Обзор изменений нормативно-правовой базы в сфере безопасности данных и режима защиты информации в Китае
В 2025 году нормативно-правовая база Китая в области безопасности данных перешла из стадии формирования в фазу автоматизированного принудительного исполнения, тем самым завершив переход от общих деклараций к жесткому техническому контролю.
В октябре 2025 года Постоянный комитет Всекитайского собрания народных представителей принял решение о внесении поправок в Закон о кибербезопасности (ЗКБ), которые вступили в силу с 1 января 2026 года.
Изменения направлены на усиление юридической ответственности, ужесточение наказаний за нарушения в сфере кибербезопасности и достижение предметной координации с Законами о безопасности данных, о защите персональных данных и об административных наказаниях, а также на решение других вопросов, включая управление искусственным интеллектом.
Ключевые изменения в ЗКБ:
– управление в сфере искусственного интеллекта:
Поправками введена новая статья 20, посвященная управлению искусственным интеллектом. В этом положении признается важность фундаментальных исследований и основных алгоритмических возможностей, а также поощряется создание инфраструктур, связанных с ИИ, включая доступ к обучающим наборам данных и вычислительным мощностям. Подчеркивая необходимость совершенствования этических принципов управления и усиления контроля за рисками и соблюдения правил безопасности. Обучающие данные при разработке систем искусственного интеллекта становятся ключевым объектом регулирования.Регулирующие органы уже начали внедрять механизмы контроля за технологиями ИИ, включая оценку безопасности алгоритмов, требования к подаче заявок на генеративные модели ИИ и обязательную маркировку контента, созданного ИИ.
– соответствие другим законодательным актам о данных:
Что касается защиты персональных данных, в изменённой статье 42 уточняется, что операторы сетей, обрабатывающие персональные данные, также должны соблюдать Гражданский кодекс и Закон о защите персональных данных, а также любые другие применимые законы и административные постановления. Таким образом, ЗКБ становится основополагающим документом, который поддерживает и координирует более широкий режим защиты персональных данных.
Также, в изменённой статье 71 вновь говорится о том, что операторы критически важной информационной инфраструктуры должны хранить важные данные на территории Китая. Для других обработчиков данных, которые официально уведомлены об обработке важной информации, передача которой за пределы страны должна проходить проверку безопасности в течение двух месяцев с момента уведомления.
– расширение полномочий директоров по информационным технологиям:
Поправки к статье 67 усиливают ответственность организаций за кибербезопасность, ужесточая контроль за закупками сетевых продуктов и услуг. В дополнение к существующему требованию оценивать потенциальные риски для национальной безопасности перед внедрением таких продуктов или услуг, вводится обязательство устранять нарушения в установленные сроки и ликвидировать риски для безопасности. Это отражает растущую ориентацию на контроль за цепочками поставок в сфере кибербезопасности и свидетельствует о повышенных требованиях регулирующих органов к предприятиям, работающим в экосистемах критически важной инфраструктуры.
– более продуманная система административных взысканий:
Внесённые в статью 69 изменения расширяют сферу индивидуальной ответственности, распространяя её не только на непосредственных руководителей, но и на других сотрудников, таких как, например охранники и технический персонал, а также на системы обеспечения соответствия требованиям в масштабах всего предприятия.
Поправки вводят новую статью 73, в которой предусмотрены механизмы смягчения наказания в соответствии с Законом о защите прав потребителей, позволяющие контролирующим органам снижать штрафы или отменять их в случаях, когда организации активно устраняют причиненный ущерб, подвергаются принуждению к нарушениям, вносят существенный вклад в расследования или впервые совершают незначительные правонарушения.
Статья 67 также была дополнена положениями о наказании для организаций, предоставляющих услуги в сфере критической информационной инфраструктуры, которые используют сетевые продукты или сервисы, не прошедшие проверку на соответствие требованиям кибербезопасности или не соответствующие им. В статье прямо сформулировано требование необходимости устранения рисков для национальной безопасности.
За нарушения, связанные с невыполнением операторами связи своих обязательств по обеспечению безопасности, закон с поправками значительно ужесточает наказание, вводя трёхуровневую систему: обычные случаи, случаи, повлекшие за собой серьёзные последствия, и случаи, повлекшие за собой особо серьёзные последствия. Максимальный штраф для юридических лиц увеличен до 10 млн юаней (1,5 млн долларов США); максимальный штраф для непосредственно ответственных лиц и другого ответственного персонала также увеличен со 100 000 до 1 млн юаней (c 15 000 до 150 000 долларов США).
