Mit der Veröffentlichung des zweiten Überarbeitungsentwurfs des Gesetzes zum Schutz persönlicher Daten (Personal Information Protection Law, PIPL) hat China einen weiteren Schritt zum Datenschutz getan. Obwohl es sich nicht um das endgültige Gesetz handelt, scheint die Gesetzgebung zum Schutz personenbezogener Daten in die Endphase eingetreten zu sein, und es wird angenommen, dass das PIPL bald formell in Kraft treten wird.
Es ist nicht schwer zu erkennen, dass der PIPL-Entwurf der General Data Protection Regulation (GDPR) der EU immer ähnlicher wird. So wird es den Verarbeitern personenbezogener Daten erlaubt sein, personenbezogene Daten ins Ausland zu übermitteln, wenn sie eine Zertifizierung zum Schutz personenbezogener Daten erhalten oder einen Standardvertrag mit dem Datenempfänger im Ausland abschließen. Die Standardvertragsklauseln unter der GDPR sind ähnlich.
Dennoch müssen sich ausländische Unternehmen bewusst sein, dass das PIPL auch Unterschiede zur GDPR aufweist. So müssen beispielsweise Betreiber kritischer Informationsinfrastrukturen (Critical Information Infrastructure Operator, CIIO) und Verarbeiter personenbezogener Daten, die solche Daten über eine bestimmte Menge hinaus verarbeiten, eine Sicherheitsbewertung durchführen, bevor sie diese Daten ins Ausland übermitteln dürfen.
Da die Verordnung zur Sicherheitsprüfung noch nicht formell umgesetzt wurde, ist der konkrete Inhalt der Bestimmungen zur Sicherheitsprüfung bei der grenzüberschreitenden Übermittlung noch nicht bekannt. Daher sollten vor allem ausländische Unternehmen den Fortgang des PIPL und der entsprechenden Regelungen im Auge behalten.
Darüber hinaus gibt es weitere Aspekte des PIPL, die von den Regelungen der GDPR abweichen. Das bedeutet, dass es in Zukunft nicht ausreichen wird, nur das GDPR-Niveau der Datensicherheit in China zu haben. Ausländische Unternehmen sollten sich rechtzeitig über die Risiken informieren und sich auf das formale Inkrafttreten des Gesetzes vorbereiten.
Bild: Unsplash
China Intellectual Property Blog 