01
يبدأ الامتثال ببطاقة البيانات
تصف الشركة فئات البيانات والموضوعات والأغراض والأنظمة ومواقع الخوادم والمستلمين وفترات الاحتفاظ والتدفقات الدولية. عندها فقط يمكن تحديد PIPL والبيانات الهامة ولوائح الصناعة ومسار تصدير البيانات.
- المواضيع
- العملاء والموظفين والمرشحين وممثلي الطرف المقابل والزوار
- الأنظمة
- CRM وHRIS وERP والبريد الإلكتروني والسحابة وCCTV والموقع الإلكتروني وتطبيقات الهاتف المحمول
- المستلمون
- البائعين الصينيين والشركة الأم ومقدمي الخدمات العالميين
- تيارات
- جمع → استخدام → توفير → تصدير → حذف
02
الموافقة ليست هي الأساس الوحيد، ولكن لا يمكن أن تكون ضمنية
ينص PIPL على عدة أسباب: الموافقة، والحاجة إلى إبرام أو تنفيذ اتفاقية مع فرد، وإدارة الموارد البشرية وفقًا للقواعد المقررة قانونًا، والوفاء بالتزام قانوني، وحماية الحياة والصحة، وبعض السيناريوهات العامة وغيرها من الأسباب القانونية.
- هدف
- محددة وواضحة ومعقولة
- التقليل
- فقط الحجم اللازم للغرض المعلن
- الموعد النهائي
- لا يعد ذلك ضروريًا ما لم يكن التخزين مطلوبًا بموجب القانون
- تغيير الهدف
- إعادة تقييم الإشعار والموافقة والعقود
03
يجب أن يسبق الإشعار المعالجة
قبل المعالجة، يتم إبلاغ الموضوع بهوية المعالج وجهة الاتصال والأغراض والأساليب والفئات وفترة الاحتفاظ وإجراءات ممارسة الحقوق. يجب أن تكون الموافقة مستنيرة وطوعية وقابلة للإثبات؛ مطلوب موافقة منفصلة للسيناريوهات المطلوبة قانونا.
يتطلب موقع الويب والعقد وإدارة علاقات العملاء وتسجيل المكالمات والتسويق والتحويل الدولي نظامًا متسقًا من الإشعارات والأسباب، وليس عبارة عامة واحدة.
04
يتطلب PI الحساس حاجة محددة
إن القياسات الحيوية والمعتقدات الدينية والمعرفات الخاصة والمعلومات الطبية والمالية والموقع الدقيق والبيانات الخاصة بالقاصرين الذين تقل أعمارهم عن 14 عامًا معرضة لخطر متزايد. هناك حاجة إلى غرض محدد وحماية صارمة وموافقة منفصلة وإشعار خاص بالتأثير على الحقوق.
05
المعالجة المنوطة المنفصلة والمشاركة المستقلة
إذا قام المقاول بمعالجة البيانات نيابةً عنه، فإن العقد يحدد الغرض والمدة والطريقة والفئات والحماية والحقوق والضوابط. عند تقديمها بشكل مستقل إلى معالج آخر، تكون هناك حاجة إلى معلومات منفصلة، وكقاعدة عامة، موافقة منفصلة.
- Due diligence
- الموقع والمقاولين من الباطن والأمن وتصدير البيانات
- DPA
- الأدوار والتعليمات والسرية والحوادث والحذف
- Audit
- حق التفتيش وإثبات الامتثال
- Exit
- إرجاع أو حذف البيانات وتأكيدها
06
الوصول عن بعد من الخارج - تصدير البيانات أيضًا
لا يمكن أن يقتصر التصدير على الإرسال الفعلي للملف فحسب، بل يمكن أيضًا أن يشمل وصول شركة أجنبية أم أو دعم سحابي إلى البيانات المخزنة في الصين. قبل النقل، يتم إجراء تقييم تأثير حماية PI، والإشعار، والموافقة المنفصلة إذا لزم الأمر، والاتفاق مع المستلم واختيار إجراء CAC.
بالنسبة للبيانات الهامة، يكون CII والتدفقات أعلى من العتبات المحددة.
SCC مع مستلم أجنبي بالإضافة إلى تقييم التأثير وتقديمه.
تمت الموافقة على إجراءات شهادة أمان PI.
فقط إذا كان الدفق يقع بوضوح ضمن استثناء قاعدة 2024.
07
يتم حساب العتبة بناءً على بيانات الفترة، وليس على إرسال واحد
تأخذ قواعد CAC لعام 2024 في الاعتبار حالة مشغل البنية التحتية الحيوية للمعلومات، ووجود البيانات المهمة والحجم الإجمالي للPI المقدمة في الخارج منذ 1 يناير من العام المقابل. بالنسبة للمعالج العادي، يتم تطبيق الإعفاءات والإجراءات المختلفة اعتمادًا على الحجم وPI الحساس.
يتم تضمين الأنظمة والمستلمين المرتبطين في الحساب، ويتم تحليل البيانات المهمة بشكل منفصل. يتم توثيق اختبار العتبة ومراجعته مع نمو الأعمال.
08
التدابير التنظيمية لا تقل أهمية عن تكنولوجيا المعلومات
- Governance
- الشخص المسؤول والسياسات والتسجيل والفحوصات المنتظمة
- Access
- أقل امتياز، MFA، التسجيل والمراجعة الدورية
- Protection
- التشفير والتجزئة والنسخ الاحتياطي وإدارة الثغرات الأمنية
- Incident
- الكشف والاحتواء وتقييم الضرر والإخطارات والأدلة
- Deletion
- الحدود الزمنية والاحتجاز القانوني والتدمير المؤكد
09
لا تصبح بيانات الموارد البشرية "داخلية" خارج PIPL
قد يكون لإدارة الموارد البشرية أساس خاص، لكن صاحب العمل لا يزال يحترم الإشعار والتقليل والسلامة وحقوق الموظفين. يتم تحليل نقل نظام معلومات الموارد البشرية العالمي أو كشوف المرتبات أو فحص الخلفية أو بيانات الأداء إلى الخارج كتيار منفصل.
10
Compliance roadmap
- 01
جرد البيانات وخريطة التدفقات الصينية والتدفقات عبر الحدود.
- 02
تصنيف PI، PI الحساسة والبيانات الهامة وبيانات الصناعة.
- 03
الأسباب والإشعارات وسجلات الموافقة وجدول الاحتفاظ.
- 04
العناية الواجبة للمورد، DPA وقواعد المعالجة الفرعية.
- 05
PIPIA واختيار تقييم الأمان أو SCC أو الشهادة أو الإعفاء.
- 06
الضوابط الأمنية وخطة الحوادث وتدريب الموظفين.