Korunk kétséget kizáróan legmodernebb és legmeghatározóbb adatvédelmi jogszabálya a GDPR. Ennek fényében nem meglepő, hogy a világ számos tech óriását és a világ népességének meghatározó százalékát magáénak tudó Kína a GDPR szabályozási koncepcióját vette alapul első átfogó adatvédelmi törvényének megalkotásakor.

A GDPR rendelkezéseire emlékeztető PIPL szabályok mögül ugyanakkor felsejlik a Kínai állam nemzetbiztonsági és adatlokalizációs igényének fölénye az európai megközelítésben primátust élvező természetes személyek adatainak védelmével szemben.

Fontos kiemelni, hogy a PIPL a GDPR-hoz hasonlóan extraterritoriális (határon átnyúló) hatállyal rendelkezik, így annak szabályai kötelezőek valamennyi olyan Kínán kívüli adatkezelőre nézve is, akiknél az adatkezelés célja a kínai polgárok részére áruk és szolgáltatások nyújtása vagy természetes személyek Kínán belüli tevékenységének az elemzése, profilozása. Ugyanakkor a PIPL szabályozási megoldása sajátos kínai színezetet ölt: egy sejtelmes tartalmú további kiegészítéssel a PIPL hatálya tovább is nyúlhat egyes törvényben/közigazgatási rendelkezésekben rögzített „egyéb körülmények” esetén is. Ez megteremti a lehetőségét annak, hogy a Kínai állam adott esetben önkényesen további esetkörökre is kiterjeszthesse a PIPL alkalmazását, amely bizonytalan környezetet eredményez a Kínával nemzetközi kapcsolatokat ápoló külföldi cégek részére.

„Hasonlóképpen aggasztó, hogy a GDPR eleve rendkívül magas bírságolási rátáját is felülmúlja a kínai rezsim. Míg a GDPR az előző évi árbevétel 2%, illetve 4% mértékű bírságolási mértékkel operál, addig a PIPL 50.000.000 kínai jüanig (kb. 7.700.000 dollár) vagy a vállalat előző évi forgalmának 5%-áig terjedő adatvédelmi bírság kiszabására ad lehetőséget” – figyelmeztet Dr. Kopasz János, a Taylor Wessing adatvédelmi szakértője.

Nem egyszerűsíti az adatkezelők helyzetét az a körülmény sem, hogy az adatkezelés jogalapjainál a hozzájárulás dominál. Míg a GDPR a korábbi hozzájárulás központúság helyett egyre inkább a több, alternatív jogalap, így például a jogos érdek alkalmazhatósága irányába mozdult el, addig a kínai PIPL nem is ismeri a jogos érdeken alapuló adatkezelés fogalmát.

A Kínával kapcsolatban álló európai adatkezelőkre komoly terhet róhat, hogy a GDPR-ból ismert hatásvizsgálatok dokumentálása és a megfelelő szervezeti technikai intézkedések kiépítése mellett további többletkötelezettségként jelenik meg, hogy adatkezeléseiket rendszeresen auditáltatni kell a kínai adatvédelmi hatósággal.

A kínai nemzetbiztonsági törekvés jól tükröződik a PIPL adatlokalizációs rendelkezéséiben is. Az állami szerveknek kötelező a személyes adatokat Kínán belül tárolniuk és csak rendkívül kivételes körülmények között, külön engedéllyel kerülhet sor az adatok exportálására az állami felügyeleti szervek közreműködésével végzett biztonsági kockázatértékelést követően. A nem állami szervek esetén is szigorú korlátok közé szorították az adattovábbításokat. A GDPR-ból ismert elven túlmenően, miszerint a Kínán kívülre történő adatokat ugyanolyan védelemben kell részesíteni, mint a Kínán belül megvalósuló adatkezelések során (ami analóg mintája az európai adattovábbítási mechanizmusoknak), az adattovábbítás előtt az érintetteket külön tájékoztatni kell az adattovábbításról és be kell kérni a hozzájárulásukat.

„Az adattovábbítások kapcsán további adalék, hogy a kínai polgárok jogait és érdekeit sértő vagy Kína nemzetbiztonságát vagy közérdekét veszélyeztető módon adatkezelést végző külföldi szervezetek egy nyilvánosan elérhető „feketelistára” kerülhetnek. A lista szereplői Kínából exportált adatok fogadásában nem vehetnek részt” – teszi hozzá Dr. Kopasz János.

A fentiek alapján látható, hogy igen alapos felkészülést igényel valamennyi Kínával gazdasági kapcsolatot ápoló cég számára, hogy a világ különböző adatvédelmi rezsimjeinek egyszerre meg tudjon felelni. Egy olyan magyar vállalkozásnak, amely Európán kívül folytat tevékenységet, a GDPR alapján eleve alaposan meg kell vizsgálnia, hogy milyen jogalapon továbbíthat harmadik országba adatokat. A Schrems II ítélet óta ez az Amerikába történő adattovábbítások esetén például különös elővigyázatosságot és előzetes adattovábbítási hatásvizsgálatot igényel. A GDPR szerinti adattovábbítás értékelésén túlmenően azonban már a PIPL szabályai közötti magabiztos eligazodás is nélkülözhetetlenné válik 2021. november 1-től a Kínába történő adattovábbítások során. „Egy globális vállalat tehát könnyen határokon átnyúló adatvédelmi jogszabályok kereszttüzében találhatja magát. Ilyen esetben komoly felkészültséget igényel annak biztosítása, hogy adatkezelései és adatvédelmi dokumentumai megfeleljenek például a CCPA, GDPR, PIPL rendelkezéseinek. Átfedések nyilvánvalóan adottak, de az eltérő részletszabályok tükrében külön-külön kell vizsgálni egy globális adatkezelést. Ennek támogatásához szinte elengedhetetlen egy olyan jogi tanácsadó, aki az érintett kontinenseken partner irodával és szakértelemmel rendelkezik” – zárja gondoldatait Dr. Ódor Dániel, a Taylor Wessing budapesti adatvédelmi csapatának vezetője.