قانون حماية المعلومات الشخصية لجمهورية الصين الشعبية
(تم اعتماده في الاجتماع الثلاثين للجنة الدائمة للمجلس الوطني الثالث عشر لنواب الشعب الصيني في 30 أغسطس 20)
الفصل الأول
المادة 1: تم سن هذا القانون وفقًا للدستور لأغراض حماية الحقوق والمصالح المتعلقة بالمعلومات الشخصية وتنظيم أنشطة معالجة المعلومات الشخصية وتعزيز الاستخدام المعقول للمعلومات الشخصية.
المادة 2 يحمي القانون المعلومات الشخصية للأشخاص الطبيعيين. لا يجوز لأي منظمة أو فرد التعدي على حقوق الأشخاص الطبيعيين ومصالحهم على معلوماتهم الشخصية.
المادة 3 يطبق هذا القانون على معالجة المعلومات الشخصية للأشخاص الطبيعيين داخل أراضي جمهورية الصين الشعبية.
يسري هذا القانون أيضًا على المعالجة خارج أراضي جمهورية الصين الشعبية للمعلومات الشخصية للأشخاص الطبيعيين داخل أراضي جمهورية الصين الشعبية ، في أي من الظروف التالية:
(1) لغرض تقديم منتجات أو خدمات للأشخاص الطبيعيين داخل جمهورية الصين الشعبية ؛
(2) تحليل أو تقييم سلوكيات الأشخاص الطبيعيين داخل أراضي جمهورية الصين الشعبية ؛ و
(3) أي ظرف آخر على النحو المنصوص عليه في أي قانون أو لائحة إدارية.
تشير المادة 4 "المعلومات الشخصية" إلى المعلومات المختلفة المتعلقة بشخص طبيعي محدد أو يمكن التعرف عليه مسجلة إلكترونيًا أو بوسائل أخرى ، ولكنها لا تتضمن معلومات مجهولة المصدر.
تشمل معالجة المعلومات الشخصية جمع المعلومات الشخصية وتخزينها واستخدامها ومعالجتها ونقلها وتوفيرها والإفصاح عنها وحذفها ، من بين أمور أخرى.
المادة 5 تتم معالجة المعلومات الشخصية وفقًا للقانون عند الضرورة ، ولأسباب مبررة ، وبحسن نية ، وقد لا تنطوي المعالجة على التضليل والاحتيال والإكراه وما شابه.
المادة 6 يجب أن تستند معالجة المعلومات الشخصية إلى أغراض صريحة ومعقولة وذات صلة مباشرة بهذه الأغراض ، ويجب أن تمارس الحد الأدنى من التأثيرات على حقوق ومصالح الأفراد.
يجب أن يقتصر جمع المعلومات الشخصية على الحد الأدنى من النطاق الذي يتطلبه الغرض من المعالجة ، ولا يجوز جمع المعلومات الشخصية بشكل مفرط.
المادة 7 يجب مراعاة مبادئ الانفتاح والشفافية في معالجة المعلومات الشخصية ، ويجب الكشف عن قواعد معالجة المعلومات الشخصية ، ويجب الإشارة صراحة إلى الأغراض والوسائل ونطاق المعالجة.
المادة 8 يجب ضمان جودة المعلومات الشخصية في معالجة المعلومات الشخصية ، لتجنب الآثار السلبية على حقوق ومصالح الأفراد الناجمة عن المعلومات الشخصية غير الدقيقة وغير الكاملة.
المادة 9 يجب أن يكون معالجي المعلومات الشخصية مسؤولين عن أنشطة معالجة المعلومات الشخصية الخاصة بهم واتخاذ التدابير اللازمة لضمان أمن المعلومات الشخصية التي يقومون بمعالجتها.
المادة 10 لا يجوز لأي منظمة أو فرد جمع المعلومات الشخصية لأشخاص آخرين أو استخدامها أو معالجتها أو نقلها بشكل غير قانوني ، أو الاتجار بالمعلومات الشخصية لأشخاص آخرين أو توفيرها أو الكشف عنها بشكل غير قانوني ، أو الانخراط في أنشطة معالجة المعلومات الشخصية التي تعرض الأمن القومي أو الإضرار المصالح العامة.
المادة 11 يجب على الدولة إنشاء وتحسين نظام حماية المعلومات الشخصية لمنع التعدي على الحقوق والمصالح المتعلقة بالمعلومات الشخصية والمعاقبة عليها ، وتعزيز الدعاية والتثقيف بشأن حماية المعلومات الشخصية ، وتعزيز بيئة مواتية للحكومة والشركات والمنظمات الصناعية ذات الصلة ، والجمهور للمشاركة بشكل مشترك في حماية المعلومات الشخصية.
المادة 12 ستشارك الدولة بنشاط في تطوير القواعد الدولية لحماية المعلومات الشخصية ، وتعزيز التبادلات الدولية والتعاون في حماية المعلومات الشخصية ، وتشجيع الاعتراف المتبادل بقواعد ومعايير حماية المعلومات الشخصية ، من بين أمور أخرى ، مع البلدان والمناطق الأخرى ، والمنظمات الدولية.
الفصل الثاني قواعد معالجة المعلومات الشخصية
القسم 1 قواعد عامة
المادة 13 لا يمكن لمعالج المعلومات الشخصية معالجة المعلومات الشخصية للفرد إلا في حالة وجود إحدى الحالات التالية:
(1) تم الحصول على موافقة الفرد ؛
(2) المعالجة ضرورية لإبرام أو تنفيذ عقد يكون الفرد طرفًا فيه ، أو ضروريًا لإدارة الموارد البشرية وفقًا لقواعد وأنظمة العمل الموضوعة وفقًا للقانون والعقود الجماعية الموقعة وفقًا مع القانون
(3) المعالجة ضرورية لأداء الواجبات أو الالتزامات القانونية ؛
(4) المعالجة ضرورية للاستجابة لحالات الطوارئ الصحية العامة ، أو لحماية حياة وصحة وسلامة ممتلكات الأشخاص الطبيعيين في حالات الطوارئ ؛
(5) معالجة المعلومات الشخصية بشكل معقول لأغراض التقارير الإخبارية والإشراف على وسائل الإعلام والأنشطة الأخرى التي تتم للصالح العام ؛
(6) المعلومات الشخصية التي تم الكشف عنها من قبل الفرد نفسه أو المعلومات الشخصية الأخرى التي تم الكشف عنها قانونًا للفرد تتم معالجتها بشكل معقول وفقًا لهذا القانون ؛ و
(7) ظروف أخرى تنص عليها القوانين أو اللوائح الإدارية.
