Ч 2 ст 24 закона о персональных данных: Федеральный закон "О персональных данных" от 27.07.2006 N 152-ФЗ (последняя редакция)

Содержание

Политика обработки персональных данных

для неограниченного доступа, опубликовано в соответствии с ч.2 ст.18.1Федерального закона от 27 июля 2006 г. N 152-ФЗ «О персональных данных»)

Настоящая Политика предназначена для определения концептуальных основ деятельности ФГБУЗ ДВОМЦ ФМБА России по обеспечению защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

Цели и принципы обработки персональных данных

Цели:

создание условий для обеспечения гарантий прав граждан на получение медицинской помощи в соответствии с требованиями федеральных законов и нормативных правовых актов;
создание условий для обеспечения гарантий прав граждан при трудоустройстве, работе, обучении, предоставлении различного вида льгот в соответствии с требованиями Трудового кодекса Российской Федерации, федеральных законов и нормативных правовых актов.

Принципы:

осуществление обработки персональных данных на законной основе;
строгое выполнение требований по обеспечению безопасности персональных данных и сведений, составляющих врачебную тайну;
ограничение обработки персональных данных достижением конкретных, заранее определенных и законных целей;
исключение обработки персональных данных, несовместимой с целями сбора и обработки персональных данных;
исключение объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
обеспечение достоверности обрабатываемых персональных данных, их достаточности, а в необходимых случаях и актуальности по отношению к заявленным целям обработки персональных данных;
опубликование или обязательное раскрытие персональных данных, если это предусмотрено федеральным законом;

обязательное удаление или уточнение неполных или неточных данных;
хранение персональных данных в формах, позволяющих определить субъекта персональных данных не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом;
уничтожение или обезличивание персональных данных по достижении целей обработки или в случае утраты необходимости в достижении этих целей;
информирование граждан в доступной форме, в том числе с использованием сети «Интернет», об осуществляемой медицинской деятельности и о медицинских работниках, об уровне их образования и об их квалификации;
осуществление прямых контактов с пациентами с помощью средств связи только при условии предварительного оформления согласия пациента;
осуществление трансграничной передачи персональных данных только при наличии согласия субъекта персональных данных на трансграничную передачу его персональных данных.

Обеспечения безопасности персональных данных в ФГБУЗ ДВОМЦ ФМБА России достигается:

назначением должностных лиц ответственных за организацию и проведение работ по защите персональных данных;
изданием документов, определяющих политику в отношении обработки персональных данных, локальных актов по защите персональных данных;
определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
применением правовых, организационных, технических мер по обеспечению безопасности персональных данных в соответствии со ст.19 Федерального закона «О персональных данных» и требованиями нормативных правовых актов;
использованием обезличивания персональных данных;
осуществлением внутреннего контроля выполнения требований по защите персональных данных;
ознакомлением работников ФГБУЗ ДВОМЦ ФМБА России с требованиями законодательства Российской Федерации о персональных данных и защите информации;

непрерывным совершенствованием методов и способов обеспечения безопасности персональных данных.

В систему защиты включены:

антивирусные средства для рабочих станций и серверов;
средства межсетевого экранирования;
средства криптографической защиты информации, при передаче защищаемой информации по каналам связи.

Функций защиты:

управление и разграничение доступа пользователей;
регистрацию и учет действий с информацией;
обеспечение целостности данных;
обнаружение вторжений.

Подсистема управления доступом реализована с помощью штатных средств обработки персональных данных (операционных систем, приложений), специальных средств осуществляющих дополнительные меры по аутентификации и контролю.

Подсистема обеспечения целостности и доступности реализуется с помощью организации резервного копирования обрабатываемых данных и ключевых элементов информационной системы персональных данных.

Подсистема антивирусной защиты предназначена для обеспечения антивирусной защиты серверов и рабочих мест пользователей информационной системы персональных данных.

Подсистема межсетевого экранирования реализована внедрением программных комплексов межсетевого экранирования.

Подсистема криптографической защиты реализована внедрением программно-аппаратного комплекса, и предназначена для исключения несанкционированного доступа к защищаемой информации в информационной системе персональных данных, при ее передачи по каналам связи сетей общего пользования.

В информационной системе персональных данных определены категории пользователей, участвующих в обработке и хранении персональных данных. Данные о пользователях, уровне их доступа и информированности в соответствии с Положением о разграничении прав доступа к обрабатываемым персональным данным.

Сотрудникам запрещается разглашать защищаемую информацию, которая стала им известна при работе с информационной системой.

ФГБУЗ ДВОМЦ ФМБА России информирует пациентов о необходимости строгого выполнения с их стороны мер по обеспечению конфиденциальности персональных данных.

В соответствии со ст. 24 Федерального закона Российской Федерации от 27 июля 2006 г. № 152-ФЗ «О персональных данных» лица, виновные в нарушении требований данного Федерального закона, несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством Российской Федерации ответственность.

Закон О персональных данных. Статья 24. Ответственность за нарушение требований настоящего Федерального закона 2016-2021г. ЮрИнспекция

Что — то я уже написал в комментариях, пробежавшись по интересным обсуждениям. Ты же профессионал, где специальные нормы, где анализ? Сначала немного повторюсь: сведения о том, что кто — либо должник по какому — либо исполнительному производству не могут умалять чью- то деловую репутацию. Часть нарушений прав, источник нарушения прав — не реестр, он в головах людей. 1.Есть ошибочные представления. и первое — то, что если должник по исполнительному производству — значит нарушитель. Уже приводил пример: подписал мировое соглашение, поделили пошлину пополам и вот уже должник.

Ничего не нарушил, никаких обязательств. Усилиями наших фюреров общество больно обвинительным подходом. Неисполнение обязательств часто бывает невиновным, т. е. из факта наличия долга не следует «нерадивости». 2. Наличие исполнительного производства (хоть десятков) никак не свидетельствует само по себе о материальном положении или тем паче, неплатежеспособности. Возбудили исполпроизводство и должник долг погасил и т. д. Взыскатель решил не предлагать добровольного исполнения, а сразу передал исполлист в ПСП 3. Т. н. «реестр» таковым не является. Это — очень отрывочные сведения о выданных исполлистах с указанием судебных актов и номеров исполнительных документов. Более того, если вы обратите внимание, представленная информация — НЕ информация УФССП. Нет данных о номерах исполнительных производств, о дате возбуждения исполпроизводства. Это информация- судов. 4. Вы можете «поиграть» с т. н. «реестром», чтобы окончательно убедится. что он не содержит достоверной и полной информации, информация произвольно натыкана.

Например наберите «АвтоВаз» .а потом «Пикалево» и т. д. 5. Если Вы обратите внимание на ст. 5 Закона о персональных данных, и Федеральный закон Российской Федерации Об информации, информационных технологиях и о защите информации, то без труда увидите адмонарушения, ответственность за совершение которых предусмотрена ст. 13.11 -13.13 КоАП РФ. В частности нет соблюдения требования п. 4 ч. 1 ст. 5 Закона о персональных данных: достоверности персональных данных, их достаточности для целей обработки, недопустимости обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных. Есть некая база неактуальной. недостоверной, неполной информации, она выдается за реестр должников, люди вводятся в заблуждение. Ни порядка ведения «реестра», ни правил, ни актуальности . Обработки данных практически никакой: вывалили что — то когда- то. 6. То, что касается адмоответственности за разглашение информации с ограниченным доступом, то я этого нарушения не увидел, т.

к. не видел сведений о физлицах- должниках Если бы такая информация была, то можно было бы говорить об этом. в т. ч. через призму ст. 84, 102 Налогового кодекса РФ, ст. ст. 85-90 ТК РФ и т. д. Кстати, обратите внимание: даже ОГРН не указываются. Т. е. нарушения происходят в области правил обработки данных, происходит введение в заблуждение (массовое) . Иными словами. мы посмотрели в «реестр» увидели там должника, а он уже не должник. Мы посмотрели в реестр, не увидели в нем должника, а он должник по десятку иполпроизводств. Дезинформация. Для каких целей? Для галочки. Их пинают, что они дремучие. вот они и вид делают «цивилизованный», а на деле- нарушение прав на информацию, прав на защиту информацию и т. д. Вот, примерно так. сорри, что несколко «на бегу». А, кстати, и запрос если нормальный направлять то со ссылками на положения Закона о персональных данных и Закона о защите информации, т. е. буквально цитируя: кем, когда утверждены какие правила. где опубликованы. каков порядок ведения реестра и т.

д. Если тебя как- то принципиально «заело», могу помочь.

Согласие на обработку персональных данных

Пользователь сайтов www.asavtomotors.ru, www.stoavtos.ru, www.saratov.asavtomotors.ru, www.asavto-chery.ru, www.saratov.asavto-chery.ru обязуется принять настоящее Согласие на обработку персональных данных (далее — Согласие), размещенное по адресу. Принятием (акцептом) оферты Согласия является подтверждение факта согласия Пользователя со всеми пунктами Согласия. Пользователь дает свое согласие ООО «АсАвто Моторс», которому принадлежат сайты www.asavtomotors.ru, www.stoavtos.ru, www.saratov.asavtomotors.ru, www.asavto-chery.ru, www.saratov.asavto-chery.ru и которое расположено по адресу: г. Самара, Аэропортовское шоссе 1Ж на обработку своих персональных данных со следующими условиями.

Согласие дается на обработку своих персональных данных, как без использования средств автоматизации, так и с их использованием на условиях и для целей, определенных Политикой конфиденциальности.

Согласие дается на обработку следующих персональных данных:

фамилия, имя, отчество;
контактный телефон;
адрес электронной почты;
комментарии к сообщению либо заявке.

Целью обработки персональных данных являются: консультирование, представление и распространение информации об услугах и мероприятиях ООО «АсАвто Моторс».

Основанием для обработки персональных данных являются: ст. 24 Конституции Российской Федерации; ст.6 Федерального закона № 152-ФЗ «О персональных данных»; иные федеральные законы и нормативно-правовые акты.

ООО «АсАвто Моторс» не проверяет достоверность персональных данных, предоставляемых Пользователем.

Персональные данные обрабатываются и хранятся до ликвидации ООО «АсАвто Моторс».

Для отзыва согласия на обработку персональных данных необходимо подать соответствующее заявление в письменной форме по месту нахождения ООО «АсАвто Моторс» не менее чем за 30 дней до момента отзыва соответствующего согласия.

После отзыва согласия персональные данные используются только в целях, предусмотренных законодательством.

Privacy Policy | Barovier&Toso

Данное информационное сообщение предоставляется клиентам-физическим лицам и физическим лицам, действующим от имени и по поручению клиентов-юридических лиц компании Barovier&Toso Vetrerie Artistiche Riunite srl, в соответствии со ст. 13 D. Законодательного указана 196/2003 — «Кодекс по охране личных данных» и ст. 13 GDPR EU 2016/679 – “Европейский регламент по защите персональных данных”.

ИНФОРМАЦИЯ ОБ ОПЕРАТОРЕ

Оператором персональных данных клиентов-физических лиц или физических лиц, действующих от имени и по поручению клиентов-юридических лиц, является компания Barovier&Toso Vetrerie Artistiche Riunite srl, головной офис Fondamenta Vetrai 28, 30141 Murano Venezia, Italia.

ИСТОЧНИК ДАННЫХ

Используемые персональные данные — данные, предоставленные Субъектом персональных данных в ходе:

профессиональных встреч, ярмарок и подобных мероприятий;
заполнения бланка “Контакты” на веб-сайте barovier. com;
запросов информации, выполненных любым средством связи;
посещения клиентом офисов нашей Компании
посещения персоналом Компании или персоналом, уполномоченным Компанией, офисов клиента;
прошлых коммерческих отношений

ЦЕЛИ ИСПОЛЬЗОВАНИЯ

Персональные данные клиентов-физических лиц используются Оператором персональных данных для целей, строго связанных и дополнительных для управления коммерческими отношениями, для административных целей и для целей, связанных с обязательствами по закону. В частности, персональные данные используются без предоставления разрешения Субъекта персональных данных при предоставлении напрямую [ст. 24 часть a), b), c) Кодекса по охране личных данных и ст. 6 часть b), e) GDPR] в следующих целях:

заключение договоров на предоставление услуг Оператора
выполнение предконтрактных, контрактных и налоговых обязательств, вытекающих из существующих отношений с Субъектом персональных данных;
выполнение обязательств административного, бухгалтерского, гражданского, налогового характера, предусмотренных законом, регламентом, европейской нормой или распоряжением компетентных органов
выполнение операций, необходимых для выполнения запросов Субъекта персональных данных;

Персональные данные физических лиц, работающих от имени и по поручению юридических лиц, используются Оператором для:

формулирования запросов или выполнения полученных запросов с использованием всех возможных средств связи;
обмена информацией с целью поддержания контрактных отношений, включая операции до и после заключения договоров;
выполнения операций, необходимых для выполнения заказов и других запросов.

Персональные данные могут также использоваться для отправки периодических сообщений с коммерческой информацией только при наличии специального необязательного разрешения Субъекта персональных данных путем подписки на новостную рассылку на веб-сайте Оператора.

Персональные данные, уже имеющиеся у Оператора, могут использоваться для коммерческих сообщений по услугам и товарам Оператора, аналогичным тем, которыми уже пользовался Субъект персональных данных, за исключением случая его четко выраженного несогласия (ст. 130, c. 4 Кодекса по охране личных данных).

ПОРЯДОК ИСПОЛЬЗОВАНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ

Использование персональных данных осуществляется посредством операций, указанных в ст. 4 Кодекса по охране личных данных и ст. 4 n. 2) GDPR, а именно: сбор, регистрация, организация, хранение, консультация, обработка, модификация, выбор, извлечение, сопоставление, использование, взаимосвязывание, блокировка, сообщение, удаление и уничтожение данных. Персональные данные обрабатываются как на бумажных носителях, так и в электронной и/или автоматизированной форме.

ДОСТУП К ДАННЫМ И СООБЩЕНИЕ ТРЕТЬИМ СТОРОНАМ

Используемые Оператором персональные данные не будут распространяться, т. е. они не будут сообщаться неопределенным субъектам, в какой-либо форме, включая предоставление их в распоряжение или даже просмотр.

Но персональные данные могут сообщаться штатным работникам компании Оператора для обработки заказов и/или выполнения контрактных обязательств. В частности, исходя из занимаемой должности и служебных обязанностей, некоторые работники были уполномочены на использование персональных данных, в рамках своей компетенции и в соответствии с инструкциями, данными им Оператором.

