Ini mungkin merupakan undang-undang perlindungan maklumat peribadi yang paling ketat di seluruh dunia.

Undang-undang Perlindungan Maklumat Peribadi (“PIPL”) pertama China telah diisytiharkan pada 21 Ogos 2021 dan berkuat kuasa pada 1 Nov. 2021.

Undang-undang ini mempunyai total 74 artikel. 15 Perkara utama undang-undang yang paling perlu diperhatikan adalah seperti berikut.

1. Adakah PIPA China berlaku untuk syarikat asing?

Selagi anda mengendalikan maklumat peribadi orang semula jadi di China, anda perlu mematuhi PIPA. (Artikel 3)

Undang-undang ini juga berlaku untuk kegiatan di luar China yang menangani maklumat peribadi orang semula jadi yang berada di China dalam keadaan berikut

(1) kegiatannya adalah untuk menyediakan produk atau perkhidmatan kepada orang-orang alami di China.

(2) kegiatannya adalah untuk menganalisis dan menilai tingkah laku orang semula jadi di China.

(3) keadaan lain yang ditentukan oleh undang-undang dan peraturan pentadbiran China yang lain.

2. Bolehkah maklumat peribadi di China dipindahkan ke luar China?

Ya, dengan syarat dua prasyarat berikut dipenuhi.

Pertama, pemindahan tersebut telah diluluskan oleh pihak berkuasa pengawalseliaan China. (Artikel 38)

Kedua, pemproses maklumat peribadi telah mendapat persetujuan berasingan dari orang itu untuk tujuan ini. (Artikel 39)

3. Bolehkah maklumat peribadi yang dikumpulkan dan dihasilkan di China disimpan di luar China?

Pada prinsipnya, tidak. (Artikel 40)

Pertama, pengendali infrastruktur maklumat kritikal hanya dapat menyimpan maklumat peribadi di China.

Kedua, jika pemproses maklumat peribadi menangani maklumat peribadi sehingga jumlah yang ditentukan oleh pihak berkuasa, pihaknya hanya dapat menyimpan maklumat peribadi di China.

4. Adakah entiti asing akan dihukum kerana melanggar PIPA China?

Ya.

Pihak berkuasa pengawalseliaan China boleh memasukkannya ke dalam senarai maklumat peribadi yang dilarang atau dilarang, dan menyekat atau melarang subjek lain memberikan maklumat peribadi kepada mereka. (Artikel 42)

5. Bolehkah organ kehakiman asing dan agensi penguatkuasaan undang-undang meminta akses ke maklumat peribadi yang disimpan di China?

Organ kehakiman asing hanya dapat memperoleh maklumat peribadi tersebut melalui bantuan kehakiman. (Artikel 41)

Pemproses maklumat peribadi tidak akan memberikan maklumat peribadi tersebut kepada badan kehakiman atau penguatkuasa undang-undang asing tanpa persetujuan pihak berkuasa China yang berwibawa.

6. Bagaimana China menyelesaikan konflik dengan peraturan perlindungan maklumat peribadi asing?

Sekiranya mana-mana negara atau wilayah mengambil larangan diskriminasi, sekatan, atau tindakan serupa lainnya terhadap China dalam melindungi maklumat peribadi, China dapat mengambil tindakan timbal balik terhadap negara atau wilayah tersebut sesuai dengan keadaan sebenarnya. (Artikel 43)

7. Apakah jenis maklumat yang diatur oleh PIPA China?

Maklumat peribadi. Sekiranya maklumat itu dapat dikenal pasti berkaitan dengan orang semula jadi tertentu, maka itu adalah maklumat peribadi. (Artikel 4)

8. Apakah jenis aktiviti yang diatur oleh PIPA China?

Pengendalian maklumat peribadi meliputi pengumpulan, pemulihan, penggunaan, proses, transmisi, penyediaan, pendedahan, dan penghapusan maklumat peribadi. (Artikel 4)

9. Dalam keadaan apa maklumat peribadi dapat diproses?

Pemproses maklumat peribadi boleh memproses maklumat peribadi dalam dua kes: di mana persetujuan individu yang berkenaan telah diperoleh; atau di mana persetujuan individu tidak diperlukan untuk pemprosesan maklumat.