يجب الحصول على الموافقة الفردية لمعالجة المعلومات الشخصية إذا نصت أي أحكام أخرى ذات صلة في هذا القانون على ذلك ، باستثناء الظروف المحددة في الفقرات الفرعية من (2) إلى (7) من الفقرة السابقة.
المادة 14 عندما تعتمد معالجة المعلومات الشخصية على الموافقة الفردية ، يجب أن تكون الموافقة الفردية طوعية وصريحة ومستنيرة تمامًا. عندما ينص أي قانون أو لائحة إدارية أخرى على وجوب الحصول على موافقة فردية أو موافقة خطية من الفرد لمعالجة المعلومات الشخصية ، يتم تطبيق هذه الأحكام.
في حالة حدوث أي تغيير في أغراض أو وسائل معالجة المعلومات الشخصية ، أو فئة المعلومات الشخصية المعالجة ، يجب الحصول على موافقة جديدة من الفرد.
المادة 15 عندما تستند معالجة المعلومات الشخصية إلى الموافقة الفردية ، يحق للفرد سحب موافقته. يجب على معالجي المعلومات الشخصية توفير طرق ملائمة للأفراد لسحب موافقتهم.
لن يؤثر سحب الموافقة على صلاحية أنشطة المعالجة التي تتم بناءً على الموافقة قبل سحبها.
المادة 16 لا يجوز لمعالج المعلومات الشخصية رفض تقديم منتجات أو خدمات لفرد على أساس أن الفرد قد حجب موافقته على معالجة معلوماته الشخصية أو سحب موافقته على معالجة المعلومات الشخصية ، باستثناء الحالات التي تتم فيها معالجة المعلومات الشخصية ضرورية لتوفير المنتجات أو الخدمات.
المادة 17 يجب على معالج المعلومات الشخصية ، قبل معالجة المعلومات الشخصية ، أن يقوم بإبلاغ الفرد بالأمور التالية بصدق ودقة وكامل بطريقة سهلة الإشعار وبلغة واضحة وسهلة الفهم:
(1) الاسم ومعلومات الاتصال الخاصة بمعالج المعلومات الشخصية ؛
(2) أغراض ووسائل معالجة المعلومات الشخصية وفئات وفترات تخزين المعلومات الشخصية المراد معالجتها ؛
(3) أساليب وإجراءات الفرد في ممارسة حقوقه المنصوص عليها في هذا القانون. و
(4) الأمور الأخرى التي يجب إخطار الفرد بها على النحو المنصوص عليه في القوانين واللوائح الإدارية.
عندما تتغير أي مسألة على النحو المنصوص عليه في الفقرة السابقة ، يجب إبلاغ الفرد بالتغيير.
عندما يقوم معالج المعلومات الشخصية بإبلاغ الفرد بالأمور المحددة في الفقرة الأولى من خلال صياغة قواعد معالجة المعلومات الشخصية ، يجب أن تكون قواعد المعالجة علنية ويسهل الرجوع إليها وحفظها.
المادة 18 عند معالجة المعلومات الشخصية ، يُسمح لمعالجي المعلومات الشخصية بعدم إبلاغ الأفراد بالمسائل المحددة في الفقرة الأولى من المادة السابقة حيث تتطلب القوانين أو اللوائح الإدارية السرية أو لا تقدم أي شرط لمثل هذا الإخطار.
عندما يكون من المستحيل إخطار الأفراد في الوقت المناسب في محاولة لحماية حياة الأشخاص الطبيعيين وصحتهم وسلامة ممتلكاتهم في حالة الطوارئ ، يجب على معالجي المعلومات الشخصية إخطارهم دون تأخير بعد إزالة حالة الطوارئ.
المادة 19 ما لم تنص القوانين واللوائح الإدارية على خلاف ذلك ، يجب أن تكون فترة تخزين المعلومات الشخصية هي الحد الأدنى من الوقت اللازم لتحقيق الغرض من المعالجة.
المادة 20 عندما يحدد اثنان أو أكثر من معالجي المعلومات الشخصية بشكل مشترك أغراض ووسائل معالجة بعض المعلومات الشخصية ، يجب أن يتوصلوا إلى اتفاق بشأن حقوق والتزامات كل منهم في معالجة المعلومات الشخصية. ومع ذلك ، لا تؤثر هذه الاتفاقية على طلب أي فرد لأي فرد منهم لممارسة حقوقه على النحو المنصوص عليه في هذا القانون.
عندما ينتهك المعالج الحقوق والمصالح المتعلقة بالمعلومات الشخصية أثناء المعالجة المشتركة لبعض المعلومات الشخصية ويسبب أضرارًا ، فإن معالجي المعلومات الشخصية الآخرين يتحملون مسؤولية مشتركة ومتعددة وفقًا للقانون.
المادة 21 يجب أن يتوصل معالج المعلومات الشخصية الذي يعهد بمعالجة بعض المعلومات الشخصية إلى أحد الأطراف إلى اتفاق مع الطرف المفوض بشأن أغراض وفترة ووسائل المعالجة وفئات المعلومات الشخصية التي يتعين معالجتها وتدابير الحماية ، وكذلك حقوق والتزامات كلا الطرفين ، من بين أمور أخرى ، ويجب الإشراف على أنشطة معالجة المعلومات الشخصية للطرف المفوض.
يجب على الطرف المفوض معالجة المعلومات الشخصية وفقًا للاتفاقية ولا يجوز له معالجة المعلومات الشخصية بما يتجاوز الأغراض والوسائل والشروط الأخرى على النحو المتفق عليه. في حالة عدم سريان مفعول عقد التفويض ، أو عدم صلاحيته ، أو إلغاؤه أو إنهائه ، يجب على الطرف المفوض إعادة المعلومات الشخصية المعنية إلى معالج المعلومات الشخصية أو حذفها وعدم الاحتفاظ بالمعلومات الشخصية.