Кроме того, они могут передаваться субъектам, которые в целях выполнения заказов или других запросов или предоставления услуг, связанных с операцией или договорными отношениями между Оператором и Субъектом персональных данных, должны поставлять товары и/или предоставлять по поручению Оператора услуги и сервис (например, но не ограничиваясь): агентам Компании, банковским учреждениям, налоговым консультантам, компаниям, работающим в сфере транспорта, и т. д.).

Кроме того, Оператор может сообщать персональные данные субъектам, уполномоченным на доступ к ним в силу закона, регламентов или европейских норм. Эти субъекты будут использовать данные в качестве автономных операторов персональных данных.

ПЕРЕДАЧА ДАННЫХ

Персональные данные хранятся в Евросоюзе. Оператор оставляет за собой возможность использовать облачные сервисы для хранения и обработки данных. В этом случае поставщики услуг выбираются среди компаний, предоставляющих соответствующие гарантии согласно предусмотренному ст. 46 GDPR 2016/679.

ХРАНЕНИЕ ДАННЫХ

Оператор персональных данных хранит и использует персональные данные в течение времени, необходимого для выполнения указанных целей и, в любом случае, — до завершения коммерческих отношений. Затем персональные данные будут храниться в течение времени, установленного действующими гражданскими налоговыми нормами.

ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ

В соответствии и с ограничениями ст. 7 Кодекса по охране личных данных и статей 15 — 22 GDPR 2016/679, в любой момент Субъект персональных данных может воспользоваться правом:

a) запросить подтверждения наличия или отсутствия своих персональных данных;

b) получить указания относительно целей использования, категорий персональных данных, получателей или категорий получателей, которым персональные данные были или будут сообщены, и, по возможности, срок их хранения;

c) запросить корректировку или удаление данных;

d) запросить ограничение использования;

e) запросить перенос данных, т. е. получить их от Оператора в структурированном формате для общепринятого использования и для считывания на автоматическом устройстве и беспрепятственно передать их другому Оператору;

f) воспрепятствовать использованию в любой момент, а также в случае использования для целей прямого маркетинга;

h) потребовать у Оператора предоставить доступ к персональным данным и выполнить их корректировку или удаление или ограничение их использования или воспротивиться их использованию, а также воспользоваться правом их переноса;

i) отозвать разрешение в любой момент без нарушения законности использования, основанного на разрешении, предоставленном до отзыва;

j) подавать жалобу в контрольный орган.

ПОРЯДОК ОСУЩЕСТВЛЕНИЯ ПРАВ

Субъект персональных данных может воспользоваться указанными выше правами путем отправки заказного письма Оператору по указанному выше адресу или по электронной почте ([email protected]), указывая тему своего запроса, право, которым желает воспользоваться, и прилагая ксерокопию удостоверения личности, подтверждающего законность запроса.

ОТЗЫВ РАЗРЕШЕНИЯ

Со ссылкой на ст. 23 законодательного указа 196/2003 и ст. 6 GDPR 2016/679, Субъект персональных данных в любой момент может отозвать предоставленное разрешение.

Однако использование данных Субъекта персональных данных является законным и разрешается, также в отсутствие разрешения, если это требуется для выполнения договора с участием Субъекта персональных данных (в отношении поставки товаров или услуг) или его запросов.

ПОДАЧА ЖАЛОБЫ

Субъект персональных данных имеет право подавать жалобу в контрольный орган страны своего постоянного проживания.

ОТКАЗ ПЕРЕДАЧИ ДАННЫХ

Клиенты-физические лица не могут отказаться от предоставления Оператору персональных данных, необходимых для соблюдения законодательных норм, регулирующих коммерческие операции и вопросы, связанные с налогообложением.

Предоставление дополнительных персональных данных может потребоваться для повышения качества и эффективности операции.

Поэтому отказ предоставить данных, требуемых по закону, не позволит выполнять заказы, а отказ предоставить дополнительные данные может полностью или частично помешать выполнению других запросов и негативно сказаться на качестве и эффективности выполнения операции.

Лица, действующие от имени и по поручению клиентов-юридических лиц, могут отказаться от предоставления своих персональных данных Оператору.

Однако предоставление персональных данных необходимо для правильного и эффективного управления договорными обязательствами. Поэтому возможный отказ в предоставлении данных может полностью или частично навредить существующим контрактным отношениям.

АВТОМАТИЗИРОВАННЫЕ ПРОЦЕССЫ ПРИНЯТИЯ РЕШЕНИЙ

Оператор не выполняет использования для целей автоматизированных процессов принятия решений по данным клиентов-физических лиц или физических-лиц, действующих от имени или по поручению клиентов-юридических лиц.

ИНФОРМАЦИОННОЕ СООБЩЕНИЕ ОБ ИСПОЛЬЗОВАНИИ КУКИ-ФАЙЛОВ

ОБЩАЯ ИНФОРМАЦИЯ О КУКИ-ФАЙЛАХ

Этот сайт использует куки-файлы для обеспечения простоты и эффективности предоставления услуг пользователю, просматривающему страницы сайта.

Куки-файл представляет собой небольшой объем данных, направляемых на ваш браузер веб-сайтом и сохраняемых на жестком-диске или мобильном периферийном устройстве. Затем при каждом следующем подключении куки-файл прочитывается и распознается направившим его веб-сайтом. Как правило, большая часть браузеров изначально задается на автоматическое принятие куки-файлов. Вы можете изменить эти настойки для блокировки куки-файлов или получения уведомлений об отправке куки-файлов на ваше устройство: для изменения этих настроек см. руководство или экран справки вашего браузера.

Полное или частичное отключение куки-файлов может нарушить использование функций веб-сайта.

ТИПЫ ИСПОЛЬЗУЕМЫХ КУКИ-ФАЙЛОВ

Технический куки-файлы

Куки-файлы этого типа строго необходимы для правильной работы некоторых разделов сайта. Они бывают двух категорий: постоянные и сессионные:

постоянные: после закрытия браузера они не стираются, а сохраняются до заданной даты действия
сессионные: стираются при закрытии браузера

Эти куки-файлы, всегда направляемые нашим доменом, необходимы для обеспечения правильного отображения сайта и предлагаемых технических услуг, поэтому они будут использоваться и направляться всегда, если только пользователь не изменит настойки своего браузера (не допуская отображения страниц сайта).

Аналитические куки-файлы

Куки-файлы этой категории используются для сбора информации по использованию сайта. Наш сайт будет использовать эту информацию для анонимного статистического анализа с целью оптимизации использования сайта и для того, чтобы сделать контенты более интересными и соответствующими желаниям пользователей. Куки-файлы этого типа собирают данные в анонимной форме о действиях пользователя и его пути на сайт. Аналитические куки-файлы направляются самим сайтом или сторонними доменами.

Аналитические куки-файлы сторонних сервисов

Эти куки-файлы используются для сбора информации в анонимной форме по использованию сайта пользователями: открытые страницы, время пребывания на сайте, происхождение трафика, географическое происхождение, возраст, пол и интересы для маркетинговых кампаний. Эти куки-файлы направляются сторонними доменами, не относящимися к сайту.

Куки-файлы для интеграции изделий и программных функций третьих сторон

Куки-файлы этого типа интегрируют в страницы сайта функции, разработанные третьими сторонами, в виде, например, значков и преференций, выражаемых в социальных сетях, для совместного использования контентов сайта или для использования программных сервисов третьих сторон. Эти куки-файлы направляются с доменов третьих сторон и сайтов партнеров, предлагающих своих функции на страницах сайта. Для обеспечения повышенной прозрачности и удобства ниже приводятся веб-адреса различных информационных сообщений и порядка управления куки-файлами.

Используемые сторонние куки-файлы

На нашем сайте на некоторых страницах интегрированы сторонние сервисы, которые могут задавать и использовать свои куки-файлы и/или подобные технологии. Использование таких куки-файлов и подобных технологий этими компаниями регулируется информационными сообщениями о защиты персональных данных этих компаний, а не данным информационным сообщением, так как наш сайт абсолютно не связан с управлением этими инструментами и соответствующего использования данных.

Ниже приводится (неполный) перечень некоторых компаний-партнеров, которые могут направлять куки-файлы, когда вы находитесь на нашем сайте:

Google Analytics (информационное сообщение)
Google Fonts (информационное сообщение)
Facebook (информационное сообщение)

Куки-файлы для создания профиля

Это куки-файлы, необходимые для создания профилей пользователей с целью отправки рекламных сообщений исходя из преференций, продемонстрированных пользователем на страницах Сайта.

НА НАШЕМ САЙТЕ МЫ НЕ ИСПОЛЬЗУЕМ КУКИ-ФАЙЛЫ ДЛЯ СОЗДАНИЯ ПРОФИЛЯ.

УПРАВЛЕНИЕ КУКИ-ФАЙЛАМИ В БРАУЗЕРЕ

Пользователь может решить, использовать или нет куки-файлы, при помощи настроек своего браузера.  Полное или частичное отключение куки-файлов может нарушить использование функций веб-сайта.  Вы можете изменить эти настойки для блокировки куки-файлов или для получения уведомлений об отправки куки-файлов на ваше устройство.  Каждый браузер имеет свои процедуры управления настойками, куки-файлами и данными веб-сайтов. Более подробную информацию можно получить, переходя по приведенным ниже ссылкам:

Chrome
Mozilla Firefox
Internet Explorer
Opera
Safari

Продолжение навигации по сайту без изменения настроек браузера означает принятие использования куки-файлов.

Дата последнего обновления: 24 мая 2018 г.

Политика конфиденциальности

5.

Принципы и способы обработки персональных данных, перечень действий, совершаемых с персональными данными

5.1 Обработка ПДн осуществляется на основе следующих принципов:

обработка ПДн осуществляется на законной и справедливой основе;
обработка ПДн ограничивается достижением конкретных, заранее определенных и законных целей;
обработка ПДн, несовместимая с целями сбора ПДн, не допускается;
не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой;
содержание и объем обрабатываемых ПДн соответствуют заявленным целям обработки. Обрабатываемые ПДн не являются избыточными по отношению к заявленным целям обработки;
при обработке ПДн обеспечивается точность ПДн и их достаточность, в случаях необходимости и актуальность ПДн по отношению к заявленным целям их обработки;
хранение ПДн осуществляется в форме, позволяющей определить субъекта ПДн не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект ПДн.

5.2 ООО «РТИТС» осуществляет обработку персональных данных путем сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи, блокирования, удаления, уничтожения.

5.3 В ООО «РТИТС» используется смешанный (с использованием средств автоматизации и без использования средств автоматизации) способ обработки персональных данных с передачей информации по внутренней локальной сети ООО «РТИТС» и с передачей информации по информационно-телекоммуникационной сети «Интернет» в защищенном режиме.

5.4 ООО «РТИТС» не осуществляет обработку специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, состояния здоровья.

5.5 ООО «РТИТС» не осуществляет обработку биометрических персональных данных субъектов персональных данных (сведений, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность).

5.6 ООО «РТИТС» не осуществляет трансграничную передачу персональных данных на территории иностранных государств.

5.7 ООО «РТИТС» передает обрабатываемые персональные данные в уполномоченные организации, государственные органы, государственные внебюджетные фонды только на основаниях и в случаях, предусмотренных законодательством Российской Федерации, в том числе:

в целях осуществления правосудия, исполнения судебного акта;
при ответах на официальные письменные мотивированные запросы правоохранительных органов и органов судебной власти, других уполномоченных государственных органов.

5.8 ООО «РТИТС» прекращает обработку персональных данных в следующих случаях (если иное не предусмотрено федеральными законами):

достижение цели обработки персональных данных;
изменение, признание утратившими силу нормативных правовых актов, устанавливающих правовые основания обработки персональных данных;
выявление неправомерной обработки персональных данных, осуществляемой ООО «РТИТС»;
отзыв субъектом персональных данных согласия на обработку его персональных данных, если в соответствии с Законом обработка персональных данных допускается только с согласия субъекта персональных данных.

5.9 Уничтожение ООО «РТИТС» персональных данных осуществляется в порядке и сроки, предусмотренные ст.21 Закона, в том числе:

в случае достижения цели обработки ПДн, если отсутствует иное законное основание для их обработки – в срок, не превышающий 30 дней;
в случае отзыва субъектом персональных данных согласия на обработку его персональных данных, если отсутствует иное законное основание для их обработки – в срок, не превышающий 30 дней;
в случае выявления неправомерной обработки ПДн, если обеспечить правомерность обработки ПДн невозможно – в срок, не превышающий 10 рабочих дней.

5.10 В случае отсутствия возможности уничтожения персональных данных в течение срока, указанного в п.5.10 настоящего документа, ООО «РТИТС» осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и обеспечивает уничтожение персональных данных в срок не более 6 месяцев, если иной срок не установлен федеральными законами.

5.11 Принятие ООО «РТИТС» на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, не осуществляется.

5.12 При поручении обработки персональных данных другому лицу ООО «РТИТС» заключает договор (поручение оператора) с этим лицом и получает согласие субъекта персональных данных, если иное не предусмотрено Законом. При этом ООО «РТИТС» в поручении оператора обязует лицо, осуществляющее обработку персональных данных по поручению ООО «РТИТС», соблюдать принципы и правила обработки персональных данных, предусмотренные Законом.

5.13 В случаях, когда ООО «РТИТС» поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет ООО «РТИТС». Лицо, осуществляющее обработку персональных по поручению ООО «РТИТС», несет ответственность перед ООО «РТИТС».

Ответственность за нарушение требований Федерального Закона № 152-ФЗ «О персональных данных»

Кодекс об Административных Правонарушениях РФ (КоАП РФ)

«…КоАП РФ. Статья 13.11. Нарушение установленного законом «О персональных данных» порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных)

Нарушение установленного законом «О персональных данных» порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) – влечет предупреждение или наложение административного штрафа…»

«…КоАП РФ. Статья 13.14. Разглашение информации с ограниченным доступом

Разглашение информации, доступ к которой ограничен федеральным законом «О персональных данных» (за исключением случаев, если разглашение такой информации влечет уголовную ответственность), лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, за исключением случаев, предусмотренных частью 1 статьи 14. 33 настоящего Кодекса, (Ст.14.33- недобросовестная конкуренция) влечет наложение административного штрафа…»

«…КоАП РФ. Статья 5.39. Отказ в предоставлении гражданину информации

Неправомерный отказ в предоставлении гражданину собранных в установленном порядке документов, материалов, непосредственно затрагивающих права и свободы гражданина, либо несвоевременное предоставление таких документов и материалов, непредоставление иной информации в случаях, предусмотренных законом «О персональных данных», либо предоставление гражданину неполной или заведомо недостоверной информации – влечет наложение административного штрафа…»

Уголовный Кодекс РФ (УК РФ)

«…УК РФ. Статья 137. Нарушение неприкосновенности частной жизни

1. Незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации — наказываются штрафом, либо обязательными работами на срок от ста двадцати до ста восьмидесяти часов, либо исправительными работами на срок до одного года, либо арестом на срок до четырех месяцев. ..»

