Kurzfassung: Nachstehend finden Sie die deutsche Übersetzung des chinesischen PIPL (Gesetz zum Schutz personenbezogener Informationen), in Kraft seit dem 1. November 2021.
Kapitel 1: Allgemeine Bestimmungen
Artikel 1 Um die Rechte und Interessen personenbezogener Informationen zu schützen, Verarbeitungstätigkeiten personenbezogener Informationen zu regulieren und die rationale Nutzung personenbezogener Informationen zu fördern, wird dieses Gesetz im Einklang mit der Verfassung formuliert.
Artikel 2 Die personenbezogenen Informationen natürlicher Personen sind gesetzlich geschützt, und keine Organisation oder Einzelperson darf die Rechte und Interessen an den personenbezogenen Informationen natürlicher Personen verletzen.
Dieses Gesetz gilt auch für die Verarbeitung personenbezogener Informationen natürlicher Personen innerhalb des Hoheitsgebiets der Volksrepublik China außerhalb der Volksrepublik China unter einem der folgenden Umstände:
(1) zum Zwecke der Bereitstellung von Produkten oder Diensten für inländische natürliche Personen;
(2) zur Analyse und Bewertung des Verhaltens inländischer natürlicher Personen;
(3) andere durch Gesetze und Verwaltungsvorschriften vorgeschriebene Umstände.
Artikel 4 Personenbezogene Informationen bezeichnen alle Arten von Informationen in Bezug auf identifizierte oder identifizierbare natürliche Personen, die elektronisch oder auf andere Weise aufgezeichnet werden, ausgenommen anonymisierte Informationen.
Die Verarbeitung personenbezogener Informationen umfasst die Erhebung, Speicherung, Nutzung, Verarbeitung, Übermittlung, Bereitstellung, Offenlegung, Löschung usw. personenbezogener Informationen.
Artikel 5 Die Verarbeitung personenbezogener Informationen hat den Grundsätzen der Rechtmäßigkeit, Legitimität, Notwendigkeit und des guten Glaubens zu folgen, und personenbezogene Informationen dürfen nicht durch irreführende, betrügerische, zwingende und andere Mittel verarbeitet werden.
Artikel 6 Die Verarbeitung personenbezogener Informationen hat einen klaren und angemessenen Zweck zu haben, in unmittelbarem Zusammenhang mit dem Zweck der Verarbeitung zu stehen und eine Methode anzuwenden, die die geringsten Auswirkungen auf die Rechte und Interessen der Einzelperson hat.
Die Erhebung personenbezogener Informationen ist auf den zur Erreichung des Verarbeitungszwecks minimalen Umfang zu beschränken, und eine übermäßige Erhebung personenbezogener Informationen ist nicht zulässig.
Artikel 7 Die Verarbeitung personenbezogener Informationen hat den Grundsätzen der Offenheit und Transparenz zu folgen, die Regeln zur Verarbeitung personenbezogener Informationen offenzulegen und Zweck, Methode und Umfang der Verarbeitung anzugeben.
Artikel 8 Bei der Verarbeitung personenbezogener Informationen ist die Qualität der personenbezogenen Informationen zu gewährleisten und sind nachteilige Auswirkungen auf die Rechte und Interessen der Einzelperson aufgrund von Ungenauigkeit und Unvollständigkeit der personenbezogenen Informationen zu vermeiden.
Artikel 9 Verarbeiter personenbezogener Informationen sind für ihre Verarbeitungstätigkeiten personenbezogener Informationen verantwortlich und ergreifen notwendige Maßnahmen, um die Sicherheit der von ihnen verarbeiteten personenbezogenen Informationen zu gewährleisten.
Artikel 10 Keine Organisation oder Einzelperson darf die personenbezogenen Informationen anderer rechtswidrig erheben, nutzen, verarbeiten oder übermitteln noch die personenbezogenen Informationen anderer rechtswidrig kaufen, verkaufen, bereitstellen oder offenlegen; und sie darf keine Verarbeitungstätigkeiten personenbezogener Informationen ausüben, die die nationale Sicherheit oder öffentliche Interessen gefährden.