Kes, di mana persetujuan individu tidak diperlukan, termasuk:

(1) Pemproses maklumat peribadi menyimpulkan kontrak dengan orang semula jadi dan pengumpulan maklumat peribadi diperlukan untuk pelaksanaan kontrak;

(2) Sebuah syarikat mengumpulkan maklumat pekerja yang diperlukan untuk pengurusan sumber manusia.

(3) Maklumat peribadi dikumpulkan untuk bertindak balas terhadap kecemasan kesihatan.

(4) Maklumat peribadi dikumpulkan untuk liputan akhbar untuk kepentingan umum.

(5) Maklumat peribadi yang telah diumumkan kepada umum (terhad kepada tujuan tertentu).

10. Bagaimana pemproses maklumat peribadi mendapat persetujuan individu?

Sebelum mengendalikan maklumat peribadi, pemproses maklumat peribadi harus memberitahu individu mengenai maklumat berikut dengan setia, tepat, dan lengkap, dengan cara yang menonjol dan dalam bahasa yang jelas dan dapat difahami:

(1) Identiti pemproses maklumat peribadi.

(2) Bagaimana maklumat peribadi akan diproses.

(3) Bagaimana individu tersebut akan menggunakan haknya berkenaan dengan maklumat peribadi.

11. Apa hak yang dimiliki seseorang berkenaan dengan maklumat peribadinya?

Individu mempunyai hak untuk mengetahui dan memutuskan pengendalian maklumat peribadi mereka. (Artikel 44)

Untuk menjadi khusus,

(1) Individu mempunyai hak untuk memeriksa dan menyalin maklumat peribadinya dari orang yang mengendalikan maklumat peribadinya; (Artikel 45)

(2) Individu berhak meminta pemproses maklumat peribadi untuk memperbetulkan atau menambah maklumat peribadinya jika mereka mendapati maklumat tersebut tidak tepat atau tidak lengkap; (Artikel 46)

(3) Individu berhak menarik persetujuan mereka setiap saat (Pasal 15)

(4) Individu tersebut berhak meminta pemproses maklumat peribadi untuk menjelaskan dan memperjelas peraturan untuk mengendalikan maklumat peribadi mereka. (Artikel 48)

12. Bagaimanakah organ negara mengendalikan maklumat peribadi?

Organ-organ negara boleh mengendalikan maklumat peribadi untuk tujuan menjalankan tugas hukum mereka, tetapi mereka mesti melakukannya sesuai dengan wewenang dan prosedur yang sah. (Artikel 34)

Organ-organ negara hendaklah memberitahu individu mengenai pengendalian maklumat peribadinya. Walau bagaimanapun, organ-organ negeri tidak boleh memberitahu individu tersebut sekiranya undang-undang menetapkan bahawa pengendalian tersebut harus dirahsiakan. (Artikel 35, Artikel 18)

13. Bolehkah pemproses maklumat peribadi mengumpulkan maklumat peribadi di tempat awam?

Ya, mereka dapat, dengan syarat syarat berikut harus dipenuhi (Pasal 26):

(1) pengumpulannya diperlukan untuk keselamatan awam;

(2) koleksi sesuai dengan ketentuan hukum yang relevan;

(3) koleksi menetapkan peringatan yang menonjol.

14. Bolehkah pemproses maklumat peribadi menggunakan maklumat peribadi untuk membuat keputusan perniagaan?

Ya, tetapi mereka harus memastikan ketelusan keputusan dan keadilan dan kesaksamaan keputusan. (Artikel 24)

Untuk menjadi khusus:

(1) Pemproses maklumat peribadi tidak boleh menawarkan syarat perdagangan yang diperibadikan kepada individu, seperti diskriminasi harga.

(2) Individu boleh menolak pendorong maklumat peribadi dan pemasaran komersial oleh pemproses maklumat peribadi kepada mereka.

(3) Individu boleh menolak keputusan automatik yang dibuat oleh pemproses maklumat peribadi kepada mereka.

15. Siapa pengawal selia untuk perlindungan maklumat peribadi di China?

Pentadbiran Cyberspace China dan rakan-rakannya dalam pemerintahan tempatan adalah pihak berkuasa pengawalseliaan di daerah ini.