«…УК РФ. Статья 140. Отказ в предоставлении гражданину информации

Неправомерный отказ должностного лица в предоставлении собранных в установленном порядке документов и материалов, непосредственно затрагивающих права и свободы гражданина, либо предоставление гражданину неполной или заведомо ложной информации, если эти деяния причинили вред правам и законным интересам граждан, — наказываются штрафом, либо лишением права занимать определенные должности или заниматься определенной деятельностью на срок от двух до пяти лет…»

«…УК РФ. Статья 272. Неправомерный доступ к компьютерной информации

1. Неправомерный доступ к охраняемой законом компьютерной информации, то есть информации на машинном носителе, в электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети, — наказывается штрафом, либо исправительными работами на срок от шести месяцев до одного года, либо лишением свободы на срок до двух лет…»

Китай принимает закон о защите личной информации, вступающий в силу 1 ноября

10 сентября 2021 г.

Щелкните для просмотра PDF

20 августа 2021 года Постоянный комитет Всекитайского собрания народных представителей принял Закон о защите личной информации («PIPL»), который вступит в силу 1 ноября 2021 года. Ранее мы сообщали об этом здесь, когда закон находился в черновая форма. Неофициальный перевод недавно принятого PIPL доступен здесь, а версия PIPL на китайском языке доступна здесь.[1]

PIPL применяется к «объектам обработки личной информации («PIPE»)», определяемым как «организация или физическое лицо, которое самостоятельно определяет цели и средства обработки личной информации». ( Статья 73 ). PIPL определяет «личную информацию» в широком смысле как «различные типы электронной или иным образом записанной информации, относящейся к идентифицированному или идентифицируемому физическому лицу», за исключением анонимной информации, и определяет «обработку» как «сбор, хранение, использование, уточнение, передачу, предоставление, публичное раскрытие или удаление личной информации. ( Статья 4 ).

PIPL имеет много общего с Общим регламентом ЕС по защите данных («GDPR»), включая его экстерриториальное действие, ограничения на передачу данных, обязательства по соблюдению и санкции за несоблюдение, среди прочего. PIPL вызывает некоторые опасения у компаний, ведущих бизнес в Китае, даже если деятельность таких компаний по обработке данных осуществляется за пределами Китая, а последствия несоблюдения могут включать денежные штрафы и внесение компаний в черный список правительства.

Ниже мы описываем компании, подпадающие под действие PIPL, основные особенности PIPL и выделяем критические вопросы для компаний, работающих в Китае, в свете этого важного изменения в законодательстве.

I. Какие компании подлежат PIPL?

PIPL применяется к трансграничной передаче личной информации и применяется экстерриториально . Когда PIPE передают личную информацию организациям за пределами Китая, они должны информировать субъектов данных о передаче, получить их конкретное согласие на передачу и гарантировать, что получатели данных соответствуют стандартам защиты личной информации, аналогичным тем, что указаны в PIPL. PIPL применяется к организациям, работающим в Китае, а также к иностранным организациям и частным лицам, обрабатывающим личную информацию за пределами Китая, при любом из следующих обстоятельств: (1) организация собирает и обрабатывает персональные данные с целью предоставления продуктов или услуг физическим лицам. лица в Китае; (2) данные будут использоваться для анализа и оценки поведения физических лиц в Китае; или (3) при других неуказанных «обстоятельствах, предусмотренных законами и административными правилами» ( статья 3 ).Это важное сходство между PIPL и GDPR, поскольку обязательства GDPR по защите данных распространяются на контролеров и обработчиков данных, не входящих в ЕС, которые отслеживают, анализируют и обрабатывают данные посетителей в ЕС. Аналогичным образом, в соответствии с PIPL иностранная принимающая сторона должна соблюдать стандарт защиты личной информации PIPL, если она обрабатывает личную информацию от физических лиц, находящихся в Китае.

PIPL предоставляет китайскому правительству широкие полномочия по обработке личной информации . Государственные организации могут обрабатывать личную информацию для выполнения установленных законом обязанностей, но не могут обрабатывать данные способом, выходящим за рамки, необходимые для выполнения этих установленных законом обязанностей (, статья 34, ). Личная информация, обрабатываемая государственными организациями, должна храниться в Китае (, статья 36 ).

II. Основные характеристики PIPL

PIPL устанавливает руководящие принципы защиты личной информации .Согласно PIPL, обработка личной информации должна иметь «четкую и разумную цель» и должна быть непосредственно связана с этой целью (, статья 6, ). PIPL требует, чтобы сбор личной информации был сведен к минимуму и не был чрезмерным (, статья 6 ), и требует, чтобы PIPE обеспечивали безопасность личной информации (, статьи 8–9) . С этой целью PIPL налагает на PIPE ряд обязательств по соблюдению, в том числе требует от PIPE устанавливать политики и процедуры защиты личной информации, внедрять технологические решения для обеспечения безопасности данных и проводить оценку рисков перед выполнением определенных действий по обработке ( Артикул 51 – 59 ).

PIPL использует подход, основанный на оценке рисков, налагая повышенные обязательства по соблюдению требований в определенных сценариях высокого риска. Например, PIPE, объем обработки которых превышает пороговое значение, которое еще не указано, должны назначить сотрудника по защите личной информации, ответственного за надзор за обработкой личных данных ( Статья 52 ). PIPE, управляющие «интернет-платформами», которые имеют «очень большое» количество пользователей, должны привлекать внешнюю независимую организацию для контроля за соблюдением обязательств по защите личной информации и регулярно публиковать «отчеты социальной ответственности» о состоянии своих усилий по защите личной информации ( Артикул 58 ).Закон предписывает дополнительную защиту «конфиденциальной личной информации», в широком смысле определяемой как личная информация, раскрытие или использование которой незаконным образом может нанести ущерб личному достоинству физических лиц или причинить вред лицам или имуществу (статья ). «Конфиденциальная личная информация» включает биометрические данные, религиозную информацию, информацию об особом статусе, медицинскую информацию, финансовый счет, информацию о местонахождении и личную информацию несовершеннолетних в возрасте до 14 лет (, статья 28 ).При обработке «конфиденциальной личной информации», согласно PIPL, PIPE должны использовать только информацию, необходимую для достижения указанной цели сбора, принимать строгие меры защиты и получать конкретное согласие субъектов данных (, статья 28-29 ).

PIPL создает юридические права для субъектов данных. В соответствии с новым законом PIPE могут обрабатывать личную информацию только после получения полностью информированного согласия в добровольном и явном заявлении, хотя закон не содержит дополнительных сведений относительно требуемой формы такого согласия.Закон также устанавливает определенные ситуации, когда получение согласия не требуется, в том числе, когда это необходимо для выполнения установленных законом обязанностей и обязанностей или установленных законом обязательств, или при обработке личной информации в разумных пределах для реализации новостей, наблюдения за общественным мнением и других подобных действий для общественности. проценты ( Статьи 13-14, 17 ). Если требуется согласие, PIPE должны получить новое согласие, если оно изменяет цель или метод обработки личной информации после первоначального сбора (, статья 14, ).Закон также требует, чтобы PIPE предоставляли физическим лицам удобный способ отозвать свое согласие (, статья 15, ), и предписывает, чтобы PIPE хранили личную информацию только в течение кратчайшего периода времени, необходимого для достижения первоначальной цели сбора (, статья 19 ). Если PIPE используют компьютерные алгоритмы для участия в «автоматизированном принятии решений» на основе данных отдельных лиц, PIPE должны быть прозрачными и справедливыми при принятии решений, и им запрещено использовать автоматизированное принятие решений для участия в «необоснованных действиях». «дискриминационная» практика ценообразования ( Статья 24, 73 ).«Автоматизированное принятие решений» определяется как деятельность по использованию компьютерных программ для автоматического анализа или оценки личного поведения, привычек, интересов или увлечений, финансового состояния, состояния здоровья, кредита или иного состояния и принятия решений на их основе (, статья 73). (2) ). Когда автоматизированное принятие решений PIPE оказывает значительное влияние на права отдельных лиц, люди могут потребовать от PIPE объяснения принятия решений и отказаться от автоматизированного принятия решений (, статья 24).

III.Возможные проблемы для компаний, работающих в Китае

Принятие PIPL и неопределенность, связанная со многими аспектами закона, создают ряд потенциальных проблем и опасений для компаний, работающих в Китае. К ним относятся следующие:

Иностранные организации могут подпадать под действие нормативных требований PIPL . PIPL применяется к действиям по обработке данных, даже если эти действия осуществляются за пределами Китая, при условии, что они осуществляются с целью ведения бизнеса в Китае или оценки поведения отдельных лиц в стране.В настоящее время в законе ничего не говорится о том, насколько тесной должна быть связь между обработкой данных и коммерческой деятельностью Китая. Закон также требует, чтобы действия по обработке данных, происходящие за пределами Китая, подпадали под действие PIPL при «других обстоятельствах, предусмотренных законами и административными правилами». В настоящее время нет указаний относительно того, какими будут эти обстоятельства. Иностранные организации, подпадающие под действие PIPL, должны будут соблюдать требования, включая оценку безопасности, назначение местных представителей для надзора за обработкой данных и отчетность перед надзорными органами в Китае, хотя точные параметры часть этих требований остаются неясными ( Статьи 51–58 ).

PIPL устанавливает санкции для организаций, которые не выполняют свои обязательства по защите личной информации ( Статья 66 ) . Эти санкции включают изъятие прибыли и временную приостановку или прекращение действия электронных приложений, используемых PIPE для осуществления незаконного сбора или обработки. Компании и физические лица могут быть оштрафованы на сумму не более 1 миллиона юаней (приблизительно 154 378 долларов США).20) если они не исправляют поведение, признанное нарушением PIPL, с ответственными лицами, подлежащими штрафу в размере от 10 000 до 100 000 юаней (примерно от 1 543,81 до 15 438,05 долларов США). Компании и ответственные лица подвергаются особенно строгим наказаниям, когда нарушения являются «серьезными, ”термин, оставленный неопределенным в уставе. В этих случаях PIPL допускает штрафы в размере до 50 миллионов юаней (примерно 7 719 027,00 долларов США) или 5% от годового дохода, хотя в PIPL не указывается, какой параметр служит верхним пределом для штрафов.Власти также могут приостановить деловую деятельность, нарушающую закон, полностью прекратить всю коммерческую деятельность или аннулировать все административные или коммерческие лицензии. Лица, виновные в «серьезных» нарушениях, могут быть оштрафованы на сумму от 100 000 до 1 миллиона юаней (примерно от 15 438,29 до 154 382,93 долларов США), а также им может быть запрещено занимать определенные должности, включая директора, руководителя, руководителя высокого уровня или сотрудника по защите личной информации, за Период времени. Напротив, штрафы за серьезные нарушения GDPR могут составлять до 20 миллионов евро (примерно 23 486 300 долларов США).00) или до 4% от общего мирового оборота компании за предыдущий финансовый год (в зависимости от того, что больше).

Иностранные организации также могут быть привлечены к ответственности в соответствии с PIPL за нарушение прав граждан Китая на личную информацию или нанесение ущерба национальной безопасности или общественным интересам Китая. Государственный департамент кибербезопасности и информатизации может внести организации-нарушители в черный список, что приведет к ограничению получения личной информации для лиц, внесенных в черный список ( статья 42 ).PIPL не дает ясности в отношении того, что представляет собой нарушение прав граждан Китая на личную информацию или что квалифицируется как нанесение ущерба национальной безопасности или общественным интересам Китая.

Компании, работающие в Китае, должны уделять особое внимание вопросам трансграничной передачи данных, поднятым PIPL:

Иностранные организации должны будут раскрыть определенную информацию при передаче личной информации за пределы Китая . В соответствии с PIPL PIPE должны получить согласие субъекта данных до передачи, хотя требуемая форма и способ такого согласия не ясны ( Статья 39 ). Субъекты, стремящиеся передать данные, также должны предоставить субъекту данных информацию об иностранном получателе, включая его имя, контактные данные, цель и метод обработки данных, категории предоставленной личной информации и описание прав субъекта данных в соответствии с PIPL. ( Статья 39 ).

Некоторым компаниям может потребоваться пройти государственную оценку безопасности перед трансграничной передачей данных. В дополнение к требованиям о согласии и раскрытии информации в соответствии со статьей 39, «операторы критически важной информационной инфраструктуры» и PIPE, обрабатывающие личную информацию в количествах, превышающих государственные ограничения, должны пройти государственную оценку безопасности перед передачей данных за пределы Китая (, статья 40 ). Термин «оператор критической информационной инфраструктуры» не имеет дальнейшего определения в PIPL, однако этот термин имеет широкое определение в недавно принятом Положении о безопасности и защите критической информационной инфраструктуры («Положение о критической информационной инфраструктуре»), которое вступают в силу 1 сентября 2021 года (версия на китайском языке доступна здесь).В соответствии со статьей 2 Положения о критической информационной инфраструктуре «оператор критической информационной инфраструктуры» — это компания, осуществляющая деятельность в важных отраслях или сферах, в том числе в области связи и информационных услуг, энергетики, транспорта, водоснабжения, финансов, государственных услуг, услуг электронного правительства. , национальная оборона и любые другие важные сетевые объекты или информационные системы, которые могут нанести серьезный ущерб национальной безопасности, национальной экономике и средствам к существованию людей или общественным интересам в случае выхода из строя, повреждения или утечки данных. В PIPL также не указаны пороговые значения данных, помимо количеств, предоставленных государственным департаментом кибербезопасности и информации, или характер оценки безопасности, а также не указаны какие-либо конкретные законодательные акты, изданные государственным департаментом кибербезопасности и информатизации для целей определения таких пороговых значений данных. ( Статья 40 ).

PIPE за пределами Китая, которые осуществляют деятельность по обработке персональных данных с целью ведения бизнеса в Китае или оценки поведения отдельных лиц в стране, должны учредить юридическое лицо или назначить физическое лицо в Китае, которое будет нести ответственность за вопросы личной информации. Такие иностранные организации должны сообщать название соответствующего лица или имя представителя и способ связи с отделами, выполняющими обязанности по защите личной информации, хотя в PIPL не указывается и не указывается, в какие отделы иностранные организации должны сообщать в таких случаях (статья 53 ).