بدون موافقة معالج المعلومات الشخصية ، لا يجوز للطرف المفوض التعاقد من الباطن لمعالجة المعلومات الشخصية مع أي طرف آخر.
المادة 22 عندما يحتاج معالج المعلومات الشخصية إلى نقل المعلومات الشخصية بسبب الاندماج أو التقسيم أو الحل أو الإفلاس أو لأسباب أخرى ، يجب على المعالج إبلاغ الأفراد بالاسم ومعلومات الاتصال الخاصة بالمستلم للمعلومات الشخصية المنقولة. يجب أن يستمر المستلم في أداء التزامات معالج المعلومات الشخصية المذكور. يخضع أي تغيير للأغراض الأصلية أو وسائل المعالجة من قبل المتلقي للموافقة الفردية وفقًا لهذا القانون.
المادة 23 لتوفير معلومات شخصية لأي معالج آخر ، يجب على معالج المعلومات الشخصية إبلاغ الأفراد باسم المستلم ومعلومات الاتصال ، وأغراض ووسائل المعالجة وفئات المعلومات الشخصية المراد معالجتها ، ويجب أن يحصل الأفراد على بيانات منفصلة. موافقة. يجب على المستلم معالجة المعلومات الشخصية ضمن نطاق الأغراض والوسائل وفئات المعلومات الشخصية المذكورة أعلاه. يخضع أي تغيير في أغراض أو وسائل المعالجة من قبل المتلقي للموافقة الفردية وفقًا لهذا القانون.
المادة 24 يجب على معالجي المعلومات الشخصية الذين يستخدمون المعلومات الشخصية لاتخاذ القرار الآلي ضمان شفافية اتخاذ القرار وعدالة وحيادية النتائج ، ولا يجوز لهم تطبيق معاملة تفاضلية غير معقولة للأفراد من حيث أسعار المعاملات وشروط المعاملات الأخرى.
يجب أن يكون دفع المعلومات والتسويق التجاري للأفراد استنادًا إلى اتخاذ القرار الآلي مصحوبًا في نفس الوقت بخيارات غير محددة لخصائصهم الشخصية أو بوسائل ملائمة للأفراد للرفض.
عندما يتم اتخاذ قرار قد يكون له تأثير كبير على حقوق ومصالح الفرد من خلال اتخاذ القرار الآلي ، يكون للفرد الحق في طلب توضيح من معالج المعلومات الشخصية والحق في رفض المعالج لاتخاذ القرار فقط من خلال الآلية اتخاذ القرار.
المادة 25 لا يجوز لمعالجي المعلومات الشخصية الكشف عن المعلومات الشخصية التي يقومون بمعالجتها ، إلا في حالة الحصول على موافقات منفصلة من الأفراد.
المادة 26 يجب تركيب معدات جمع الصور وإثبات الهوية الشخصية في الأماكن العامة فقط عندما تكون ضرورية لغرض الحفاظ على الأمن العام ، ويجب تركيبها وفقًا للأحكام ذات الصلة للدولة ومع التذكيرات البارزة. لا يمكن استخدام الصور الشخصية ومعلومات التعريف التي تم جمعها إلا لغرض الحفاظ على الأمن العام ، وما لم يتم الحصول على الموافقات المنفصلة للأفراد ، فلا يجوز استخدامها لأي غرض آخر.
المادة 27 قد يعالج معالج المعلومات الشخصية بشكل معقول المعلومات الشخصية التي تم الكشف عنها من قبل الفرد نفسه أو غيرها من المعلومات الشخصية التي تم الكشف عنها قانونًا ، باستثناء الحالات التي يرفض فيها الفرد صراحة. عندما يكون لمعالجة المعلومات الشخصية التي تم الكشف عنها تأثير كبير على حقوق الفرد ومصالحه ، يجب على معالجي المعلومات الشخصية أولاً الحصول على موافقة الفرد وفقًا لأحكام هذا القانون.
القسم 2 قواعد معالجة المعلومات الشخصية الحساسة
المادة 28 "المعلومات الشخصية الحساسة" هي المعلومات الشخصية التي بمجرد تسريبها أو استخدامها بشكل غير قانوني ، قد تؤدي بسهولة إلى التعدي على الكرامة الشخصية لشخص طبيعي أو قد تعرض سلامته الشخصية أو ممتلكاته للخطر ، بما في ذلك المعلومات مثل القياسات الحيوية ، أو المعتقد الديني ، أو الهوية والحالة الصحية الطبية والحسابات المالية ومكان وجود الشخص ، بالإضافة إلى المعلومات الشخصية لقاصر دون سن 14 عامًا.
يمكن لمعالجي المعلومات الشخصية معالجة المعلومات الشخصية الحساسة فقط عندما يكون هناك غرض محدد وعندما يكون ذلك ضروريًا ، في ظل الظروف التي يتم فيها اتخاذ تدابير وقائية صارمة.
المادة 29 لمعالجة المعلومات الشخصية الحساسة ، يجب الحصول على موافقة فردية منفصلة. حيثما تنص القوانين أو اللوائح الإدارية الأخرى على ضرورة الحصول على موافقة خطية لمعالجة المعلومات الشخصية الحساسة ، تسود هذه الأحكام.
المادة 30 بالإضافة إلى الأمور المحددة في الفقرة الأولى من المادة 17 من هذا القانون ، يجب على المعالج الذي يعالج المعلومات الشخصية الحساسة إخطار الفرد بضرورة معالجة معلوماته الشخصية الحساسة وتأثيرها على حقوقه ومصالحه ، باستثناء إذا لم يكن هذا الإخطار مطلوباً وفقاً لأحكام هذا القانون.
المادة 31 لمعالجة المعلومات الشخصية للقصر الذين تقل أعمارهم عن 14 عامًا ، يجب على معالجي المعلومات الشخصية الحصول على موافقة الوالدين أو الأوصياء الآخرين للقصر.
يجب على معالجي المعلومات الشخصية الذين يعالجون المعلومات الشخصية للقصر الذين تقل أعمارهم عن 14 عامًا وضع قواعد خاصة لمعالجة هذه المعلومات الشخصية.
المادة 32 عندما تنص قوانين أو لوائح إدارية أخرى على أنه يجب الحصول على التصريح الإداري ذي الصلة لمعالجة المعلومات الشخصية الحساسة أو فرض قيود أخرى ، تسود هذه الأحكام.
