Het is misschien wel een van de strengste wetgeving ter bescherming van persoonlijke informatie ter wereld.

China's eerste wet inzake de bescherming van persoonlijke informatie ("PIPL") werd afgekondigd op 21 augustus 2021 en trad in werking op 1 november 2021.

De wet heeft in totaal 74 artikelen. De 15 belangrijkste punten van de wet die het vermelden waard zijn, zijn de volgende.

1. Geldt de Chinese PIPA voor buitenlandse bedrijven?

Zolang je de persoonsgegevens van natuurlijke personen binnen China verwerkt, moet je PIPA naleven. (Artikel 3)

De wet is ook van toepassing op activiteiten buiten China die omgaan met de persoonlijke informatie van natuurlijke personen die zich in China bevinden onder een van de volgende omstandigheden:

(1) de activiteiten zijn het leveren van producten of diensten aan natuurlijke personen in China.

(2) de activiteiten zijn het analyseren en evalueren van het gedrag van natuurlijke personen in China.

(3) andere omstandigheden gespecificeerd door andere Chinese wetten en administratieve voorschriften.

2.Kunnen persoonlijke gegevens in China buiten China worden overgedragen?

Ja, mits aan de volgende twee voorwaarden is voldaan.

Ten eerste is de overdracht goedgekeurd door de Chinese regelgevende instanties. (Artikel 38)

Ten tweede heeft de verwerker van de persoonsgegevens hiervoor de afzonderlijke toestemming van die persoon verkregen. (Artikel 39)

3.Kunnen persoonlijke gegevens die in China zijn verzameld en gegenereerd buiten China worden opgeslagen?

In principe niet. (Artikel 40)

Ten eerste kunnen exploitanten van kritieke informatie-infrastructuur persoonlijke informatie alleen binnen China opslaan.

Ten tweede, als een verwerker van persoonlijke informatie persoonlijke informatie verwerkt tot het bedrag dat is gespecificeerd door de regelgevende autoriteiten, kan deze persoonlijke informatie alleen binnen China opslaan.

4.Zullen buitenlandse entiteiten worden gestraft voor het schenden van de Chinese PIPA?

Ja.

De Chinese regelgevende instanties kunnen ze opnemen in de lijst met beperkte of verboden persoonlijke informatie, en andere personen beperken of verbieden om persoonlijke informatie aan hen te verstrekken. (Artikel 42)

5. Kunnen buitenlandse gerechtelijke organen en wetshandhavingsinstanties toegang vragen tot persoonlijke informatie die in China is opgeslagen?

Buitenlandse rechterlijke instanties kunnen dergelijke persoonsgegevens alleen verkrijgen door middel van rechtsbijstand. (Artikel 41)

De verwerker van persoonlijke informatie zal dergelijke persoonlijke informatie niet verstrekken aan buitenlandse gerechtelijke of wetshandhavingsinstanties zonder de goedkeuring van de bevoegde Chinese autoriteiten.

6. Hoe lost China conflicten met buitenlandse regels voor de bescherming van persoonlijke informatie op?

Als een land of regio discriminerende verboden, beperkingen of andere soortgelijke maatregelen tegen China neemt ter bescherming van persoonlijke informatie, kan China wederzijdse maatregelen nemen tegen dat land of die regio in overeenstemming met de feitelijke situatie. (Artikel 43)

7.Wat voor soort informatie reguleert de Chinese PIPA?

Persoonlijke informatie. Als de informatie kan worden geïdentificeerd als betrekking hebbend op een specifieke natuurlijke persoon, dan is het persoonlijke informatie. (Artikel 4)

8.Wat voor soort activiteiten reguleert de Chinese PIPA?

De verwerking van persoonlijke informatie omvat het verzamelen, herstellen, gebruiken, verwerken, verzenden, verstrekken, openbaar maken en verwijderen van persoonlijke informatie. (Artikel 4)

9.Onder welke omstandigheden kunnen persoonsgegevens worden verwerkt?

De verwerker van persoonsgegevens kan in twee gevallen persoonsgegevens verwerken: wanneer de toestemming van de betrokkene is verkregen; of wanneer de toestemming van de persoon niet vereist is voor de verwerking van de informatie.