Artikel 11 Der Staat errichtet und verbessert Systeme zum Schutz personenbezogener Informationen, verhindert und bestraft Handlungen, die die Rechte und Interessen an personenbezogenen Informationen verletzen, stärkt die Bekanntmachung und Aufklärung über den Schutz personenbezogener Informationen und fördert die Entstehung eines günstigen Umfelds, in dem Regierung, Unternehmen, einschlägige gesellschaftliche Organisationen und die Öffentlichkeit gemeinsam am Schutz personenbezogener Informationen teilnehmen.
Artikel 12 Der Staat beteiligt sich aktiv an der Formulierung internationaler Regeln zum Schutz personenbezogener Informationen, fördert den internationalen Austausch und die internationale Zusammenarbeit beim Schutz personenbezogener Informationen und fördert die gegenseitige Anerkennung von Regeln und Standards zum Schutz personenbezogener Informationen mit anderen Ländern, Regionen und internationalen Organisationen.
Kapitel 2: Regeln für die Verarbeitung personenbezogener Informationen
Abschnitt 1 Allgemeine Bestimmungen
Artikel 13 Verarbeiter personenbezogener Informationen dürfen personenbezogene Informationen nur unter einem der folgenden Umstände verarbeiten:
(1) Einholung der Einwilligung der Einzelperson;
(2) notwendig für den Abschluss und die Erfüllung eines Vertrags, bei dem eine Einzelperson Vertragspartei ist, oder notwendig für die Durchführung des Personalmanagements im Einklang mit den gesetzlich formulierten Arbeitsregeln und -vorschriften und den gesetzlich geschlossenen Kollektivverträgen;
(3) notwendig zur Erfüllung gesetzlicher Pflichten oder gesetzlicher Verpflichtungen;
(4) notwendig zur Reaktion auf Notfälle der öffentlichen Gesundheit oder zum Schutz des Lebens, der Gesundheit und der Vermögenssicherheit natürlicher Personen in Notfällen;
(5) zur Durchführung von Nachrichtenberichten, der Überwachung der öffentlichen Meinung und anderer Handlungen im öffentlichen Interesse, wobei personenbezogene Informationen in einem angemessenen Umfang verarbeitet werden;
(6) im Einklang mit den Bestimmungen dieses Gesetzes und in einem angemessenen Umfang die Verarbeitung personenbezogener Informationen, die von Einzelpersonen selbst offengelegt wurden oder die rechtmäßig offengelegt wurden;
(7) andere durch Gesetze und Verwaltungsvorschriften festgelegte Umstände.
Im Einklang mit anderen einschlägigen Bestimmungen dieses Gesetzes ist für die Verarbeitung personenbezogener Informationen die Einwilligung der Einzelperson einzuholen, jedoch ist unter den in den Punkten 2 bis 7 des vorstehenden Absatzes genannten Umständen die Einwilligung der Einzelperson nicht erforderlich.
Artikel 14 Wo die Verarbeitung personenbezogener Informationen auf der Einwilligung einer Einzelperson beruht, ist die Einwilligung von der Einzelperson unter der Voraussetzung voller Kenntnis freiwillig und ausdrücklich zu erteilen. Wo Gesetze und Verwaltungsvorschriften festlegen, dass für die Verarbeitung personenbezogener Informationen die Einwilligung der Einzelperson oder eine schriftliche Einwilligung einzuholen ist, sind diese Bestimmungen maßgeblich.
Wenn der Zweck der Verarbeitung personenbezogener Informationen, die Methode der Verarbeitung und die Art der verarbeiteten personenbezogenen Informationen geändert werden, ist die Einwilligung der Einzelperson erneut einzuholen.
Artikel 15 Wo die Verarbeitung personenbezogener Informationen auf der Einwilligung der Einzelperson beruht, hat die Einzelperson das Recht, ihre Einwilligung zu widerrufen. Verarbeiter personenbezogener Informationen haben bequeme Wege zum Widerruf der Einwilligung bereitzustellen.
Der Widerruf der Einwilligung durch die Einzelperson berührt nicht die Gültigkeit der Verarbeitungstätigkeiten personenbezogener Informationen, die vor dem Widerruf auf der Grundlage der Einwilligung der Einzelperson durchgeführt wurden.
Artikel 16 Verarbeiter personenbezogener Informationen dürfen die Bereitstellung von Produkten oder Diensten nicht mit der Begründung verweigern, dass Einzelpersonen der Verarbeitung ihrer personenbezogenen Informationen nicht zustimmen oder ihre Einwilligung widerrufen; es sei denn, die Verarbeitung personenbezogener Informationen ist für die Bereitstellung von Produkten oder Diensten notwendig.
