Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/03508.jsonl.gz/651

Cybersicherheit in China (Teil 2)
Cybersicherheit in China (Teil 2)
07/2019
Entwurf von "Data Security Management Measures" (Massnahmen zur Datensicherheit)
Der chinesische Cyberlaw-Dschungel lichtet sich
Am 28. Mai veröffentlichte die Cyberspace Administration of China den Vernehmlassungsentwurf eines neuen Regulierungsdokuments, die Data Security Management Measures. In der vorliegenden Fassung werden mit den Massnahmen mehrere Elemente des Cybersicherheitsgesetzes fast zwei Jahre nach seinem Inkrafttreten am 1. Juni 2017 konkretisiert. Das Dokument überschneidet sich mit mehreren Regulierungsdokumenten im neu entstehenden Data Governance-System Chinas, einschliesslich der unverbindlichen Spezifikation zur Sicherheit personenbezogener Daten. Konkret richten sich die Massnahmen an vergleichsweise etablierte Policy-Bereiche rund um den Schutz personenbezogener Daten, die Definition des Konzepts «wichtige Daten» aus dem Cybersicherheitsgesetz und Cybersicherheitspraktiken für Netzbetreiber sowie an neu entstehende Bereiche wie algorithmisch zielgerichtete Inhalte oder KI-generiertes Material auf Social Media- Plattformen. Der Kommentarzeitraum endet am 28. Juni. Das Inkrafttreten der Massnahmen ist noch nicht festgelegt.
Bitte beachten Sie, dass dies keine offizielle Übersetzung ist.
(Entwurf zur Stellungnahme)
Massnahmen zum Datensicherheitsmanagement
Kapitel I
Allgemeine Grundsätze
Artikel 1: Zum Schutz der nationalen Sicherheit und des öffentlichen Interesses der Gesellschaft, zum Schutz der rechtmässigen Rechte und Interessen von Bürgern, juristischen Personen und anderen Organisationen im Cyberspace, zum Schutz personenbezogener Daten und wichtiger Daten sowie in Übereinstimmung mit dem Cybersicherheitsgesetz der Volksrepublik China und anderen Gesetzen und Vorschriften werden diese Massnahmen festgelegt.
Artikel 2: Diese Massnahmen gelten für Tätigkeiten wie Datenerhebung, -speicherung, -übertragung, -verarbeitung und -nutzung (im Folgenden "Datenaktivitäten" genannt) sowie den Schutz, die Überwachung und die Verwaltung der Datensicherheit über Netzwerke innerhalb der Volksrepublik China, ausser im Rahmen rein privater und persönlicher Angelegenheiten.
Soweit Rechts- und Verwaltungsvorschriften andere Anforderungen vorsehen, gelten diese.
Artikel 3: Der Staat hält die gleiche Bedeutung des Schutzes der Datensicherheit und deren Weiterentwicklung aufrecht, fördert die Erforschung und Entwicklung von Datenschutztechniken, fördert aktiv die Entwicklung und Nutzung von Datenressourcen und gewährleistet den freien Datenfluss auf rechtmässige und ordnungsgemässe Weise.
Artikel 4: Der Staat erlässt Massnahmen zur Überwachung, Abwehr und Bewältigung von Datensicherheitsrisiken und -bedrohungen innerhalb und ausserhalb des Hoheitsgebiets der Volksrepublik China, schützt Daten vor Verlusten, Diebstahl, Veränderung, Zerstörung, illegaler Nutzung usw. und bestraft illegale und kriminelle Aktivitäten, die die Datensicherheit in Übereinstimmung mit dem Gesetz gefährden.
Artikel 5: Unter der Leitung der Zentralkommission für Cybersicherheit und Informatisierung werden die nationalen Abteilungen für Cybersicherheit und Informatisierung personenbezogene Daten und wichtige Arbeiten zum Schutz der Datensicherheit koordinieren, leiten und überwachen.
Die Cybersicherheits- und Informationsabteilungen der Präfektur (Stadt)-Ebene und darüber hinaus weisen die Datensicherheitsarbeit von personenbezogenen Daten und wichtigen Daten in jeder Gerichtsbarkeit und in Übereinstimmung mit ihren jeweiligen Aufgaben an und überwachen sie.
