Требования к защите данных и мерам кибербезопасности в Китае

Три закона — три кита

Первое, что нужно усвоить любому иностранному директору: в Китае нет единого «закона о данных». Есть три мощных столпа: Закон о кибербезопасности (CSL, 2017), Закон о защите личной информации (PIPL, 2021) и Закон о безопасности данных (DSL, 2021). Эта связка работает как хорошо отлаженный механизм, и если какой-то винтик ломается, стопорится вся машина бизнеса.

Многие мои клиенты, особенно стартапы, поначалу думали: «Ну, мы маленькие, какие к нам требования?» И это, скажу я вам, грубейшая ошибка. Закон работает не по принципу «размера компании», а по принципу «типа данных». Если вы собираете телефоны клиентов или, не дай бог, геолокацию, вы уже под прицелом. Например, один наш клиент — приложение для доставки еды — считал, что адрес доставки — это «не персональные данные». Когда к ним пришла проверка, они схватились за голову. Пришлось срочно переписывать политики и закупать серверы в Шанхае.

Особая боль — это перекрестное применение законов. PIPL напоминает GDPR, но с китайской спецификой. Например, требование получить «отдельное согласие» (separate consent) на каждый тип обработки данных. Это вам не общая галочка, это реальная бюрократия. DSL же добавляет классификацию данных: если у вас есть «важные данные» (important data) из списков отраслевых регуляторов — готовьте отчет о безопасности и помните, что вывозить их за границу можно только после прохождения проверки. Три закона — это треугольник, который сжимается вокруг бизнеса, и вы должны знать, какая сторона давит сильнее всего в вашем конкретном случае.

Локализация: миф или реальность?

Вокруг термина «локализация данных» ходит столько мифов, что у инвесторов глаза на лоб лезут. Скажу сразу: полного и тотального запрета на вывоз данных нет. Но есть процедура. А процедура, как вы знаете, в Китае — это отдельный вид искусства.

Согласно PIPL, ключевое требование: собирать личные данные в Китае вы обязаны на серверах, расположенных на материковой части страны. Если вы планируете передавать их за рубеж (головному офису, партнеру), вы обязаны пройти либо оценку влияния на защиту данных (DPIA, тут еще и правительственное агентство может вмешаться), либо получить сертификацию по CSSTA. Это не просто бумажка — это аудит ваших IT-систем, бизнес-процессов и даже договоров с вендорами.

Помню случай с одной немецкой софтверной компанией: они 6 месяцев пытались вывезти логи технических ошибок для анализа в штаб-квартиру в Мюнхене. Их адвокаты говорили: «Это же технические данные, без личной информации!» — но местный регулятор смотрел на IP-адреса, которые привязываются к устройству пользователя — а это уже персональные данные. Совет от Лю: не пытайтесь играть в «умный вывоз» — игра стоит свеч. Лучше сразу арендовать мощное облако у Alibaba или Tencent. Они, кстати, уже имеют все нужные лицензии и сертификаты, и это снимает кучу головной боли.

Криптография — не просто IT

Еще один «подводный камень» — это криптография. В Китае действует Закон о криптографии (Cryptography Law, 2020), который делит коды на три типа: коммерческие, государственные и сверхсекретные. Для бизнеса важны коммерческие алгоритмы — их можно использовать свободно. Но тут есть нюансы.

Во-первых, если вы используете свои собственные алгоритмы (например, шифрование внутри корпоративного мессенджера), они должны пройти тестирование в аккредитованной лаборатории. Во-вторых, если вы продаете продукт с встроенным шифрованием, вы обязаны получить лицензию на продажу коммерческих криптопродуктов (Commercial Cryptography Product Sales License). Это долгий путь с документами и финансовыми гарантиями.

У нас была история с финтех-стартапом. Они вшили в свое приложение энд-ту-энд шифрование на базе стандарта, одобренного в США. Когда дошло до дела, оказалось, что этот алгоритм не внесен в китайский реестр разрешенных. Пришлось экстренно менять ядро безопасности, что обошлось в несколько миллионов юаней и месяц задержки запуска. Криптография — это не просто защита, это элемент «цифрового суверенитета» Китая. Игнорируя это, вы рискуете получить отказ не только в выдаче лицензии, но и в доступе к государственным контрактам.

Аудит безопасности: добровольно-принудительно

Для многих компаний, особенно среднего бизнеса, новостью становится требование проходить обязательный аудит безопасности (Security Assessment) при передаче данных за границу. Формально он «добровольный», но если вы обрабатываете данные более 1 миллиона человек или имеете дело с «важными» данными — выбора у вас нет.

Процедура аудита, описанная в «Measures for Data Cross-Border Transfer Security Assessment», похожа на экзамен в университете: вам нужно предоставить 10-15 документов, включая описание системы, карту потоков данных, договоры с третьими лицами и план управления рисками. Сроки — от 3 до 6 месяцев. Компании, которые этого не делают, автоматически попадают в «серую зону», и любой скандал с утечкой может стать уголовным делом.

Мои коллеги часто спрашивают: «А если у меня офис в Гонконге? Можно через него перегонять данные?» Отвечу: не советую. Гонконг после 2021 года не является «посредником» для PIPL — он рассматривается как отдельная юрисдикция. Передача в Гонконг — это точно такая же трансграничная передача, как и в Москву или Нью-Йорк. Поэтому не ищите лазеек — стройте процесс.

Роль сотрудника: DPO в законе

PIPL требует, чтобы компании, занимающиеся обработкой значительных объемов данных, назначали ответственного за защиту информации — DPO (Data Protection Officer). Это не просто «назначить Васю Пупкина» — это человек, который должен иметь прямой доступ к высшему руководству и ресурсы для выполнения обязанностей.

Для иностранцев тут есть культурный нюанс. В западных компаниях DPO часто является техническим специалистом. В Китае — это еще и политическая фигура. Он должен быть китайцем (резидентом), разбираться не только в IT, но и в законодательстве, и в административных процедурах. Ваш DPO — это ваш «дипломат» с регулятором. Если у вас нет такого человека внутри, лучше нанять внешнего консультанта.

Я помню, как одна торговая платформа пыталась сэкономить и назначила DPO своего клерка из отдела кадров. Когда пришла проверка, он не смог ответить на вопрос: «Как вы обеспечиваете права субъекта данных на удаление информации?» — на что проверяющий просто выписал предписание и предупреждение. DPO — это не декорация, это критическая роль, и ее назначение должно быть вынесено на совет директоров.

Санкции: от штрафа до блокировки

Для инвестора самый главный вопрос: «А что мне будет?» Ответ прост, как грабли: будет плохо. Максимальный штраф по PIPL может достигать 50 миллионов юаней (около 7 миллионов долларов) или 5% от оборота за предыдущий год. Это не предел — для грубых нарушений возможна конфискация дохода, приостановка деятельности или даже блокировка сайта/приложения.

Важно понимать разницу: штрафы накладываются не на юридическое лицо в целом, а на «ответственных лиц» — генерального директора и DPO. В практике уже были случаи, когда топ-менеджеров лишали права занимать должности на 3-5 лет. Так что не думайте, что «фирма заплатит» — заплатите лично вы.

Кроме денег, есть репутационный ущерб. В 2023 году одно приложение для знакомств попало под санкции за утечку адресов пользователей — его заблокировали на 3 месяца. За это время компания потеряла 80% активной аудитории и так и не восстановилась. Соблюдение законов о данных — это не просто защита от штрафа, это защита вашего бизнеса как такового.