Избранные нормативно-правовые акты Китайской Народной Республики в области цифровизации

ebooks@prospekt.org

Информация о книге

УДК 34:004(510)

ББК 67:32.81(5Кит)

И32

Изображение на обложке с ресурса Shutterstock.com

Переводчик:

Ли Яо, доктор юридических наук, постдок Института верховенства права за рубежом при Восточно-Китайском университете политических наук и права.

Рецензенты:

Ван Чжихуа, доктор юридических наук, профессор;

Цзя Шаосюе, доктор юридических наук, доцент.

В книге представлены довольно обширные источники цифрового права в Китае, включая Закон о кибербезопасности Китайской Народной Республики, Закон о безопасности данных Китайской Народной Республики, Закон о защите персональных данных Китайской Народной Республики, Положение о защите безопасности критической информационной инфраструктуры, Временные меры по регулированию сервисов генеративного искусственного интеллекта, Положение об управлении углубленным синтезом информационных услуг Интернета, Положение об управлении алгоритмическими рекомендациями для информационных интернет-услуг, Правила проверки кибербезопасности, Положение о продвижении и регулировании трансграничного потока данных, Меры по оценке безопасности трансграничной передачи данных, Меры по стандартным договорам о трансграничной передаче персональных данных, которые представляют интерес для российских читателей.

Законодательство приведено по состоянию на 15 августа 2024 г.

УДК 34:004(510)

ББК 67:32.81(5Кит)

© Ли Яо, перевод на русский язык, 2024

© ООО «Проспект», 2024

ВСТУПИТЕЛЬНОЕ СЛОВО

Хотя искусственный интеллект создает удобное, эффективное и интеллектуальное общество, одновременно с этим возникают потенциальные риски и «созидательное разрушение», которые в основном отражаются в ряде вопросов, таких как защита конфиденциальности, дискриминация данных, трансграничные данные, безопасность данных и так далее. Как цитата из книги «Повесть о двух городах» Чарльза Диккенса: «Это было лучшее изо всех времен, это было худшее изо всех времен; это был век мудрости, это был век глупости…»¹. Перед вызовами цифровой эпохи юристам всего мира необходимо активно реагировать на них и добиваться баланса между безопасностью данных и экономическим развитием, выстраивая правовую систему, обеспечивающую национальную безопасность, общественные интересы, защиту законных прав граждан, юридических лиц и других организаций в киберпространстве.

В 2023 году объем цифровой экономики Китая достигнет 53,9 триллиона юаней, а доля цифровой экономики в ВВП составит 42,8%². Сегодня Китай стал одной из ведущих стран мира в развитии цифровой экономики и находится на переднем крае развития больших данных, искусственного интеллекта, глубокого машинного обучения, блокчейна, мобильных платежей и умного правосудия, формируя уникальный опыт в строительстве «Цифрового Китая». Китайский опыт правового регулирования в области цифровизации, безусловно, полезен в сравнительно-правовом плане для российских правоведов, преподавателей, студентов, магистрантов, аспирантов юридических вузов и факультетов.

В книге представлены довольно обширные источники цифрового права в Китае, включая Закон о кибербезопасности Китайской Народной Республики, Закон о безопасности данных Китайской Народной Республики, Закон о защите персональных данных Китайской Народной Республики, Положение о защите безопасности критической информационной инфраструктуры, Временные меры по регулированию сервисов генеративного искусственного интеллекта, Положение об управлении углубленным синтезом информационных услуг Интернета, Положение об управлении алгоритмическими рекомендациями для информационных интернет-услуг, Правила проверки кибербезопасности, Положение о продвижении и регулировании трансграничного потока данных, Меры по оценке безопасности трансграничной передачи данных, Меры по стандартным договорам о трансграничной передаче персональных данных, которые представляют интерес для российских читателей.

Ли Яо

ЗАКОН О КИБЕРБЕЗОПАСНОСТИ КИТАЙСКОЙ НАРОДНОЙ РЕСПУБЛИКИ

(Принят на 24-м заседании Постоянного комитета Всекитайского собрания народных представителей 12-го созыва 7 ноября 2016 года)³

Глава 1. Общие положения

Статья 1. Настоящий Закон принят в целях обеспечения кибербезопасности, поддержания суверенитета киберпространства и национальной безопасности, социальных общественных интересов, защиты законных прав и интересов граждан, юридических лиц и других организаций, а также содействия здоровому развитию информатизации экономики и общества.