Artikel 17 Vor der Verarbeitung personenbezogener Informationen haben Verarbeiter personenbezogener Informationen Einzelpersonen wahrheitsgemäß, genau und vollständig in auffälliger Weise und in klarer und verständlicher Sprache über die folgenden Angelegenheiten zu informieren:
(1) den Namen bzw. die Bezeichnung und die Kontaktinformationen des Verarbeiters personenbezogener Informationen;
(2) den Zweck und die Methode der Verarbeitung personenbezogener Informationen, die Art der verarbeiteten personenbezogenen Informationen und die Speicherdauer;
(3) die Wege und Verfahren, auf denen Einzelpersonen ihre Rechte nach diesem Gesetz ausüben;
(4) andere Angelegenheiten, über die nach Gesetzen und Verwaltungsvorschriften zu informieren ist.
Werden die im vorstehenden Absatz genannten Punkte geändert, so ist die Einzelperson über den geänderten Teil zu informieren.
Wenn ein Verarbeiter personenbezogener Informationen über die in Absatz 1 genannten Angelegenheiten durch Formulierung von Regeln zur Verarbeitung personenbezogener Informationen informiert, sind die Verarbeitungsregeln öffentlich zugänglich zu machen und leicht einsehbar und speicherbar zu halten.
Artikel 18 Wenn Verarbeiter personenbezogener Informationen personenbezogene Informationen verarbeiten und Umstände vorliegen, unter denen Gesetze und Verwaltungsvorschriften festlegen, dass Vertraulichkeit zu wahren ist oder keine Benachrichtigung erforderlich ist, müssen sie Einzelpersonen nicht über die im ersten Absatz des vorstehenden Artikels genannten Angelegenheiten informieren.
Wenn es in einem Notfall zum Schutz des Lebens, der Gesundheit und der Vermögenssicherheit natürlicher Personen unmöglich ist, Einzelpersonen zu benachrichtigen, hat der Verarbeiter personenbezogener Informationen nach Beseitigung des Notfalls zeitnah zu benachrichtigen.
Artikel 19 Sofern nicht durch Gesetze und Verwaltungsvorschriften anders festgelegt, ist die Aufbewahrungsdauer personenbezogener Informationen die kürzeste zur Erreichung des Verarbeitungszwecks notwendige Zeit.
Artikel 20 Wo zwei oder mehr Verarbeiter personenbezogener Informationen gemeinsam über den Zweck und die Methode der Verarbeitung personenbezogener Informationen entscheiden, haben sie ihre jeweiligen Rechte und Pflichten zu vereinbaren. Diese Vereinbarung berührt jedoch nicht das Recht der Einzelperson, von einem der Verarbeiter personenbezogener Informationen die Ausübung der in diesem Gesetz festgelegten Rechte zu verlangen.
Wo Verarbeiter personenbezogener Informationen personenbezogene Informationen gemeinsam verarbeiten und die Rechte und Interessen an personenbezogenen Informationen verletzen und Schaden verursachen, tragen sie die gesamtschuldnerische Haftung im Einklang mit dem Gesetz.
Artikel 21 Wenn ein Verarbeiter personenbezogener Informationen die Verarbeitung personenbezogener Informationen in Auftrag gibt, hat er mit dem Beauftragten den Zweck, die Frist, die Verarbeitungsmethode, die Art der personenbezogenen Informationen, die Schutzmaßnahmen sowie die Rechte und Pflichten beider Parteien usw. zu vereinbaren und die Verarbeitungstätigkeiten personenbezogener Informationen zu beaufsichtigen.
Der Beauftragte hat personenbezogene Informationen im Einklang mit der Vereinbarung zu verarbeiten und darf personenbezogene Informationen nicht über den vereinbarten Verarbeitungszweck und die vereinbarte Methode hinaus verarbeiten; wird der Auftragsvertrag unwirksam, nichtig, widerrufen oder beendet, hat der Beauftragte die personenbezogenen Informationen an den Verarbeiter personenbezogener Informationen zurückzugeben oder zu löschen und darf sie nicht zurückbehalten.
Ohne Einwilligung des Verarbeiters personenbezogener Informationen darf der Beauftragte andere nicht mit der Verarbeitung personenbezogener Informationen beauftragen.
