Китай: Для публичного обсуждения опубликована вторая редакция проекта национального закона о защите персональных данных

Данная статья, подготовленная специалистами юридической фирмы Hunton Andrews Kurth LLP, была опубликована 4 мая 2021 года в издании «Национальное правовое обозрение» (National Law Review, том XI, номер 125).

Мой комментарий: Пост о первой редакции проекта закона см. здесь: https://rusrim.blogspot.com/2020/11/1.html

29 апреля 2021 года Китай опубликовал вторую редакцию проекта Закона о защите персональных данных (中华人民共和国个人信息保护法(草案二审稿), его текст см., например, здесь: https://www.163.com/dy/article/G8S165NO05314KNO.html , в статье используется англоязычная аббревиатура PIPL от Personal Information Protection Law – Н.Х.). Проект закона PIPL будет открыт для публичного обсуждения до 28 мая 2021 года.

Структура этой редакции законопроекта такая же, как и у предыдущей редакции от 21 октября 2020 года (о ней см. https://www.huntonprivacyblog.com/2020/10/27/china-issues-draft-of-personal-information-protection-law/ ). Ниже мы суммируем существенные изменения, появившиеся во второй редакции законопроекта.

Правовая основа для обработки персональных данных

Статья 13 добавляет одно правовое основание для обработки персональных данных. Согласно законопроекту, обработчик ПДн (data processor – авторы статьи всё время говорят об «обработчике», а не об «операторе», и в ряде случаев, возможно, смешивают эти два разных понятия – Н.Х.) не обязан получать согласие субъектов данных на обработку, в разумных пределах, общедоступных персональных данных.

Персональные данные несовершеннолетних

Статья 15 устанавливает более высокие требования в отношении обработки персональных данных несовершеннолетних. Независимо от того, знает ли и должен ли знать обработчик ПДн, что он обрабатывает персональные данные лица младше 14 лет, он должен получить согласие родителей несовершеннолетнего или иного опекуна.

Отзыв согласия

Статья 16 требует от обработчика ПДн предоставления субъектам данных удобного способа отзыва согласия. Отзыв согласия не повлияет на какие-либо действия по обработке ПДн, которые имели место до того, как согласие было отозвано.

Обработка персональных данных третьей стороной

Статья 22 предусматривает дополнительные условия для обработки персональных данных третьей стороной. Если соглашение об обработке ПДн с третьей стороной не вступило в силу или оказалось недействительным, было отменено или прекращено, третья сторона не вправе сохранять у себя персональные данные и обязана вернуть их обработчику ПДн или удалить их.

Стандартные условия договора для трансграничной передачи данных

В соответствии со статьей 38, Администрация киберпространства Китая (Cyberspace Administration of China) подготовит для обработчиков ПДн типовой контракт, который будет использоваться в качестве справочно-методического документа при заключении контрактов с получателями данных за пределами Китая, что может позволить обработчикам ПДн передавать соответствующие персональные данные получателям за пределами Китая.

Персональные данные умерших

Статья 49 добавляет положения, касающиеся защиты персональных данных умерших, чьи предусмотренные законопроектом права могут быть реализованы близкими родственниками от имени умершего.

Особые требования к некоторым обработчикам персональных данных

Статья 57 налагает особые обязательства на обработчиков ПДн, которые предоставляют базовые услуги онлайн-платформы «огромному» количеству пользователей и осуществляют «сложные» виды деловой деятельности. Сюда входят обязанности

• создать внешнее независимое учреждение для надзора за обработкой персональных данных;
  
  
• прекратить обслуживание продуктов или поставщиков услуг, которые серьезно нарушили законодательно-нормативные требования; и
  
  
• публиковать периодические отчеты о своих усилиях в плане социальной ответственности.

В то же время вторая версия законопроекта не разъясняет критерии для определения тех обработчиков ПДн, на которые распространяется действие данных положений - например, не говорит, какое количество пользователей считается «огромным».

Обращение бремени доказывания

В соответствии со статьей 68, в случаях нанесения ущерба связанным с персональными данными интересам, обработчик данных, если он не смог доказать свою невиновность, будет нести ответственность за ущерб и выплачивать соответствующую компенсацию.

Автор: фирма Hunton Andrews Kurth LLP

Источник: издание «Национальное правовое обозрение» (National Law Review)
https://www.natlawreview.com/article/china-issues-second-version-draft-personal-information-protection-law-public