De Personal Information Protection Law trad op 1 november 2021 in werking. Zij geldt voor de verwerking van persoonsgegevens van natuurlijke personen op het Chinese vasteland en in bepaalde gevallen voor verwerking in het buitenland die op hen gericht is. Voor elk gebruik is een rechtsgrond nodig; voor gevoelige persoonsgegevens is afzonderlijke toestemming vereist. Bij verwerking met een hoger risico, waaronder doorgifte buiten het vasteland, is een effectbeoordeling voor de bescherming van persoonsgegevens vereist.
Grensoverschrijdende doorgifte
Artikel 38 noemt de routes voor doorgifte van persoonsgegevens naar het buitenland: een veiligheidsbeoordeling door de Cyberspace Administration of China, certificering voor gegevensbescherming door een beroepsorganisatie volgens CAC-regels, een standaardcontract met de buitenlandse ontvanger in de door de CAC voorgeschreven vorm, of een andere wettelijk of door de CAC bepaalde voorwaarde. De Measures on the Standard Contract for Outbound Transfer of Personal Information traden op 1 juni 2023 in werking. Zij vereisen dat het getekende contract en de effectbeoordeling binnen tien werkdagen nadat het contract ingaat, bij de provinciale cyberspace-administratie worden ingediend. Artikel 39 verlangt dat de betrokkene hoort wie de gegevens ontvangt, met welk doel en hoe rechten kunnen worden uitgeoefend, en afzonderlijk instemt. Voor doorgifte naar Hongkong binnen de Greater Bay Area biedt het GBA-standaardcontract een eenvoudiger vorm van dezelfde route.
Waarom dit belangrijk is
Een Hongkongse onderneming die een inwoner van het vasteland als klant aanneemt, of stukken van een onderneming op het vasteland ontvangt waarin de wettelijke vertegenwoordiger en aandeelhouders staan, ontvangt persoonsgegevens van daar. Zonder ingediende doorgifteroute schendt de verzender op het vasteland de regels en kan de ontvanger in Hongkong niet aan zijn auditor laten zien hoe de gegevens zijn aangekomen.
Hoe Fill Easy hierbij helpt
Fill Easy (Nansha) heeft een standaardcontract voor grensoverschrijdende doorgifte van persoonsgegevens ingediend (indieningsnummer 202500031). Klanten ontvangen onder die indiening via China Cross-Border Data gegevens van het vasteland in Hongkong. De toestemming van de persoon wordt tijdens de controle vastgelegd en de klant hoeft zelf niets in te dienen. De pagina over PIPL en het GBA-standaardcontract geeft de details.