Artikel 6: Die Netzbetreiber müssen unter Beachtung der einschlägigen Rechts- und Verwaltungsvorschriften und unter Bezugnahme auf die nationalen Cybersicherheitsnormen: Verpflichtungen zum Schutz der Datensicherheit erfüllen; einen Mechanismus für die Verantwortung für, Bewertung und Bewertung des Datensicherheitsmanagements einrichten; Pläne für die Datensicherheit formulieren; technische Sicherheitsvorkehrungen durchführen, Risikobewertungen für die Datensicherheit entwickeln; Reaktionspläne für Cybersicherheitsvorfälle erstellen; Sicherheitsvorfälle unverzüglich angehen und Aus- und Weiterbildung im Bereich der Datensicherheit organisieren.
Kapitel II
Datenerhebung
Artikel 7: Netzbetreiber, die personenbezogene Daten über Produkte wie Websites und Anwendungen erfassen und verwenden, müssen gesondert Regeln für die Erhebung und
Verwendung von Daten formulieren und veröffentlichen. Diese Sammel- und Nutzungsregeln können in die Datenschutzerklärung von Websites, Anwendungen usw. aufgenommen oder den Benutzern in anderer Form zur Verfügung gestellt werden.
Artikel 8: Die Sammel- und Nutzungsregeln müssen klar, spezifisch, einfach und leicht verständlich und zugänglich sein. Sie heben den folgenden Inhalt hervor:
- Grundlegende Informationen über den Netzbetreiber;
- Name und Kontaktdaten des Hauptverantwortlichen des Netzbetreibers und des Verantwortlichen für die Datensicherheit;
- Zweck, Art, Menge, Häufigkeit, Methode und Umfang der Erhebung und Verwendung personenbezogener Daten;
- Wo die personenbezogenen Daten gespeichert sind, die Dauer, für die sie gespeichert sind, und die Handhabungsmethode nach Ablauf der Aufbewahrungsfrist;
- Die Regeln für die Weitergabe personenbezogener Daten an Dritte, falls diese Daten an Dritte weitergegeben werden;
- Relevante Informationen wie die Strategie für den Schutz der Sicherheit personenbezogener Daten;
- Kanäle und Methoden für das Subjekt der personenbezogenen Daten, die Einwilligung zu widerrufen sowie für den Zugang zu, die Korrektur und die Löschung personenbezogener Daten;
- Kanäle und Methoden für Beschwerden, Berichterstattung, etc.;
- Andere Inhalte, die durch Gesetze und Verwaltungsvorschriften festgelegt sind.
Artikel 9: Wenn Regeln für die Sammlung und Verwendung in die Datenschutzerklärung aufgenommen werden, sollten sie so zusammengestellt und klar sein, um das Lesen zu erleichtern. Netzbetreiber dürfen personenbezogene Daten erst dann erfassen, wenn der Nutzer über die Regeln für die Erhebung und Nutzung informiert ist und diesen ausdrücklich zustimmt.
Artikel 10: Die Netzbetreiber müssen sich strikt an die Regeln für die Erhebung und Nutzung halten, und die Funktion zum Sammeln und Verwenden personenbezogener Daten auf der Website oder Anwendung sollte die Datenschutzerklärung widerspiegeln und entsprechend aktualisiert werden.
Artikel 11: Netzbetreiber dürfen die betroffenen Personen nicht dazu zwingen oder irreführen, der Erhebung ihrer personenbezogenen Daten durch stillschweigende Zustimmung, Funktionsbündelung usw. zuzustimmen, um die Servicequalität zu verbessern, die Benutzerfreundlichkeit zu verbessern, die Empfehlung von Informationen gezielt zu fördern oder neue Produkte zu entwickeln.
Nachdem die betroffene Person der Erhebung ihrer personenbezogenen Daten zugestimmt hat, stellen die Netzbetreiber ihnen Kerngeschäftsfunktionen und -dienste zur Verfügung und dürfen Kerngeschäftsfunktionen oder -dienste nicht zurückhalten, wenn das Subjekt der personenbezogenen Daten die Einwilligung zur Erhebung zusätzlicher Informationen verweigert oder widerruft.
