Портал PRC.TODAY уже рассказывал вам неоднократно о проблемах, которые могут возникнуть при утечке или похищении личных данных. В данной статье вы узнаете о намерении Китая принять единый нормативный акт, регулирующий возможность использования личных данных компаниями и государственными учреждениями, и наказание за незаконное их использование.
После годичного судебного разбирательства 34-летний профессор права Guo Bing одержал частичную победу в первом судебном иске Китая по поводу стремительно распространяющегося использования компаниями и правительствами технологий распознавания лиц.
Суд в восточном городе Hangzhou 20 ноября постановил, что местный парк дикой природы нарушил договор с Guo Bing, перейдя с системы входа на основе отпечатков пальцев на систему распознавания лиц без его согласия. Профессор подал в суд в октябре 2019 года, когда представители парка заявили, что ему пришлось пройти процедуру распознавания лиц, чтобы сохранить годовой пропуск.
Но суд подтвердил право парка на использование биометрических технологий в деловых операциях. За этим делом внимательно наблюдали и вызвали бурные дебаты, поскольку в нём была решена одна из самых больших общественных проблем современного китайского общества – баланс между безудержным использованием новых технологий обработки данных и защитой личной жизни.
Ряд громких утечек данных в последние годы усилил публичные призывы к правительству принять единый закон, защищающий личную информацию граждан. За первые семь месяцев этого года регуляторы наказали более 8000 приложений и 478 компаний за нарушение правил сбора данных.
Использование государством быстроразвивающихся новых технологий также рассматривается как серьёзная проблема. Ранее в этом месяце регуляторы интернета назвали 35 мобильных приложений за нарушение правил сбора персональных данных, в том числе несколько, управляемых местными правительственными учреждениями.
В ответ на это ведущие китайские законодатели рассматривают законопроект о защите персональных данных. Это будет первое подобное законодательство в стране, регулирующее сбор личных данных, включая записи о покупках в Интернете и биометрические характеристики. Постоянный комитет Всекитайского собрания народных представителей (ВНК) опубликовал проект Закона «О защите личной информации» 21 октября, чтобы получить комментарии общественности после завершения первого из трёх обзоров законодательства.
Закон, состоящий из восьми глав, обеспечит всеобъемлющую защиту 940 миллионов китайских интернет-пользователей, которые всё больше обеспокоены безопасностью своих данных, поскольку новые технологии, основанные на больших данных, продолжают проникать во все аспекты социальной жизни. Законопроект включает в себя раздел, определяющий роль государства в сборе персональных данных, требующий от государственных органов соблюдения тех же принципов согласия, что и предприятий, с исключениями для определенных условий, установленных законом и нормативными актами.
Государственный совет Китая изучает вопросы правовой защиты личной информации с 2003 года, но только в 2017 году официально началась работа над единым законодательным актом. В настоящее время ответственность за защиту конфиденциальности разделяют несколько законодательных актов, в том числе официальное решение Постоянного комитета о защите онлайн-данных, поправка к уголовному законодательству, Закон «О кибербезопасности» и недавно принятый Гражданский кодекс.
В законопроекте личная информация определяется как информация, которая «записывается электронными или другими средствами в отношении идентифицированных или идентифицируемых физических лиц, не включая анонимную информацию». Примечательно, что в нём будет закреплён принцип информированного согласия. Означающий, что все организации, обрабатывающие персональные данные, должны будут чётко информировать людей заранее о том, как они планируют использовать информацию. А так же запрашивать явное согласие физических лиц или их законных опекунов, прежде чем делать это.
Документ также устанавливает суровые наказания за нарушения, сопоставимые с положениями Общего регламента Европейского Союза о защите данных, который считается самым жёстким в мире законом о конфиденциальности и безопасности.
Caixin узнал, что это вызвало споры среди компаний в технологическом и рекламном секторах, которые утверждали, что строгие правила повредят росту бизнеса. Между тем некоторые юристы выразили обеспокоенность тем, что в документе до сих пор отсутствуют детали, которые могут помешать его реализации.
Человек, близкий к законодательной работе, сказал, что ещё есть время для доработки нового закона, и законодатели пытаются найти баланс между защитой личной жизни, ростом бизнеса и общественными интересами.