– расширение экстерриториального охвата:
Пересмотренная статья 77 расширяет экстерриториальное применение ЗКБ, снижая порог правоприменения в отношении иностранных организаций. Ранее для правоприменения требовалось доказать наличие серьёзных последствий, возникших в результате действий, которые ставили под угрозу безопасность критически важной информационной инфраструктуры. Согласно новой редакции статьи, ответственность теперь наступает за любую деятельность, которая ставит под угрозу кибербезопасность Китая, что упрощает для властей процесс трансграничного правоприменения. В случае нанесения серьёзного ущерба регулирующие органы могут применять карательные меры, такие как, например замораживание активов.
В мае 2025 года Управление киберпространства Китая CAC (Cyberspace Administration of China) на своем официальном сайте (cac.gov.cn) опубликовало критически важные разъяснения, в отношении трансграничной передачи данных.
Управлением CAC отмечается, что национальный механизм координации в сфере безопасности данных координирует работу соответствующих органов по составлению каталогов важных данных, а местные органы власти и отраслевые регуляторы определяют конкретные списки важных данных, применимые к их регионам, отраслям и сферам деятельности, в соответствии с системой классификации и оценки данных и обеспечивают усиленную защиту данных, включенных в эти списки.
В соответствии с Положением об управлении безопасностью сетевых данных (статья 29) обработчики сетевых данных должны идентифицировать и регистрировать важные данные в соответствии с национальными требованиями. В случае подтверждения того, что данные являются важными, соответствующие органы должны уведомить об этом обработчика данных или опубликовать соответствующее обозначение.
На практике регулирующие органы разрабатывают отраслевые стандарты и правила классификации и оценки данных, а также идентификации и хранения важных данных (некоторые из них уже опубликованы в таких отраслях, как промышленность, телекоммуникации, природные ресурсы и статистика). Кроме того, они могут сообщать о своих требованиях на совещаниях, в письменных уведомлениях или напрямую. Обработчики данных должны следовать применимым стандартам, правилам и нормативным требованиям для своевременной идентификации и хранения данных.
Важно отметить, что CAC указывает на то, что если не были выпущены отраслевые и полевые стандарты или правила подачи заявок, а компетентные органы не уведомили обработчика данных о том, что он должен идентифицировать или подавать заявки на важные данные, то неспособность обработчика идентифицировать или подать заявку и обеспечить усиленную защиту не будет считаться нарушением требований по защите важных данных и сама по себе не повлечёт за собой административных взысканий.
В пояснениях о трансграничной передачи важных данных, CAC отмечает, что, если важные данные, собранные или сгенерированные в Китае, необходимо передать за границу, оператор данных должен пройти организованную CAC оценку безопасности экспорта данных, как того требует Закон о кибербезопасности (статья 37). Процесс подачи заявки должен соответствовать опубликованным CAC рекомендациям по оценке безопасности.
Важные данные могут быть экспортированы, если по результатам оценки безопасности будет установлено, что экспорт не поставит под угрозу национальную безопасность или общественные интересы.
Также отмечается, что если обработчик данных не был уведомлен и данные не были публично признаны важными, то обработчику, как правило, не нужно запрашивать оценку безопасности для экспорта «важных данных», а передача данных не будет считаться незаконным экспортом важных данных и не повлечет за собой штрафных санкций. После того как обработчик данных получит уведомление или данные будут публично признаны важными, обработчик должен будет в течение двух месяцев подать заявку на оценку безопасности экспорта данных в провинциальный центр сертификации, а затем осуществить трансграничную передачу данных в соответствии с результатами оценки.
Недавние случаи правоприменения показывают, что регулирование трансграничной передачи данных вышло за рамки концептуального нормотворчества и перешло к предметному оперативному надзору.
В мае 2025 года в СМИ появилась информация о том, что французская косметическая компания Dior допустила утечку данных, когда пользователи в материковом Китае получили от нее официальную SMS-рекламу. В ответ на это Управление общественной безопасности Китая начало административное расследование в отношении Dior (Шанхай) в связи с утечкой персональных данных. В ходе расследования власти установили, что компания передала персональные данные в свою штаб-квартиру во Франции, не выполнив требования к трансграничной передаче данных (т. е. не проведя оценку безопасности, не заключив стандартный договор или не получив сертификат, как того требует закон). Компания Dior (Шанхай) также не уведомила должным образом физических лиц о том, что их данные будут обрабатываться за рубежом, и не получила необходимое отдельное согласие. Фирма также не обеспечила надлежащие меры безопасности, в том числе шифрование. После этого китайские власти наложили административные взыскания. Этот случай считается первым в КНР публично оглашенным наказанием за незаконную трансграничную передачу персональных данных.