Статья 2. Настоящий Закон применяется к строительству, эксплуатации, обслуживанию и использованию сетей на территории Китайской Народной Республики, а также к надзору и управлению в области кибербезопасности.

Статья 3. Государство придерживается равной важности кибербезопасности и развития информатизации, следует политике активного использования, научного развития, управления в соответствии с законом и обеспечения безопасности, содействует строительству сетевой инфраструктуры и взаимосвязи, поощряет инновации и применение сетевых технологий, поддерживает подготовку квалифицированных кадров в области кибербезопасности, создает целостную систему для сохранения кибербезопасности и наращивает возможности защиты кибербезопасности.

Статья 4. Государство формулирует и постоянно совершенствует стратегию кибербезопасности, определяет основные требования и главные цели по обеспечению кибербезопасности, предлагает политику, задачи и меры по обеспечению кибербезопасности в ключевых областях.

Статья 5. Государство принимает меры по мониторингу, предотвращению и устранению рисков и угроз кибербезопасности, исходящих с территории КНР и за ее пределами, по защите критической информационной инфраструктуры от атак, вторжений, вмешательства и разрушения, по наказанию киберпреступной деятельности в соответствии с законом, а также по поддержанию безопасности и порядка в киберпространстве.

Статья 6. Государство пропагандирует честное, добросовестное, полезное и цивилизованное поведение в Интернете, способствует распространению основных социалистических ценностей, принимает меры по повышению осведомленности и уровня кибербезопасности в обществе в целом, создает благоприятные условия для участия всего общества в укреплении кибербезопасности.

Статья 7. Государство активно участвует в международных обменах и сотрудничестве в области управления киберпространством, исследований и разработок кибертехнологий и установления стандартов, борьбы с киберпреступностью, содействует созданию мирного, безопасного, открытого и совместного киберпространства, созданию многосторонней, демократической и прозрачной системы управления киберпространством.

Статья 8. Государственный департамент сетевой информации отвечает за координацию работы по обеспечению кибербезопасности и связанную с этим работу по надзору и управлению. Департамент телекоммуникаций при Государственном совете, Департамент общественной безопасности и другие компетентные органы, согласно положениям настоящего Закона и соответствующих законов и административных норм, отвечают за защиту, надзор и управление кибербезопасностью в рамках своих соответствующих обязанностей.

Обязанности компетентных департаментов местных народных правительств на уровне уезда или выше по защите, надзору и управлению кибербезопасностью определяются согласно соответствующим национальным нормам.

Статья 9. Сетевые операторы для осуществления предпринимательской и сервисной деятельности должны соблюдать законы и административные нормы, уважать общественную мораль, соблюдать деловую этику, быть честными и заслуживающими доверия, выполнять обязанности по защите кибербезопасности, принимать надзор со стороны правительства и общества и нести социальную ответственность.

Статья 10. Строительство и эксплуатация сети или предоставление услуг через сеть должны, в соответствии с положениями законов и административных норм и обязательными требованиями национальных стандартов, принимать технические меры и другие необходимые меры для обеспечения безопасной и стабильной работы сети, эффективно реагировать на инциденты безопасности сети, предотвращать незаконную и преступную деятельность в сети, а также гарантировать целостность данных сети, конфиденциальность и доступность.

Статья 11. Отраслевые организации, связанные с сетью, в соответствии со своими уставами укрепляют самодисциплину в отрасли, формулируют кодекс поведения в области кибербезопасности, направляют членов на укрепление защиты кибербезопасности, повышают уровень защиты кибербезопасности и способствуют здоровому развитию отрасли.

Статья 12. Государство защищает права граждан, юридических лиц и других организаций на использование сети в соответствии с законом, способствует популяризации доступа к сети, улучшает уровень веб-сервисов, обеспечивает безопасные и удобные веб-сервисы для общества, гарантирует законное, упорядоченное и свободное распространение сетевой информации.