Компании и частные лица не могут предоставлять личную информацию, хранящуюся в Китае, иностранным судебным или правоохранительным органам без предварительного одобрения правительства Китая. Как резюмировано в нашем предыдущем предупреждении для клиентов, PIPL дополняет растущий список законов, ограничивающих предоставление данных иностранным судебным органам и государственным учреждениям, что может иметь далеко идущие последствия для трансграничных судебных разбирательств и расследований. Китайские власти будут обрабатывать запросы от иностранных судебных или правоохранительных органов на личную информацию, хранящуюся в Китае, в соответствии с применимыми международными договорами или принципом равенства и взаимности (, статья 41 ).PIPL не содержит каких-либо указаний о том, как компания должна получить разрешение, если она хочет экспортировать личные данные в ответ на запрос иностранного государственного учреждения или иностранного суда.

IV. Следующие шаги

Принятие PIPL произошло в то время, когда Китай усилил контроль со стороны регулирующих органов в отношении технологических компаний и других организаций, располагающих большими объемами конфиденциальной общедоступной информации, и использования ими данных. Учитывая широкий охват PIPL и его экстерриториальный охват, организациям внутри и за пределами Китая необходимо будет пересмотреть свои стратегии защиты и передачи данных, чтобы убедиться, что они не нарушают эту сеть законодательства.

Даже для компаний, у которых в настоящее время действуют программы соответствия GDPR, PIPL вводит новые требования, которые в настоящее время не требуются в соответствии с GDPR. Примеры таких требований, уникальных для PIPL, включают, среди прочего, создание юридического лица в Китае и прохождение проверки безопасности перед экспортом личных данных, которые достигают определенного нераскрытого порога. Как правительство обеспечивает соблюдение закона и интерпретирует его положения, еще неизвестно, и программа соблюдения PIPL, вероятно, потребует тонкого понимания китайской культурной и деловой практики.

Компаниям, работающим в Китае, следует уделять пристальное внимание нормативным актам, руководящим документам и правоприменительным мерам, связанным с PIPL, поскольку правительство Китая продолжает укреплять свою правовую инфраструктуру защиты данных и обращаться за советом к знающим консультантам.

___________________________

[1] Обратите внимание, что обсуждение китайского законодательства в этой публикации носит рекомендательный характер.

Это оповещение подготовили Коннелл О’Нил, Келли Остин, Оливер Уэлч, Нин Нин, Фелиция Чен и Джоселин Ших.

Юристы Gibson Dunn готовы помочь в решении любых вопросов, которые могут у вас возникнуть в связи с этими событиями. Пожалуйста, свяжитесь с юристом Gibson Dunn, с которым вы обычно работаете в группе практики конфиденциальности, кибербезопасности и инноваций в области данных, или со следующими авторами:

Келли Остин — Гонконг (+852 2214 3788, [email protected])
Коннелл О’Нил — Гонконг (+852 2214 3812, coneill@gibsondunn. com)
Оливер Д. Уэлч — Гонконг (+852 2214) 3716, owelch@gibsondunn.ком)

Группа конфиденциальности, кибербезопасности и инноваций в области данных:

Азия
Келли Остин — Гонконг (+852 2214 3788, [email protected])
Коннелл О’Нил — Гонконг (+852 2214 3812, [email protected])
Джай С. Патхак — Сингапур ( +65 6507 3683, [email protected])

Европа
Ахмед Балади — сопредседатель практики PCDI, Париж (+33 (0)1 56 43 13 00, [email protected])
Джеймс А. Кокс — Лондон (+44 (0) 20 7071 4250 , [email protected])
Патрик Дорис — Лондон (+44 (0) 20 7071 4276, [email protected])
Кай Гесинг — Мюнхен (+49 89 189 33-180, [email protected])
Бернард Гринспан — Париж (+ 33 (0)1 56 43 13 00, [email protected])
Penny Madden — Лондон (+44 (0) 20 7071 4226, [email protected])
Michael Walther — Мюнхен (+49 89 189 33-180) , mwalther@gibsondunn. com)
Алехандро Герреро — Брюссель (+32 2 554 7218, [email protected])
Вера Лукич — Париж (+33 (0)1 56 43 13 00, [email protected])
Сара Вазен — Лондон (+44 (0) 20 7071 4203, [email protected])

Соединенные Штаты Америки
Александр Х. Саутуэлл — сопредседатель, практика PCDI, Нью-Йорк (+1 212-351-3981, [email protected])
С. Эшли Берингер — сопредседатель, практика PCDI, Пало-Альто (+1 650-849-5327, [email protected])
Дебра Вонг Ян – Лос-Анджелес (+1 213-229-7472, [email protected])
Мэтью Бенджамин – Нью-Йорк (+1 212-351- 4079, [email protected])
Райан Т.Бергзикер — Денвер (+1 303-298-5774, [email protected])
Дэвид П. Бернс — Вашингтон, округ Колумбия (+1 202-887-3786, [email protected])
Никола Т. Ханна — Лос-Анджелес (+1 213-229-7269, [email protected])
Howard S. Hogan – Вашингтон, округ Колумбия (+1 202-887-3640, [email protected])
Robert K. Hur – Вашингтон, округ Колумбия (+ 1 202-887-3674, [email protected])
Джошуа А. Джессен – округ Ориндж/Пало-Альто (+1 949-451-4114/+1 650-849-5375, [email protected])
Кристин А. .Линсли – Сан-Франциско (+1 415-393-8395, [email protected])
Х. Марк Лайон – Пало-Альто (+1 650-849-5307, [email protected])
Карл Г. Нельсон – Даллас ( +1 214-698-3203, [email protected])
Эшли Роджерс — Даллас (+1 214-698-3316, [email protected])
Дебора Л. Стейн — Лос-Анджелес (+1 213-229-7164) , [email protected])
Эрик Д. Вандевельде — Лос-Анджелес (+1 213-229-7186, [email protected])
Бенджамин Б. Вагнер — Пало-Альто (+1 650-849-5395, bwagner@gibsondunn .com)
Майкл Ли-Минг Вонг – Сан-Франциско/Пало-Альто (+1 415-393-8333/+1 650-849-5393, [email protected])
Кассандра Л. Гаэдт-Шектер – Пало-Альто (+1 650-849-5203, [email protected])

Адвокатская реклама: Прилагаемые материалы подготовлены только для общих информационных целей и не предназначены для юридической консультации.

Закон о защите личной информации материкового Китая

Основные моменты Закона о защите личной информации материкового Китая

Введение

Закон о защите личной информации, первый законодательный акт на материке, посвященный защите личной информации, был принят Постоянным комитетом Всекитайского собрания народных представителей 20 августа 2021 года и вступил в силу с 1 ноября 2021 года.

Закон о защите личной информации устанавливает согласие физических лиц в качестве основного правового основания для обработки личной информации. Он требует, чтобы обработка личной информации соответствовала принципам законности, справедливости, добросовестности, минимальной необходимости, открытости и прозрачности. Также должны быть конкретные и разумные цели обработки.

Физические лица имеют право на доступ и получение копии своей личной информации от обработчиков личной информации (аналогично пользователям данных в соответствии с Постановлением о личных данных (конфиденциальности) Гонконга). Физические лица также могут потребовать от обработчиков личной информации исправить или удалить их личную информацию, а также предоставить им средства для передачи их личной информации другим обработчикам.

При обработке личной информации несовершеннолетнего в возрасте до 14 лет обработчики личной информации должны получить согласие родителя или опекуна несовершеннолетнего и установить конкретные правила обработки.

Закон о защите личной информации запрещает использование автоматического принятия решений на основе личной информации, если это приводит к дискриминационной торговой практике, такой как необоснованная ценовая дискриминация отдельных лиц.Кроме того, когда автоматическое принятие решений используется для push-уведомлений или маркетинга, лицам должна быть предоставлена возможность не получать персонализированную информацию или удобные каналы отказа.

Обработчики личной информации, которым необходимо передать личную информацию за пределы материка, должны получить отдельное согласие от отдельных лиц и соответствовать определенным требованиям, таким как прохождение оценки безопасности, проведенной государственными органами киберпространства, получение необходимой сертификации или заключение стандартного контракта. в порядке, установленном государственными органами киберпространства.

Закон о защите личной информации содержит положения об экстерриториальном применении. Иностранные организации, которые обрабатывают личную информацию физических лиц на материке с целью предложения им продуктов или услуг или анализа и оценки их поведения, подпадают под действие этого закона. Эти иностранные организации также учреждают назначенные агентства или назначают представителей на материке.

Государственные органы в области киберпространства несут ответственность за координацию защиты личной информации и соответствующей регулирующей работы.Министерства Госсовета несут ответственность за защиту личной информации и регулирующую работу в пределах своей компетенции.

Обработчик личной информации, нарушающий требования Закона о защите личной информации, подлежит максимальному штрафу в размере 50 000 000 юаней или 5% от его годового оборота за предыдущий год. Другие штрафы могут включать в себя приостановку работы для исправления, аннулирование разрешений или лицензий на ведение бизнеса и т. д.

Полный текст Закона о защите личной информации (только на китайском языке) доступен на веб-сайте Всекитайского собрания народных представителей: http://www.npc.gov.cn/npc/c30834/202108/a8c4e3672c74491a80b53a172bb753fe.shtml

Ниже приведены основные моменты Закона о защите личной информации.

Отказ от ответственности

Информация, представленная на этой веб-странице, предназначена только для общего ознакомления. Он не является исчерпывающим руководством по применению Закона о защите личной информации и не представляет собой юридическую или иную профессиональную консультацию. Уполномоченный по вопросам конфиденциальности персональных данных не дает никаких явных или подразумеваемых гарантий точности или пригодности для конкретной цели или использования в отношении информации, изложенной на этой веб-странице.Организации и частные лица, которые хотят соблюдать требования Закона о защите личной информации, должны обратиться за профессиональной юридической консультацией.

¹ Статья 1 Закона о защите персональных данных
² Статья 3 Закона о защите персональных данных
³ Статья 33 Закона о защите персональных данных
⁴ Статья 73(1) Закона о защите персональных данных
⁵ Статья 3 Закона о защите персональных данных
⁶ Статья 53 Закона о защите персональных данных
⁷ Статья 4 Закона о защите персональных данных
⁸ Статья 28 Закона о защите персональных данных ⁰ 9 Статья 28 Закона о защите персональных данных
¹⁰ Статья 29 Закона о защите персональных данных
¹¹ Статья 26 Закона о защите персональных данных
¹² Статьи с 55 по 56 Закона о защите персональных данных

3 13 Статья 7 Закона о защите личной информации
¹⁴ Статья 17 Закона о защите персональных данных
¹⁵ Статья 17 Закона о защите персональных данных
¹⁶ Статья 22 Закона о защите персональных данных
¹⁷ Статья 4 Закона о защите персональных данных
17 Статья 4 Закона о защите персональных данных
16 90 Статья 5 Закона о защите персональных данных
¹⁹ Статья 6 Закона о защите персональных данных
²⁰ Статья 13 Закона о защите персональных данных
²¹ Статья 31 Закона о защите персональных данных
^{22 9030 10 Закона о защите личной информации
²³ Статья 14 Закона о защите личной информации
²⁴ Статья 13 Закона о защите личной информации
²⁵ Статья 14 Закона о защите личной информации
²⁶ Статья 27 Закон о защите личной информации 902 10 ²⁷ Статья 23 Закона о защите персональных данных
²⁸ Статья 25 Закона о защите персональных данных
²⁹ Статья 29 Закона о защите персональных данных
³⁰ Статья 26 Закона о защите персональных данных}0 31 Статья 39 Закона о защите персональных данных
³² Статья 31 Закона о защите персональных данных
³³ Статья 16 Закона о защите персональных данных
³⁴ Статья 9 Закона о защите персональных данных
35 Статья 21 Закона о защите персональных данных
³⁶ Статья 59 Закона о защите персональных данных
³⁷ Статья 19 Закона о защите персональных данных
³⁸ Статья 47 Закона о защите персональных данных
³⁹ Статья 8 Закона о защите персональных данных
⁴⁰ Статья 51 Закона о защите персональных данных
⁴¹ Статья 52 Закона о защите персональных данных
⁴² Статья 54 Закона о защите персональных данных
⁴³ Статьи с 55 по 56 Закона о защите персональных данных
⁴⁴ Статья 58 Закона о защите персональных данных
⁴⁵ Статья 57 Закона о защите персональных данных
⁴⁶ Статья 57 Закона о защите персональных данных
⁴⁷ Статьи с 55 по 56 Закона о защите персональных данных
⁴⁸ Статьи 38-39 Закона о защите персональных данных
⁴⁹ Статья 38 Закона о защите персональных данных
⁵⁰ Статья 38 Закона о защите персональных данных
⁵¹ Статья 39 Закона о защите персональных данных
⁵² Статья 40 Персональных данных
⁵³ Статья 73(2) Закона о защите персональных данных
⁵⁴ Статья 24 Закона о защите персональных данных
⁵⁵ Статья 24 Закона о защите персональных данных
⁵⁶ Статья 24 Закона о защите персональных данных Закон о защите персональных данных
⁵⁷ Статьи с 55 по 56 Закона о защите персональных данных
⁵⁸ Статья 45 Закона о защите персональных данных
⁵⁹ Статья 46 Закона о защите персональных данных
⁶⁰ Статья 50 Закон о защите личной информации
⁶¹ Статья 45 Закона о защите личной информации
⁶² Статья 47 Закона о защите личной информации
⁶³ Статья 47 Закона о защите личной информации
⁶⁴ Статья 44 Закона о личной информации Закон о защите
⁶⁵ Статья 49 П Закон о защите личной информации
⁶⁶ Статья 60 Закона о защите личной информации
⁶⁷ Статья 60 Закона о защите личной информации
⁶⁸ Статья 64 Закона о защите личной информации
⁶⁹ Статья 66 Закона о личной информации Закон о защите
⁷⁰ Статья 66 Закона о защите персональных данных
⁷¹ Статья 71 Закона о защите персональных данных
⁷² Статья 67 Закона о защите персональных данных
⁷³ Статья 69 Закона о защите персональных данных
⁷⁴ Статья 70 Закона о защите персональных данных
Статья 24 – Образование | Организация Объединенных Наций Включить
1. Государства-участники признают право инвалидов на образование. В целях реализации этого права без дискриминации и на основе равных возможностей Государства-участники обеспечивают инклюзивную систему образования на всех уровнях и обучение на протяжении всей жизни, направленное на:
а. Полное развитие человеческого потенциала и чувства собственного достоинства и самоуважения, а также укрепление уважения к правам человека, основным свободам и человеческому разнообразию;
б. Развитие инвалидами их личности, талантов и творческих способностей, а также их умственных и физических способностей в полной мере;
в.Предоставление людям с ограниченными возможностями возможности эффективно участвовать в жизни свободного общества.
2. При реализации этого права Государства-участники обеспечивают, чтобы:
а) лица с ограниченными возможностями не исключаются из системы общего образования на основании инвалидности, а дети с инвалидностью не исключаются из бесплатного и обязательного начального или среднего образования на основании инвалидности;
b) Инвалиды могут получить доступ к инклюзивному, качественному и бесплатному начальному и среднему образованию наравне с другими в сообществах, в которых они живут;
c) обеспечено разумное приспособление индивидуальных потребностей;
d) Инвалиды получают необходимую поддержку в рамках системы общего образования, чтобы способствовать их эффективному обучению;
e) Эффективные меры индивидуальной поддержки обеспечиваются в условиях, максимально способствующих академическому и социальному развитию, в соответствии с целью полной инклюзивности.
3. Государства-участники предоставляют инвалидам возможность приобретать жизненные навыки и навыки социального развития, чтобы облегчить их полное и равноправное участие в образовании и в качестве членов общества. С этой целью государства-участники принимают соответствующие меры, в том числе:
a) Содействие изучению шрифта Брайля, альтернативного письма, дополнительных и альтернативных режимов, средств и форматов общения, навыков ориентации и мобильности, а также содействие поддержке и наставничеству сверстников;
b) Содействие изучению языка жестов и поощрение языковой самобытности сообщества глухих;
c) Обеспечение того, чтобы образование лиц, и в особенности детей, которые являются слепыми, глухими или слепоглухими, осуществлялось на наиболее подходящих для человека языках и в формах и средствах общения, а также в среде, максимально способствующей академическому и социальному развитию.
4. В целях обеспечения реализации этого права государства-участники принимают надлежащие меры для найма учителей, в том числе учителей-инвалидов, обладающих квалификацией на языке жестов и/или шрифтом Брайля, и для подготовки специалистов и персонала, которые работают на всех уровни образования. Такое обучение должно включать осведомленность об инвалидности и использование соответствующих усиливающих и альтернативных способов, средств и форматов общения, образовательных методов и материалов для поддержки инвалидов.
5. Государства-участники обеспечивают, чтобы инвалиды имели возможность доступа к общему высшему образованию, профессиональной подготовке, образованию для взрослых и обучению на протяжении всей жизни без дискриминации и наравне с другими. С этой целью Государства-участники обеспечивают разумное приспособление для инвалидов.

