אתם שאלתם, המומחים ענו – חוק הגנת הפרטיות בסין

עדכון מנובמבר 2021:
חוק הגנת הפרטיות אושר ונכנס לתוקף בסין בנובמבר 2021. קראו עוד על חוק הגנת הפרטיות המלא

חוק הגנת הפרטיות בסין אמנם עדיין רק בשלבי ניסוח הטיוטה, אבל כבר הצליח לתפוס את תשומת לבם של מנהלי חברות ישראליות בסין. ואכן, השינוי ההיסטורי במדיניות הסינית ביחס לפרטיות דורש את היערכותן של חברות הפועלות בשוק הסיני. לצורך כך ערכנו ב- 25 לפברואר וובינר בהשתתפות מומחים מהתחום, שפתרו כמה מסימני השאלה, חידדו את הנקודות החשובות ושיתפו בהמלצותיהם.

הנה הצצה למה שנאמר במפגש.

צוות המומחים

• צחי ליכטבלאו, שותף במשרד עוה"ד Bonnard-Lawson בשנגחאי, ודירקטור בחברת Equasia
• לורנס פדרמן, מייסד ומנכ"ל חברת Asia Advisers

לפניכם תשובות לכמה מהשאלות שהמשתתפים באירוע הפנו למומחים.

על פי החוק החדש – באילו תנאים אפשר יהיה לאסוף מידע?

6 עקרונות מסכמים את מהות החוק:

1. חוקיות – איסוף וניהול מידע אישי חייבים להיעשות במסגרת החוק
2. מטרה מוצהרת – איסוף וניהול מידע רק בשם מטרה לגיטימית וספציפית
3. "המינימום ההכרחי" – יש לאסוף ולאגור את רק את המידע הדרוש בהתאם למטרה
4. שקיפות – על אוסף המידע ליידע את מי שנאסף עליו המידע באופן גלוי וברור שמידע אודותיו נאגר
5. אחריות – אוסף המידע אחראי על ניהול תקין של שמירת המידע
6. אבטחת מידע – יש לוודא שהמידע שמור ומאובטח ולמנוע הדלפות או שימוש לא הולם במידע

לסיכום, אפשר לאסוף מידע על כל צד שלישי שמעניין אתכם אך יש לזכור שהמידע חייב להלום את המטרה לשמה הוא נאסף, וכן יש לוודא שלא אוספים יותר מידע מהדרוש. באופן טבעי, ככל שהחברה אוספת ועושה שימוש ביותר מידע, כך עולה רמת הסיכון לחריגה מדרישות החוק. התנאי החשוב ביותר הוא שהמידע יכול להיאסף ולהישמר על ידי החברה אך ורק בהסכמת האדם ובשקיפות מלאה, בדיוק כמו שדורשים חוקי הגנת הפרטיות באירופה (GDPR).

מתי צפוי החוק להיכנס לתוקף?

בשלב זה פרסמו טיוטה בלבד וקשה לומר בוודאות. ההנחה היא שהחוק ייכנס לתוקף בתחילת 2022, כך שיש עוד זמן ללמוד את החוק ולהיערך כראוי. בשלב זה, דווקא בגלל שלא ברור מתי החוק יהפוך רשמי וכיצד הרשויות הסיניות יפרשו ויאכפו אותו, כדאי להיות ערניים ולהקשיב לקולות בשטח ולהערכות המומחים.

כמה זמן מותר לחברה להחזיק במידע?

כאשר החברה עצמה אוספת את המידע, אין לשמור אותו מעבר לזמן הדרוש, אלא בהסכמה. כך למשל, כשאוספים קורות חיים של מועמדים פוטנציאליים לתפקיד, אז לאחר השלמת הגיוס כשאין עוד צורך בקורות החיים של כל המועמדים נפטרים מהם, כי זה כבר לא נחוץ לחברה.

מאותה סיבה, כשחותמים על חוזה עם ספק או כל צד שלישי אחר שמחזיק חלק מהמידע של החברה, יש לסכם איתו מראש איך נוהגים במידע לאחר שיחסי העבודה מסתיימים, ולהוסיף התייחסות לכך בחוזה.

מה משמעויות החוק באשר להעברת המידע מחוץ לסין?

הוצאת מידע מחוץ לסין היא סוגיה חשובה בעיני שלטונות סין, שעלולים לראות את המהלך כפגיעה בביטחון הלאומי שלה. לכן, כשמוציאים מידע מחוץ לסין יש דרישות נוספות שיש לעמוד בהן וכך גם רמת הסיכון עולה. החוק הסיני מכיל התייחסות מפורשת לכך שבנסיבות מסוימות החוק חל גם על חברות שיושבות מחוץ לסין ומחזיקות במידע על אזרחים סינים היושבים בסין.

מהן הסנקציות המוטלות על חוסר עמידה בדרישות החוק?

אי עמידה בדרישות החוק משמעותה עבירה פלילית שיכולה להגיע גם למעצר. בשל הדמיון בין החוק הסיני למקבילו האירופי (GDPR), משוער שרבים מהעונשים בסין יהיו דומים לאלה באירופה.

 5 טיפים לדרך

1. זכרו ליידע את השותפים, הלקוחות או העובדים שלכם על כוונתכם לאסוף עליהם מידע ואולי אף להעביר אותו הלאה. קבלו את הסכמתם!
2. בהוצאת מידע מסין, נסו במידת האפשר לא לשייך את המידע לאדם ספציפי אלא להעביר את המידע כאינפורמציה כמותית בלבד (anonymize the data).
3. אם אתם עובדים עם סוכנויות מקומיות בסין, אתרי פרסום משרות וכו' – יש לבדוק שגם השותפים שלכם עומדים בדרישות החוק ושגם הם מקבלים את הסכמת משתמשי הקצה לשמור עליהם מידע.
4. נסו להעריך איפה אתם עומדים כיום מבחינת החוק, היכן אתם חשופים יותר או פחות לסכנות.
5. הטמיעו מדיניות הגנת מידע כחלק מהמדיניות הארגונית כולה, מנו את אחד העובדים לרכז את הנושא עם תחומי אחריות ברורים ומוגדרים ונסחו נהלים ברורים לתהליכי איסוף, ניהול, שימור והעברת מידע.

תודה רבה לדוברים, למשתתפים ולכל המעורבים! כמו תמיד, אנו ב- PTL Group נשמח לסייע בכל שלב במסע שלכם בשוק הסיני.