القسم 3 أحكام خاصة بشأن معالجة المعلومات الشخصية من قبل أجهزة الدولة
المادة 33 يطبق هذا القانون على معالجة المعلومات الشخصية من قبل أجهزة الدولة. حيثما توجد أحكام خاصة في هذا القسم ، تسري أحكام هذا القسم.
المادة 34 عندما تعالج أجهزة الدولة المعلومات الشخصية من أجل أداء واجباتها القانونية ، فإنها تتصرف وفقًا للسلطة والإجراءات المنصوص عليها في القوانين واللوائح الإدارية ، ولا تتجاوز النطاق والحدود اللازمة لأداء واجباتها القانونية.
المادة 35 عندما تقوم أجهزة الدولة بمعالجة المعلومات الشخصية من أجل أداء واجباتها القانونية ، فإنها تفي بالتزام الإخطار وفقًا لأحكام هذا القانون ، إلا في الحالات المحددة في الفقرة الأولى من المادة 18 من هذا القانون أو في حالة الإخطار يعيق أجهزة الدولة عن أداء واجباتها القانونية.
المادة 36 يتم تخزين المعلومات الشخصية التي تتم معالجتها بواسطة أجهزة الدولة داخل أراضي جمهورية الصين الشعبية. يجب إجراء تقييم أمني عندما يكون من الضروري حقًا تقديم مثل هذه المعلومات لأي طرف خارج أراضي جمهورية الصين الشعبية. في التقييم الأمني ، يجب على الإدارات ذات الصلة تقديم الدعم والمساعدة إذا طلب ذلك.
المادة 37 عندما تقوم المنظمات المخولة بموجب القوانين أو اللوائح بوظيفة إدارة الشؤون العامة بمعالجة المعلومات الشخصية من أجل الوفاء بواجباتها القانونية ، يتم تطبيق الأحكام الواردة هنا بشأن معالجة المعلومات الشخصية من قبل أجهزة الدولة.
الفصل الثالث قواعد تقديم المعلومات الشخصية عبر الحدود
المادة 38 معالج المعلومات الشخصية الذي يحتاج حقًا إلى توفير معلومات شخصية لطرف خارج أراضي جمهورية الصين الشعبية لأغراض العمل أو لأسباب أخرى ، يجب أن يفي بأحد المتطلبات التالية:
(1) اجتياز التقييم الأمني الذي تنظمه الدائرة الوطنية للفضاء الإلكتروني وفق المادة 40 من هذا القانون.
(2) الحصول على شهادة حماية المعلومات الشخصية من المؤسسة المتخصصة ذات الصلة وفقًا للأحكام الصادرة عن الدائرة الوطنية للفضاء السيبراني ؛
(3) إبرام عقد ينص على حقوق الطرفين والتزاماتهما مع المتلقي في الخارج وفقًا للعقد القياسي الذي صاغته إدارة الفضاء الإلكتروني الوطنية ؛ و
(4) استيفاء الشروط الأخرى المنصوص عليها في القوانين واللوائح الإدارية والإدارة الوطنية للفضاء الإلكتروني.
في حالة وجود معاهدة أو اتفاقية دولية أبرمتها جمهورية الصين الشعبية أو انضمت إليها تنص على شروط لتقديم معلومات شخصية لطرف خارج أراضي جمهورية الصين الشعبية ، يجوز اتباع هذه الشروط.
يجب على معالج المعلومات الشخصية اتخاذ التدابير اللازمة لضمان أن أنشطة معالجة المعلومات الشخصية للمستلم في الخارج تفي بمعايير حماية المعلومات الشخصية المنصوص عليها في هذا القانون.
المادة 39 عندما يوفر معالج المعلومات الشخصية معلومات شخصية لأي طرف خارج أراضي جمهورية الصين الشعبية ، يجب على المعالج إبلاغ الأفراد باسم المستلم الخارجي ومعلومات الاتصال ، وأغراض ووسائل المعالجة ، وفئات المعلومات الشخصية المراد معالجتها ، بالإضافة إلى الأساليب والإجراءات الخاصة بالأفراد لممارسة حقوقهم على النحو المنصوص عليه في هذا القانون على المتلقي في الخارج ، وما إلى ذلك ، ويجب الحصول على موافقة فردية منفصلة.
المادة 40 يجب على مشغلي البنية التحتية للمعلومات الهامة ومعالجي المعلومات الشخصية الذين يعالجون المعلومات الشخصية حتى المقدار الذي يحدده قسم الفضاء الإلكتروني الوطني تخزين المعلومات الشخصية التي تم جمعها وإنشاءها داخل أراضي جمهورية الصين الشعبية محليًا. عندما يكون من الضروري حقًا تقديم المعلومات لطرف خارج أراضي جمهورية الصين الشعبية ، فإن الأمر يخضع لتقييم أمني تنظمه إدارة الفضاء الإلكتروني الوطنية. حيثما تنص القوانين أو اللوائح الإدارية أو الأحكام الصادرة عن إدارة الفضاء الإلكتروني الوطنية على أن التقييم الأمني ليس ضروريًا ، تسود هذه الأحكام.
المادة 41 يجب على السلطات المختصة في جمهورية الصين الشعبية التعامل مع طلبات السلطات القضائية أو سلطات إنفاذ القانون الأجنبية للحصول على المعلومات الشخصية المخزنة داخل الصين وفقًا للقوانين ذات الصلة والمعاهدات والاتفاقيات الدولية التي أبرمتها جمهورية الصين الشعبية أو انضمت إليها ، أو بموجب مبدأ المساواة والمعاملة بالمثل. بدون موافقة السلطات المختصة في جمهورية الصين الشعبية ، لا يجوز لأي منظمة أو فرد تقديم بيانات مخزنة في أراضي جمهورية الصين الشعبية لأي سلطة قضائية أو سلطة إنفاذ قانون أجنبية.
المادة 42 عندما تشارك المنظمات أو الأفراد في الخارج في أنشطة معالجة المعلومات الشخصية ، والتي تنتهك حقوق ومصالح مواطني جمهورية الصين الشعبية بشأن المعلومات الشخصية أو تعرض الأمن القومي أو المصالح العامة لجمهورية الصين الشعبية للخطر ، أو الفضاء الإلكتروني الوطني يجوز للإدارة تضمينهم في قائمة المستلمين المقيدين أو المحظورين للمعلومات الشخصية ، ونشر القائمة ، واتخاذ تدابير مثل تقييد أو حظر توفير المعلومات الشخصية لهذه المنظمات والأفراد.
