China: In vigore le misure contrattuali standard per l'esportazione dei dati

Le Misure Contrattuali Standard per l'Esportazione delle Informazioni Personali sono entrate in vigore il 1° giugno 2023, a seguito della loro adozione il 23 febbraio 2023. Le misure chiariscono che mirano ad attuare i requisiti della Legge sulla Protezione delle Informazioni Personali (PIPL).

Ambito di applicazione Le misure stabiliscono che i processori di informazioni personali che trasferiscono informazioni personali all'estero utilizzando contratti standard devono soddisfare le seguenti condizioni: Essere considerati operatori di infrastrutture non critiche delle informazioni; Gestire le informazioni personali di meno di un milione di persone; Avere fornito le informazioni personali all'estero a meno di 100.000 persone dall'1 gennaio dell'anno precedente; Avere fornito le informazioni personali sensibili all'estero a meno di 10.000 persone dall'1 gennaio dell'anno precedente. È importante sottolineare che le misure evidenziano che i processori di informazioni personali non devono utilizzare metodi, come la suddivisione in quantità, per fornire informazioni personali che avrebbero dovuto superare le valutazioni di sicurezza all'uscita previste dalla legge mediante l'istituzione di contratti standard.

Requisiti per i gestori di informazioni personali Le misure richiedono ai gestori di informazioni personali di effettuare una Valutazione dell'Impatto sulla Protezione delle Informazioni Personali (PIPIA) prima di trasferire dati personali all'estero. La PIPIA dovrebbe concentrarsi su:

La legalità, legittimità e necessità del fine, dell'ambito e del metodo di trattamento delle informazioni personali da parte del processore di informazioni personali e del destinatario all'estero; La portata, l'ambito, il tipo e la sensibilità delle informazioni personali esportate all'estero e i rischi che l'esportazione di informazioni personali può comportare per i diritti e gli interessi dei soggetti dei dati; Se il destinatario all'estero si è impegnato ad adempiere agli obblighi e se le misure di gestione e tecniche e le capacità per adempiere agli obblighi possono garantire la sicurezza delle informazioni personali in uscita; Il rischio che le informazioni personali vengano alterate, distrutte, divulgate, perse o utilizzate illegalmente nel paese terzo; L'impatto delle politiche e dei regolamenti sulla protezione delle informazioni personali del paese terzo sul contratto standard; Altre questioni che possono influire sulla sicurezza delle informazioni personali. Inoltre, i processori di informazioni personali devono presentare i seguenti documenti all'Amministrazione Cibernetica Locale entro 10 giorni lavorativi dalla data di entrata in vigore del contratto standard:

Il contratto standard; La relazione PIPIA. A tal fine, i gestori di informazioni personali saranno responsabili dell'autenticità della documentazione presentata.

Prossimi passi Le misure confermano che nel caso in cui le attività di esportazione delle informazioni personali svolte prima dell'entrata in vigore delle misure non siano conformi alle disposizioni delle stesse, sarà necessario procedere a una rettifica entro sei mesi dalla data di entrata in vigore delle misure stesse, ovvero entro il 1° dicembre 2023.

Puoi leggere l'annuncio qui , le misure qui e una serie di domande frequenti sulle misure qui , tutto disponibile solo in cinese.

Citati:

Legge sulla Protezione delle Informazioni Personali (PIPL): Si tratta di una legge cinese che regola la protezione delle informazioni personali e stabilisce i requisiti per la raccolta, l'uso, la conservazione e la trasmissione di tali informazioni. Valutazione dell'Impatto sulla Protezione delle Informazioni Personali (PIPIA): È una valutazione richiesta ai processori di informazioni personali in Cina prima di trasferire le informazioni personali all'estero. La valutazione analizza la legalità, la legittimità, la necessità e la sicurezza del trasferimento di tali informazioni. Glossario tecnico: Contratti standard: Documenti contrattuali predefiniti che stabiliscono le condizioni per il trasferimento di informazioni personali all'estero. Operatori di infrastrutture non critiche delle informazioni: Sono organizzazioni o entità che gestiscono le informazioni personali, ma non sono considerate critiche per l'infrastruttura delle informazioni. Informazioni personali: Dati che possono essere utilizzati per identificare un individuo, come nome, indirizzo, numero di telefono, indirizzo email, ecc. Informazioni personali sensibili: Dati personali che richiedono una maggiore protezione, come informazioni sulla salute, credenze religiose, orientamento sessuale, ecc. Amministrazione Cibernetica Locale: Un'agenzia governativa cinese responsabile della supervisione e della gestione delle attività online, inclusa la protezione delle informazioni personali. Temi trattati: Esportazione di informazioni personali: Le misure regolamentano il trasferimento di informazioni personali dalla Cina verso paesi esteri. Protezione delle informazioni personali: Le misure stabiliscono requisiti e procedure per proteggere le informazioni personali dei cittadini cinesi. Contratti standard: Le misure definiscono l'uso di contratti standard per regolare il trasferimento di informazioni personali all'estero. Valutazione dell'Impatto sulla Protezione delle Informazioni Personali: La PIPIA è una valutazione obbligatoria che i processori di informazioni personali devono effettuare per garantire la sicurezza delle informazioni personali trasferite all'estero. #China #ProtezioneDati #EsportazioneDati #ContrattiStandard #PIPL #InformazioniPersonali #PIPIA #CyberspaceAdministration #GestioneInformazioniPersonali