Что такое трансграничная передача данных?
Иностранные бренды, выходящие на китайский рынок, ежедневно генерируют огромные объёмы данных: профили клиентов на Tmall Global и JD Worldwide, лиды из кампаний в Xiaohongshu и Douyin, кадровые записи местных сотрудников и операционные показатели, отправляемые в региональный головной офис за рубежом. Как только эти данные покидают материковый Китай, они подпадают под одну из самых строгих в мире систем экспорта данных. Согласно Закону о защите персональной информации (PIPL) и Закону о безопасности данных (DSL), трансграничная передача данных — регулируемая деятельность, а за несоблюдение предусмотрены суровые санкции. Это руководство простым языком объясняет, что должны делать иностранные компании в 2026 году, чтобы законно перемещать данные из Китая.
Три законных пути
Китай не запрещает экспорт данных, а направляет его через три утверждённых механизма, уточнённых Положениями 2024 года о содействии и регулировании трансграничных потоков данных и полностью вступивших в силу к 2026 году.
- Оценка безопасности CAC. Требуется для крупномасштабной или чувствительной передачи, например когда компания обрабатывает персональную информацию более чем одного миллиона лиц, передаёт важные данные или эксплуатирует критическую информационную инфраструктуру. Администрация киберпространства Китая (CAC) проверяет передачу с точки зрения безопасности и общественных интересов.
- Стандартный контракт. Компания может принять типовой стандартный контракт CAC, подписать его с зарубежным получателем и подать в CAC. Этот путь подходит для средних объёмов ниже порога оценки безопасности.
- Сертификация. Передачи могут быть одобрены через сертификацию защиты персональной информации, выдаваемую уполномоченным CAC профессиональным органом, что часто используется внутри многонациональных групп.
Пороговые значения 2026 года
- Передачи, затрагивающие миллион и более лиц, требуют оценки безопасности CAC.
- Передачи персональной информации от 100 000 до миллиона лиц могут использовать путь стандартного контракта.
- Любая передача чувствительной персональной информации более чем 10 000 лиц требует как минимум стандартного контракта, а часто и оценки.
- Важные данные, определяемые отраслевыми регуляторами, всегда запускают оценку безопасности.
- Небольшие необходимые передачи, такие как внутренние кадровые данные или ограниченные данные исполнения трансграничной электронной торговли, могут подпадать под упрощённые или освобождённые сценарии согласно Положениям 2024 года.
Шаги к соблюдению требований
- Отобразите потоки данных. Проведите инвентаризацию: какие данные собирает ваша WFOE, где они хранятся и кто за пределами Китая имеет к ним доступ.
- Классифицируйте данные. Выделите персональную информацию, чувствительную персональную информацию и любые важные данные.
- Выберите путь. Сопоставьте объём и чувствительность с оценкой, стандартным контрактом или сертификацией.
- Подготовьте документацию. Проведите оценку воздействия на защиту персональной информации, составьте стандартный контракт или заявку на оценку и примите политику конфиденциальности, соответствующую Китаю.
- Подайте и внедрите. Направьте заявки в CAC и примените технические меры защиты: шифрование, контроль доступа и журналы аудита.
Санкции за несоблюдение
Нарушения могут повлечь предупреждения, предписания об устранении, конфискацию незаконных доходов, штрафы до пятидесяти миллионов юаней или 5 % выручки за предыдущий год, а также персональную ответственность ответственных руководителей. Ущерб репутации и приостановка операций с данными также являются частыми последствиями.
Практические советы для иностранных брендов
- С самого первого дня выхода на рынок относитесь к экспорту данных как к вопросу соответствия уровня руководства.
- По возможности локализуйте хранение данных; сохранение клиентских данных Китая на серверах материка снижает объём экспорта.
- Составьте реестр данных до запуска трансграничных кампаний в Tmall, JD, RED или Douyin.
- Заранее привлеките квалифицированного китайского консультанта по конфиденциальности, поскольку процесс подачи требует много документов.
Часто задаваемые вопросы
Должна ли моя WFOE подавать заявку, если мы лишь высылаем ежемесячные отчёты в головной офис?
Если эти отчёты содержат персональную информацию китайских клиентов или сотрудников выше порогов освобождения, да. Агрегированная анонимизированная статистика обычно вне правил, а идентифицируемые записи — нет.
Что именно такое важные данные?
Важные данные — это данные, чьё искажение, утечка или злоупотребление могут нанести вред национальной безопасности, общественному здоровью или экономическим интересам. Отраслевые регуляторы публикуют каталоги; при сомнении действуйте осторожно.
Сколько длится оценка безопасности CAC?
Проверки обычно занимают несколько месяцев. График выхода на рынок должен закладывать этот срок, а не воспринимать его как формальность.
Можем ли мы хранить всё в глобальном облаке за пределами Китая?
Нет для регулируемых данных. Китайская персональная информация и важные данные обычно требуют хранения на материке или соответствующего механизма экспорта до любой зарубежной обработки.
Что будет, если мы передадим данные без соблюдения требований?
Регуляторы могут приказать прекратить, наложить штрафы и привлечь руководителей к ответственности. Несоответствующие потоки данных также ставят под угрозу более широкие лицензии и работу платформ в Китае.