المادة 43 عندما تتبنى أي دولة أو منطقة أي تدابير تحظر أو تقييدية أو غيرها من التدابير التمييزية المماثلة ضد جمهورية الصين الشعبية فيما يتعلق بحماية المعلومات الشخصية ، يجوز لجمهورية الصين الشعبية اتخاذ تدابير مضادة ضد الدولة أو المنطقة المذكورة أعلاه بناءً على المواقف الفعلية.
الفصل الرابع حقوق الأفراد في أنشطة معالجة المعلومات الشخصية
المادة 44 للأفراد الحق في الحصول على معلومات ، والحق في اتخاذ قرارات بشأن معالجة معلوماتهم الشخصية ، والحق في تقييد أو رفض معالجة معلوماتهم الشخصية من قبل الآخرين ، باستثناء ما تنص عليه القوانين أو اللوائح الإدارية.
المادة 45 للأفراد الحق في استشارة ونسخ معلوماتهم الشخصية من معالجي المعلومات الشخصية ، إلا في الحالات المنصوص عليها في الفقرة الأولى من المادة 18 والمادة 35 من هذا القانون.
عندما يطلب الفرد استشارة أو نسخ معلوماته الشخصية ، يجب على معالج المعلومات الشخصية المطلوب تقديم هذه المعلومات في الوقت المناسب.
عندما يطلب الفرد نقل معلوماته الشخصية إلى معالج المعلومات الشخصية المخصص ، والذي يلبي متطلبات قسم الفضاء الإلكتروني الوطني لنقل المعلومات الشخصية ، يجب على معالج المعلومات الشخصية المطلوب توفير وسائل النقل.
المادة 46 عندما يكتشف الفرد أن معلوماته الشخصية غير صحيحة أو غير كاملة ، يحق له أن يطلب من معالجي المعلومات الشخصية تصحيح أو استكمال المعلومات ذات الصلة.
عندما يطلب الفرد تصحيح أو استكمال معلوماته الشخصية ، يجب على معالجي المعلومات الشخصية التحقق من المعلومات المعنية وإجراء التصحيح أو التكميل في الوقت المناسب.
المادة 47 في أي من الظروف التالية ، يجب على معالج المعلومات الشخصية أخذ زمام المبادرة لمسح المعلومات الشخصية ، ويحق للفرد طلب حذف معلوماته الشخصية إذا فشل معالج المعلومات الشخصية في محو المعلومات:
(1) تم تحقيق أغراض المعالجة أو لا يمكن تحقيقها ، أو لم تعد هذه المعلومات ضرورية لتحقيق أغراض المعالجة ؛
(2) توقف معالج المعلومات الشخصية عن تقديم المنتجات أو الخدمات ، أو انتهت فترة التخزين ؛
(3) سحب الفرد موافقته ؛
(4) يعالج معالج المعلومات الشخصية المعلومات الشخصية في انتهاك للقوانين أو اللوائح الإدارية أو الاتفاقيات ؛ أو
(5) غير ذلك من الظروف التي تنص عليها القوانين واللوائح الإدارية.
في حالة عدم انتهاء فترة التخزين المنصوص عليها في أي قانون أو لائحة إدارية ، أو إذا كان من الصعب محو المعلومات الشخصية تقنيًا ، يجب على معالج المعلومات الشخصية التوقف عن معالجة المعلومات الشخصية بخلاف تخزين واتخاذ تدابير الحماية الأمنية اللازمة لهذه المعلومات.
المادة 48 يحق للأفراد طلب معالج المعلومات الشخصية لتفسير قواعد معالجة المعلومات الشخصية التي وضعها هذا الأخير.
مادة 49- يجوز لأقارب الشخص الطبيعي المتوفى ، من أجل مصالحهم القانونية والشرعية ، ممارسة حقوق التعامل مع المعلومات الشخصية للمتوفى ، مثل الاستشارة والنسخ والتصحيح والحذف ، على النحو المنصوص عليه في هذا الفصل ، باستثناء كما رتب المتوفى بخلاف ذلك قبل الموت.
المادة 50 يجب على معالج المعلومات الشخصية إنشاء آلية لتلقي ومعالجة طلبات الأفراد لممارسة حقوقهم. في حالة رفض طلب فرد ما ، يجب إبداء الأسباب.
عندما يتم رفض طلب فرد ما لممارسة حقوقه من قبل معالج المعلومات الشخصية ، يجوز للفرد رفع دعوى قضائية أمام محكمة الشعب وفقًا للقانون.
الفصل الخامس التزامات معالجي المعلومات الشخصية
المادة 51 يجب على معالجي المعلومات الشخصية اتخاذ التدابير التالية للتأكد من أن أنشطة معالجة المعلومات الشخصية الخاصة بهم تتوافق مع القوانين واللوائح الإدارية القائمة على الغرض ووسائل المعالجة ، وفئات المعلومات الشخصية المراد معالجتها ، والتأثير على الحقوق الشخصية و المصالح ، والمخاطر الأمنية المحتملة ، من بين أمور أخرى ، ويمنع الوصول غير المصرح به إلى أي معلومات شخصية أو خرقها أو العبث بها أو فقدانها:
(1) صياغة نظام الإدارة الداخلية والإجراءات التشغيلية ؛
(2) تنفيذ الإدارة السرية للمعلومات الشخصية ؛
(3) اعتماد تدابير تقنية أمنية مقابلة مثل التشفير وإلغاء تحديد الهوية ؛
(4) التحديد المعقول للسلطة التشغيلية لمعالجة المعلومات الشخصية ، وإجراء تثقيف وتدريب في مجال السلامة بشكل منتظم للممارسين ؛
(5) وضع خطط طارئة لحالات الطوارئ المتعلقة بأمن المعلومات الشخصية وتنظيم تنفيذ هذه الخطط. و
(6) الإجراءات الأخرى التي تنص عليها القوانين واللوائح الإدارية.