«В будущем поток данных станет не только активом, но и обязанностью как в деловых, так и в юридических аспектах» – сказал Deng Zhisong, старший партнёр Dacheng Law Offices в Пекине.
Уравновешивание
Были случаи, показывающие, что проблема может заключаться в жизни или смерти. В 2016 году старшеклассница в провинции Shandong умерла от сердечного приступа после того, как телефонные мошенники, незаконно получившие её личную информацию, обманули её на сумму почти 10000 юаней (около 1500 долларов в то время). Этот случай выявил неспособность местных органов управления образованием защитить личную информацию и вызвал общественный резонанс в отношении судебных исков.
Китайские интернет-пользователи обнаружили, что их окружает постоянно растущий объём персонализированного онлайн-контента. Краткий поиск определенных продуктов на основных сайтах электронной коммерции может привести к появлению серии всплывающих окон с рекламой аналогичных товаров.
«Лучше всего меня знает не я, а интернет-гиганты» – сказал один онлайн-покупатель.
За кулисами скрывается передовая технология анализа данных, которая широко используется интернет-компаниями для создания портрета каждого пользователя для целенаправленного маркетинга. Собирая огромные объёмы пользовательских данных, технологические гиганты, такие как Alibaba Group и Tencent Holdings, могут точно профилировать пользователей и прогнозировать их потребности на основе ежедневных расходов, поездок и интересов, а также использовать эту информацию для направления пользователей к товарам и услугам, которые они с большей вероятностью купят.
Новый Закон «О защите данных» может изменить это, установив более строгие требования к тому, какую информацию компании могут собирать от пользователей и как они могут её использовать, сообщили несколько источников в отрасли. Согласно законопроекту, сборщики данных должны информировать людей о том, почему их личные данные будут собираться и как эта информация будет использоваться, и заранее получить явное согласие.
Физические лица будут иметь право запрашивать исправления или удаления в соответствии с проектом меры, а организациям, обрабатывающим личную информацию, не будет разрешено собирать больше, чем им необходимо для выполнения заявленных задач, или отказываться от продукта или услуги, если человек отказывается дать согласие или позже снимает это.
Как стало известно Caixin, такие требования являются «очень жёсткими» для компаний, заявили представители интернет-сектора на ноябрьском заседании для обсуждения нового закона. Они сказали, что эти требования сложно реализовать, и это приведёт к увеличению затрат компаний на соблюдение нормативных требований, уменьшив их доходы от рекламы.
Проект предоставляет исключение из правил согласия, когда данные анонимны, то есть идентифицирующие данные удаляются. Однако источники в интернет-компаниях заявили, что это всё равно повредит их маркетинговым операциям, поскольку анонимная информация не позволит компаниям нацеливать пользователей с помощью настраиваемого контента.
«Времена лёгкого доступа к огромному количеству пользовательских данных прошли» – сказал один отраслевой эксперт. Эксперт сказал, что при более строгих правилах сбора данных для защиты конфиденциальности интернет-компании столкнутся с более серьёзными испытаниями своих технологий анализа данных.
Источник в рекламной индустрии сказал, что предлагаемые правила слишком строги и не содержат подробностей.
«В отрасли действительно есть беспорядки, поскольку использование данных долгое время не регулировалось» – сказал он. «Но это не может быть исправлено одним общим правилом».
Новые бизнес-модели, поддерживаемые технологиями обработки данных, процветали в Китае отчасти из-за относительно слабой нормативной базы. Официальные данные показали, что в 2019 году на так называемую новую экономику приходилось 16,3% валового внутреннего продукта страны.
Доступ к данным является основой новых технологий, таких как распознавание лиц и автономное вождение, являющиеся ключевыми областями, в которых китайские компании стремятся к конкурентному преимуществу.
«Пользователи хотят, чтобы их конфиденциальность была защищена, а компаниям нужна прибыль» – сказал Fang Yu, эксперт по правовым вопросам Китайской академии информационных и коммуникационных технологий. «Защита конфиденциальности требует затрат, и иногда это игра с нулевой суммой».
Fang Yu сказал, что предлагаемый закон должен добавить больше подробностей о том, как правила будут применяться в разных секторах для удовлетворения различных потребностей.
Например, «разработчикам автономного вождения необходимо собирать данные о пешеходах, чтобы улучшить алгоритм» – сказал Fang Yu. «Но если они должны получить согласие каждого отдельного пешехода, технология будет невозможна».