Artikel 12: Die Erfassung personenbezogener Daten eines Minderjährigen unter 14 Jahren erfordert die Zustimmung des Vormunds des Minderjährigen.
Artikel 13: Netzbetreiber dürfen die betroffenen Personen nicht abhängig davon diskriminieren, ob die betroffenen Personen der Erhebung personenbezogener Daten oder dem Umfang der Erfassung personenbezogener Daten zugestimmt haben, einschliesslich durch Verringerung der Servicequalität oder Erhebung eines anderen Preises usw.
Artikel 14: Netzbetreiber, die personenbezogene Daten aus anderen Quellen beziehen, haben die gleichen Verantwortlichkeiten und Pflichten wie der Betreiber, der die personenbezogenen Daten direkt erfasst hat.
Artikel 15: Wenn Netzbetreiber wichtige Daten oder sensible personenbezogene Daten für geschäftliche Zwecke sammeln, müssen sie die Angelegenheit bei der lokalen Abteilung für Cybersicherheit und Informatisierung einreichen. Die eingereichten Dokumente müssen Regeln für die Erhebung und Verwendung sowie den Zweck, die Menge, die Methode, den Umfang, die Art, die Aufbewahrungsfrist usw. der Datenerhebung und -nutzung enthalten, jedoch nicht den Inhalt der Daten selbst.
Artikel 16: Netzbetreiber, die automatisierte Verfahren zum Zugriff und zur Datenerfassung von Websites verwenden, dürfen den normalen Betrieb der Websites nicht behindern. Wenn ein solches Verhalten den Betrieb von Websites ernsthaft beeinträchtigt, z.B. wenn der Traffic aus dem automatisierten Zugriff und der Erfassung ein Drittel des gesamten Webverkehrs übersteigt, wenn Websites einen Stopp des automatisierten Zugriffs und der automatisierten Erfassung verlangen, sollte er gestoppt werden.
Artikel 17: Wenn ein Netzbetreiber wichtige Daten oder sensible personenbezogene Daten für geschäftliche Zwecke sammelt, benennt er eine für die Datensicherheit verantwortliche Person.
Die für die Datensicherheit verantwortlichen Personen müssen über einschlägige Managementerfahrung und Fachwissen im Bereich der Datensicherheit verfügen, an wichtigen Entscheidungen über Datenaktivitäten teilnehmen und direkt an den Verantwortlichen des Netzbetreibers berichten.
Artikel 18: Der Verantwortliche für die Datensicherheit erfüllt die folgenden Aufgaben:
1. Organisation der Erstellung eines Datenschutzplans und Überwachung seiner Umsetzung;
2. Organisation der Durchführung einer Risikobewertung der Datensicherheit und Überwachung der Beseitigung potenzieller Sicherheitsrisiken;
3. Meldung von Entwicklungen zum Schutz der Datensicherheit und zum Umgang mit Vorfällen bei Bedarf an die zuständigen Abteilungen und die Abteilungen für Cybersicherheit und Informatisierung;
4. Empfang und Bearbeitung von Benutzerbeschwerden und Berichten.
Die Netzbetreiber sollten den für die Datensicherheit Verantwortlichen die notwendigen Ressourcen zur Verfügung stellen, um sicherzustellen, dass sie ihre Aufgaben selbstständig erfüllen können.
Kapitel III
Datenverarbeitung und -nutzung
Artikel 19: Die Netzbetreiber sollten sich auf die einschlägigen nationalen Normen beziehen und Massnahmen wie Datenklassifizierung, Sicherung und Verschlüsselung ergreifen, um den Schutz personenbezogener Daten und wichtiger Daten zu verstärken.
Artikel 20: Die Speicherung personenbezogener Daten durch den Netzbetreiber sollte die Aufbewahrungsfrist in den Erfassungs- und Nutzungsregeln nicht überschreiten. Nachdem ein Nutzer sein Konto gekündigt hat, sollte der Netzbetreiber seine personenbezogenen Daten unverzüglich löschen, es sei denn, die Daten lassen sich nicht mit einer bestimmten Person in Verbindung bringen und können nach der Verarbeitung nicht wiederhergestellt werden (nachfolgend "Anonymisierungsverarbeitung" genannt).
