επίπεδο πρόκλησης ανησυχιών για την εθνική ασφάλεια είναι διαφορετικό.

Ο He Yuan, εκτελεστικός διευθυντής του Κέντρου Έρευνας για το Δίκαιο των Δεδομένων στο Πανεπιστήμιο Shanghai Jiao Tong, σημείωσε ότι ο φόρτος εργασίας για τις τοπικές ρυθμιστικές αρχές θα μπορούσε να αυξηθεί σημαντικά, καθώς οι εταιρείες με λιγότερους από 1 εκατομμύριο υπαλλήλους θα πρέπει επίσης να υπογράφουν τυποποιημένες συμβάσεις από τον Ιούνιο.

Οι «σκληροί» κανονισμοί διαχείρισης δεδομένων δημιουργούν κόστος για τις επιχειρήσεις και εμποδίζουν την ελεύθερη ροή δεδομένων.

Από το 2023, οι αρχές της ηπειρωτικής χώρας έχουν εντείνει τις προσπάθειες δημοσιότητας, όπως η παροχή οδηγιών προς τις εταιρείες ώστε να εξοικειωθούν με τους κανόνες μεταφοράς δεδομένων.

Ωστόσο, το υψηλό κόστος συμμόρφωσης, οι δυσκολίες στην επικοινωνία με τους αποδέκτες στο εξωτερικό και η κανονιστική αβεβαιότητα είναι μεταξύ των παραγόντων που το Πεκίνο δεν μπόρεσε να επιλύσει για τις επιχειρήσεις.

Ακριβός

Για να αποφύγουν προβλήματα, οι εταιρείες τείνουν να συμβουλεύονται τρίτους φορείς σχετικά με την υποβολή εκθέσεων αξιολόγησης ασφαλείας.

Ωστόσο, οι αμοιβές υπηρεσιών που χρεώνουν αυτές οι συμβουλευτικές εταιρείες μπορούν εύκολα να φτάσουν εκατοντάδες εκατομμύρια γιουάν, θέτοντας τις μικρές εταιρείες σε μειονεκτική θέση. Η ποιότητα των υπηρεσιών που παρέχονται από αυτές τις εταιρείες μπορεί επίσης να ποικίλλει.

Ακόμα και με τη βοήθεια συμβούλων, πολλές επιχειρήσεις εξακολουθούν να δυσκολεύονται να λάβουν εγκρίσεις. Πολλές αιτήσεις που υποβάλλονται για πρώτη φορά δεν πληρούν πλήρως τις κανονιστικές απαιτήσεις, δήλωσε ο Ζανγκ Γιάο, συνεργάτης της Sun & Young Partners, μιας δικηγορικής εταιρείας με έδρα τη Σαγκάη.

Ενώ οι ρυθμιστικές αρχές έχουν διευκρινίσει τις απαιτήσεις σχετικά με βασικά ζητήματα σχετικά με το ποια δεδομένα πρέπει να μεταφερθούν στο εξωτερικό, μέσω ποιων συστημάτων, σε ποιον και εάν υπάρχουν κίνδυνοι ασφαλείας, «η επίλυση αυτών των ζητημάτων απαιτεί μεγάλο κόστος και προσπάθεια» εκ μέρους των εταιρειών.

Και για τις πολυεθνικές εταιρείες, ακόμη και αν καταφέρουν να στείλουν προσωπικά δεδομένα στο εξωτερικό, εξακολουθούν να αντιμετωπίζουν συνεχείς επενδύσεις συμμόρφωσης κατά την επακόλουθη χρήση, δήλωσε ο Chen Jihong, συνεργάτης της δικηγορικής εταιρείας Zhong Lun με έδρα το Πεκίνο.

Επιπλέον, ο μεταβιβάζων δεδομένα πρέπει να υποβάλει πληροφορίες σχετικά με τον παραλήπτη από το εξωτερικό σε μια αναφορά — κάτι που λίγες εταιρείες είναι πρόθυμες να κοινοποιήσουν. Για παράδειγμα, ο γίγαντας Microsoft δήλωσε δημόσια ότι «δεν συνεργάζεται» με τα αιτήματα αξιολόγησης ασφάλειας δεδομένων της Κίνας.

(Σύμφωνα με την Nikkei Asia)

[διαφήμιση_2]
Πηγή