Artikel 22 Wo ein Verarbeiter personenbezogener Informationen personenbezogene Informationen aufgrund von Verschmelzung, Spaltung, Auflösung, Konkurserklärung oder aus anderen Gründen übertragen muss, hat er die Einzelperson über den Namen bzw. die Bezeichnung und die Kontaktinformationen des Empfängers zu informieren. Der Empfänger hat seine Pflichten als Verarbeiter personenbezogener Informationen weiterhin zu erfüllen. Ändert der Empfänger den ursprünglichen Verarbeitungszweck und die ursprüngliche Verarbeitungsmethode, hat er die Einwilligung der Einzelperson im Einklang mit den Bestimmungen dieses Gesetzes erneut einzuholen.
Artikel 23 Wo ein Verarbeiter personenbezogener Informationen die von ihm verarbeiteten personenbezogenen Informationen anderen Verarbeitern personenbezogener Informationen bereitstellt, hat er die Einzelperson über den Namen bzw. die Bezeichnung, die Kontaktinformationen, den Verarbeitungszweck, die Verarbeitungsmethode und die Art der personenbezogenen Informationen des Empfängers zu informieren und die Einwilligung der Einzelperson einzuholen. Der Empfänger hat personenbezogene Informationen im Rahmen der oben genannten Verarbeitungszwecke, Verarbeitungsmethoden und Arten personenbezogener Informationen zu verarbeiten. Ändert der Empfänger den ursprünglichen Verarbeitungszweck und die ursprüngliche Verarbeitungsmethode, hat er die Einwilligung der Einzelperson im Einklang mit den Bestimmungen dieses Gesetzes erneut einzuholen.
Artikel 24 Verarbeiter personenbezogener Informationen, die personenbezogene Informationen nutzen, um automatisierte Entscheidungen zu treffen, haben die Transparenz der Entscheidungsfindung und die Fairness und Unparteilichkeit der Ergebnisse zu gewährleisten und dürfen Einzelpersonen bei Transaktionspreisen und anderen Transaktionsbedingungen keine unangemessene Ungleichbehandlung auferlegen.
Beim Ausspielen von Informationen und kommerziellem Marketing an Einzelpersonen durch automatisierte Entscheidungsmethoden sind auch Optionen bereitzustellen, die nicht auf ihre persönlichen Merkmale zugeschnitten sind, oder Einzelpersonen ist ein bequemer Weg zur Ablehnung bereitzustellen.
Um Entscheidungen zu treffen, die erhebliche Auswirkungen auf die Rechte und Interessen der Einzelperson haben, durch automatisierte Entscheidungsfindung, haben Einzelpersonen das Recht, von Verarbeitern personenbezogener Informationen eine Erläuterung zu verlangen, und haben das Recht, es abzulehnen, dass Verarbeiter personenbezogener Informationen Entscheidungen ausschließlich durch automatisierte Entscheidungsfindung treffen.
Artikel 25 Verarbeiter personenbezogener Informationen dürfen die von ihnen verarbeiteten personenbezogenen Informationen nicht offenlegen, es sei denn, sie haben die Einwilligung der Einzelperson eingeholt.
Artikel 26 Die Installation von Bilderfassungs- und Personenidentifikationsausrüstung an öffentlichen Orten hat zur Aufrechterhaltung der öffentlichen Sicherheit notwendig zu sein, einschlägigen staatlichen Vorschriften zu entsprechen und auffällige Warnschilder aufzustellen. Die erfassten personenbezogenen Bilder und Identifikationsinformationen dürfen nur zum Zweck der Aufrechterhaltung der öffentlichen Sicherheit verwendet werden und nicht für andere Zwecke; ausgenommen mit Einwilligung der Einzelperson.
Artikel 27 Verarbeiter personenbezogener Informationen dürfen in einem angemessenen Umfang personenbezogene Informationen verarbeiten, die von Einzelpersonen selbst offengelegt wurden oder die rechtmäßig offengelegt wurden; es sei denn, die Einzelperson lehnt dies ausdrücklich ab. Verarbeiter personenbezogener Informationen haben die Einwilligung der Einzelperson im Einklang mit den Bestimmungen dieses Gesetzes einzuholen, wenn die Verarbeitung bereits offengelegter personenbezogener Informationen erhebliche Auswirkungen auf die Rechte und Interessen der Einzelperson hat.