Любые люди и организации, использующие Интернет, обязаны соблюдать Конституцию и законы, общественный порядок и общественную мораль, не должны ставить под угрозу кибербезопасность, не должны использовать Интернет для угрозы национальной безопасности, чести и интересам, подстрекательства к свержению государственной власти или социалистического строя, подстрекательства к отделению страны или нарушению национального единства, пропаганды терроризма или экстремизма, разжигания национальной вражды или дискриминации, распространения насильственной, непристойной и порнографической информации, фабрикации или распространения ложной информации для нарушения экономического или общественного порядка или для нарушения репутации, конфиденциальности, интеллектуальной собственности и остальных законных прав и интересов других лиц.

Статья 13. Государство поддерживает исследования и разработку сетевых продуктов и услуг, способствующих здоровому развитию несовершеннолетних, и наказывает в соответствии с законом использование Интернета для осуществления деятельности, угрожающей физическому и психическому здоровью несовершеннолетних с тем, чтобы обеспечить несовершеннолетним безопасную и здоровую сетевую среду.

Статья 14. Любое лицо и организация имеют право сообщать в департаменты сетевой информации, телекоммуникаций и общественной безопасности о любых действиях, которые ставят под угрозу кибербезопасность. Департамент, получивший сообщение, должен незамедлительно принять меры в соответствии с законом; если сообщение не относится к компетенции департамента, оно должно быть незамедлительно передано в департамент, уполномоченный принимать меры.

Соответствующие ведомства должны сохранять конфиденциальность информации, поступившей от осведомителей, и защищать законные права и интересы осведомителей.

Глава 2. Поддержка и продвижение кибербезопасности

Статья 15. Государство должно создавать и совершенствовать систему стандартов кибербезопасности. Административный департамент по стандартизации при Государственном совете и другие соответствующие департаменты при Государственном совете в соответствии со своими обязанностями организуют разработку и своевременный пересмотр национальных стандартов и отраслевых стандартов, касающихся управления кибербезопасностью, а также безопасности сетевых продуктов, услуг и операций.

Государство поддерживает предприятия, научно-исследовательские институты, высшие учебные заведения и отраслевые организации, связанные с сетями, в участии в разработке национальных и отраслевых стандартов по кибербезопасности.

Статья 16. Государственный совет и народные правительства провинций, автономных районов и городов центрального подчинения координируют планирование, увеличивают инвестиции, поддерживают ключевые технологические отрасли и проекты кибербезопасности, поддерживают исследования, разработку и применение технологий кибербезопасности, продвигают безопасные и надежные сетевые продукты и услуги, защищают права интеллектуальной собственности на сетевые технологии, поддерживают предприятия, научно-исследовательские учреждения и высшие учебные заведения для участия в национальных технологических инновационных проектах кибербезопасности.

Статья 17. Государство содействует созданию системы социализированных услуг по обеспечению кибербезопасности и поощряет соответствующие предприятия и учреждения к оказанию услуг по обеспечению безопасности, таких как сертификация, тестирование и оценка рисков кибербезопасности.

Статья 18. Государство поощряет развитие технологий защиты и использования безопасности сетевых данных, содействует открытию публичных ресурсов данных, способствует технологическим инновациям, экономическому и социальному развитию.

Государство поддерживает инновационные методы управления кибербезопасностью, использование новых сетевых технологий и повышение уровня защиты кибербезопасности.

Статья 19. Народные правительства всех уровней и их соответствующие департаменты организуют и проводят регулярную пропаганду и обучение в области кибербезопасности, а также направляют и контролируют соответствующие подразделения, чтобы они хорошо справлялись с пропагандой и обучением в области кибербезопасности.

Средства массовой информации проводят целенаправленную пропаганду и просвещение общества по вопросам кибербезопасности.

Статья 20. Государство поддерживает проведение предприятиями, высшими учебными заведениями и профессиональными училищами обучения и подготовки по кибербезопасности и использует множество методов для подготовки квалифицированных кадров в области кибербезопасности и поощрения взаимодействия между специалистами по кибербезопасности.