Gevallen waarin individuele toestemming niet vereist is, zijn onder meer:

(1) De verwerker van persoonsgegevens sluit een overeenkomst met een natuurlijke persoon en het verzamelen van persoonsgegevens is noodzakelijk voor de uitvoering van een overeenkomst;

(2) Een bedrijf verzamelt de nodige werknemersinformatie voor personeelsbeheer.

(3) Persoonlijke informatie wordt verzameld om te reageren op een gezondheidsnoodsituatie.

(4) Persoonlijke informatie wordt verzameld voor berichtgeving in de pers voor het algemeen belang.

(5) Persoonlijke informatie die openbaar is gemaakt (beperkt tot een specifiek doel).

10.Hoe verkrijgt een verwerker van persoonsgegevens de toestemming van een individu?

Alvorens persoonsgegevens te verwerken, zal de verwerker van persoonsgegevens de betrokkene informeren over de volgende informatie getrouw, nauwkeurig en volledig, op een opvallende manier en in duidelijke en begrijpelijke taal:

(1) De identiteit van de verwerker van persoonsgegevens.

(2) Hoe de persoonlijke informatie zal worden verwerkt.

(3) Hoe het individu zijn/haar rechten met betrekking tot persoonlijke informatie zal uitoefenen.

11.Welke rechten heeft een individu met betrekking tot zijn of haar persoonlijke informatie?

Individuen hebben het recht om te weten en te beslissen over de behandeling van hun persoonlijke informatie. (Artikel 44)

Om specifiek te zijn,

(1) Individuen hebben het recht om hun persoonlijke informatie in te zien en te kopiëren van de persoon die met hun persoonlijke informatie omgaat; (Artikel 45)

(2) Individuen hebben het recht om de verwerker van persoonlijke informatie te verzoeken hun persoonlijke informatie te corrigeren of aan te vullen als ze de informatie onnauwkeurig of onvolledig vinden; (Artikel 46)

(3) De personen hebben het recht om hun toestemming te allen tijde in te trekken (Artikel 15)

(4) De personen hebben het recht om de verwerker van persoonsgegevens te verzoeken de regels voor het omgaan met hun persoonsgegevens uit te leggen en te verduidelijken. (Artikel 48)

12. Hoe gaan staatsorganen om met persoonlijke informatie?

Staatsorganen mogen persoonsgegevens verwerken om hun wettelijke taken uit te voeren, maar zij moeten dit doen in overeenstemming met de wettelijke bevoegdheden en procedures. (Artikel 34)

Staatsorganen informeren personen over de omgang met hun persoonsgegevens. De staatsorganen mogen de personen echter niet informeren als de wet bepaalt dat een dergelijke behandeling vertrouwelijk moet worden behandeld. (Artikel 35, Artikel 18)

13. Kunnen verwerkers van persoonlijke informatie persoonlijke informatie verzamelen op openbare plaatsen?

Ja, dat kan, mits aan de volgende voorwaarden wordt voldaan (artikel 26):

(1) de inzameling is noodzakelijk voor de openbare veiligheid;

(2) de collectie voldoet aan de relevante wettelijke bepalingen;

(3) de collectie zorgt voor een prominente herinnering.

14. Mag een verwerker van persoonlijke informatie persoonlijke informatie gebruiken om zakelijke beslissingen te nemen?

Ja, maar zij zullen de transparantie van de beslissing en de eerlijkheid en onpartijdigheid van de resultaten waarborgen. (Artikel 24)

Om specifiek te zijn:

(1) Verwerkers van persoonlijke informatie bieden geen gepersonaliseerde handelsvoorwaarden aan individuen, zoals prijsdiscriminatie.

(2) Individuen kunnen gepersonaliseerde informatiepush en commerciële marketing door verwerkers van persoonlijke informatie weigeren.

(3) Individuen kunnen geautomatiseerde beslissingen van verwerkers van persoonsgegevens aan hen weigeren.

15.Wie is de regelgevende instantie voor de bescherming van persoonlijke informatie in China?

De Cyberspace Administration van China en zijn tegenhangers in lokale overheden zijn de regelgevende instanties op dit gebied.