Приведённый выше пример правоприменительной практики свидетельствуют о растущих возможностях и готовности регулирующих органов принимать меры в отношении компаний, не соблюдающих требования CBDT в отношении персональных данных и другой конфиденциальной информации.
По мере того, как система защиты данных и конфиденциальности в Китае становится более зрелой, а правоохранительные органы накапливают опыт, ожидается, что в ближайшие годы контроль со стороны регулирующих органов и правоприменительная практика в этой области станут более активными.
В апреле 2025 года, Китай опубликовал руководящие принципы для облегчения трансграничных потоков финансовых данных. Документ подготовлен шестью ведомствами, включая Народный банк Китая и Государственное управление финансового регулирования КНР.
Некоторые аспекты документа:
– разъясняются условия трансграничного потока данных и определяется перечень элементов данных, разрешённых для трансграничного потока;
– прописаны условия для таких областей, как трансграничные платежи, денежные переводы, открытие счетов и совершение покупок;
– финансовым учреждениям предписано принимать необходимые меры для эффективного обеспечения безопасности данных.
Эксперты считают, что опубликованное руководство будет способствовать более безопасному, упорядоченному и эффективному трансграничному потоку данных в финансовом секторе, что поможет создать более благоприятную и инклюзивную деловую среду и повысит международную конкурентоспособность.
В 2025 году также были разработаны три отраслевых стандарта для более эффективного выявления и защиты важных данных в промышленном секторе:
– руководство по определению важных данных в промышленном секторе (далее – Руководство), в котором изложены принципы, процедуры и критерии определения важных данных, а также представлена практическая основа для классификации и оценки данных;
– требования к защите данных на промышленных предприятиях, которые устанавливают базовые требования к защите данных на протяжении всего жизненного цикла и помогают предприятиям создавать надёжные системы защиты;
– спецификация для оценки рисков безопасности данных в промышленном секторе, в которой изложены принципы, процедуры и методологии проведения оценки рисков, связанных с деятельностью, в которой используются важные и основные данные.
В совокупности эти три отраслевых стандарта создают комплексную нормативно-правовую базу для идентификации, защиты и оценки, обеспечивая соблюдение требований безопасности данных на промышленных предприятиях.
В качестве базового стандарта для классификации и оценки промышленных данных Руководство применяется во всей отрасли и на протяжении всего жизненного цикла данных. Область применения охватывает не только производственные данные, но и все данные, генерируемые или собираемые на протяжении всего жизненного цикла промышленных данных, включая данные, полученные в ходе исследований и разработок, проектирования, производства, управления операциями, работы платформ и прикладных сервисов.
Руководство устанавливает замкнутый цикл процесса идентификации важных данных, который включает в себя сортировку, идентификацию, внутреннее утверждение и регистрацию в соответствии с нормативными требованиями. Для регистрации в регулирующих органах необходимо предоставить в компетентный орган окончательный список важных данных.
В Руководстве также изложены многоаспектные критерии определения важных данных. К важным данным следует относить данные, непосредственно связанные с государственной тайной, а также исходные несекретные данные, используемые для создания секретных материалов и национальной безопасности, имеющие отношение к экономической безопасности, технологической безопасности, кибербезопасности и безопасности ИИ, что соответствует комплексному подходу Китая к национальной безопасности. В сфере безопасности промышленного развития собираются основные данные, связанные с конкурентоспособностью промышленности, безопасностью цепочки поставок, экономическими операциями, безопасностью производства и экологичным развитием. Например, ключевые параметры процессов в химической промышленности или основные данные о цепочке поставок в автомобильном секторе. К товарам, экспорт которых контролируется, относятся основные технологии, проектная документация, производственные процессы, методы и исходный код, относящиеся к промышленной продукции, экспорт которой контролируется, в соответствии с требованиями экспортного контроля и безопасности торговли.
В Руководстве подчеркивается, что компаниям, обрабатывающим промышленные данные, необходимо параллельно проводить идентификацию и составлять отчеты по персональным данным, затрагивающим более 10 миллионов человек, в соответствии с Положением об управлении безопасностью сетевых данных, обеспечивая скоординированное управление важными данными и крупномасштабными массивами персональных данных.
По мере вступления в силу этих правовых реформ для обеспечения соответствия развивающемуся законодательству Китая в сфере обработки данных будут необходимы упреждающие правовые оценки и своевременная корректировка политики. Отдавая приоритет этим мерам, транснациональные корпорации смогут эффективно выполнять нормативные требования, сохраняя гибкость в ведении бизнеса.