Глава 3. Безопасность сетевых операций

Часть 1. Общие положения

Статья 21. Государство внедряет режим защиты уровня кибербезопасности. Операторы сетей должны в соответствии с требованиями режима защиты уровня кибербезопасности выполнять следующие обязанности по обеспечению безопасности, чтобы защитить сеть от вмешательства, разрушения или несанкционированного доступа, а также предотвратить утечку, кражу сетевых данных или фальсификацию:

1) разработка внутреннего режима управления безопасностью и операционных процедур, определение лица, ответственного за кибербезопасность, и внедрение ответственности за защиту кибербезопасности;

2) принятие технических мер для предотвращения компьютерных вирусов и сетевых атак, вторжения в сеть и других действий, угрожающих безопасности сети;

3) принятие технических мер для мониторинга и регистрации состояния работы сети и инцидентов кибербезопасности, а также сохранение соответствующих сетевых записей в течение не менее шести месяцев в соответствии с правилами;

4) принятие таких мер, как классификация данных, резервное копирование и шифрование важных данных;

5) другие обязанности в соответствии с законами и административными правилами.

Статья 22. Сетевые продукты и услуги должны соответствовать обязательным требованиям соответствующих национальных стандартов. Поставщики сетевых продуктов и услуг не должны устанавливать вредоносные программы; обнаружив, что их сетевые продукты и услуги имеют недостатки безопасности, уязвимости и другие риски, они должны немедленно принять меры по их устранению, в соответствии с положениями о своевременном уведомлении пользователя и сообщить об этом соответствующим компетентным органам.

Поставщики сетевых продуктов и услуг должны обеспечивать обслуживание безопасности своих продуктов и услуг на постоянной основе; они не должны прекращать предоставление обслуживания безопасности в течение срока, указанного или согласованного сторонами.

Поставщики сетевых продуктов и услуг, имеющих функцию сбора информации о пользователе, должны четко на это указать и получить согласие со стороны пользователя; если это охватывает персональные данные пользователя, поставщики также должны соблюдать положения настоящего Закона и соответствующих законов и административных норм о защите персональных данных.

Статья 23. Сетевое ключевое оборудование и специальные продукты кибербезопасности должны соответствовать обязательным требованиям соответствующих национальных стандартов, пройти сертификацию безопасности или тестирование безопасности на соответствие требованиям в квалифицированных учреждениях перед продажей или предоставлением. Государственный департамент сетевой информации совместно с соответствующими департаментами Государственного совета должен разработать и опубликовать каталог сетевого ключевого оборудования и специальных продуктов для кибербезопасности, а также способствовать взаимному признанию результатов сертификации безопасности и тестирования безопасности, чтобы избежать дублирования сертификации и тестирования.

Статья 24. Операторы сетей для пользователя для доступа к сети, услуг регистрации доменных имен, для стационарного телефона, мобильного телефона и других процедур доступа к сети, или для предоставления пользователям распространения информации, обмена мгновенными сообщениями и других услуг, в соглашении с пользователем или для подтверждения предоставления услуг, требуют от пользователя предоставления подлинной идентификационной информации. Если пользователь не предоставляет подлинную идентификационную информацию, операторы сетей не должны предоставлять соответствующие услуги пользователю.

Государство реализует стратегию сетевой доверенной идентификации, поддерживает исследования и разработку безопасной и удобной технологии аутентификации электронной идентификации, а также способствует взаимному признанию различных электронных идентификаций.

Статья 25. Операторы сетей разрабатывают планы действий на случай инцидентов, связанных с кибербезопасностью, и своевременно устраняют риски безопасности, такие как уязвимость системы, компьютерные вирусы, сетевые атаки и вторжения в сеть; в случае инцидентов, угрожающих кибербезопасности, они должны немедленно привести в действие планы действий на случай инцидентов, принять соответствующие меры по исправлению ситуации и сообщить об этом в соответствующие компетентные органы в соответствии с правилами.

Статья 26. Проведение сертификации, тестирования, оценки рисков и других мероприятий в области кибербезопасности, а также распространение информации о кибербезопасности, такой как уязвимости системы, компьютерные вирусы, сетевые атаки, вторжение в сеть, должно соответствовать соответствующим государственным нормам.

