چین با دو هدفِ ایجاد تعادل بین امنیت و ارتقای اقتصاد داده دست و پنجه نرم می‌کند

در اوایل ماه ژوئن، چین رسماً مقررات مربوط به قراردادهای استاندارد برای انتقال اطلاعات شخصی فرامرزی را به اجرا گذاشت که بر اساس آن، پردازشگران داده‌ها (از جمله شرکت‌هایی که داده‌های کمتر از ۱ میلیون نفر را پردازش می‌کنند) ملزم هستند قبل از انتقال، با گیرندگان خارج از کشور قرارداد داشته باشند.

این قوانین جدید بخشی از تلاش‌های پکن برای تشدید کنترل داده‌های داخلی به نام امنیت ملی است.

در حال حاضر، چارچوب قانونی برتر کشور برای مدیریت حریم خصوصی داده‌ها شامل سه قانون است: قانون امنیت سایبری، قانون حریم خصوصی داده‌ها و قانون حفاظت از اطلاعات شخصی.

بر این اساس، دولت مرکزی یک رژیم مدیریت صادرات داده‌های شخصی ایجاد کرده است. علاوه بر اقدامات مندرج در قرارداد استاندارد، این رژیم شامل قوانینی است که شرکت‌ها را ملزم به انجام ثبت ارزیابی امنیتی نزد مرجع نظارت ملی بر اینترنت یا درخواست صدور گواهینامه حفاظت از اطلاعات شخصی از مرجع ذیصلاح می‌کند.

این قوانین جدید بر همه کسب‌وکارهای خارجی، شرکت‌های چینی فهرست‌شده در خارج از کشور و بخش‌های غنی از داده‌ها مانند خرده‌فروشی، اینترنت، مراقبت‌های بهداشتی ، خودرو، هوانوردی غیرنظامی و امور مالی تأثیر می‌گذارد.

شو کی، مدیر مرکز تحقیقات اقتصاد دیجیتال و نوآوری حقوقی در دانشگاه تجارت و اقتصاد بین‌الملل، گفت که نهادهای نظارتی در تلاشند تا بین افزایش امنیت داده‌ها و ارتقای رشد اقتصادی مبتنی بر داده، تعادل برقرار کنند.

تعداد زیاد شرکت‌ها، نرخ تایید پایین

طبق اقدامات ارزیابی امنیتی در مورد انتقال داده‌های فرامرزی، که از اول سپتامبر به اجرا درآمد، شرکت‌هایی که داده‌های شخصی مربوط به بیش از ۱ میلیون نفر را پردازش می‌کنند، در صورت تمایل به انتقال داده‌ها به خارج از کشور، باید ارزیابی امنیتی را انجام دهند.

شرکت‌ها باید گزارش‌های خودارزیابی امنیتی را برای دو دور بررسی به رگولاتورهای شبکه محلی و اداره فضای مجازی چین (CAC) ارائه دهند.

در حال حاضر، انتقال داده‌ها به خارج از کشور در صورتی قانونی تلقی می‌شود که انتقال‌دهنده با گیرنده قرارداد امضا کند و تأیید کند که داده‌های منتقل‌شده، آزمون امنیتی مرجع ذیصلاح را با موفقیت پشت سر می‌گذارند.

اگرچه این اقدامات در ماه سپتامبر به اجرا درآمدند، اما اجرای آنها به دلیل تعداد زیاد شرکت‌ها و کمبود منابع انسانی برای ارزیابی گزارش‌های امنیتی آنها دشوار بوده است.

شرکت‌هایی که اطلاعات شخصی کمتر از ۱ میلیون نفر را در اختیار دارند، در صورت تمایل به انتقال آن به شرکای خارجی، باید گزارش‌های امنیت داده‌ها را نیز ارائه دهند.

تا پایان ماه آوریل، اداره فضای مجازی شانگهای بیش از ۴۰۰ گزارش ارزیابی دریافت کرده بود که تنها ۰.۵ درصد از آنها توسط CAC تأیید شده بود.

وضعیت در جاهای دیگر هم مشابه است. منابع Caixin گفتند که در سراسر کشور، مقامات بیش از ۱۰۰۰ درخواست برای انتقال داده‌ها به خارج از کشور دریافت کرده‌اند که از این تعداد، کمتر از ۱۰ مورد از دو دور بررسی عبور کرده‌اند.