المادة 52 يجب على معالج المعلومات الشخصية الذي يعالج المعلومات الشخصية حتى المقدار الذي تحدده إدارة الفضاء الإلكتروني الوطنية أن يعين شخصًا مسؤولاً عن حماية المعلومات الشخصية ، والذي يجب أن يشرف على أنشطة معالجة المعلومات الشخصية للمعالج بالإضافة إلى التدابير الوقائية المتخذة بذلك. ، من بين أمور أخرى.
يجب على معالج المعلومات الشخصية الكشف عن معلومات الاتصال الخاصة بالشخص المسؤول عن حماية المعلومات الشخصية ، وتقديم اسم الشخص المذكور ومعلومات الاتصال والمعلومات الأخرى إلى الإدارات ذات واجبات حماية المعلومات الشخصية.
المادة 53 يجب على معالجي المعلومات الشخصية خارج أراضي جمهورية الصين الشعبية كما هو محدد في الفقرة الثانية من المادة 3 من هذا القانون إنشاء وكالات متخصصة أو تعيين ممثلين داخل أراضي جمهورية الصين الشعبية ليكونوا مسؤولين عن التعامل مع المعلومات الشخصية المسائل المتعلقة بالحماية ، ويجب تقديم الأسماء ومعلومات الاتصال وغيرها من المعلومات الخاصة بالوكالات والممثلين إلى الإدارات ذات واجبات حماية المعلومات الشخصية.
المادة 54 يجب على معالجي المعلومات الشخصية إجراء عمليات تدقيق الامتثال بانتظام لأنشطة معالجة المعلومات الشخصية الخاصة بهم مع القوانين واللوائح الإدارية.
المادة 55 في أي من الظروف التالية ، يجب على معالج المعلومات الشخصية تقييم التأثير على حماية المعلومات الشخصية مسبقًا والاحتفاظ بسجل لمسار المعالجة:
(1) معالجة المعلومات الشخصية الحساسة ؛
(2) استخدام المعلومات الشخصية لإجراء عملية صنع القرار الآلي ؛
(3) تكليف طرف آخر بمعالجة المعلومات الشخصية ، أو تقديم معلومات شخصية لطرف آخر ، أو نشر معلومات شخصية ؛
(4) تقديم المعلومات الشخصية لأي طرف خارج أراضي جمهورية الصين الشعبية ؛ أو
(5) إجراء أنشطة معالجة المعلومات الشخصية الأخرى التي قد يكون لها تأثيرات كبيرة على الأفراد.
المادة 56 يجب أن يتضمن تقييم الأثر على حماية المعلومات الشخصية المحتويات التالية:
(1) ما إذا كانت أغراض ووسائل معالجة المعلومات الشخصية مشروعة ومبررة وضرورية ؛
(2) التأثير على حقوق الأفراد ومصالحهم والمخاطر الأمنية ؛ و
(3) ما إذا كانت تدابير الحماية المتخذة مشروعة وفعالة ومتوافقة مع درجة المخاطر.
يجب الاحتفاظ بتقرير تقييم الأثر على حماية المعلومات الشخصية وسجل المعالجة لمدة ثلاث سنوات على الأقل.
المادة 57 في حالة حدوث خرق للمعلومات الشخصية أو التلاعب بها أو فقدها ، يجب على معالج المعلومات الشخصية اتخاذ تدابير تصحيحية على الفور وإخطار الإدارات بواجبات حماية المعلومات الشخصية والأفراد المعنيين. يجب أن يتضمن الإشعار العناصر التالية:
(1) فئات المعلومات الشخصية التي تم أو يمكن انتهاكها أو العبث بها أو فقدها ، والأسباب والأضرار المحتملة للانتهاك والتلاعب والفقدان ؛
(2) التدابير العلاجية المعتمدة من قبل معالج المعلومات الشخصية والتدابير التي قد يتخذها الأفراد لتخفيف الضرر ؛ و
(3) معلومات الاتصال الخاصة بمعالج المعلومات الشخصية.
عندما يمكن للتدابير التي يتخذها معالج المعلومات الشخصية أن تتجنب بشكل فعال الضرر الناجم عن خرق المعلومات الشخصية أو التلاعب بها أو فقدانها ، فإن معالج المعلومات الشخصية غير مطلوب منه إخطار الأفراد ؛ عندما تعتبر الإدارات المكلفة بواجبات حماية المعلومات الشخصية أن الضرر قد يكون سببًا ، فإنها تتمتع بسلطة مطالبة معالج المعلومات الشخصية بإخطار الأفراد.
المادة 58 يجب أن يؤدي معالج المعلومات الشخصية الذي يوفر خدمات منصة الإنترنت الهامة التي تشمل عددًا كبيرًا من المستخدمين وأنواع الأعمال المعقدة الالتزامات التالية:
(1) إنشاء وتحسين نظام الامتثال لحماية المعلومات الشخصية وفقًا لأحكام الدولة وإنشاء منظمة مستقلة تتكون أساسًا من أعضاء خارجيين للإشراف على حماية المعلومات الشخصية ؛
(2) اتباع مبادئ الانفتاح والإنصاف والعدالة ، وصياغة قواعد النظام الأساسي ، وتوضيح القواعد والالتزامات التي يجب أن يفي بها مقدمو المنتجات أو الخدمات داخل النظام الأساسي عند معالجة المعلومات الشخصية ؛
(3) التوقف عن تقديم الخدمات لمقدمي المنتجات أو الخدمات داخل المنصات التي تعالج المعلومات الشخصية في انتهاك خطير للقوانين واللوائح الإدارية ؛ و
(4) نشر تقارير المسؤولية الاجتماعية بانتظام عن حماية المعلومات الشخصية للإشراف العام.
المادة 59 يجب على الطرف المخول بمعالجة المعلومات الشخصية ، وفقا لهذا القانون والقوانين واللوائح الإدارية ذات الصلة ، اتخاذ التدابير اللازمة لضمان أمن المعلومات الشخصية الموكلة للمعالجة ، ومساعدة معالج المعلومات الشخصية المكلف بالوفاء بها. الالتزامات المنصوص عليها في هذا القانون.