Abschnitt 2 Regeln für die Verarbeitung sensibler personenbezogener Informationen
Artikel 28 Sensible personenbezogene Informationen sind personenbezogene Informationen, die, einmal offengelegt oder rechtswidrig genutzt, wahrscheinlich die persönliche Würde natürlicher Personen schädigen oder die persönliche und Vermögenssicherheit gefährden, einschließlich biometrischer Identifizierung, religiöser Überzeugungen, besonderer Identitäten, medizinischer Versorgung, Finanzkonten, Aufenthaltsorte und anderer Informationen sowie personenbezogener Informationen von Minderjährigen unter vierzehn Jahren.
Verarbeiter personenbezogener Informationen dürfen sensible personenbezogene Informationen nur verarbeiten, wenn sie einen bestimmten Zweck und eine ausreichende Notwendigkeit haben und strenge Schutzmaßnahmen ergreifen.
Artikel 29 Für die Verarbeitung sensibler personenbezogener Informationen ist die Einwilligung der Einzelperson einzuholen; wo Gesetze und Verwaltungsvorschriften festlegen, dass für die Verarbeitung sensibler personenbezogener Informationen eine schriftliche Einwilligung erforderlich ist, sind diese Bestimmungen maßgeblich.
Artikel 30 Wenn ein Verarbeiter personenbezogener Informationen sensible personenbezogene Informationen verarbeitet, hat er zusätzlich zu den im ersten Absatz des Artikels 17 dieses Gesetzes festgelegten Angelegenheiten Einzelpersonen auch über die Notwendigkeit der Verarbeitung sensibler personenbezogener Informationen und die Auswirkungen auf die Rechte und Interessen der Einzelperson zu informieren; ausgenommen, wenn gesetzlich vorgesehen ist, dass es nicht notwendig ist, Einzelpersonen zu benachrichtigen.
Artikel 31 Verarbeiter personenbezogener Informationen, die die personenbezogenen Informationen von Minderjährigen unter vierzehn Jahren verarbeiten, haben die Einwilligung der Eltern oder anderer Erziehungsberechtigten der Minderjährigen einzuholen.
Wenn Verarbeiter personenbezogener Informationen die personenbezogenen Informationen von Minderjährigen unter vierzehn Jahren verarbeiten, haben sie besondere Regeln zur Verarbeitung personenbezogener Informationen zu formulieren.
Artikel 32 Wo Gesetze und Verwaltungsvorschriften festlegen, dass für die Verarbeitung sensibler personenbezogener Informationen einschlägige Verwaltungslizenzen zu erlangen sind oder andere Beschränkungen auferlegt werden, sind diese Bestimmungen maßgeblich.
Abschnitt 3 Besondere Bestimmungen über die Verarbeitung personenbezogener Informationen durch staatliche Organe
Artikel 33 Die Tätigkeiten staatlicher Organe bei der Verarbeitung personenbezogener Informationen unterliegen diesem Gesetz; wo in diesem Abschnitt besondere Bestimmungen bestehen, sind die Bestimmungen dieses Abschnitts anzuwenden.
Artikel 34 Staatliche Organe verarbeiten personenbezogene Informationen zur Erfüllung ihrer gesetzlichen Pflichten und haben dies im Einklang mit den durch Gesetze und Verwaltungsvorschriften vorgeschriebenen Befugnissen und Verfahren zu tun und dürfen den zur Erfüllung ihrer gesetzlichen Pflichten notwendigen Umfang und die Grenzen nicht überschreiten.
Artikel 35 Staatliche Organe verarbeiten personenbezogene Informationen zur Erfüllung ihrer gesetzlichen Pflichten und haben die Benachrichtigungspflicht im Einklang mit den Bestimmungen dieses Gesetzes zu erfüllen; ausgenommen die in Absatz 1 des Artikels 18 dieses Gesetzes genannten Umstände oder wo die Benachrichtigung die staatlichen Organe an der Erfüllung ihrer gesetzlichen Pflichten hindern würde.
Artikel 36 Von staatlichen Organen verarbeitete personenbezogene Informationen sind innerhalb des Hoheitsgebiets der Volksrepublik China zu speichern; ist es wirklich notwendig, sie ins Ausland bereitzustellen, ist eine Sicherheitsbewertung durchzuführen. Sicherheitsbewertungen können Unterstützung und Hilfe von einschlägigen Behörden erfordern.