He Yuan, эксперт по законодательству в области данных из Шанхайского университета Jiaotong, сказал, что в законодательстве необходимо указать законные права компаний на сбор данных, чтобы дать бизнесу возможность для роста.
«Вся новая экономика построена на основе данных, и личная информация является наиболее ценной частью» – сказал он. «В законопроекте делается упор на проекцию конфиденциальности, но без достаточного количества слов о том, как можно использовать информацию».
Роль государства
«Государственные органы, управляющие связями с общественностью и услугами, собирают огромное количество личных данных, но в то же время они являются законодателями и регуляторами» – сказал Zhang Xinbao, эксперт по правовым вопросам, участвовавший в разработке закона. Zhang Xinbao сказал, что по-прежнему необходимы дополнительные подробности о требованиях к государственным органам.
Законопроект также предусматривает использование систем наблюдения и устройств идентификации личности в общественных местах.
Несколько членов Постоянного комитета NPC предложили дополнительно уточнить правила для государственных ведомств, в том числе более чёткие требования к объёму сбора данных, процедурам и срокам хранения данных.
Wang Xixin, профессор права Пекинского университета, сказал, что раздел, посвящённый сбору данных государством, должен быть расширен до отдельной главы, чтобы включить более подробные требования. По словам Wang Xixin, правительственным учреждениям необходимо найти баланс между эффективностью управления данными в интересах общества и защитой частной жизни.
Законопроект также предусматривает использование систем наблюдения и устройств личной идентификации в общественных местах, требуя, чтобы такие данные использовались только в целях общественной безопасности и не передавались другим лицам без согласия отдельных лиц. Регламент рассматривается как долгожданный ответ на расширение использования технологий распознавания лиц.
Guo из Hangzhou сказал, что законопроект представляет собой «улучшение», но требует дальнейшего развития, поскольку формулировка достаточно расплывчата, чтобы ею можно было манипулировать. Он предложил законодателям ввести систему лицензирования и более подробные требования по использованию распознавания лиц в общественных местах.
Нормативные дебаты
Законопроект предлагает наложить максимальный штраф в размере 50 миллионов юаней (7,42 миллиона долларов) или эквивалент 5% дохода за предыдущий год на тех, кто незаконно обрабатывает личную информацию, что является одним из самых суровых наказаний в мире.
«Суровое наказание сигнализирует о жёстком надзоре и отражает насущные потребности в защите конфиденциальности» – сказал Chen Yu, партнёр юридической фирмы King & Capital.
Однако суровые наказания вызвали возражения со стороны предприятий, поскольку многие выразили обеспокоенность тем, что законопроект может предоставить местным властям чрезмерные возможности для применения наказания.
Некоторые отраслевые источники и эксперты по правовым вопросам заявили, что проект документа не даёт чёткого объяснения того, какой департамент должен руководить исполнением закона. Согласно проекту, надзор за защитой конфиденциальности будет осуществляться несколькими центральными правительственными агентствами, а также местными правительственными ведомствами, что может привести к дублированию надзора, считают эксперты.
Некоторые эксперты сказали, что Китай должен последовать примеру ЕС в создании единого регулирующего агентства, которое возьмет на себя всеобъемлющий надзор. Но другие заявили, что создание единого регулирующего органа будет трудным на практике, поскольку потребует масштабных перестановок в правительстве.
Fang сказал, что для Китая более реальным способом было бы создать регулирующий орган, который взял бы на себя единую ответственность за установление правил и стандартов и контролировал бы соблюдение законов местными властями.
«Существует более 20 центральных правительственных агентств, на которые возложены обязанности по защите конфиденциальности, и у каждого из них есть местные отделения вплоть до уровня округа» – сказал Wang Rong, эксперт по политике данных в исследовательском институте Tencent. «Предоставление им большой правоохранительной силы создаст поле битвы интересов».
Статья о намерении Китаем принять Закон «О защите личной информации» подготовлена Порталом PRC.TODAY по материалам сотрудников агентства Caixin – Qin Jianhang, Qian Tong и Han Wei.
Читайте также:
Новый закон легализует цифровой юань
Китай обдумывает суровые наказания в новом Законе «О защите данных»
