China worstelt met de dubbele doelstelling om veiligheid in evenwicht te brengen met het bevorderen van de data-economie

Begin juni heeft China officieel regelgeving ingevoerd over standaardcontracten voor grensoverschrijdende overdracht van persoonsgegevens. Deze vereisen dat gegevensverwerkers (waaronder bedrijven die gegevens van minder dan 1 miljoen mensen verwerken) contracten moeten hebben met ontvangers in het buitenland voordat er gegevens kunnen worden overgedragen.

De nieuwe regels zijn onderdeel van de inspanningen van Peking om de controle over binnenlandse gegevens te verscherpen in naam van de nationale veiligheid.

Momenteel bestaat het belangrijkste wettelijke kader voor gegevensbescherming in het land uit drie wetten: de wet op cyberveiligheid, de wet op de gegevensbescherming en de wet op de bescherming van persoonsgegevens.

De centrale overheid heeft daarom een regeling voor het beheer van de export van persoonsgegevens ingesteld. Naast de maatregelen in het standaardcontract omvat de regeling regels die bedrijven verplichten zich te registreren bij de nationale internettoezichthouder of een certificering voor de bescherming van persoonsgegevens aan te vragen bij de bevoegde autoriteit.

De nieuwe regels gelden voor alle buitenlandse bedrijven, Chinese bedrijven die in het buitenland genoteerd staan en data-intensieve sectoren zoals de detailhandel, internet, gezondheidszorg , auto's, luchtvaart en financiën.

Xu Ke, directeur van het onderzoekscentrum voor digitale economie en juridische innovatie aan de University of International Business and Economics, zei dat toezichthouders moeite hebben met het vinden van een evenwicht tussen het verbeteren van de gegevensbeveiliging en het stimuleren van datagestuurde economische groei.

Hoog aantal bedrijven, laag goedkeuringspercentage

Op grond van de maatregelen voor veiligheidsbeoordelingen bij grensoverschrijdende gegevensoverdrachten, die op 1 september van kracht werden, moeten bedrijven die persoonsgegevens van meer dan 1 miljoen mensen verwerken, een veiligheidsbeoordeling ondergaan als ze gegevens naar het buitenland willen overdragen.

Bedrijven moeten zelfbeoordelingsrapporten over hun beveiliging indienen bij lokale netwerkregulatoren en de Cyberspace Administration of China (CAC) voor twee beoordelingsrondes.

Momenteel wordt de overdracht van gegevens naar het buitenland als rechtmatig beschouwd als de overdrager een contract met de ontvanger ondertekent en aantoont dat de over te dragen gegevens de veiligheidstest van de bevoegde autoriteit doorstaan.

Hoewel de maatregelen al in september van kracht werden, verliep de implementatie ervan moeizaam vanwege het grote aantal bedrijven en het gebrek aan personeel om de beveiligingsrapporten te evalueren.

Bedrijven die persoonsgegevens van minder dan 1 miljoen mensen bewaren, moeten ook rapporten over gegevensbeveiliging overleggen als ze de gegevens willen overdragen aan buitenlandse partners.

Eind april had het cyberspacebestuur van Shanghai meer dan 400 evaluatierapporten ontvangen, waarvan slechts 0,5 procent door de CAC werd goedgekeurd.

De situatie is elders vergelijkbaar. Landelijk hebben de autoriteiten meer dan 1000 aanvragen ontvangen voor gegevensoverdracht naar het buitenland, waarvan er minder dan 10 de twee beoordelingsrondes hebben doorstaan, aldus bronnen bij Caixin.

Op nationaal niveau wordt het grootste deel van de werkzaamheden voor het beoordelen en goedkeuren van beveiligingsrapporten uitgevoerd door het CNCERT/CC cybersecurity technisch centrum, dat in totaal ongeveer 100 medewerkers telt.

‘Vage’ criteria

Naast personeelstekorten vertraagt ook een gebrek aan duidelijkheid over de beoordelingscriteria het goedkeuringsproces. Bovendien zijn toezichthouders en bedrijven het niet eens over de reden waarom de vereiste gegevensoverdracht noodzakelijk is.

De aanvrager moet bijvoorbeeld uitleggen waarom het doorgeven van gegevens aan een buitenlandse partij voor verwerking rechtmatig, redelijk en noodzakelijk is, maar er worden geen nadere richtlijnen gegeven.

De heer Xu Ke waarschuwde dat de toepassing van een 'alles-in-één'-mechanisme kan leiden tot buitensporige beperkingen voor bepaalde industrieën en sectoren, waardoor de vrije stroom van gegevens wordt belemmerd, omdat de mate waarin nationale veiligheidsproblemen ontstaan, verschilt.

He Yuan, directeur van het Data Law Research Center aan de Shanghai Jiao Tong Universiteit, merkte op dat de werkdruk voor lokale toezichthouders aanzienlijk zou kunnen toenemen, aangezien bedrijven met minder dan 1 miljoen werknemers vanaf juni ook standaardcontracten moeten ondertekenen.

'Strenge' regelgeving op het gebied van gegevensbeheer brengt kosten met zich mee voor bedrijven en belemmert de vrije stroom van gegevens.

Sinds 2023 hebben de autoriteiten op het vasteland hun publiciteitsinspanningen geïntensiveerd, bijvoorbeeld door richtlijnen op te stellen voor bedrijven om zichzelf vertrouwd te maken met de regels voor gegevensoverdracht.

Hoge nalevingskosten, problemen bij de communicatie met buitenlandse ontvangers en onzekerheid over de regelgeving zijn echter enkele factoren die Peking niet voor bedrijven heeft kunnen oplossen.

Duur

Om problemen te voorkomen, raadplegen bedrijven vaak externe bureaus voor het indienen van beveiligingsbeoordelingsrapporten.

De servicekosten die deze adviesbureaus in rekening brengen, kunnen echter gemakkelijk oplopen tot honderden miljoenen yuan, wat kleine bedrijven in het nadeel brengt. De kwaliteit van de dienstverlening van deze bureaus kan ook variëren.

Zelfs met de hulp van consultants hebben veel bedrijven nog steeds moeite om goedkeuring te krijgen. Veel eerste aanvragen voldoen niet volledig aan de wettelijke eisen, aldus Zhang Yao, partner bij Sun & Young Partners, een advocatenkantoor in Shanghai.

Hoewel toezichthouders de vereisten hebben verduidelijkt rondom kernvraagstukken zoals welke gegevens naar het buitenland moeten worden overgedragen, via welke systemen, naar wie en of er veiligheidsrisico's zijn, "vereist het oplossen van deze kwesties veel kosten en moeite" van bedrijven.

En zelfs als het multinationals lukt om persoonlijke gegevens naar het buitenland te versturen, moeten ze nog steeds blijven investeren in naleving van de regelgeving voor het daaropvolgende gebruik, aldus Chen Jihong, partner bij het in Beijing gevestigde advocatenkantoor Zhong Lun.

Bovendien moet de gegevensoverdrager informatie over de buitenlandse ontvanger in een rapport indienen – iets wat maar weinig bedrijven willen delen. Zo verklaarde gigant Microsoft publiekelijk dat het "niet meewerkte" aan de verzoeken van China om een beoordeling van de gegevensbeveiliging.

(Volgens Nikkei Asia)

Bron