Artikel 21: Erhält ein Netzbetreiber einen Antrag auf Zugang, Berichtigung, Löschung oder Löschung eines Kontos zu personenbezogenen Daten, so gewährt er Zugang, Berichtigung, Löschung oder Aufhebung des Kontos innerhalb einer angemessenen Frist und innerhalb einer angemessenen Preisspanne.
Artikel 22: Netzbetreiber dürfen personenbezogene Daten nicht unter Verstoss gegen die Regeln für die Erhebung und Nutzung verwenden. Wenn es aufgrund der Anforderungen des Geschäftsbetriebs erforderlich ist, den Umfang der Verwendung personenbezogener Daten zu erweitern, sollten sie die Zustimmung der betroffenen Person einholen.
Artikel 23: Netzbetreiber, die Benutzerdaten und -algorithmen verwenden, um Nachrichteninformationen, kommerzielle Werbung usw. zu empfehlen (nachstehend "gezielte Empfehlung" genannt), sollten die Wörter "gezielte Empfehlung" auf naheliegende Weise deutlich angeben und den Nutzern die Funktion geben, gezielte Empfehlungsinformationen zu unterbinden. Wenn der Benutzer sich dafür entscheidet, keine gezielten Empfehlungsinformationen mehr zu erhalten, sollten die Betreiber die gezielten Empfehlungen stoppen und Benutzerdaten und persönliche Informationen, wie beispielsweise Geräte-IDs, die sie bereits gesammelt haben, löschen.
Netzbetreiber, die gezielte Empfehlungsaktivitäten durchführen, sollten Gesetze und Verwaltungsvorschriften einhalten, Sozialethik, Geschäftsethik, öffentliche Ordnung und gute Sitten respektieren und ehrlich und vertrauenswürdig sein. Diskriminierung, Betrug und ähnliche Aktivitäten sind strengstens verboten.
Artikel 24: Netzbetreiber, die Big Data, künstliche Intelligenz oder ähnliche Technologien verwenden, um Nachrichtenartikel, Blogbeiträge, Forenbeiträge, Kommentare usw. automatisch zu erstellen, sollten die Worte «automatisch erstellt» deutlich angeben; sie sollten nicht automatisch Informationen erstellen, um Nutzen zu erzielen oder die Interessen anderer Menschen zu schädigen.
Artikel 25: Die Netzbetreiber sollten Massnahmen ergreifen, um die Nutzer zu drängen und daran zu erinnern, in ihrem Online-Verhalten Verantwortung zu übernehmen und die Selbstdisziplin zu stärken. Für Benutzer, die soziale Netzwerke nutzen, um Informationen, die von anderen Personen geschrieben wurden, weiterzuleiten, sollte das Konto des ursprünglichen Autors automatisch angezeigt werden, oder es sollte eine unveränderliche Benutzerkennung enthalten sein.
Artikel 26: Wenn ein Netzbetreiber einen Bericht oder eine Beschwerde erhält, die sich auf die Nachahmung, Fälschung oder unrechtmässige Übermittlung von Informationen unter dem Namen einer anderen Person bezieht, sollte er unverzüglich reagieren; sobald ein Bericht oder eine Beschwerde überprüft wurde, sollte er die Übertragung sofort stoppen und die Löschung durchführen.
Artikel 27: Bevor die Netzbetreiber personenbezogene Daten an Dritte weitergeben, sollten sie mögliche Sicherheitsrisiken bewerten und die Zustimmung der betroffenen Person einholen. Die folgenden Situationen sind davon ausgenommen:
- Erhebung über rechtmässige öffentliche Kanäle, die nicht eindeutig gegen die Wünsche der betroffenen Personen verstösst;
- Wenn die betroffene Person die personenbezogenen Daten aus eigenem Antrieb veröffentlicht hat;
- Nach einer Anonymisierungsverarbeitung;
- Wenn es für die Strafverfolgungsbehörden erforderlich ist, ihre Aufgaben in Übereinstimmung mit dem Gesetz zu erfüllen;
- Wenn dies zum Schutz der nationalen Sicherheit, des sozialen öffentlichen Interesses oder der Sicherheit des Lebens der betroffenen Person erforderlich ist.
