Ini mungkin salah satu undang-undang perlindungan informasi pribadi yang paling ketat di seluruh dunia.
Undang-Undang Perlindungan Informasi Pribadi (“PIPL”) pertama di Tiongkok diumumkan pada 21 Agustus 2021 dan mulai berlaku pada 1 November 2021.
Undang-undang ini memiliki total 74 pasal. 15 poin kunci dari undang-undang yang paling layak diperhatikan adalah sebagai berikut.
1.Apakah PIPA China berlaku untuk perusahaan asing?
Selama Anda menangani informasi pribadi orang perseorangan di Tiongkok, Anda harus mematuhi PIPA. (Pasal 3)
Hukum juga berlaku untuk aktivitas di luar Tiongkok yang menangani informasi pribadi orang perseorangan yang berada di Tiongkok dalam kondisi berikut:
(1) kegiatannya adalah untuk menyediakan produk atau layanan kepada orang perseorangan di Tiongkok.
(2) kegiatannya adalah untuk menganalisis dan mengevaluasi perilaku orang-orang alami di Cina.
(3) keadaan lain yang ditentukan oleh undang-undang dan peraturan administratif Tiongkok lainnya.
2.Dapatkah informasi pribadi di Tiongkok ditransfer ke luar Tiongkok?
Ya, asalkan dua prasyarat berikut terpenuhi.
Pertama, transfer telah disetujui oleh otoritas regulasi China. (Pasal 38)
Kedua, pemroses informasi pribadi telah memperoleh persetujuan terpisah dari orang tersebut untuk tujuan ini. (Pasal 39)
3.Dapatkah informasi pribadi yang dikumpulkan dan dibuat di Tiongkok disimpan di luar Tiongkok?
Pada prinsipnya, tidak. (Pasal 40)
Pertama, operator infrastruktur informasi penting hanya dapat menyimpan informasi pribadi di China.
Kedua, jika pemroses informasi pribadi menangani informasi pribadi hingga jumlah yang ditentukan oleh otoritas pengatur, ia hanya dapat menyimpan informasi pribadi di Tiongkok.
4.Apakah entitas asing akan dihukum karena melanggar PIPA China?
Ya.
Otoritas pengatur Tiongkok dapat memasukkan mereka ke dalam daftar informasi pribadi yang dibatasi atau dilarang, dan membatasi atau melarang subjek lain memberikan informasi pribadi kepada mereka. (Pasal 42)
5.Dapatkah badan peradilan asing dan lembaga penegak hukum meminta akses ke informasi pribadi yang disimpan di Tiongkok?
Badan peradilan asing hanya dapat memperoleh informasi pribadi tersebut melalui bantuan peradilan. (Pasal 41)
Pemroses informasi pribadi tidak boleh memberikan informasi pribadi tersebut kepada lembaga peradilan atau penegak hukum asing tanpa persetujuan dari otoritas Tiongkok yang kompeten.
6.Bagaimana cara China menyelesaikan konflik dengan aturan perlindungan informasi pribadi asing?
Jika ada negara atau wilayah yang melakukan larangan, pembatasan, atau tindakan diskriminatif lainnya terhadap Tiongkok dalam perlindungan informasi pribadi, Tiongkok dapat mengambil tindakan timbal balik terhadap negara atau wilayah tersebut sesuai dengan situasi aktual. (Pasal 43)
7. Jenis informasi apa yang diatur oleh PIPA China?
Informasi pribadi. Jika informasi tersebut dapat diidentifikasi berkaitan dengan orang tertentu, maka itu adalah informasi pribadi. (Pasal 4)
8. Jenis kegiatan apa yang diatur oleh PIPA China?
Penanganan informasi pribadi meliputi pengumpulan, pemulihan, penggunaan, proses, transmisi, penyediaan, pengungkapan, dan penghapusan informasi pribadi. (Pasal 4)
9.Dalam keadaan apa informasi pribadi dapat diproses?
Pemroses informasi pribadi dapat memproses informasi pribadi dalam dua kasus: di mana persetujuan dari individu yang bersangkutan telah diperoleh; atau di mana persetujuan individu tidak diperlukan untuk pemrosesan informasi.
