Donderdag 1 juni treed in China nieuwe Cybersercurity wetgeving in werking. De wetgeving beperkt bedrijven die in China data van hun gebruikers verzamelen. De wetgeving is de eerste uitgebreide wetgeving die op nationaal niveau veiligheid op het internet en gegevensverzameling adresseert. Het Chinese staatspersbureau Xinhua meldt dat bedrijven eerder om uitstel hebben gevraagd, omdat ze het niet zouden redden om aan de vereisten van de wetgeving te voldoen. De wetgeving treedt desondanks nu toch in werking.
Voor veel bedrijven is onduidelijk of ze door de wetgeving geraakt worden. Voor veel multinationals is dit waarschijnlijk wel het geval. De wetgeving valt namelijk vrij breed uit te leggen. Alle informatie die onder de noemer van “critical information infrastructure” valt te scharen, valt binnen de scope van de wetgeving. Dit betekent dat alle bedrijven die grote hoeveelheden informatie over Chinese burgers verzamelen, of die leverancier zijn van een ‘critical’ sector binnen China, onder het toezicht kunnen vallen van de Cyberspace Administration of China (CAC), de Chinese cybersecurity waakhond. De CAC wordt geassocieerd met toename van controle over- en censuur van het internet in China.
De bedrijven mogen onder de nieuwe wetgeving geen persoonsgegevens verzamelen en verkopen. Zo vinden de bedrijven de definitie van persoonsgegevens nog te vaag: ‘Informatie die alleen, of in combinatie met andere gegevens voldoende is om een individu te identificeren, waaronder vallend geboortedata, telefoonnummers, adressen en Identiteitskaartnummers’. Daarbij is politieke, religieuze en genetische informatie als gevoelig aan te merken.
Naast deze persoonsgegevens mogen bedrijven ook geen ‘belangrijke gegevens’ verwerken. De definitie hiervan is ook breed te noemen: informatie die in nauw gelinkt is aan de nationale veiligheid, de economische ontwikkeling en het maatschappelijk belang. Verwacht wordt dat de CAC voornamelijk zal controleren of bedrijven gegevens bezitten die officiële cijfers bekendgemaakt door de staat kunnen tegenspreken.
De Chinese overheid is van plan om hard- en software van de bedrijven actief te onderzoeken, bedrijven moeten actief helpen bij deze ‘veiligheidsonderzoeken’.
Op overtreding van deze regels komen heftige boetes te staan. Als de reeds verzamelde informatie wordt misbruikt kunnen gebruikers bovendien vragen om de data te verwijderen. Verzameling van gegevens direct gerelateerd aan de geboden dienst zal nog wel worden toegestaan. Naast dit verbod mogen bedrijven de verzamelde data alleen binnen China opslaan, en dus niet uitbesteden aan bijvoorbeeld een buitenlandse cloud service.
Auteur: Jelte van ’t Hul