الفصل السادس الإدارات ذات واجبات حماية المعلومات الشخصية
المادة 60 تكون الإدارة الوطنية للفضاء الإلكتروني مسؤولة عن التخطيط والتنسيق العامين لحماية المعلومات الشخصية والإشراف والإدارة المرتبطين بها. تكون الإدارات ذات الصلة في مجلس الدولة ، وفقًا لهذا القانون والقوانين واللوائح الإدارية الأخرى ذات الصلة ، مسؤولة عن حماية المعلومات الشخصية والإشراف والإدارة ذات الصلة في نطاق واجباتها.
يتم تحديد واجبات حماية المعلومات الشخصية والإشراف والإدارة ذات الصلة للإدارات ذات الصلة بالحكومات الشعبية المحلية على مستوى المقاطعة أو فوقه وفقًا للأحكام ذات الصلة بالولاية.
يُشار إلى الأقسام الواردة في الفقرتين السابقتين بشكل جماعي على أنها الأقسام ذات واجبات حماية المعلومات الشخصية.
المادة 61 يجب على الإدارات المكلفة بحماية المعلومات الشخصية أداء واجبات حماية المعلومات الشخصية التالية:
(1) إجراء الدعاية والتثقيف بشأن حماية المعلومات الشخصية ، وتوجيه معالجي المعلومات الشخصية والإشراف عليهم في حمايتهم للمعلومات الشخصية ؛
(2) تلقي ومعالجة الشكاوى والتقارير المتعلقة بحماية المعلومات الشخصية ؛
(3) تنظيم التقييمات على التطبيقات ، وما إلى ذلك فيما يتعلق بحماية المعلومات الشخصية ونشر نتائج هذه التقييمات ؛
(4) التحقيق والتعامل مع أنشطة معالجة المعلومات الشخصية غير القانونية ؛ و
(5) واجبات أخرى على النحو المنصوص عليه في القوانين واللوائح الإدارية.
المادة 62 تنسق الدائرة الوطنية للفضاء السيبراني الإدارات ذات الصلة لتعزيز حماية المعلومات الشخصية من خلال الجهود التالية وفقاً لهذا القانون:
(1) صياغة قواعد ومعايير محددة لحماية المعلومات الشخصية ؛
(2) تطوير قواعد ومعايير خاصة لحماية المعلومات الشخصية لمعالجي المعلومات الشخصية الصغيرة ، ومعالجة المعلومات الشخصية الحساسة ، والتقنيات والتطبيقات الجديدة مثل التعرف على الوجوه والذكاء الاصطناعي ؛
(3) دعم البحث والتطوير ، وتعزيز تطبيق تكنولوجيا مصادقة الهوية الإلكترونية الآمنة والملائمة ، والنهوض بالخدمات العامة لتوثيق هوية الشبكة ؛
(4) تعزيز تطوير نظام خدمة حماية المعلومات الشخصية بمشاركة مختلف القطاعات الاجتماعية ، ودعم المؤسسات ذات الصلة في تقديم خدمات تقييم حماية المعلومات الشخصية وإصدار الشهادات ؛ و
(5) تحسين آلية الشكوى والإبلاغ المتعلقة بحماية المعلومات الشخصية.
المادة 63 يجوز للإدارة المكلفة بواجبات حماية المعلومات الشخصية عند أداء المهام ذات الصلة اتخاذ الإجراءات التالية:
(1) استجواب الأطراف ذات الصلة والتحقيق في الظروف المتعلقة بأنشطة معالجة المعلومات الشخصية ؛
(2) استشارة ونسخ عقود الأطراف والسجلات ودفاتر الحسابات والمواد الأخرى ذات الصلة المتعلقة بأنشطة معالجة المعلومات الشخصية ؛
(3) إجراء عمليات تفتيش في الموقع ، والتحقيق في أنشطة معالجة المعلومات الشخصية غير القانونية المشتبه بها ؛ و
(4) فحص المعدات والمواد المتعلقة بأنشطة معالجة المعلومات الشخصية ؛ وإغلاق أو الاستيلاء على المعدات والمواد المتعلقة بأنشطة معالجة المعلومات الشخصية غير القانونية كما ثبت بالأدلة بعد تقديم تقارير مكتوبة إلى الشخص الرئيسي المسؤول عن الإدارات ذات واجبات حماية المعلومات الشخصية والحصول على موافقة منه.
عندما تقوم الإدارات المكلفة بواجبات حماية المعلومات الشخصية بواجباتها وفقًا للقانون ، يجب على الأطراف المعنية التعاون وتقديم المساعدة ، وعدم رفضها أو عرقلة عملها.
المادة 64 عندما تجد الإدارة التي لديها واجبات حماية المعلومات الشخصية ، عند أداء واجباتها ، مخاطر عالية نسبيًا في أنشطة معالجة المعلومات الشخصية أو وقوع حوادث تتعلق بأمن المعلومات الشخصية ، يجوز للإدارة إجراء مقابلة مع الممثل القانوني أو الشخص الرئيسي المسؤول معالج المعلومات الشخصية وفقًا للسلطة والإجراءات المقدمة ، أو يطلب من المعالج تكليف مؤسسة مهنية بإجراء عمليات تدقيق الامتثال لأنشطة معالجة المعلومات الشخصية. يجب أن يتبنى معالج المعلومات الشخصية تدابير لإجراء التصحيح والقضاء على المخاطر المحتملة كما هو مطلوب.
في حالة اكتشاف إدارة مع واجبات حماية المعلومات الشخصية ، أثناء أداء واجباتها ، نشاط معالجة معلومات شخصية غير قانوني قد ينطوي على جريمة ، يجب على الإدارة نقل القضية إلى جهاز الأمن العام في الوقت المناسب وفقًا للقانون.
المادة 65 يحق لأي منظمة أو فرد تقديم شكوى وإبلاغ الإدارة المسؤولة عن واجبات حماية المعلومات الشخصية بشأن المعالجة غير القانونية للمعلومات الشخصية. يجب على الدائرة التي تتلقى مثل هذه الشكوى أو التقرير التعامل معها في الوقت المناسب وفقًا للقانون وإخطار المشتكي أو المخبر بالنتائج.
يتعين على الإدارات المكلفة بواجبات حماية المعلومات الشخصية نشر معلومات الاتصال الخاصة بها لتلقي الشكاوى والتقارير.