در سطح ملی، بخش عمده‌ای از کار بررسی و تأیید گزارش‌های امنیتی توسط مرکز فنی امنیت سایبری CNCERT/CC انجام می‌شود که در مجموع حدود ۱۰۰ نفر کارمند دارد.

معیارهای «مبهم»

علاوه بر محدودیت‌های نیروی انسانی، عدم شفافیت در معیارهای ارزیابی، روند تأیید را کند می‌کند، به طوری که تنظیم‌کنندگان و شرکت‌ها در مورد لزوم انتقال داده‌های مورد نیاز اختلاف نظر دارند.

برای مثال، متقاضی باید توضیح دهد که چرا انتقال داده‌ها به یک طرف خارجی برای پردازش قانونی، منطقی و ضروری است، اما هیچ راهنمایی بیشتری ارائه نشده است.

آقای شو کی هشدار داد که اعمال یک مکانیسم «همه‌کاره» می‌تواند منجر به محدودیت‌های بیش از حد بر صنایع و بخش‌های خاص شود و جریان آزاد داده‌ها را مختل کند، زیرا میزان ایجاد نگرانی‌های امنیت ملی متفاوت است.

هه یوان، مدیر اجرایی مرکز تحقیقات حقوق داده‌ها در دانشگاه جیائو تونگ شانگهای، خاطرنشان کرد که حجم کار برای تنظیم‌کنندگان محلی می‌تواند به طور قابل توجهی افزایش یابد، زیرا شرکت‌هایی با کمتر از ۱ میلیون کارمند نیز باید از ماه ژوئن قراردادهای استاندارد امضا کنند.

مقررات «سخت‌گیرانه» مدیریت داده‌ها، هزینه‌هایی را برای کسب‌وکارها ایجاد می‌کند و مانع جریان آزاد داده‌ها می‌شود.

از سال ۲۰۲۳، مقامات سرزمین اصلی تلاش‌های تبلیغاتی خود را افزایش داده‌اند، مانند ارائه راهنمایی برای شرکت‌ها جهت آشنایی با قوانین انتقال داده‌ها.

با این حال، هزینه‌های بالای انطباق، مشکلات در برقراری ارتباط با گیرندگان خارج از کشور و عدم قطعیت نظارتی از جمله عواملی هستند که پکن نتوانسته برای کسب‌وکارها حل کند.

گران

برای جلوگیری از دردسر، شرکت‌ها تمایل دارند در مورد ارائه گزارش‌های ارزیابی امنیتی با سازمان‌های شخص ثالث مشورت کنند.

با این حال، هزینه‌های خدمات دریافتی توسط این آژانس‌های مشاوره‌ای می‌تواند به راحتی به صدها میلیون یوان برسد و شرکت‌های کوچک را در معرض خطر قرار دهد. کیفیت خدمات ارائه شده توسط این آژانس‌ها نیز می‌تواند متفاوت باشد.

ژانگ یائو، یکی از شرکای شرکت حقوقی سان اند یانگ پارتنرز مستقر در شانگهای، می‌گوید حتی با کمک مشاوران، بسیاری از کسب‌وکارها هنوز در گرفتن مجوز مشکل دارند. بسیاری از درخواست‌های اولیه به طور کامل الزامات قانونی را برآورده نمی‌کنند.

در حالی که نهادهای نظارتی الزامات مربوط به مسائل اصلی مانند اینکه چه داده‌هایی باید به خارج از کشور منتقل شوند، از طریق چه سیستم‌هایی، به چه کسی و اینکه آیا خطرات امنیتی وجود دارد یا خیر را روشن کرده‌اند، «حل این مسائل نیازمند هزینه و تلاش زیادی» از سوی شرکت‌ها است.

چن جیهونگ، یکی از شرکای شرکت حقوقی ژونگ لون مستقر در پکن، گفت: «برای شرکت‌های چندملیتی، حتی اگر در ارسال داده‌های شخصی به خارج از کشور موفق شوند، همچنان با سرمایه‌گذاری‌های مداوم در زمینه انطباق با قوانین در استفاده‌های بعدی مواجه خواهند بود.»

علاوه بر این، انتقال‌دهنده داده‌ها باید اطلاعات مربوط به گیرنده خارجی را در یک گزارش ارائه دهد - چیزی که تعداد کمی از شرکت‌ها حاضر به اشتراک‌گذاری آن هستند. به عنوان مثال، شرکت بزرگ مایکروسافت علناً اعلام کرد که با درخواست‌های ارزیابی امنیت داده‌های چین «همکاری نمی‌کند».

(به نقل از نیکی آسیا)

منبع