הבנת חוק הגנת המידע האישי של סין

חוק הגנת המידע האישי של סין (PIPL), שנכנס לתוקף ב־1 בנובמבר 2021, הוא אחד מחוקי הגנת הפרטיות המשמעותיים ביותר מחוץ לאירופה. עבור אתרים גלובליים, במיוחד כאלה שיש להם מבקרים מסין או פעילות בסין, PIPL יוצר חובות הסכמה שקיימות באופן עצמאי — ולעיתים אף מתנגשות — עם דרישות GDPR.

PIPL מסדיר את עיבוד המידע האישי של יחידים בתוך סין. תחולת החוק הטריטוריאלית רחבה: הוא חל על כל ארגון שמעבד מידע אישי של אנשים הנמצאים בסין, ללא קשר למקום מושבו של הארגון עצמו. אם האתר שלך נגיש למשתמשים מסין ואתה אוסף מהם כל סוג של מידע אישי, PIPL רלוונטי עבורך.

PIPL לעומת GDPR: הבדלים מרכזיים שחשוב להכיר

למרות שלעתים מכנים את PIPL "ה־GDPR של סין", ההשוואה הזו מטשטשת הבדלים חשובים שמשפיעים על אופן יישום ההסכמה:

• הסכמה כבסיס המשפטי העיקרי: GDPR מציע שישה בסיסים משפטיים לעיבוד, כולל אינטרס לגיטימי. PIPL ממוקד יותר בהסכמה. אמנם הוא מכיר בבסיסים משפטיים נוספים (צורך חוזי, חובה חוקית, אינטרס ציבורי), אך היקף האינטרס הלגיטימי מצומצם בהרבה, והסכמה היא ברירת המחדל הצפויה עבור רוב עיבודי הנתונים המסחריים.
• הסכמה נפרדת לנתונים רגישים: PIPL מחייב הסכמה נפרדת ומפורשת לעיבוד מידע אישי רגיש, הכולל נתונים ביומטריים, מידע פיננסי, מעקב מיקום ונתונים של קטינים מתחת לגיל 14. מעקב התנהגותי המבוסס על קוקיז עשוי להיכלל בקטגוריה זו.
• חובת לוקליזציה של נתונים: מפעילי תשתיות מידע קריטיות וארגונים שמעבדים מידע אישי מעל לסף נפח שנקבע על ידי רשות הסייברספייס של סין (CAC) חייבים לאחסן נתונים בתוך סין. הדבר משפיע על המקום שבו ניתן לעבד את נתוני האנליטיקה והקוקיז שלך.
• הגבלות על העברת נתונים חוצת גבולות: העברת מידע אישי מחוץ לסין מחייבת אחד משלושה מנגנונים: מעבר הערכת אבטחה של CAC, קבלת הסמכה מגוף מוכר, או כריתת סעיפים חוזיים סטנדרטיים שפורסמו על ידי CAC. זה מגביל יותר ממנגנוני ההעברה של GDPR.
• זכויות נושאי מידע ב"מאפיינים סיניים": PIPL מעניק לנושאי המידע זכויות הדומות ל־GDPR (גישה, תיקון, מחיקה, ניידות), אך מוסיף את הזכות לסרב לקבלת החלטות אוטומטיות ואת הזכות לבקש הסבר על כללי העיבוד האוטומטי.

מה המשמעות של PIPL עבור קוקיז ומעקב

PIPL אינו מזכיר במפורש "קוקיז" כפי שעושה דירקטיבת ePrivacy של האיחוד האירופי. עם זאת, ההגדרה הרחבה של החוק ל"מידע אישי" — כל מידע הקשור לאדם טבעי מזוהה או שניתן לזהותו — כוללת את רוב המעקבים המבוססים על קוקיז:

