04/11/'21 - De eerste privacywet van China is een feit. Als u denkt aan China, denkt u misschien niet als eerste aan privacywetgeving. Desondanks heeft China sinds kort een wet met algemene principes en doelstellingen om de persoonsgegevens van haar burgers te beschermen tegenover zowel bedrijven als overheidsinstanties. Maar wat houdt deze wet precies in? En welk gevolg heeft dit voor internationale bedrijven? In deze blog wordt ingegaan op deze vragen.
De Wet op de bescherming van persoonsgegevens (in het Engels: Personal Information Protection Law, hierna: PIPL) van de Volkrepubliek China is ingegaan op 1 november 2021. Het is niet de eerste keer dat China zich ontfermt over de bescherming van persoonlijke informatierechten. Al in 2001 werd de Nationale Informatisering Leiding Groep (NILG) opgericht om een wetgevingsproces voor de bescherming van persoonsgegevens vorm te geven. De ontwerpen van de NILG kwamen desondanks niet rechtstreeks voor in het wetgevingsproces.
Toch heeft de Chinese regelgeving op het gebied van bescherming van persoonlijke informatie niet stil gestaan. Zo werd in 2009 het wetboek van strafrecht gewijzigd door misdrijven met betrekking tot persoonlijke informatie toe te voegen. Daarna werden ook het burgerlijk wetboek en de cyberbeveiligingswet aangepast ter bescherming van consumentenbelangen. Ondanks deze pogingen hadden deze maatregelen alleen effect op een specifieke sector of waren te algemeen om uitgevoerd te worden. Dit is met de nieuwe privacywet van 1 november 2021 veranderd.
Allereerst is het van belang om te weten dat de nieuwe wet vooral algemene principes, mandaten, doelstellingen en verantwoordelijkheden vastlegt. Chinese regelgevers zoals de Cyberspace Administration of China (CAC) zullen verdere technische normen en specificaties gaan maken. Hierdoor is de PIPL minder gedetailleerd dan bijvoorbeeld de Algemene Verordening Gegevensbescherming (hierna: AVG). Ook is de focus van de wet breder dan bij de AVG. Hij is namelijk niet alleen gericht op de bescherming van individuen, maar ook op de bescherming van de samenleving en de nationale veiligheid van China.
De nieuwe wet op de bescherming van persoonsgegevens is van belang op verschillende niveaus. Ten eerste biedt de wet bescherming voor de Chinese burgers tegenover bedrijven en overheidsinstanties. Dat de wet ook ingeroepen kan worden tegenover overheidsinstanties, kan als opmerkelijk worden beschouwd. De Chinese overheid verzamelt namelijk veel privacygevoelige gegevens over haar burgers, denk bijvoorbeeld aan het sociale puntensysteem. Echter, in tegenstelling tot de Europese AVG en het bijpassende Europese Comité voor Gegevensbescherming, is er geen overkoepelende internationale onafhankelijke toezichthouder op de PIPL. Het toezicht wordt overgedragen aan de CAC, dat tevens ook regelgevende bevoegdheid bezit.
De PIPL is daarnaast relevant voor Chinese én internationale bedrijven. De wet stimuleert namelijk in artikel 12 de totstandkoming van internationale uitwisselingen en samenwerkingen op het gebied van de bescherming van persoonsgegevens. Dit streven naar internationale samenwerking staat in contrast met de dreiging tegenover internationale organisaties en bedrijven. De Chinese regering is in staat zwarte lijsten op te stellen van internationale verwerkingsverantwoordelijken en verwerkers die verboden Chinese persoonsgegevens verwerken. Ook zou er wederkerige maatregelen tegen landen kunnen worden genomen als reactie op ‘discriminerende’ regelgevende maatregelen tegenover China of Chinese bedrijven.
De PIPL heeft niet dus niet alleen gevolgen binnen China. Het heeft ook veel gevolgen voor bedrijven en organisaties die buiten China zijn gevestigd, aangezien de Chinese privacywetgeving volgens artikel 38 van toepassing blijft op buitenlandse organisaties die persoonlijke informatie van Chinese burgers verwerken. Grote internationale bedrijven zullen als gevolg een eigen China PIPL-compliancestrategie nodig hebben en bijvoorbeeld een functionaris voor gegevensbescherming binnen China moeten aanwijzen.
Al met al zijn er veel signalen dat de Chinese overheid geïnteresseerd is in internationale afspraken over gegevensoverdracht. De wet van 1 november 2021 geeft nieuwe energie voor officiële deelname aan internationale regelgeving en aan de bevordering van wederzijdse erkenning van regels over gegevensbescherming.
Wij zijn benieuwd naar de verdere ontwikkeling van het Chinese privacyrecht. Ook voor Europese bedrijven en organisaties is het een interessant onderwerp om in de gaten te houden. Wilt u meer weten over deze nieuwe wet of over internationale privacywetgeving in het algemeen? Neem dan contact met ons op.