Следующий: Статья 25 – Здоровье
Список статей
Новый Закон КНР о защите личной информации
20 августа 2021 г. 30-я сессия Постоянного комитета Всекитайского собрания народных представителей (ВСНП) 13-го созыва приняла новый китайский Закон о защите личной информации (PIPL) ¹ , который вступит в силу с 1 ноября 2021 года.Новый закон впервые устанавливает комплексный свод правил, касающихся сбора, обработки и защиты персональных данных.
PIPL включает в себя определенные общепризнанные принципы защиты данных, такие как требование к обработчикам собирать личную информацию только в минимально необходимом объеме и получать информированное согласие от отдельных лиц до сбора или передачи личной информации. Кроме того, PIPL обеспечивает усиленную защиту «конфиденциальной личной информации», которая включает информацию, касающуюся биометрических данных, религиозных убеждений, медицинских данных и здоровья, финансовых счетов и отслеживания местоположения.Существуют также более строгие требования, такие как более комплексные системы соответствия и повышенная прозрачность, которые применяются к процессорам, которые предоставляют важные услуги интернет-платформы, имеют «большое количество пользователей» и выполняют «сложные» бизнес-операции.
Трансграничная передача личной информации разрешена только в соответствии с PIPL, если выполняется одно из следующих условий: (i) прохождение оценки безопасности национальным органом киберпространства; (ii) получение аккредитации от назначенных агентством организаций; или (iii) заключение соглашений стандартной формы, одобренных соответствующими агентствами, с зарубежным получателем. Конкретное согласие также должно быть получено от физических лиц до любой трансграничной передачи их личной информации.
PIPL применяется ко всем действиям по обработке информации в Китае, независимо от того, является ли обработчик иностранным лицом или личная информация принадлежит иностранным лицам. Это также относится к деятельности за пределами Китая, связанной с личной информацией лиц, находящихся в Китае, когда целью такой деятельности является предоставление продуктов или услуг этим лицам или когда поведение этих лиц анализируется или оценивается.
Законодательная база
В 2016 году Китай принял свой первый знаковый закон в области защиты данных и кибербезопасности — Закон КНР о кибербезопасности (CSL) ², который вступил в силу 1 июня 2017 года и направлен на регулирование деятельности, касающейся строительство, эксплуатация, техническое обслуживание и использование сетей, а также надзор и управленческие ограничения на передачу личной информации и коммерческих данных за границу. С тех пор были выпущены или разрабатываются десятки исполнительных нормативных актов, руководств и национальных стандартов в области кибербезопасности.В 2020 году Китай обнародовал еще два важных законодательных предложения в области защиты данных: первые проекты Закона КНР о безопасности данных и PIPL. Окончательный Закон КНР о безопасности данных (DSL) ³ был принят на 29-й сессии Постоянного комитета ВСНП 10 июня 2021 г. и вступит в силу 1 сентября 2021 г.
В то время как DSL направлен на широкое регулирование безопасности данных с акцентом на защиту национальной безопасности, PIPL фокусируется на защите личной информации.Перед введением в действие окончательной версии PIPL два проекта были выпущены для публичных консультаций в октябре 2020 г. и апреле 2021 г. Выпуск PIPL дополняет тройной аспект основополагающего режима управления данными в Китае.
Ключевые положения
PIPL состоит из восьми глав и 74 статей. Основываясь на CSL и DSL, PIPL уточняет принципы и правила обработки персональных данных, которые необходимо соблюдать при защите персональных данных, уточняет границы прав и обязанностей в деятельности по обработке персональных данных, совершенствует рабочие системы и механизмы защиты личной информации.
Основные принципы
PIPL предусматривает соблюдение следующих основных принципов при обработке личной информации:
Принцип законности и добросовестности. Персональные данные должны обрабатываться в соответствии с принципами законности, уместности, необходимости и добросовестности. В PIPL подчеркивается, что личная информация не должна обрабатываться вводящими в заблуждение, мошенническими или принудительными методами.
Ясная и разумная цель .Обработка личной информации должна иметь четкую и разумную цель и быть непосредственно связана с целью обработки. При обработке личной информации следует использовать метод, который оказывает наименьшее влияние на личные права. Сбор личной информации должен быть ограничен минимумом, необходимым для указанной цели, и чрезмерный сбор личной информации не допускается.
Открытость и прозрачность . Обработчики должны четко раскрывать правила обработки персональных данных, цель обработки, способ обработки и объем обработки.
Обеспечение качества . Качество персональных данных должно быть сохранено при обработке персональных данных во избежание любого негативного воздействия на личные права и интересы в связи с любой неточностью или неполнотой персональных данных. Кроме того, обработчики несут ответственность за принятие мер для обеспечения безопасности личной информации.
Незаконность . Юридическим и физическим лицам запрещается незаконный сбор, использование, обработка и передача персональных данных, а также незаконная продажа, предоставление или публикация персональных данных.Действия по обработке, которые угрожают национальной безопасности и общественным интересам, запрещены.
Экстерриториальная заявка
Статья 3 предусматривает, что PIPL применяется ко всем действиям по обработке данных в Китае, независимо от того, является ли обработчик данных иностранным лицом или личная информация принадлежит иностранным лицам. Кроме того, PIPL опирается на экстерриториальные положения европейских законов о защите личной информации, утверждая, что закон также применяется к организациям, занимающимся любой деятельностью за пределами Китая, связанной с обработкой личной информации физических лиц на территории Китая, где целью деятельности является предоставлять продукт или услугу этим лицам или анализировать или оценивать поведение этих лиц. PIPL рассматривает обработчиков, осуществляющих такую деятельность, как «иностранных обработчиков личной информации». Статья 53 также требует, чтобы эти иностранные обработчики создали специальный отдел или назначили представителя в Китае, который будет нести ответственность за решение вопросов, связанных с защитой данных, и зарегистрировать сведения о таком отделе или представителе в соответствующих государственных ведомствах.
Разрешенная деятельность по обработке личной информации
Статья 13 PIPL перечисляет семь типов ситуаций, когда разрешается обработка личной информации:
От лица получено информированное согласие.
Необходим для заключения или исполнения договоров, либо осуществления управления персоналом в соответствии с правилами трудового распорядка и коллективными договорами, заключенными в соответствии с законодательством.
Это необходимо для выполнения уставных обязанностей или обязательств.
Необходим для реагирования на чрезвычайные ситуации в области общественного здравоохранения или для защиты здоровья или имущества в чрезвычайных ситуациях.
Обоснованная обработка личной информации для осуществления деятельности в общественных интересах, такой как репортажи новостей и наблюдение за общественным мнением.
Разумная обработка личной информации, которая была обнародована физическим лицом или другими законными способами.
Иные обстоятельства, предусмотренные законами и административными актами.
Статьи 14 и 15 PIPL определяют стандарты получения информированного согласия и отзыва согласия. Согласие должно быть сделано добровольно и ясно лицом с полным пониманием, и обработчик личной информации обязан предоставить удобный способ отзыва согласия.Статья 16 также предусматривает, что обработчики личной информации не должны отказывать в предоставлении продуктов или услуг на основании отсутствия согласия или отзыва согласия, за исключением случаев, когда такая личная информация необходима для предоставления продуктов или услуг.
Строгая защита конфиденциальной личной информации и личной информации несовершеннолетних
PIPL обеспечивает усиленную защиту «конфиденциальной личной информации», которая включает биометрические данные, религиозные убеждения, конкретные личности, медицинские и медицинские, финансовые счета, местонахождение и другую информацию, а также личную информацию несовершеннолетних в возрасте до 14 лет. Обработчики личной информации должны обрабатывать конфиденциальную личную информацию только тогда, когда у них есть конкретная цель и достаточная необходимость, и принимать строгие меры защиты, включая предварительную оценку воздействия и информирование лиц о необходимости обработки и влиянии на личные права и интересы.
Права и обязанности
Права физических лиц. PIPL кодифицирует права физических лиц в деятельности по обработке личной информации, включая, среди прочего, право знать, право ограничивать или отклонять обработку личной информации другими, право запрашивать и запрашивать копию личной информации от процессоров, право на исправление неверной или неполной информации и право на удаление личной информации.Обработчики обязаны создать удобный механизм для реализации вышеуказанных прав физическими лицами.
Обязанности обработчиков персональных данных. Для обработчиков личной информации PIPL требует, чтобы они сформулировали «внутренние системы управления и операционные процедуры» (которые не определены), приняли соответствующие меры технической безопасности, назначили ответственных лиц для надзора за деятельностью по обработке личной информации, проводили регулярные проверки соответствия деятельности с личной информацией , а также провести предварительную оценку воздействия на защиту личной информации для операций по обработке с высоким риском, таких как операции, связанные с конфиденциальной личной информацией и передачей личной информации за границу. В случае утечки данных обработчик обязан немедленно принять меры по исправлению положения и уведомить соответствующие государственные органы и пострадавших лиц.
Особые обязательства. Кроме того, PIPL устанавливает особые обязательства для обработчиков персональных данных, которые предоставляют важные услуги интернет-платформы, имеют «большое количество пользователей» и осуществляют «сложную» коммерческую деятельность. Эти особые обязательства включают в себя: (i) создание всеобъемлющей системы соответствия, предназначенной для защиты личной информации и контролируемой независимой организацией, состоящей в основном из внешних членов; (ii) формулирование правил платформы, в которых четко указаны стандарты защиты и обязательства в отношении продуктов или услуг, предлагаемых на платформе; (iii) прекращение предоставления услуг поставщикам продуктов или услуг на платформе, которые работают с личной информацией, что является серьезным нарушением закона; и (iv) регулярная публикация отчетов о социальной ответственности защиты личной информации.
Требования к автоматизированному принятию решений
В ответ на конкретные проблемы конфиденциальности, связанные с внедрением искусственного интеллекта и других автоматизированных технологий, статья 24 PIPL предусматривает, что обработчики личной информации, которые используют личную информацию для принятия автоматизированных решений, должны обеспечивать прозрачность принятия решений и справедливость и беспристрастность результатов, а также не должны навязывать необоснованно дифференцированный подход к отдельным лицам с точки зрения цен сделок и других условий сделок.В то же время обработчики персональных данных, использующие автоматизированные методы принятия решений для предоставления информации и прямого коммерческого маркетинга физическим лицам, должны предоставлять варианты, не зависящие от их личных характеристик, или предоставлять физическим лицам удобные средства для отказа.
Правовая база трансграничной передачи личной информации
Как правило, PIPL требует, чтобы обработчики личной информации принимали необходимые меры для обеспечения того, чтобы действия зарубежных получателей по обработке личной информации соответствовали стандартам защиты личной информации, изложенным в PIPL. Все трансграничные передачи личной информации разрешены только в соответствии с PIPL, если выполняется одно из следующих условий: (i) прохождение оценки безопасности национальным органом киберпространства; (ii) получение аккредитации от назначенных агентством организаций; (iii) заключение соглашений стандартной формы, утвержденных соответствующими органами, с зарубежным получателем; или (iv) любые другие условия, предусмотренные другим законодательством или нормативными актами, или те, которые время от времени устанавливаются соответствующими органами.Кроме того, PIPL требует, чтобы до передачи было получено конкретное согласие от отдельных лиц.
Помимо приведенного выше общего требования, операторы инфраструктуры критической информации (CIIO) или обработчики персональных данных, которые обрабатывают персональные данные в объеме, установленном национальным органом управления киберпространством, должны хранить персональные данные в Китае. Если необходимо предоставить такую информацию зарубежному получателю, заявителю необходимо будет пройти оценку безопасности, организованную национальным органом по киберпространству.
В дополнение к вышеуказанным требованиям мы также рекомендуем компаниям обращать внимание на любые отраслевые правила или рекомендации, которые могут быть введены соответствующими органами. Возьмем, к примеру, автомобильную промышленность, в соответствии с Положением об управлении безопасностью автомобильных данных (для пробной реализации) , обнародованным в соответствии с CSL, DSL и другими соответствующими законами ⁴, вступающими в силу с 1 октября 2021 г., обработчики автомобильных данных, которые хранят важные данные (включая личную информацию, касающуюся более 100 000 субъектов личной информации) могут передавать данные за границу только в случае необходимости и только после прохождения оценки безопасности исходящих данных, организованной национальным органом по киберпространству.
В соответствии со статьей 41 PIPL, физическим лицам и организациям не разрешается предоставлять личные данные, хранящиеся в Китае, иностранным правоохранительным органам без предварительного одобрения соответствующих органов в Китае. Неясно, как определяются данные, «хранящиеся в Китае», и как организация, занимающаяся «обработкой данных», может подать заявку на утверждение в настоящее время; практическое применение такого положения, вероятно, будет зависеть от более подробных правил или мер, которые будут опубликованы соответствующими регулирующими органами.
Юридическая ответственность
Как поясняется ниже, компании, нарушающие положения PIPL, несут потенциальную административную, гражданскую и уголовную ответственность.
Административные взыскания. В случае нарушения PIPL органы по защите личной информации могут издать приказ об исправлении или предупреждение и конфисковать любые незаконные доходы. Услуги соответствующих приложений могут быть приостановлены или прекращены. Компании и их ответственные должностные лица, которые отказываются устранять нарушения, могут быть подвергнуты дополнительным штрафам.Серьезные нарушения могут быть наказаны приостановлением деловых операций, аннулированием бизнес-сертификата и наложением штрафа в размере до 50 000 000 юаней или 5% годового оборота. Ответственные сотрудники могут быть оштрафованы и лишены права занимать руководящие должности или должности, связанные с защитой личной информации, в других компаниях. Нарушения PIPL также могут быть обнародованы и включены в учетные записи социальных кредитов соответствующих компаний в соответствии с применимыми правилами.
Гражданская ответственность. Если обработка персональных данных с нарушением прав человека причиняет вред, и обработчик персональных данных не может доказать, что он не виновен, обработчик несет ответственность за ущерб и другие гражданско-правовые обязательства. Назначенные организации потребителей также могут подать иск от имени класса лиц, если пострадало большое количество лиц.
Уголовная ответственность . Нарушения PIPL, которые приравниваются к уголовным преступлениям, могут повлечь за собой уголовную ответственность.
Ключевые выводы
PIPL разъясняет принципы, которым необходимо следовать при обработке личной информации, совершенствует правила обработки личной информации, защищает права отдельных лиц при обработке личной информации, ужесточает обязанности обработчиков личной информации и устанавливает строгую юридическую ответственность.
Обнародование и внедрение DSL, PIPL и соответствующих вспомогательных нормативных актов окажут огромное влияние на предприятия, осуществляющие операции внутри страны и за рубежом, в контексте все более жесткой нормативно-правовой базы Китая в отношении личной информации и других данных.
Contact Information
If you have any questions concerning this alert, please contact:
¹ PRC Personal Information Protection Law (《中华人民共和国个人信息保护法》) (in Chinese).
² PRC Cybersecurity Law (《中华人民共和国网络安全法》) (in Chinese).
³ PRC Data Security Law (《中华人民共和国数据安全法》) (in Chinese). Please refer to our client alert here for an overview of the DSL.
⁴ Automotive Data Security Management Regulations (for Trial Implementation) (《汽车数据安全管理若干规定（试行）》) (in Chinese).
Новый немецкий закон о конфиденциальности | Делойт Юридическая Германия
4. Прицел
BDSG-new применяется к государственным органам (например, органы государственной власти), а также к частным органам (физические и юридические лица, другие виды частных компаний). В то время как правила, касающиеся государственных органов, являются всеобъемлющими, BDSG-new включает только некоторые специальные правила для частных компаний .
Для частных компаний законом предусмотрена следующая сфера действия:
Как и GDPR, BDSG-new применяется к обработке персональных данных в целом или по частям с помощью автоматизированных средств (напр.г. компьютерные данные pr обработка) и неавтоматизированные средства (например, ручная обработка, бумажные записи ), если они предназначены для использования в файловой системе (раздел 1 I BDSG-новый). Закон не распространяется на обработку данных в частном контексте.
Относительно территориального охвата BDSG-new относится к контроллерам и процессорам
, что обрабатывают персональные данные в Германии (принцип территории, § 1 IV № 1 BDSG-новый),
, которые обрабатывают персональные данные в контексте деятельности учреждения в Германии (принцип учреждения, Sce. 1 IV №. 2 БДСГ-новый),
, которые не имеют представительства в Германии, но подпадают под действие GDPR (раздел 1 IV № 3 BDSG-новый).
Другими словами: BDSG-new также применяется к частным компаниям, которые не имеют представительства в Германии и не обрабатывают персональные данные в Германии, но, например, предлагают товары или услуги в Германии или отслеживают поведение субъектов данных в Германии (принцип рынка, ст. 3 GDPR).
Для обеспечения соблюдения на международном уровне немецких и европейских правил конфиденциальности Ст.50 GDPR требует, чтобы надзорные органы и Комиссия ЕС принимали меры для развития международного сотрудничества, оказания международной взаимопомощи, привлечения соответствующих заинтересованных сторон к обсуждениям и мероприятиям, а также для содействия обмену и документированию законодательства и практики в области конфиденциальности.