Kasus-kasus, di mana persetujuan individu tidak diperlukan, termasuk:
(1) Pengolah informasi pribadi membuat kontrak dengan orang perseorangan dan pengumpulan informasi pribadi diperlukan untuk pelaksanaan kontrak;
(2) Perusahaan mengumpulkan informasi karyawan yang diperlukan untuk manajemen sumber daya manusia.
(3) Informasi pribadi dikumpulkan untuk menanggapi keadaan darurat kesehatan.
(4) Informasi pribadi dikumpulkan untuk liputan pers untuk kepentingan umum.
(5) Informasi pribadi yang telah dipublikasikan (terbatas untuk tujuan tertentu).
10.Bagaimana cara pemroses informasi pribadi memperoleh persetujuan dari seorang individu?
Sebelum menangani informasi pribadi, pemroses informasi pribadi harus memberi tahu individu tentang informasi berikut dengan jujur, akurat, dan lengkap, dengan cara yang menonjol dan dalam bahasa yang jelas dan dapat dimengerti:
(1) Identitas pemroses informasi pribadi.
(2) Bagaimana informasi pribadi akan diproses.
(3) Bagaimana individu akan menggunakan haknya sehubungan dengan informasi pribadi.
11. Hak apa yang dimiliki seseorang sehubungan dengan informasi pribadinya?
Individu memiliki hak untuk mengetahui dan memutuskan penanganan informasi pribadi mereka. (Pasal 44)
Untuk lebih spesifik,
(1) Individu berhak untuk memeriksa dan menyalin informasi pribadinya dari orang yang menangani informasi pribadinya; (Pasal 45)
(2) Individu berhak meminta pemroses informasi pribadi untuk memperbaiki atau melengkapi informasi pribadi mereka jika mereka menemukan informasi tersebut tidak akurat atau tidak lengkap; (Pasal 46)
(3) Individu berhak untuk menarik persetujuannya setiap saat (Pasal 15)
(4) Individu memiliki hak untuk meminta pemroses informasi pribadi untuk menjelaskan dan mengklarifikasi aturan untuk menangani informasi pribadi mereka. (Pasal 48)
12.Bagaimana organ negara menangani informasi pribadi?
Organ negara dapat menangani informasi pribadi untuk tujuan menjalankan tugas hukum mereka, tetapi mereka harus melakukannya sesuai dengan otoritas dan prosedur hukum. (Pasal 34)
Organ-organ negara harus memberi tahu individu tentang penanganan informasi pribadi mereka. Namun, organ negara tidak boleh memberi tahu individu jika undang-undang mengatur bahwa penanganan tersebut harus dirahasiakan. (Pasal 35, Pasal 18)
13.Dapatkah pemroses informasi pribadi mengumpulkan informasi pribadi di tempat umum?
Bisa, dengan syarat harus memenuhi persyaratan sebagai berikut (Pasal 26):
(1) pemungutan itu diperlukan untuk keamanan umum;
(2) pemungutannya sesuai dengan ketentuan hukum yang berlaku;
(3) koleksi membuat pengingat yang menonjol.
14.Dapatkah pemroses informasi pribadi menggunakan informasi pribadi untuk membuat keputusan bisnis?
Ya, tetapi mereka harus memastikan transparansi keputusan dan keadilan dan ketidakberpihakan hasil. (Pasal 24)
Untuk lebih spesifik:
(1) Pemroses informasi pribadi tidak boleh menawarkan kondisi perdagangan yang dipersonalisasi kepada individu, seperti diskriminasi harga.
(2) Individu dapat menolak dorongan informasi pribadi dan pemasaran komersial oleh pemroses informasi pribadi kepada mereka.
(3) Individu dapat menolak keputusan otomatis yang dibuat oleh pemroses informasi pribadi kepada mereka.
15.Siapakah otoritas pengatur untuk perlindungan informasi pribadi di Tiongkok?
Administrasi Cyberspace China dan rekan-rekannya di pemerintah daerah adalah otoritas pengatur di bidang ini.