Artikel 37 Organisationen, die durch Gesetze und Vorschriften mit Funktionen zur Verwaltung öffentlicher Angelegenheiten betraut sind, verarbeiten personenbezogene Informationen zur Erfüllung ihrer gesetzlichen Pflichten, und die Bestimmungen dieses Gesetzes über die Verarbeitung personenbezogener Informationen durch staatliche Organe sind anzuwenden.
Kapitel 3: Regeln für die grenzüberschreitende Bereitstellung personenbezogener Informationen
(1) das Bestehen der von der nationalen Netzwerkinformationsbehörde im Einklang mit den Bestimmungen des Artikels 40 dieses Gesetzes organisierten Sicherheitsbewertung;
(2) eine Zertifizierung zum Schutz personenbezogener Informationen, die von einer Fachinstitution im Einklang mit den Bestimmungen der nationalen Behörde für Cybersicherheit und Informatisierung durchgeführt wird;
(3) den Abschluss eines Vertrags mit dem ausländischen Empfänger im Einklang mit dem von der nationalen Behörde für Cybersicherheit und Informatisierung formulierten Standardvertrag, der die Rechte und Pflichten beider Parteien festlegt;
(4) andere durch Gesetze, Verwaltungsvorschriften oder die nationale Netzwerkinformationsbehörde festgelegte Bedingungen.
Von der Volksrepublik China geschlossene oder beigetretene internationale Verträge und Vereinbarungen, die die Bedingungen für die Bereitstellung personenbezogener Informationen außerhalb der Volksrepublik China festlegen, können im Einklang mit jenen Bestimmungen umgesetzt werden.
Verarbeiter personenbezogener Informationen haben notwendige Maßnahmen zu ergreifen, um sicherzustellen, dass die Verarbeitung personenbezogener Informationen durch ausländische Empfänger den in diesem Gesetz festgelegten Standards zum Schutz personenbezogener Informationen entspricht.
Artikel 39 Wo ein Verarbeiter personenbezogener Informationen personenbezogene Informationen außerhalb der Volksrepublik China bereitstellt, hat er die Einzelperson über den Namen bzw. die Bezeichnung, die Kontaktinformationen, den Verarbeitungszweck, die Verarbeitungsmethode und die Art der personenbezogenen Informationen des ausländischen Empfängers sowie über die Art und das Verfahren, wie die Einzelperson gegenüber dem ausländischen Empfänger die in diesem Gesetz vorgesehenen Rechte ausübt, zu informieren und die Einwilligung der Einzelperson einzuholen.
Artikel 40 Betreiber kritischer Informationsinfrastrukturen und Verarbeiter personenbezogener Informationen, deren Verarbeitung personenbezogener Informationen die von der nationalen Behörde für Cybersicherheit und Informatisierung festgelegte Anzahl erreicht, haben innerhalb des Hoheitsgebiets der Volksrepublik China erhobene und erzeugte personenbezogene Informationen innerhalb des Hoheitsgebiets zu speichern. Ist es wirklich notwendig, sie ins Ausland bereitzustellen, hat dies die von der nationalen Behörde für Cybersicherheit und Informatisierung organisierte Sicherheitsbewertung zu bestehen; wo Gesetze, Verwaltungsvorschriften und die nationale Behörde für Cybersicherheit und Informatisierung festlegen, dass eine Sicherheitsbewertung nicht erforderlich sein kann, sind diese Bestimmungen zu befolgen.
Artikel 41 Die zuständigen Behörden der Volksrepublik China bearbeiten Anträge ausländischer Justiz- oder Strafverfolgungsbehörden auf Bereitstellung in China gespeicherter personenbezogener Informationen im Einklang mit einschlägigen Gesetzen und internationalen Verträgen und Vereinbarungen, die von der Volksrepublik China geschlossen wurden oder denen sie beigetreten ist, oder im Einklang mit dem Grundsatz der Gleichheit und Gegenseitigkeit. Ohne Genehmigung der zuständigen Behörden der Volksrepublik China dürfen Verarbeiter personenbezogener Informationen in der Volksrepublik China gespeicherte personenbezogene Informationen nicht an ausländische Justiz- oder Strafverfolgungsbehörden bereitstellen.