Закон КНР о защите личной информации (окончательный вариант): полный перевод
Долгожданный Закон Китайской Народной Республики о защите личной информации (Приказ председателя №. 91) (PIPL) был окончательно принят на 30-м заседании Постоянного комитета Всекитайского собрания народных представителей 13-го созыва 20 августа 2021 года. Он будет введен в действие с 1 ноября 2021 года .
Итоговый документ состоит из 74 статей в восьми главах.
В качестве основного закона, эквивалентного Общему регламенту защиты данных (GDPR), сформулированному Европейским союзом, PIPL привлек большое внимание в Китае с момента выпуска его первого проекта в октябре 2020 года.
После публикации окончательного варианта закона группа China Briefing подготовила для вас краткий перевод .
Кроме того, команда China Briefing также подготовила сравнение между первым проектом, вторым проектом и окончательным документом, который можно найти здесь .
Наш анализ технических соображений, необходимых для соблюдения закона, см. в нашей статье « Закон о защите личной информации в Китае: технические соображения для компаний ».
Приказ Председателя № 91
«Закон Китайской Народной Республики о защите личной информации» был принят на 30-м заседании Постоянного комитета Всекитайского собрания народных представителей 13-го созыва 20 августа 2021 года, настоящим обнародуется и вступает в силу. действует с 1 ноября 2021 г.
Председатель Китайской Народной Республики Си Цзиньпин
20 августа 2021 г.
Закон о защите личной информации Китайской Народной Республики
(Принят на 30-м заседании Постоянного комитета Всекитайского собрания народных представителей 13-го созыва 20 августа 2021 г.)
Глава I Общие положения
Статья 1 Настоящий Закон принят в соответствии с Конституцией в целях защиты прав и интересов в отношении персональных данных, регулирования обработки персональных данных и содействия разумному использованию персональных данных.
Статья 2 Личная информация любого физического лица охраняется законом, и никакая организация или физическое лицо не может нарушать права и интересы в отношении личной информации любого физического лица.
Статья 3 Настоящий Закон применяется к обработке личной информации физических лиц на территории Китайской Народной Республики.
Настоящий Закон также применяется к деятельности, осуществляемой за пределами территории Китайской Народной Республики для обработки личной информации физических лиц на территории Китайской Народной Республики при любом из следующих обстоятельств:
(I), если целью является предоставление товаров или услуг местным физическим лицам;
(II), если целью является анализ и оценка деятельности местных физических лиц; и
(III) иные обстоятельства, предусмотренные законами и административными регламентами.
Статья 4 К личной информации относятся различные виды информации, относящейся к идентифицированным или идентифицируемым физическим лицам, записанные с помощью электронных или иных средств, за исключением информации, обрабатываемой анонимно.
Обработка личной информации включает в себя сбор, хранение, использование, обработку, передачу, предоставление, публикацию и удаление личной информации.
Статья 5 Персональные данные должны обрабатываться в соответствии с принципами законности, законности, необходимости и добросовестности и не должны обрабатываться путем введения в заблуждение, мошенничества, принуждения или иными способами.
Статья 6 Обработка персональных данных должна осуществляться с определенной и разумной целью, должна быть непосредственно связана с целью обработки и должна обрабатываться таким образом, который оказывает наименьшее влияние на права и интересы личности.
Сбор личной информации должен быть ограничен минимальным объемом для целей обработки и не должен собираться чрезмерно.
Статья 7 Обработка персональных данных осуществляется с соблюдением принципов открытости и прозрачности, раскрытия правил обработки персональных данных, явного указания цели, способа и объема обработки.
Статья 8 При обработке персональных данных должно обеспечиваться качество персональных данных во избежание неблагоприятного воздействия на права и интересы личности недостоверных и неполных персональных данных.
Статья 9 Операторы персональных данных несут ответственность за обработку персональных данных и принимают необходимые меры для обеспечения безопасности обрабатываемых персональных данных.
Статья 10 Никакая организация или физическое лицо не может незаконно собирать, использовать, обрабатывать или передавать личную информацию других людей, или незаконно торговать, предоставлять или раскрывать личную информацию других людей, или заниматься обработкой личной информации, которая ставит под угрозу национальной безопасности или общественных интересов.
Статья 11 Государство создает надежную систему защиты личной информации, предотвращает и наказывает за нарушение прав и интересов личной информации, усиливает пропаганду и образование в области защиты личной информации и способствует формированию благоприятной среды для правительства. , предприятия, соответствующие общественные организации и общественность для совместного участия в защите личной информации.
Статья 12 Государство активно участвует в разработке международных правил защиты личной информации, способствует международному обмену и сотрудничеству в области защиты личной информации, а также способствует взаимному признанию правил и стандартов защиты личной информации с другими странами. , регионов и международных организаций.
Глава II Правила обработки персональных данных
Раздел 1 Общие положения
Статья 13 Обработчик персональных данных может обрабатывать персональные данные только при любом из следующих обстоятельств:
(I), если получено согласие заинтересованного лица;
(II), когда это необходимо для заключения или выполнения договора, стороной которого является заинтересованное лицо, или для осуществления управления человеческими ресурсами в соответствии с трудовыми нормами и правилами, сформулированными в соответствии с законом, и коллективными договорами, заключенными в соответствии с законом;
(III), если это необходимо для выполнения уставных обязанностей или уставных обязательств;
(IV) в случаях, когда это необходимо для преодоления чрезвычайных ситуаций в области общественного здравоохранения или для защиты жизни, здоровья и сохранности имущества физического лица;
(V), когда такие действия, как сообщение новостей и надзор со стороны общественного мнения, осуществляются в общественных интересах, а обработка личной информации осуществляется в разумных пределах;
(VI) когда личная информация, раскрытая самими физическими лицами, или другая законно раскрытая личная информация обрабатывается в разумных пределах в соответствии с положениями настоящего Закона; и
(VII) иные обстоятельства, предусмотренные законами и административными актами.
Для обработки персональных данных, предусмотренных иными пунктами настоящего Закона, требуется согласие физического лица, но при обстоятельствах, указанных в предыдущем абзаце с (II) по (VII), согласие физического лица не требуется.
Статья 14 В тех случаях, когда обработка личной информации основана на согласии заинтересованного лица, такое согласие должно быть дано заинтересованным лицом добровольно и явным образом при условии его полной осведомленности.Если законы и административные правила предусматривают, что обработка личной информации осуществляется с отдельного согласия или письменного согласия лица, такие положения имеют преимущественную силу.
В случае изменения цели или способа обработки персональных данных или вида обрабатываемых персональных данных согласие физического лица должно быть получено повторно.
Статья 31 Если обработчик персональных данных знает или должен знать, что обрабатываемые им персональные данные являются персональными данными несовершеннолетнего в возрасте до 14 лет, он должен получить согласие родителя несовершеннолетнего или других опекунов.
Операторы персональных данных должны разработать специальные правила обработки персональных данных для обработки персональных данных несовершеннолетних в возрасте до 14 лет.
Статья 15 Если обработка личной информации основана на согласии заинтересованного лица, лицо имеет право отозвать свое согласие. Обработчик личной информации должен предоставить удобные средства для отзыва согласия.
Отзыв физического лица согласия не влияет на действительность действий по обработке личной информации, осуществленных до отзыва на основании согласия физического лица.
Статья 16 Оператор персональных данных не вправе отказывать в предоставлении продуктов или услуг на том основании, что физическое лицо не дает согласия на обработку своих персональных данных или отзывает свое согласие, за исключением случаев, когда обработка персональных данных необходима для предоставления товаров или услуг.
Статья 17 Перед обработкой личной информации обработчик личной информации должен правдиво, точно и полностью информировать лицо о следующих вопросах в привлекательной форме, ясным и понятным языком:
(I) имя и контактная информация обработчика личной информации;
(II) цель и метод обработки личной информации, а также тип и срок хранения обработанной личной информации;
(III) способ и порядок осуществления физическим лицом прав, предусмотренных настоящим Законом; и
(IV) другие вопросы, подлежащие уведомлению в соответствии с положениями законов и административных правил.
Если какой-либо из вопросов, предусмотренных в предыдущем абзаце, изменяется, физическое лицо должно быть уведомлено о таком изменении.
Статья 18 При обработке персональных данных распорядитель персональных данных может не уведомлять физическое лицо о вопросах, предусмотренных законами и административными актами, в которых должна соблюдаться конфиденциальность, или нет необходимости уведомлять физическое лицо о предусмотренных вопросах в пункте 1 предыдущей статьи.
В случае возникновения чрезвычайной ситуации, невозможность своевременного информирования физического лица в целях защиты жизни, здоровья и сохранности имущества физических лиц, обработчик персональных данных должен своевременно информировать об этом физическое лицо после ликвидации чрезвычайной ситуации.
Статья 19 Сроком хранения персональных данных является минимальный срок, необходимый для достижения цели обработки, за исключением случаев, когда срок хранения персональных данных не установлен законами и административными актами.
Статья 20 Если более двух обработчиков персональных данных совместно определяют цель и метод обработки персональных данных, их соответствующие права и обязанности должны быть согласованы. Однако такое соглашение не затрагивает право физического лица на осуществление прав, предусмотренных настоящим Законом, в отношении любого из обработчиков личной информации.
Если обработчики личной информации, совместно обрабатывающие личную информацию, нарушают права и интересы в отношении личной информации и причиняют ущерб, они несут солидарную ответственность в соответствии с законом.
Статья 21 Если обработчик персональных данных поручает обработку персональных данных другим лицам, он согласовывает с доверенным лицом цель, продолжительность и способ доверенной обработки, вид и меры защиты персональных данных, а также права и обязательства обеих сторон, а также контролировать деятельность по обработке личной информации доверенной стороны.
Доверенная сторона должна обрабатывать личную информацию в соответствии с соглашением и не должна обрабатывать личную информацию сверх согласованной цели и метода обработки.Если договор признан недействительным, недействительным, отозван или расторгнут, доверенная сторона должна вернуть личную информацию обработчику личной информации или удалить личную информацию и не должна сохранять личную информацию.
Без согласия обработчика личной информации доверенная сторона не должна повторно поручать другим обрабатывать личную информацию.
Статья 22 Если обработчику личной информации необходимо передать личную информацию по таким причинам, как слияние, разделение, роспуск или объявление банкротом, он должен сообщить физическому лицу имя и контактную информацию получателя.Получатель должен продолжать выполнять свои обязательства в качестве обработчика личной информации. Если получатель изменяет первоначальную цель и способ обработки, он должен заново получить согласие физического лица в соответствии с настоящим Законом.
Статья 23 Если обработчик личной информации предоставляет другим обработчикам личной информации обрабатываемую им личную информацию, он должен сообщить физическому лицу имя и контактную информацию третьего лица, цель и метод обработки, а также тип личной информации. , и должен получить его/ее отдельное согласие.Сторона, получающая личную информацию, обрабатывает личную информацию в рамках вышеуказанных целей и способов обработки и типа личной информации. Если сторона, получающая личную информацию, изменяет первоначальную цель и способ обработки, она должна информировать об этом физическое лицо и вновь получить его согласие в соответствии с настоящим Законом.