Artikel 28: Vor der Veröffentlichung, der öffentlichen Weitergabe oder Durchführung einer Geschäftsbeziehung mit wichtigen Daten oder der Bereitstellung im Ausland sollten Netzbetreiber mögliche Sicherheitsrisiken bewerten und der Aufsichtsbehörde für die sektorale Kontrolle zur Genehmigung vorlegen; wenn die zuständige Aufsichtsbehörde für die sektorale Kontrolle nicht klar ist, sollten sie die Genehmigung der Abteilung für Cybersicherheit und Informatisierung auf Provinzebene einholen.
Sie sollten in Übereinstimmung mit den einschlägigen Vorschriften handeln, wenn sie personenbezogene Daten an Standorte ausserhalb Chinas weitergeben.
Artikel 29: Wenn ein privater Benutzer auf das inländische Internet zugreift, darf sein Verkehr nicht ins Ausland geleitet werden.
Artikel 30: Die Netzbetreiber sollten die Anforderungen an die Datensicherheit und die Verantwortlichkeiten für Anwendungen Dritter, die auf ihre Plattform zugreifen, klären und die Betreiber von Anwendungen Dritter auffordern und beaufsichtigen, ihr Datensicherheitsmanagement zu verbessern. Erleidet eine Drittanwendung eine Datenschutzverletzung, die dem Nutzer Schaden zufügt, so trägt der Netzbetreiber die volle oder teilweise Verantwortung, es sei denn, der Netzbetreiber kann nachweisen, dass ihn kein Verschulden trifft.
Artikel 31: Wenn ein Netzbetreiber erworben oder reorganisiert wird oder in Konkurs geht, übernimmt der Empfänger der Daten die Verantwortlichkeiten und Pflichten für die Datensicherheit. Wenn keine Partei die Informationen erhält, sollte der Netzbetreiber die Daten löschen. Soweit in den Rechts- und Verwaltungsvorschriften andere Bestimmungen enthalten sind, gelten diese.
Artikel 32: Netzbetreiber, die Analysen unter Verwendung der von ihnen erhaltenen Datenquellen durchführen und Daten wie Marktprognosen, statistische Informationen sowie persönliche und geschäftliche Kreditinformationen veröffentlichen, dürfen die nationale Sicherheit, das Funktionieren der Wirtschaft und die soziale Stabilität nicht beeinträchtigen und die rechtmässigen Rechte und Interessen anderer nicht beeinträchtigen.
Kapitel IV
Überwachung und Verwaltung der Datensicherheit
Artikel 33: Stellen die Abteilungen Cybersicherheit und Informatisierung bei der Erfüllung ihrer Aufgaben fest, dass die Verantwortung des Netzbetreibers für das Management der Datensicherheit nicht gegeben ist, sollten sie die Korrektur gemäss der vorgeschriebenen Behörde und Verfahren in Absprache mit der für den Netzbetreiber verantwortlichen Person überwachen.
Artikel 34: Der Staat ermutigt die Netzbetreiber, freiwillig Zertifizierungen des Datensicherheitsmanagements und der Anwendungsverfahren zu durchlaufen und ermutigt Suchmaschinen und App-Stores, die Anwendungen, die die Zertifizierungen bestanden haben, klar zu identifizieren und zu empfehlen.
Die staatlichen Cybersicherheits- und Informatisierungsabteilungen werden in Verbindung mit den Marktüberwachungs- und Verwaltungsabteilungen unter dem Staatsrat die nationalen Cybersicherheitsüberprüfungs- und Zertifizierungsstellen leiten und Zertifizierungen für das Datensicherheitsmanagement und die Sicherheit von Anwendungsverfahren aufbauen.
Artikel 35: Wenn Vorfälle der Datensicherheit wie Lecks, Beschädigungen oder Verlust personenbezogener Daten auftreten oder wenn das Risiko dieser Vorfälle der Datensicherheit erheblich zunimmt, sollte der Netzbetreiber unverzüglich Abhilfemassnahmen ergreifen und die betroffene Person unverzüglich per Telefon, SMS, E-Mail, Brief usw. benachrichtigen und bei Bedarf die zuständigen Aufsichtsbehörden und Abteilungen für Cybersicherheit und Information informieren.