Положение об управлении безопасностью сетевых данных от 1 января 2025 года, распространяется на деятельность по обработке сетевых данных, осуществляемую на территории Китая, а также на определённую деятельность, осуществляемую за его пределами, если такая деятельность наносит (или может нанести) ущерб национальной безопасности, общественным интересам или законным правам и интересам физических лиц или организаций КНР. Например, они распространяются на некоторые виды обработки персональных данных за рубежом, целью которых является предоставление товаров или услуг физическим лицам, а также мониторинг поведения в Китае.
Правила требуют, чтобы лица, ответственные за обработку сетевых данных, разрабатывали и поддерживали планы реагирования на инциденты, связанные с безопасностью сетевых данных. В случае возникновения инцидента ответственное лицо должно немедленно активировать план, принять меры для предотвращения эскалации, устранить риски для безопасности и сообщить о случившемся в соответствующие компетентные органы в соответствии с применимыми требованиями.
Если обработчик сетевых данных предоставляет личную информацию или важные данные другому обработчику сетевых данных или поручает другому обработчику сетевых данных обработку таких данных, стороны должны документально подтвердить цель, метод и объем обработки, а также соответствующие обязательства по обеспечению безопасности данных в рамках договора или аналогичного соглашения.
Сторона, передающая (доверившая) данные, также должна контролировать выполнение получателем своих обязательств. Записи о предоставлении или доверенной обработке персональных данных и важной информации должны храниться не менее трёх лет.
Правила также касаются обработчиков данных, находящихся за рубежом. Если зарубежный сетевой обработчик данных обрабатывает персональные данные физических лиц в КНР и в соответствии со статьей 53 Закона о защите персональных данных обязан создать в Китае специальное юридическое лицо или назначить представителя в КНР, он должен предоставить название соответствующего юридического лица (представителя) и его контактные данные (а также другую необходимую информацию) в местное отделение CAC на уровне префектуры или города. Отделение CAC должно незамедлительно уведомить другие компетентные органы того же уровня.
Для лиц, обрабатывающих важные данные, Положение устанавливает дополнительные обязательства. Например, прежде чем лицо, обрабатывающее важные данные, предоставит их другой стороне, поручит ей их обработку или будет совместно обрабатывать важные данные с другой стороной, оно должно провести самостоятельную оценку рисков. Оценка должна быть сосредоточена на законности, обоснованности и необходимости цели, метода и объёма обработки данных; рисках несанкционированного доступа, уничтожения, утечки, незаконного получения или использования данных, а также на потенциальном влиянии на национальную безопасность, общественные интересы и законные права и интересы отдельных лиц и организаций; добросовестности получателя и соблюдении им требований; эффективности договорных условий обеспечения безопасности для получателя; адекватности предлагаемых технических и организационных мер.
Правила также налагают обязательства на «поставщиков услуг сетевых платформ», включая дополнительные требования к крупным операторам платформ (например, к платформам с более чем 50 миллионами зарегистрированных пользователей или 10 миллионами активных пользователей в месяц).
Обновлённый режим защиты данных также предусматривает более строгие нормативные требования к слияниям и поглощениям технологических компаний, в которых используются важные данные. Статья 32 Положения об управлении безопасностью сетевых данных устанавливает, что в случае слияния, разделения, ликвидации, банкротства или любого другого обстоятельства, которое может повлиять на безопасность важных данных, оператор этой информации должен принять меры для обеспечения безопасности сетевых данных и сообщить соответствующему компетентному органу на уровне провинции или выше о своём плане распоряжения важными данными, а также об имени (или фамилии) получателя и его контактных данных.
Комплексная проверка соответствия требованиям к данным стала неотъемлемой частью сделок по слиянию и поглощению. Потенциальные покупатели должны убедиться в том, что целевая компания правильно классифицировала и оценила свои информационные активы, особенно в тех случаях, когда она обрабатывает важные данные или конфиденциальную личную информацию, а также в том, что были проведены необходимые оценки влияния на конфиденциальность. Покупателям также следует проверить законность любых трансграничных передач данных, в том числе убедиться в том, что целевая компания внедрила применимые механизмы передачи (например, заключила и зарегистрировала стандартный договор, если это требуется), а также оценить любые существующие пробелы в соблюдении требований или предыдущие действия регулирующих органов, которые могут повлечь за собой ответственность правопреемника.
Таким образом, Китай продолжает совершенствовать и дорабатывать свою систему защиты данных и конфиденциальности. Теперь, когда основное законодательство и правила его применения в основном сформированы, правоохранительные органы всё активнее следят за соблюдением режима защиты данных и личной информации в стране.