Artikel 42 Wenn eine ausländische Organisation oder Einzelperson Verarbeitungstätigkeiten personenbezogener Informationen ausübt, die die Rechte und Interessen an den personenbezogenen Informationen von Bürgern der Volksrepublik China verletzen oder die nationale Sicherheit und öffentliche Interessen der Volksrepublik China gefährden, kann die nationale Behörde für Cybersicherheit und Informatisierung sie in eine Liste von Personen aufnehmen, an die die Bereitstellung personenbezogener Informationen beschränkt oder verboten ist, dies bekanntgeben und Maßnahmen wie die Beschränkung oder das Verbot der Bereitstellung personenbezogener Informationen an sie ergreifen.
Artikel 43 Wo ein Land oder eine Region gegenüber der Volksrepublik China diskriminierende Verbote, Beschränkungen oder andere ähnliche Maßnahmen beim Schutz personenbezogener Informationen ergreift, kann die Volksrepublik China je nach der tatsächlichen Lage Maßnahmen gegen dieses Land oder diese Region ergreifen.
Kapitel 4: Rechte von Einzelpersonen bei Verarbeitungstätigkeiten personenbezogener Informationen
Artikel 44 Einzelpersonen haben das Recht, über die Verarbeitung ihrer personenbezogenen Informationen Bescheid zu wissen und Entscheidungen zu treffen, und haben das Recht, die Verarbeitung ihrer personenbezogenen Informationen durch andere einzuschränken oder abzulehnen, sofern nicht durch Gesetze und Verwaltungsvorschriften anders vorgesehen.
Artikel 45 Einzelpersonen haben das Recht, ihre personenbezogenen Informationen bei Verarbeitern personenbezogener Informationen einzusehen und zu kopieren; ausgenommen die im ersten Absatz des Artikels 18 und im Artikel 35 dieses Gesetzes genannten Umstände.
Wo eine Einzelperson die Einsicht oder das Kopieren ihrer personenbezogenen Informationen verlangt, hat der Verarbeiter personenbezogener Informationen diese zeitnah bereitzustellen.
Wo eine Einzelperson die Übertragung personenbezogener Informationen an den von ihr benannten Verarbeiter personenbezogener Informationen verlangt und die von der nationalen Behörde für Cybersicherheit und Informatisierung festgelegten Bedingungen erfüllt, hat der Verarbeiter personenbezogener Informationen einen Übertragungskanal bereitzustellen.
Artikel 46 Stellt eine Einzelperson fest, dass ihre personenbezogenen Informationen ungenau oder unvollständig sind, hat sie das Recht, vom Verarbeiter personenbezogener Informationen deren Berichtigung oder Ergänzung zu verlangen.
Wo eine Einzelperson die Berichtigung oder Ergänzung ihrer personenbezogenen Informationen verlangt, hat der Verarbeiter personenbezogener Informationen ihre personenbezogenen Informationen zu überprüfen und zeitnah zu berichtigen oder zu ergänzen.
Artikel 47 Unter einem der folgenden Umstände hat der Verarbeiter personenbezogener Informationen die personenbezogenen Informationen aktiv zu löschen; löscht der Verarbeiter personenbezogener Informationen sie nicht, hat die Einzelperson das Recht, die Löschung zu verlangen:
(1) Der Verarbeitungszweck ist erreicht, kann nicht erreicht werden oder ist zur Erreichung des Verarbeitungszwecks nicht mehr notwendig;
(2) der Verarbeiter personenbezogener Informationen stellt die Bereitstellung von Produkten oder Diensten ein, oder die Speicherdauer ist abgelaufen;
(3) die Einzelperson widerruft ihre Einwilligung;
(4) der Verarbeiter personenbezogener Informationen verarbeitet personenbezogene Informationen unter Verstoß gegen Gesetze, Verwaltungsvorschriften oder Vereinbarungen;
(5) andere durch Gesetze und Verwaltungsvorschriften vorgeschriebene Umstände.
Ist die durch Gesetze und Verwaltungsvorschriften festgelegte Aufbewahrungsdauer noch nicht abgelaufen oder ist es technisch schwierig, personenbezogene Informationen zu löschen, hat der Verarbeiter personenbezogener Informationen die Verarbeitung mit Ausnahme der Speicherung einzustellen und notwendige Sicherheitsschutzmaßnahmen zu ergreifen.
Artikel 48 Einzelpersonen haben das Recht, von Verarbeitern personenbezogener Informationen die Erläuterung ihrer Regeln zur Verarbeitung personenbezogener Informationen zu verlangen.