Artikel 36: Wenn die zuständigen Dienststellen des Staatsrates zur Erfüllung ihrer Aufgaben im Bereich der nationalen Sicherheit, der Sozialverwaltung, der Wirtschaftsregulierung usw. und in Übereinstimmung mit den Bestimmungen der Rechts- und Verwaltungsvorschriften Netzbetreiber auffordern, ihnen die in ihrem Besitz befindlichen relevanten Daten zur Verfügung zu stellen, sollten die Netzbetreiber diese zur Verfügung stellen.
Die zuständigen Dienststellen des Staatsrates sind für den sicheren Schutz der vom Netzbetreiber bereitgestellten Daten verantwortlich. Die Daten dürfen nicht für Zwecke verwendet werden, die nicht mit der Erfüllung von Aufgaben zusammenhängen.
Artikel 37: Verstösst ein Netzbetreiber gegen die Bestimmungen dieser Massnahmen, so verhängen die jeweiligen Abteilungen in Übereinstimmung mit den einschlägigen Rechts- und Verwaltungsvorschriften Sanktionen wie öffentliche Bekanntmachung, Einziehung illegaler Einkünfte, Suspendierung des Geschäftsbetriebs, Umstrukturierung des Unternehmens, Schliessung von Websites und/oder Entzug relevanter Geschäftslizenzen und Genehmigungen entsprechend den Umständen. Wenn es sich um eine Straftat handelt, wird die strafrechtliche Verantwortlichkeit nach dem Gesetz untersucht.
Kapitel V
Ergänzende Artikel
Artikel 38: Die Bedeutung der folgenden Begriffe in diesen Massnahmen:
- "Netzbetreiber" bezeichnet die Eigentümer, Manager und Netzwerkdienstleister für das Netzwerk.
- "Netzwerkdaten" beziehen sich auf verschiedene elektronische Daten, die über das Netzwerk erfasst, gespeichert, übertragen, verarbeitet und generiert werden.
- "Personenbezogene Daten" beziehen sich auf verschiedene Informationen, die auf elektronischem oder anderem Wege erfasst werden und die die persönliche Identität einer natürlichen Person allein oder in Kombination mit anderen Informationen identifizieren können, einschliesslich, aber nicht beschränkt auf den Namen der natürlichen Person, das Geburtsdatum, die ID-Nummer, persönliche biometrische Daten, Adresse, Telefonnummer usw.
- "Personenbezogene Daten" bezieht sich auf die natürliche Person, die mit den personenbezogenen Daten identifiziert oder in Verbindung gebracht wird.
- "Wichtige Daten" beziehen sich auf Daten, die sich, wenn sie weitergegeben werden, direkt auf die nationale Sicherheit, die wirtschaftliche Sicherheit, die soziale Stabilität oder die öffentliche Gesundheit und Sicherheit auswirken können, wie beispielsweise nicht offenbarte Regierungsinformationen oder umfangreiche Daten über die Bevölkerung, die genetische Gesundheit, die Geographie, die Bodenschätze usw. Wichtige Daten umfassen im Allgemeinen nicht die Produktion, den Betrieb und die internen Managementinformationen der Unternehmen, personenbezogene Daten usw.
Artikel 39: Datenaktivitäten, die Verwendung von Staatsgeheimnissen und Verschlüsselung beinhalten, sind in Übereinstimmung mit den einschlägigen staatlichen Vorschriften durchzuführen.
Artikel 40: Diese Massnahmen treten am[Tag] des[Monats],[Jahres] in Kraft.
Cyber Security
Schutz vor Cyber-Bedrohungen
Reagieren auch Sie früh genug und richtig auf die massiv zunehmenden Cyber-Bedrohungen und -Angriffe. Schützen Sie Ihr Unternehmen. Schützen Sie Ihre Informationen.
Kontaktieren Sie uns und überzeugen Sie sich von unserer Erfahrung und unserem Know-how im Bereich der Cyber Security. Wir beraten Sie gerne und unverbindlich. +41 41 984 12 12, <email-pii>