• קוקיז אנליטיים שעוקבים אחר התנהגות משתמשים בין דפים אוספים מידע אישי לפי הגדרת PIPL, גם אם המשתמש אינו מחובר לחשבון.
• קוקיז פרסום ופיקסלי מעקב בין־אתריים נמצאים בבירור בתחום התחולה, שכן הם בונים פרופילים הקשורים למזהי מכשיר.
• קוקיז סשן לפונקציונליות בסיסית (עגלת קניות, מצב התחברות) מותרים בדרך כלל על בסיס צורך חוזי, בדומה ל־GDPR.
• קוקיז צד שלישי שמשתפים נתונים עם גורמים חיצוניים מפעילים דרישות נוספות ב־PIPL סביב גילוי לצד שלישי, ובמקרים מסוימים גם את כללי ההעברה חוצת הגבולות.

אכיפת PIPL: השלכות ממשיות

בניגוד לחלק מחוקי הפרטיות שקיימים ��עיקר על הנייר, האכיפה של PIPL פעילה ומסלימה. רשות הסייברספייס של סין, יחד עם משרד הביטחון הציבורי וגופים נוספים, נקטו צעדים ממשיים:

• חנויות אפליקציות מרכזיות בסין הסירו אפליקציות בשל איסוף נתונים מופרז ואי־קבלת הסכמה נאותה. מאות אפליקציות הוסרו בגלי אכיפה.
• חברות נקנסו על איסוף מידע אישי מעבר לנדרש למטרה שהוצהרה.
• ה־CAC פרסמה אזהרות פומביות לחברות שמדיניות הפרטיות שלהן לא תיארה כראוי את פעילויות עיבוד הנתונים.
• במקרים חמורים, PIPL מאפשר קנסות של עד 50 מיליון יואן (כ־7 מיליון דולר ארה"ב) או 5% מההכנסות של השנה הקודמת, לצד אפשרות להשעיית פעילות עסקית.

עבור חברות בינלאומיות, הסיכון הוא גם רגולטורי וגם מסחרי. אי־עמידה בדרישות עלולה להוביל להסרת אפליקציות מחנויות האפליקציות בסין, חסימת שירותים, ופגיעה במוניטין בשוק של יותר ממיליארד מ��תמשי אינטרנט.

מיקוד גיאוגרפי של מבקרים מסין

אם האתר שלך משרת קהל גלובלי הכולל משתמשים מסין, עליך ליישם אסטרטגיית הסכמה מבוססת מיקום. משמעות הדבר היא זיהוי כאשר מבקר נמצא בסין והצגת מנגנוני הסכמה שעומדים בדרישות PIPL:

• זיהוי מבוסס IP: השתמש בגיאולוקציית IP כדי לזהות מבקרים מהיבשת הסינית. זהו אותו מנגנון המשמש למיקוד גיאוגרפי של מבקרים מה־EEA לצורך GDPR.
• אותות מבוססי שפה: אם שפת הדפדפן של המשתמש מוגדרת לסינית (zh-CN או zh-TW), ניתן להשתמש בכך כאות משני, אם כי אין להסתמך עליו כקריטריון יחיד.
• תוכן באנר ההסכמה: הודעת ההסכמה המוצגת למשתמשים מסין צריכה להיות בסינית מפושטת, לציין בבירור את מטרות איסוף הנתונים, לזהות את בקר הנתונים, ולהציע מנגנון אמיתי לסירוב לעיבוד שאינו חיוני.
• הסכמה נפרדת לעיבוד רגיש: אם אתה משתמש בקוקיז לפרופילינג התנהגותי או למעקב מיקום, על משתמשים מסין לראות בקשת הסכמה נפרדת ומפורטת יותר עבור קטגוריות אלו.