Статья 27. Ни одно физическое лицо или организация не должны заниматься деятельностью, угрожающей кибербезопасности, путем незаконного вторжения в чужие сети, нарушения нормального функционирования чужих сетей, кражи сетевых данных и т. д.; не должны предоставлять программы или инструменты, специально предназначенные для деятельности, угрожающей кибербезопасности, путем вторжения в сети, нарушения нормального функционирования сетей и защитных мер, кражи сетевых данных и т. д.; если им достоверно известно, что другие совершат действия, угрожающие кибербезопасности, они не должны предоставлять помощь, такую как техническая поддержка, реклама или оплата расходов.

Статья 28. Операторы сетей должны оказывать техническую поддержку и помощь органам общественной безопасности и органам государственной безопасности в обеспечении национальной безопасности и расследовании преступлений в соответствии с законом.

Статья 29. Государство поддерживает сотрудничество между операторами сетей в области сбора, анализа, оповещения и реагирования на чрезвычайные ситуации информации о кибербезопасности, а также повышает потенциал операторов сетей в области обеспечения безопасности.

Соответствующие отраслевые организации устанавливают и совершенствуют нормы защиты кибербезопасности и механизмы сотрудничества в своих отраслях, усиливают анализ и оценку рисков кибербезопасности, регулярно предупреждают своих членов о рисках, оказывают поддержку и помощь своим членам в преодолении рисков кибербезопасности.

Статья 30. Информация, полученная департаментом сетевой информации и соответствующими департаментами при выполнении своих обязанностей по защите кибербезопасности, должна использоваться только для нужд поддержания кибербезопасности и не может быть использована в других целях.

Часть 2. Оперативная безопасность критической информационной инфраструктуры

Статья 31. Государство на основе системы защиты уровня кибербезопасности осуществляет ключевую защиту критической информационной инфраструктуры в таких важных отраслях и сферах, как государственные коммуникации и информационные услуги, энергетика, транспорт, водоснабжение, финансы, государственные услуги, электронное правительство, и других критических информационных инфраструктурах, которые в случае повреждения, потери своих функций или утечки данных могут серьезно угрожать национальной безопасности, жизнеобеспечению населения и общественным интересам. Конкретные рамки критических информационных инфраструктур и меры их защиты должны быть сформулированы Государственным советом.

Государство поощряет операторов сетей, не относящихся к критическим информационным инфраструктурам, к добровольному участию в системе защиты критической информационной инфраструктуры.

Статья 32. В соответствии с распределением обязанностей, установленным Государственным советом, департаменты, ответственные за защиту безопасности критической информационной инфраструктуры, подготавливают и организуют осуществление планирования безопасности критической информационной инфраструктуры в своих отраслях и сферах соответственно, а также руководят и контролируют защиту безопасности при эксплуатации критической информационной инфраструктуры.

Статья 33. При создании критической информационной инфраструктуры необходимо обеспечить, чтобы она обладала характеристиками, позволяющими поддерживать стабильное и устойчивое функционирование, а также обеспечить одновременное планирование, создание и применение технологических мер безопасности.

Статья 34. В дополнение к положениям статьи 21 настоящего Закона, операторы критической информационной инфраструктуры должны также выполнять следующие обязанности по защите безопасности:

1) создание специализированных органов по управлению безопасностью, назначение лиц, отвечающих за управление безопасностью, и проверка биографических данных этих ответственных лиц и персонала, занимающего критически важные должности;

2) регулярное проведение обучения по кибербезопасности, технического обучения и оценки навыков сотрудников;

3) создание резервных копий для послеаварийного восстановления важных систем и баз данных;

4) разработка планов экстренного реагирования на инциденты, связанные с кибербезопасностью, и проведение регулярных учений;

5) другие обязанности, предусмотренные законами и административными нормами.

Статья 35. Операторы критических информационных инфраструктур должны пройти проверку национальной безопасности, организованную Государственным департаментом сетевой информации совместно с соответствующими департаментами Государственного совета, если они закупают сетевые продукты и услуги, которые могут повлиять на национальную безопасность.

Статья 36. Операторы критических информационных инфраструктур при закупке сетевых продуктов и услуг должны подписывать соглашения о безопасности и конфиденциальности с поставщиками в соответствии с правилами, определяющими обязанности и ответственность за безопасность и конфиденциальность.