Статья 24 Если обработчики личной информации используют личную информацию для автоматического принятия решения, должна быть обеспечена прозрачность принятия решения и честность и справедливость результатов, а также не должно применяться необоснованное дифференцированное отношение к отдельным лицам с точки зрения транзакций. цена и другие условия сделки.
Если бизнес-маркетинг и информационное продвижение осуществляются посредством автоматического принятия решений, одновременно должны быть предоставлены варианты, не основанные на его / ее личных характеристиках, или должен быть предоставлен удобный способ отказа физических лиц.
В случае, если автоматическое принятие решения оказывает существенное влияние на права и интересы лица, оно вправе потребовать от обработчика персональных данных объяснений и отклонить решение, принятое обработчиком персональных данных, только путем автоматического принятия решения .
Статья 25 Обработчик персональных данных не должен разглашать обрабатываемые им персональные данные, за исключением случаев, когда получено согласие физического лица или если этого требуют законы и административные правила.
Статья 26 Оборудование для захвата изображения и идентификации личности, установленное в общественных местах, необходимо для обеспечения общественной безопасности, соответствует соответствующим положениям государства, должны быть установлены заметные подсказки. Личные изображения и собранная личная информация могут использоваться только в целях обеспечения общественной безопасности и не должны использоваться для других целей, если не получено согласие человека.
Статья 27 Обработчики личной информации могут в разумных пределах обрабатывать личную информацию, которая была раскрыта самими лицами, или другую личную информацию, раскрытую на законных основаниях, за исключением случаев, когда физическое лицо явно отказывается.Обработчики личной информации должны получить согласие физических лиц в соответствии с положениями настоящего Закона, если обработка раскрытой личной информации оказывает существенное влияние на права и интересы физических лиц.
Раздел 2 Правил обработки конфиденциальной личной информации
Статья 28 Конфиденциальная личная информация относится к личной информации, которая может легко привести к унижению личного достоинства или физического лица или причинению вреда личной или имущественной безопасности в случае утечки или незаконного использования, включая такую информацию, как биометрические данные, религиозные убеждения, конкретные личности, состояние здоровья, финансовые счета и местонахождение, а также личную информацию о несовершеннолетних в возрасте до 14 лет.
Обработчики личной информации могут обрабатывать конфиденциальную личную информацию только тогда, когда у них есть конкретная цель и достаточная необходимость, и они принимают строгие меры защиты.
Артикул 29 Для обработки конфиденциальной личной информации необходимо получить индивидуальное согласие. Если законы и административные правила предусматривают, что обработка конфиденциальной личной информации осуществляется с письменного согласия, такие положения имеют преимущественную силу.
Статья 30 Для обработки конфиденциальной личной информации физического лица обработчик личной информации должен информировать физическое лицо о необходимости обработки конфиденциальной личной информации и влиянии на права и интересы физического лица, в дополнение к вопросам, установленным в пункте 1 статьи 17 настоящего Закона, за исключением тех, о которых не могут быть доведены до сведения физических лиц в соответствии с положениями настоящего Закона.
Статья 31 Если обработчик персональных данных знает или должен знать, что обрабатываемые им персональные данные являются персональными данными несовершеннолетнего в возрасте до 14 лет, он должен получить согласие родителя несовершеннолетнего или других опекунов.
Операторы персональных данных должны разработать специальные правила обработки персональных данных для обработки персональных данных несовершеннолетних в возрасте до 14 лет.
Статья 32 Если законы и административные правила предусматривают, что обработка конфиденциальной личной информации подлежит соответствующему административному разрешению или другим ограничениям, такие положения имеют преимущественную силу.
Раздел 3 Особые положения об обработке персональных данных государственными органами
Статья 33 Настоящий Закон распространяется на деятельность государственного органа по обработке персональных данных; если в настоящем Разделе имеются специальные положения, применяются положения настоящего Раздела.
Статья 34 Обработка персональных данных государственным органом в целях выполнения его уставных обязанностей осуществляется в соответствии с полномочиями и процедурами, установленными законами и административными регламентами, и не должна превышать объема и пределов, необходимых для выполнения его уставных обязанностей. обязанности.
Статья 35 Государственный орган, осуществляющий обработку персональных данных в целях выполнения своих уставных обязанностей, обязан выполнять обязанность по уведомлению в соответствии с настоящим Законом, за исключением обстоятельств, предусмотренных пунктом 1 статьи 18, или уведомление будет препятствовать Государственный орган от исполнения своих уставных обязанностей.
Статья 36 Личная информация, обрабатываемая государственным органом, хранится на территории Китайской Народной Республики; если необходимо предоставить такую информацию иностранной стороне, должна быть проведена оценка безопасности. От соответствующих отделов может потребоваться поддержка и помощь в оценке безопасности.
Статья 37 Положения настоящего Закона о персональных данных, обрабатываемых государственными органами, применяются к обработке персональных данных организациями, уполномоченными нормативными правовыми актами с функциями управления общественными делами для выполнения уставных обязанностей.
Глава III Правила трансграничного предоставления личной информации
Статья 38 Если обработчику личной информации необходимо предоставить личную информацию за пределами территории Китайской Народной Республики по деловым или иным причинам, он должен соответствовать любому из следующих условий: (I) если он прошел оценка безопасности, организуемая Государственной администрацией киберпространства в соответствии со статьей 40 настоящего Федерального закона;
(II), если он был сертифицирован специалистом в соответствии с положениями Государственной администрации киберпространства в отношении защиты личной информации;
(III) при заключении договора с зарубежным получателем в соответствии со стандартным договором, составленным государственной администрацией киберпространства, с указанием прав и обязанностей обеих сторон; или
(IV), если он выполнил другие условия, установленные законами, административными правилами или Государственной администрацией киберпространства.
Если международные договоры и соглашения, которые Китайская Народная Республика заключила или в которых участвовала, содержат положения об условиях предоставления личной информации за пределами территории Китайской Народной Республики, такие положения могут соблюдаться.
Обработчики личной информации должны принять необходимые меры для обеспечения того, чтобы обработка личной информации иностранными получателями соответствовала стандартам защиты личной информации, предусмотренным в этом законе.
Статья 39 Если обработчик личной информации предоставляет личную информацию физического лица стороне за пределами территории Китайской Народной Республики, он должен информировать физическое лицо о таких вещах, как имя зарубежного получателя, контактная информация, цель и метод обработки, тип личной информации, а также способ и порядок осуществления физическим лицом прав, предусмотренных настоящим документом, в отношении иностранного получателя, и должны получить отдельное согласие физического лица.
Статья 40 Операторы критической информационной инфраструктуры и обработчики личной информации, обработка личной информации которых достигает количества, установленного Государственной администрацией киберпространства, должны хранить личную информацию, собранную и созданную на территории Китайской Народной Республики, на территории Китай. Если действительно необходимо предоставить такую информацию и данные зарубежным сторонам, они подлежат оценке безопасности, организованной Государственной администрацией киберпространства; если законы, административные правила или положения Государственной администрации киберпространства предусматривают, что оценка безопасности не требуется, такие положения имеют преимущественную силу.
Статья 41 Компетентные органы Китайской Народной Республики в соответствии с соответствующими законами и международными договорами и соглашениями, заключенными или в которых участвовала Китайская Народная Республика, или в соответствии с принципом равенства и взаимности, обрабатывать запросы от иностранных судебных или правоохранительных органов на предоставление личной информации, хранящейся в Китае. Без разрешения компетентного органа Китайской Народной Республики обработчик личной информации не должен предоставлять личную информацию, хранящуюся на территории Китайской Народной Республики, судебным или правоохранительным органам за пределами территории Китайской Народной Республики.
Статья 42 Для любой зарубежной организации или физического лица, чья деятельность по обработке личной информации наносит ущерб правам и интересам в отношении личной информации граждан Китайской Народной Республики или ставит под угрозу национальную безопасность или общественные интересы Китайской Народной Республики, Государственная администрация киберпространства может включить такую зарубежную организацию или физическое лицо в список ограниченного или запрещенного предоставления личной информации, объявить об этом и принять такие меры, как ограничение или запрет на предоставление личной информации такой зарубежной организации или физическому лицу.
Статья 43 Если какая-либо страна или регион принимает дискриминационные запретительные, ограничительные или другие подобные меры в отношении Китайской Народной Республики в отношении защиты личной информации, Китайская Народная Республика может, в зависимости от обстоятельств, принять ответные меры против такой страны или региона.
Глава IV Права физических лиц в деятельности по обработке личной информации
Статья 44 Физическое лицо имеет право знать и принимать решения об обработке своих персональных данных, а также право ограничивать или отказывать другим в обработке его персональных данных, если иное не установлено законодательством и административные регламенты.
Статья 45 Физическое лицо имеет право просматривать или копировать свою личную информацию из обработчика личной информации, за исключением обстоятельств, предусмотренных в пункте 1 статьи 18 и статье 35 настоящего документа.
Если физическое лицо запрашивает просмотр или копирование своей личной информации, обработчик личной информации должен своевременно предоставить такую информацию.
Если физическое лицо запрашивает передачу своей личной информации назначенному им обработчику личной информации, обработчик личной информации должен предоставить средства для такой передачи, если соблюдены условия, установленные Государственной администрацией киберпространства.
Статья 46 Если физическое лицо обнаружит, что его персональные данные неточны или неполны, оно вправе потребовать от обработчика персональных данных внесения исправлений или дополнений.
Если физическое лицо запрашивает исправления или дополнения к своей личной информации, обработчик личной информации должен своевременно провести проверку и внести исправления или дополнения в такую информацию.
Статья 47 При любом из следующих обстоятельств обработчик личной информации должен удалить личную информацию по собственной инициативе; если обработчик личной информации не удалил ее, заинтересованное лицо имеет право потребовать удаления:
(I), если цель обработки достигнута, не может быть достигнута или в ее достижении больше нет необходимости;
(II), если обработчик личной информации прекращает предоставлять продукты или услуги или истек согласованный срок хранения;
(III), когда физическое лицо отзывает свое согласие;
(IV), если обработчик персональных данных обрабатывает персональные данные в нарушение законов, административных правил или соглашения; или
(V) любые другие обстоятельства, предусмотренные законами и административными правилами.
Если срок хранения, установленный законами и административными правилами, не истекает или удаление личной информации технически сложно осуществить, обработчик личной информации прекращает обработку личной информации, кроме хранения, и принимает необходимые меры безопасности.
Статья 48 Физическое лицо имеет право запросить у обработчика персональных данных разъяснение правил обработки персональных данных.
Статья 49 В случае смерти физического лица его близкие родственники могут в своих законных и законных интересах воспользоваться правами на ознакомление, копирование, исправление и удаление соответствующей личной информации физического лица. умершего в порядке, установленном настоящей главой, если умерший не договорился об ином перед своей смертью.
Статья 50 Оператор персональных данных устанавливает удобный механизм приема и обработки заявлений об осуществлении физических прав физическими лицами. Если ходатайство лица об осуществлении личных прав отклонено, должны быть указаны причины.
Если обработчик персональных данных отклоняет запрос физического лица на осуществление его прав, физическое лицо может подать иск в народный суд в соответствии с законом.
Глава V Обязанности обработчиков персональных данных
Статья 51 Обработчик личной информации должен, в зависимости от цели и метода обработки личной информации, типа личной информации, воздействия на права и интересы человека, возможного риска безопасности и т. д., принять следующие меры для обеспечения соответствия деятельности по обработке личной информации положениям законов и административных правил, а также предотвратить несанкционированное посещение, утечку, фальсификацию и потерю личной информации:
(I) разработка внутренней системы управления и операционных процедур;
(II) управление личной информацией по классификации;
(III) принятие соответствующих технических мер безопасности, таких как шифрование и деидентификация;
(IV) разумное определение полномочий для обработки личной информации и проведения обучения и тренингов по безопасности для сотрудников на регулярной основе;
(V) разработка и организация реализации планов действий в чрезвычайных ситуациях для инцидентов, связанных с информационной безопасностью; и
(VI) другие меры, предусмотренные законами и административными правилами.
Статья 52 Если количество персональных данных, обрабатываемых обработчиком, достигает количества, установленного государственной администрацией киберпространства, обработчик назначает лицо, ответственное за защиту персональных данных, ответственным за надзор за обработкой персональных данных и приняты меры защиты.
Обработчик персональных данных должен обнародовать контактную информацию лица, ответственного за защиту персональных данных, и предоставить имя и контактные данные лица, ответственного за защиту персональных данных, в отдел, выполняющий функции по защите персональных данных.
Статья 53 Любой обработчик личной информации за пределами территории Китайской Народной Республики, как это предусмотрено в параграфе 2 статьи 3 настоящего Соглашения, должен создать специальное агентство или назначить представителя на территории Китайской Народной Республики, который будет нести ответственность по соответствующим вопросам защиты личной информации, а также предоставить имя и контактную информацию соответствующего учреждения или представителя в отдел, выполняющий обязанности по защите личной информации.
Статья 54 Обработчик личной информации должен регулярно проверять, соответствует ли обработка личной информации положениям законов и административных правил.
Статья 55 Оператор персональных данных должен заранее провести оценку воздействия на защиту персональных данных следующих обстоятельств и вести учет обработки:
(I) обработка конфиденциальной личной информации;
(II) использование личной информации для принятия автоматических решений;
(III) поручение другим лицам обрабатывать личную информацию, предоставление личной информации другим обработчикам личной информации и раскрытие личной информации;
(IV) предоставление личной информации зарубежным сторонам; и
(V) другие действия по обработке персональных данных, оказывающие существенное влияние на права и интересы физических лиц.
Статья 56 Оценка воздействия на защиту персональных данных должна включать следующее:
(I) являются ли цель и метод обработки личной информации законными, оправданными и необходимыми;
(II) воздействие на права и интересы физических лиц и риски безопасности; и
(III), являются ли принятые меры защиты законными, эффективными и соответствующими степени риска.
Отчет об оценке защиты личной информации и протокол обработки должны храниться не менее трех лет.
Статья 57 В случае утечки, фальсификации или утери личной информации обработчик личной информации должен немедленно принять меры по исправлению положения и проинформировать отдел, выполняющий обязанности по защите личной информации, и заинтересованных лиц. Уведомление должно содержать следующие сведения:
(I) виды и причины утечки, фальсификации и потери личной информации, которые произошли или могут произойти, и возможный причиненный вред;
(II) меры по исправлению положения, предпринимаемые обработчиками личной информации, и меры, принимаемые отдельными лицами для уменьшения вреда;
(III) контактная информация обработчика персональных данных.
Если обработчик личной информации принял меры для эффективного предотвращения вреда, причиненного утечкой, фальсификацией или потерей информации, он может не уведомлять отдельных лиц; однако, если отдел, выполняющий обязанности по защите личной информации, считает, что вред будет причинен, он может потребовать, чтобы обработчик личной информации уведомил об этом отдельных лиц.
Статья 58 Обработчики персональных данных, которые предоставляют важные услуги интернет-платформы с большим количеством пользователей и сложными видами бизнеса, должны выполнять следующие обязательства:
(I) Создать и улучшить систему соблюдения требований по защите личной информации в соответствии с государственными постановлениями, а также создать независимую организацию, состоящую в основном из внешних членов, для защиты личной информации;
(II) Сформулировать правила платформы в соответствии с принципами открытости, честности и справедливости, уточнить нормы обработки личной информации и обязательства поставщиков продуктов или услуг в рамках платформы по защите личной информации;
(III) Прекратить предоставление услуг поставщикам продуктов или услуг на платформе, которые серьезно нарушают законы и административные правила при обработке личной информации;
(IV) Регулярный выпуск отчета о социальной ответственности в отношении защиты личной информации и при условии общественного контроля.
Статья 59 Лицо, которому поручена обработка персональных данных, должно выполнять соответствующие обязанности, установленные настоящим Законом и другими соответствующими законами и административными актами, принимать необходимые меры для обеспечения безопасности обрабатываемых персональных данных и содействовать обработчикам персональных данных в выполнять свои обязанности по настоящему Закону.
Глава VI Департаменты, выполняющие обязанности по защите личной информации
Статья 60 Государственная администрация киберпространства отвечает за координацию защиты личной информации и соответствующей надзорной и административной работы; и соответствующие отделы при Государственном совете несут ответственность за защиту, надзор и управление личной информацией в рамках своих соответствующих обязанностей в соответствии с положениями настоящего Закона и соответствующих законов и административных правил.
Обязанности соответствующих отделов местных народных правительств уровня уезда или выше по защите, надзору и управлению личной информацией определяются в соответствии с соответствующими положениями штата.
Отделы, упомянутые в предыдущих двух абзацах, вместе именуются отделами, выполняющими обязанности по защите личной информации.
Статья 61 Подразделения, осуществляющие функции по защите персональных данных, выполняют следующие функции по защите персональных данных:
(I) проведение рекламы и просвещение по вопросам защиты личной информации, а также руководство и надзор за обработчиками личной информации для защиты личной информации;
(II) прием и обработка жалоб и отчетов, касающихся защиты личной информации;
(III) организация оценки защиты личной информации, такой как приложения, и публикация результатов оценки;
(IV) расследование и обработка незаконных действий по обработке личной информации; и
(V) другие обязанности, предусмотренные законами и административными правилами.
Статья 62 Государственная администрация киберпространства координирует свои действия с соответствующими ведомствами по содействию защите персональных данных в соответствии с настоящим Законом следующим образом:
(I) сформулировать конкретные правила и стандарты защиты личной информации;
(II) сформулировать специальные правила и стандарты защиты личной информации для небольших процессоров личной информации, обработки конфиденциальной личной информации, а также новых технологий и приложений, таких как распознавание лиц и искусственный интеллект;
(III) поддерживать исследования, разработку и продвижение безопасной и удобной технологии электронной аутентификации личности, а также способствовать созданию общедоступных услуг для онлайн-аутентификации личности;
(IV) способствовать развитию социальной системы услуг по защите личной информации и поддерживать соответствующие организации в проведении оценки и сертификации услуг в отношении защиты личной информации.
(V) усовершенствовать механизм подачи жалоб и сообщений о нарушениях по защите личной информации.
Статья 63 Органы, осуществляющие функции по защите персональных данных, могут принимать следующие меры при выполнении функций по защите персональных данных:
(I) запрос заинтересованных сторон и расследование обстоятельств, связанных с деятельностью по обработке личной информации;
(II) консультирование и копирование контрактов, записей, бухгалтерских книг и других соответствующих материалов, касающихся деятельности по обработке личной информации заинтересованных сторон;
(III) проведение проверок на месте и следственных действий, связанных с обработкой личной информации, подозреваемой в нарушении законодательства; и
(IV) проверка оборудования и предметов, связанных с обработкой личной информации, и может быть опечатано или изъято оборудование и предметы, которые, как доказано, являются незаконными действиями по обработке личной информации, после письменного сообщения начальнику отдела и получения разрешения.
Когда подразделения, выполняющие обязанности по защите личной информации, выполняют обязанности в соответствии с законом, заинтересованные стороны должны оказывать помощь и сотрудничество, а также не должны отказывать или препятствовать такому выполнению.
Статья 64 Если подразделения, выполняющие функции по защите личной информации, обнаруживают при выполнении своих обязанностей по защите личной информации, что существуют относительно высокие риски в деятельности по обработке личной информации или имели место инциденты, связанные с безопасностью личной информации, они могут опросить законного представителя или лицу, ответственному за обработчик личной информации в соответствии с установленными полномочиями и процедурами, или требовать от обработчика личной информации поручить профессиональным учреждениям проводить проверки соответствия их деятельности по обработке личной информации.Обработчик личной информации должен принять меры по исправлению и устранению скрытых опасностей по мере необходимости.
Отдел, который выполняет обязанности по защите личной информации и обнаруживает, что незаконная обработка личной информации подозревается в совершении преступления в ходе выполнения своих обязанностей, должен незамедлительно передать дело в орган общественной безопасности для рассмотрения в соответствии с законом.
Статья 65 Любая организация или физическое лицо имеет право подать жалобу или сообщить о незаконных действиях по обработке личной информации в отделы, выполняющие функции по защите личной информации.Департаменты, получающие такие жалобы или отчеты, должны незамедлительно рассматривать их в соответствии с законом и уведомлять заявителей или докладчиков о результатах. Отделы, выполняющие функции по защите личной информации, должны обнародовать контактную информацию для приема жалоб или сообщений.
Глава VII Юридическая ответственность
Статья 66 В случае обработки персональных данных с нарушением требований настоящего Закона или без выполнения предусмотренных настоящим Законом обязательств по защите персональных данных органы, осуществляющие функции по защите персональных данных, обязаны предписать обработчику исправить, вынести предупреждение и конфисковать его незаконные доходы или приказать приложению, которое незаконно обрабатывает личную информацию, приостановить или прекратить предоставление услуг; если в исправлении отказано, на обработчика одновременно налагается штраф в размере не более 1 миллиона юаней; и штраф в размере не менее 10 000 юаней, но не более 100 000 юаней, налагается на лицо, непосредственно ответственное за обработчик, и других лиц, несущих прямую ответственность. В случае совершения противоправного действия, указанного в предыдущем абзаце, и серьезных обстоятельств отделы, выполняющие обязанности по защите личной информации на уровне провинции или выше, должны приказать обработчику внести исправления, конфисковать его незаконные доходы и наложить штраф в размере не более более 50 миллионов юаней или не более 5% от оборота обработчика за предыдущий год, а также может приказать обработчику приостановить соответствующую деятельность или приостановить деятельность для исправления, а также уведомить соответствующие компетентные органы об отзыве соответствующего разрешения на ведение бизнеса. или бизнес-лицензия; и штраф в размере не менее 100 000 юаней, но не более 1 миллиона юаней должен быть наложен на лиц, непосредственно ответственных и других лиц, несущих прямую ответственность, и таким лицам также может быть запрещено занимать должности директоров, руководителей, старших менеджеров и лиц. отвечающий за защиту личной информации соответствующих предприятий в течение определенного периода времени.
Статья 67 Любое противоправное действие, указанное в настоящем Законе, регистрируется в кредитных архивах в соответствии с положениями соответствующих законов и административных регламентов и обнародуется.
Статья 68 В случае неисполнения государственным органом своих обязанностей по защите персональных данных, предусмотренных настоящим Законом, его вышестоящий орган или подразделение, выполняющее функции по защите персональных данных, предписывает ему внести исправления и налагает санкции на непосредственно ответственное лицо и другие лица, несущие прямую ответственность в соответствии с законом.
Если сотрудники отделов, отвечающих за защиту личной информации, виновны в неисполнении служебных обязанностей, злоупотреблении служебными полномочиями или злоупотреблении служебным положением в личных целях, но еще не составивших преступления, они подлежат наказанию в соответствии с законом.
Статья 69 В случае нарушения прав и интересов персональных данных в результате обработки персональных данных и причинения вреда, а распорядитель персональных данных не может доказать, что он не виновен, он несет деликтную ответственность за причинение вреда.
Ответственность за ущерб, указанный в предыдущем параграфе, несет в свете убытков, причиненных таким образом заинтересованным лицам, или выгод, полученных таким образом обработчиком личной информации; если убытки, причиненные таким образом заинтересованным лицам, или выгоды, полученные обработчиком личной информации, трудно определить, народный суд определяет размер компенсации в соответствии с фактическими обстоятельствами.
Статья 70 При обработке субъектом персональных данных персональных данных с нарушением требований настоящего Закона, что ущемляет права и интересы большого круга лиц, народной прокуратуры, определенных законом потребительских организаций и организация, определенная государственной администрацией киберпространства, вправе обратиться в народный суд в соответствии с законом.
Статья 71 Если нарушение положений настоящего Закона представляет собой нарушение управления общественной безопасности, в соответствии с законом налагается наказание управления общественной безопасности; в случае состава преступления уголовная ответственность подлежит расследованию в соответствии с законом.
Глава VIII Дополнительные положения
Статья 72 Настоящий Закон не распространяется на обработку персональных данных физическим лицом в силу его личных или семейных обстоятельств.При наличии правовых положений об обработке персональных данных в статистическом и архивном управлении, организованном и осуществляемом народными правительствами всех уровней и их соответствующими ведомствами, применяются такие положения.
Статья 73 Для целей настоящего Закона следующие термины определяются следующим образом:
(I) Под обработчиком личной информации понимается любая организация или физическое лицо, которое самостоятельно определяет цель и метод обработки в деятельности по обработке личной информации.
(II) Под автоматическим принятием решений понимается деятельность по автоматическому анализу и оценке поведенческих привычек, увлечений или экономического положения, состояния здоровья или кредитоспособности человека с помощью компьютерных программ и принятию решений.
(III) Под деидентификацией понимается процесс, при котором личная информация обрабатывается таким образом, что невозможно идентифицировать определенных физических лиц без использования дополнительной информации.
(IV) Анонимизация относится к процессу, при котором личная информация обрабатывается таким образом, что невозможно идентифицировать определенное физическое лицо и невозможно восстановить.
Статья 74 Настоящий Закон вступает в силу с 1 ноября 2021 года.