התמודדות עם GDPR ו־PIPL באמצעות CMP אחד

רוב האתרים הגלובליים צריכים לעמוד במספר משטרי פרטיות במקביל. האתגר הוא להציג את חוויית ההסכמה הנכונה למשתמש הנכון, מבלי לתחזק מערכות נפרדות. כך פועל מודל מאוחד:

זיהוי אזור כבסיס

ה־CMP חייב תחילה לקבוע את מיקום המבקר. על בסיס זה הוא מיישם את כללי ההסכמה המתאימים:

• מבקרים מה־EEA/בריטניה: באנר הסכמה לפי TCF 2.3 עם Consent Mode V2, מודל Opt-in, וכל דרישות GDPR.
• מבקרים מסין: הודעת הסכמה תואמת PIPL בסינית מפושטת, Opt-in לעיבוד שאינו חיוני, וגילוי ברור של העברות חוצות גבולות אם הנתונים יוצאים מסין.
• מבקרים מארה"ב: כללים ייעודיים לפי מדינה (CCPA/CPRA בקליפורניה, חוקים ��דינתיים בקולורדו, קונטיקט, וירג'יניה וכו'), בדרך כלל מודלים של Opt-out.
• אזורים אחרים: התנהגות ברירת מחדל בהתאם לרמת הסיכון שהמפרסם מוכן לקבל ולחוקים המקומיים החלים.

שיקולים לגבי אחסון הסכמה

דרישות הלוקליזציה של נתונים ב־PIPL משמעותן שרישומי הסכמה של משתמשים מסין עשויים להידרש להישמר בשרתים בתוך סין אם נפחי עיבוד הנתונים שלך חוצים את הספים שקבעה CAC. עבור רוב האתרים הבינלאומיים עם תנועה מזערית מסין, לא סביר שסף זה ייחצה, אך אתרים בעלי תנועת גולשים גבוהה המכוונים לשוק הסיני צריכים להתייעץ עם יועצים משפטיים מקומיים.

תיעוד העברות חוצות גבולות

כאשר משתמש מסין מסכים לקוקיז ששולחים נתונים לשרתים מחוץ לסין (כפי שקורה כמעט בכל פלטפורמות האנליטיקה והפרסום המערביות), על ה־CMP לתעד הסכמה זו כחלק מהצדקת ההעברה חוצת הגבולות. הודעת הה��כמה צריכה לציין במפורש שהנתונים יועברו בינלאומית.

צעדים מעשיים לעמידה גלובלית בדרישות

להלן תוכנית פעולה מדורגת לאתרים שצריכים לטפל ב־PIPL לצד GDPR:

• בצעו ביקורת על התנועה מסין: בדקו באנליטיקה שלכם מהו אחוז המבקרים שמגיעים מסין. אם הוא זניח, רמת הסיכון נמוכה יותר אך אינה אפסית.
• מפו את הקוקיז לקטגוריות PIPL: קבעו אילו קוקיז מעבדים מידע אישי לפי הגדרת PIPL והאם חלקם כוללים מידע אישי רגיש.
• יישמו הסכמה מבוססת מיקום: השתמשו ב־CMP שיכול להציג חוויות הסכמה שונות לפי מיקום המבקר, עם שפה מתאימה ובסיס משפטי מתאים לכל אזור.
• עדכנו את מדיניות הפרטיות: הוסיפו סעיף המתייחס באופן ספציפי לזכויות לפי PIPL ולפרקטיקות עיבוד הנתונים שלכם עבור משתמשים מסין.
• בדקו העברות חוצות גבולות: תעדו כיצד מידע אישי של משתמשים מסין מועבר ומעובד בינלאומית, וודאו שיש לכם מנגנון העברה תקף.

הערה חשובה: עמידה ב־PIPL עבור אתרים המכוונים לשוק הסיני יכולה להיות מורכבת, וההנחיות הרגולטוריות עדיין מתפתחות. מאמר זה מספק סקירה כללית, אך ארגונים עם פעילות משמעותית בסין או בסיס משתמשים גדול מסין צריכים לקבל ייעוץ משפטי המותאם למצבם הספציפי.

FlexyConsent תומך בחוויות הסכמה מבוססות מיקום עם כללים ייעודיים לכל אזור, ומאפשר לך לטפל ב־GDPR, PIPL, CCPA וחוקי פרטיות נוספים מפלטפורמה אחת. התוכנית החינמית כוללת זיהוי גיאוגרפי והגדרת הסכמה רב־אזורית.