Статья 37. Персональные данные и важные данные, собранные и созданные операторами критических информационных инфраструктур, действующих в Китайской Народной Республике, должны храниться на территории страны. Если в связи с деловыми потребностями необходимо предоставить данные за пределы страны, оценка безопасности должна проводиться в соответствии с методами, разработанными Государственным департаментом сетевой информации совместно с соответствующими департаментами Государственного совета; если иное предусмотрено законами и административными нормами, в соответствии с их положениями.

Статья 38. Операторы критических информационных инфраструктур должны самостоятельно или с помощью доверенных организаций по обеспечению кибербезопасности проверять безопасность своих сетей и возможные риски не реже одного раза в год для тестирования и оценки; о результатах тестирования и оценки и мерах по улучшению сообщается в соответствующие департаменты, отвечающие за безопасность и защиту критической информационной инфраструктуры.

Статья 39. Государственный департамент сетевой информации должен координировать соответствующие департаменты для принятия следующих мер по защите безопасности критической информационной инфраструктуры:

1) проведение выборочной проверки и тестирования рисков безопасности критической информационной инфраструктуры, разработка мер по улучшению и, при необходимости, поручение организациям, предоставляющим услуги по обеспечению безопасности сети, провести тестирование и оценку рисков безопасности, существующих в сети;

2) регулярное проведение учений по кибербезопасности для операторов критических информационных инфраструктур с целью повышения уровня реагирования на инциденты кибербезопасности и способности к совместной работе;

3) содействие обмену информацией по кибербезопасности между соответствующими департаментами, операторами критических информационных инфраструктур, а также соответствующими исследовательскими институтами и организациями, предоставляющими услуги по кибербезопасности;

4) оказание технической поддержки и помощи в экстренном реагировании на инциденты кибербезопасности и восстановлении сетевых функций.

Глава 4. Информационная безопасность сети

Статья 40. Операторы сетей должны сохранять строгую конфиденциальность собираемой ими информации о пользователях и создать надежную систему защиты информации о пользователях.

Статья 41. Операторы сетей должны следовать принципам законности, правомерности и необходимости при сборе и использовании персональных данных, раскрывать правила сбора и использования, прямо указывать цель, способ и объем сбора и использования персональных данных, и с согласия собираемого лица.

Операторы сети не должны собирать персональные данные, не связанные с предоставляемыми ими услугами, не должны собирать или использовать персональные данные в нарушение положений законов и административных норм и соглашения между двумя сторонами, и должны обращаться с хранящимися у них персональными данными в соответствии с положениями законов и административных норм и соглашением с пользователями.

Статья 42. Операторы сети не должны раскрывать, подделывать или уничтожать собранные ими персональные данные; не должны предоставлять персональные данные другим лицам без согласия лица, у которого они были собраны. Однако они должны быть исключены, если после обработки они не могут идентифицировать конкретное лицо и не могут быть восстановлены.

Операторы сетей должны принимать технические меры и другие необходимые меры для обеспечения безопасности собираемых ими персональных данных и предотвращения утечки, уничтожения или потери информации. В случае утечки, уничтожения или потери персональных данных или вероятности такой утечки они должны немедленно принять меры по исправлению ситуации, незамедлительно проинформировать пользователей в соответствии с правилами и сообщить об этом в соответствующие компетентные органы.

Статья 43. Если физическое лицо обнаружит, что операторы сетей собирают или используют его персональные данные в нарушение положений законов или административных норм или соглашения между двумя сторонами, оно имеет право потребовать от операторов сетей удалить его персональные данные; если оно обнаружит, что его персональные данные, собранные или сохраненные операторами сетей, неверны, оно имеет право потребовать от операторов сетей их исправления. Операторы сетей обязаны принять меры по удалению или исправлению.

Статья 44. Ни одно лицо или организация не должны похищать или получать персональные данные другими незаконными способами, а также незаконно продавать или незаконно предоставлять персональные данные другим лицам.

Статья 45. Департаменты, несущие юридическую ответственность за надзор и управление кибербезопасностью, и их сотрудники должны сохранять строгую конфиденциальность персональных данных, частной жизни и коммерческих секретов, известных при исполнении своих обязанностей, и не должны разглашать, продавать или незаконно предоставлять их другим лицам.

Статья 46. Любое лицо или организация