Отказ от ответственности: перевод был подготовлен командой China Briefing только для общих информационных целей. Мы не несем никакой ответственности за точность содержания. Для получения консультации по вашим конкретным бизнес-вопросам, пожалуйста, свяжитесь с квалифицированным профессиональным консультантом. Вы можете проконсультироваться с нашими экспертами в Dezan Shira & Associates, написав нам по электронной почте China@dezshira.ком.
О нас
Брифинг для Китая написан и подготовлен компанией Dezan Shira & Associates. Эта практика помогает иностранным инвесторам в Китае и делает это с 1992 года через офисы в Пекине, Тяньцзине, Даляне, Циндао, Шанхае, Ханчжоу, Нинбо, Сучжоу, Гуанчжоу, Дунгуане, Чжуншане, Шэньчжэне и Гонконге. Пожалуйста, свяжитесь с фирмой для получения помощи в Китае по адресу [email protected].
Dezan Shira & Associates имеет офисы во Вьетнаме, Индонезии, Сингапуре, США, Германии, Италии, Индии и России, в дополнение к нашим исследовательским объектам в области торговли в рамках инициативы «Пояс и путь». У нас также есть фирмы-партнеры, помогающие иностранным инвесторам на Филиппинах, в Малайзии, Таиланде и Бангладеш.
Группа Экерсон
Прочитайте секреты лидеров бизнес-аналитики автор: Уэйн Экерсон
Уэйн Экерсон раскрывает секреты успеха семи ведущих лидеров бизнес-аналитики и аналитики в этой нетрадиционной книге, в которой идеи Уэйна сочетаются с дословными диалогами лидеров.
купить сейчас
Панели производительности: измерение, мониторинг и управление вашим бизнесом автор: Уэйн Экерсон
Эта книга, которую многие называют исчерпывающим руководством по информационным панелям и системам показателей, обязательна к прочтению.
купить сейчас
Хранилище данных, интеллектуальный анализ данных и OLAP (хранилище данных/управление данными) Авторы: Алекс Берсон, Стивен Дж. Смит
В этом справочнике представлены стратегические, теоретические и практические сведения о трех технологиях управления информацией: хранилище данных, оперативная аналитическая обработка (OLAP) и интеллектуальный анализ данных.
купить сейчас
Создание приложений интеллектуального анализа данных для CRM Авторы: Алекс Берсон, Стивен Дж.Смит, Берсон, Курт Терлинг
Этот текст обеспечивает сравнение и противопоставление различных подходов и инструментов, доступных для современного интеллектуального анализа данных. Он предлагает пошаговый план, который поможет читателям разработать индивидуальный подход.
купить сейчас
Присоединяйтесь к потоку автор: Дьюэйн Вашингтон
Эта книга является авторитетом по внедрению клиентов, написанным ветераном в бизнесе, который внедрил тактику реального мира.