الفصل السابع المسؤولية القانونية
المادة 66: في حالة معالجة المعلومات الشخصية بالمخالفة لأحكام هذا القانون أو دون الوفاء بالتزامات حماية المعلومات الشخصية المنصوص عليها في هذا القانون ، فإن الإدارات المكلفة بواجبات حماية المعلومات الشخصية تأمر المخالف بإجراء تصحيحات ، وإنذار ، ومصادرة المخالف غير القانوني. المكاسب ، والأمر بتعليق أو إنهاء تقديم الخدمات من خلال التطبيقات التي تعالج المعلومات الشخصية بشكل غير قانوني ؛ في حالة رفض المخالف إجراء تصحيحات ، يتم فرض غرامة لا تزيد عن مليون يوان صيني ؛ والأشخاص المسؤولين مباشرة وغيرهم من الأشخاص المسؤولين مباشرة يجب تغريم كل منهم بما لا يقل عن 10,000 يوان ولا أكثر من 100,000 يوان صيني.
في حالة وجود عمل غير قانوني على النحو المنصوص عليه في الفقرة السابقة وكانت الظروف خطيرة ، فإن الإدارات التي لديها واجبات حماية المعلومات الشخصية على مستوى المقاطعة أو أعلى منه تأمر المخالف بإجراء تصحيحات ، ومصادرة المكاسب غير المشروعة ، وفرض غرامة لا تزيد عن من 50 مليون يوان صيني أو ما لا يزيد عن خمسة في المائة من حجم مبيعات العام السابق ؛ قد يأمر أيضًا بتعليق الأعمال التجارية ذات الصلة ، أو يأمر بتعليق جميع العمليات التجارية لإجراء إصلاح شامل ، وإخطار السلطات المختصة لإلغاء التصاريح أو التراخيص التجارية ذات الصلة ؛ يجب أن تفرض غرامة لا تقل عن 100,000 يوان صيني ولكن لا تزيد عن مليون يوان على كل من الأشخاص المسؤولين مباشرة وغيرهم من الأشخاص المسؤولين مباشرة ، وقد يقرر منع الأشخاص المذكورين أعلاه من العمل كمديرين ومشرفين وكبار المديرين ، أو الأشخاص المسؤولين عن الشركات ذات الصلة خلال فترة زمنية محددة.
المادة 67- تقيد أي مخالفة لأحكام هذا القانون في السجل الائتماني الخاص بها وتنشر وفقا لأحكام القوانين واللوائح الإدارية ذات الصلة.
المادة 68 في حالة فشل أي جهاز من أجهزة الدولة في الوفاء بالتزامات حماية المعلومات الشخصية كما هو منصوص عليه في هذا القانون ، فإن الجهاز في المستوى الأعلى أو الإدارات المكلفة بواجبات حماية المعلومات الشخصية يأمره بإجراء تصحيحات وتأديب الشخص المسؤول مباشرة و الأشخاص الآخرون المسؤولون بشكل مباشر وفقًا للقانون.
عندما يتجاهل موظف في قسم لديه واجبات حماية المعلومات الشخصية واجباته أو يسيء استخدام السلطة أو يمارس المحاباة ، الأمر الذي لا يشكل جريمة ، يتعرض الموظف للعقوبة وفقًا للقانون.
المادة 69 عندما ينتهك معالج المعلومات الشخصية الحقوق أو المصالح على المعلومات الشخصية بسبب أي نشاط لمعالجة المعلومات الشخصية ولا يمكنه إثبات أن المعالج ليس مخطئًا ، يتحمل المعالج المسؤولية عن الأضرار والمسؤولية التقصيرية الأخرى.
يتم تحديد المسؤولية عن الأضرار المنصوص عليها في الفقرة السابقة بناءً على الخسائر التي تكبدها الأفراد بسبب ذلك والفوائد التي حصل عليها معالج المعلومات الشخصية المخالف ؛ وحيث يكون من الصعب تحديد الخسائر أو الفوائد المذكورة أعلاه ، يتم تحديد مقدار الأضرار بناءً على الظروف الفعلية.
المادة 70 في حالة قيام معالج المعلومات الشخصية بمعالجة المعلومات الشخصية بما ينتهك أحكام هذا القانون وينتهك حقوق ومصالح العديد من الأفراد ، يجوز للنيابة الشعبية ومنظمات المستهلكين المحددة بموجب القانون ، والمنظمة المعينة من قبل إدارة الفضاء الإلكتروني الوطنية تقديم ملف الدعوى أمام محكمة الشعب وفق القانون.
المادة 71 كل مخالفة لهذا القانون تشكل مخالفة لادارة الامن العام تخضع لعقوبة ادارة الامن العام وفقا للقانون. إذا كانت المخالفة جريمة فيحاسب المخالف جزائياً وفقاً للقانون.
الفصل الثامن أحكام تكميلية
المادة 72 لا يسري هذا القانون عندما يقوم شخص طبيعي بمعالجة المعلومات الشخصية لأغراض شخصية أو شؤون منزلية.
حيثما توفر قوانين أخرى معالجة المعلومات الشخصية في أنشطة إدارة الإحصاء أو المحفوظات التي تنظمها وتنفذها الحكومات الشعبية على جميع المستويات والإدارات ذات الصلة ، تسود أحكام هذه القوانين.
المادة 73- لأغراض هذا القانون ، يقصد بالمصطلحات التالية المعاني التالية:
(1) يشير مصطلح "معالج المعلومات الشخصية" إلى مؤسسة أو فرد يحدد بشكل مستقل أغراض ووسائل معالجة المعلومات الشخصية.
(2) يشير مصطلح "صنع القرار الآلي" إلى أنشطة التحليل والتقييم تلقائيًا للسلوكيات الشخصية أو الهوايات أو الحالة الاقتصادية والصحية والائتمانية ، من بين أمور أخرى ، من خلال برامج الكمبيوتر واتخاذ القرارات.
(3) يشير مصطلح "إزالة الهوية" إلى معالجة المعلومات الشخصية لجعل من المستحيل التعرف على أشخاص طبيعيين معينين في غياب دعم المعلومات الإضافية.
(4) يشير مصطلح "إخفاء الهوية" إلى عملية معالجة المعلومات الشخصية لجعل التعرف على أشخاص طبيعيين معينين أمرًا مستحيلًا ومن المستحيل استعادتها.
المادة 74 يدخل هذا القانون حيز التنفيذ اعتبارًا من 1 نوفمبر 2021.