Artikel 49 Wenn eine natürliche Person stirbt, können ihre nahen Angehörigen die in diesem Kapitel festgelegten Rechte auf Einsicht, Kopie, Berichtigung, Löschung usw. in Bezug auf die einschlägigen personenbezogenen Informationen des Verstorbenen für ihre eigenen legitimen und rechtmäßigen Interessen ausüben, es sei denn, der Verstorbene hat vor seinem Tod andere Vorkehrungen getroffen.
Artikel 50 Verarbeiter personenbezogener Informationen haben einen bequemen Mechanismus zur Annahme und Bearbeitung von Anträgen für Einzelpersonen zur Ausübung ihrer Rechte einzurichten. Wird der Antrag einer Einzelperson auf Ausübung ihrer Rechte abgelehnt, sind die Gründe zu erläutern.
Wo ein Verarbeiter personenbezogener Informationen den Antrag einer Einzelperson auf Ausübung ihrer Rechte ablehnt, kann die Einzelperson im Einklang mit dem Gesetz Klage bei einem Volksgericht erheben.
Kapitel 5: Pflichten der Verarbeiter personenbezogener Informationen
Artikel 51 Verarbeiter personenbezogener Informationen haben auf der Grundlage des Zwecks der Verarbeitung personenbezogener Informationen, der Verarbeitungsmethoden, der Arten personenbezogener Informationen, der Auswirkungen auf die Rechte der Einzelperson und möglicher Sicherheitsrisiken die folgenden Maßnahmen zu ergreifen, um sicherzustellen, dass die Verarbeitungstätigkeiten personenbezogener Informationen Gesetzen und Verwaltungsvorschriften entsprechen und unbefugten Zugriff sowie Offenlegung, Veränderung und Verlust personenbezogener Informationen zu verhindern:
(1) Formulierung interner Verwaltungssysteme und Betriebsverfahren;
(2) Umsetzung einer klassifizierten Verwaltung personenbezogener Informationen;
(3) Ergreifen entsprechender technischer Sicherheitsmaßnahmen wie Verschlüsselung und De-Identifizierung;
(4) angemessene Festlegung der Betriebsbefugnisse für die Verarbeitung personenbezogener Informationen und regelmäßige Durchführung von Sicherheitsbildung und -schulung für Beschäftigte;
(5) Formulierung und Organisation der Umsetzung von Notfallplänen für Sicherheitsvorfälle personenbezogener Informationen;
(6) andere durch Gesetze und Verwaltungsvorschriften vorgeschriebene Maßnahmen.
Artikel 52 Verarbeiter personenbezogener Informationen, deren Verarbeitung personenbezogener Informationen die von der nationalen Behörde für Cybersicherheit und Informatisierung festgelegte Anzahl erreicht, haben eine für den Schutz personenbezogener Informationen verantwortliche Person zu benennen, die für die Beaufsichtigung der Verarbeitungstätigkeiten personenbezogener Informationen und der ergriffenen Schutzmaßnahmen zuständig ist.
Verarbeiter personenbezogener Informationen haben die Kontaktinformationen der für den Schutz personenbezogener Informationen verantwortlichen Person offenzulegen und den Namen und die Kontaktinformationen dieser Person der Behörde vorzulegen, die die Pflichten zum Schutz personenbezogener Informationen erfüllt.
Artikel 53 Verarbeiter personenbezogener Informationen außerhalb der Volksrepublik China im Sinne des zweiten Absatzes des Artikels 3 dieses Gesetzes haben innerhalb des Hoheitsgebiets der Volksrepublik China spezialisierte Einrichtungen oder benannte Vertreter einzurichten, die für die Behandlung von Angelegenheiten im Zusammenhang mit dem Schutz personenbezogener Informationen zuständig sind, und haben den Namen der einschlägigen Einrichtung bzw. den Namen und die Kontaktinformationen des Vertreters der Behörde vorzulegen, die die Pflichten zum Schutz personenbezogener Informationen erfüllt.
Artikel 54 Verarbeiter personenbezogener Informationen haben ihre Verarbeitung personenbezogener Informationen regelmäßig einer Compliance-Prüfung auf Einhaltung von Gesetzen und Verwaltungsvorschriften zu unterziehen.
Artikel 55 Unter einem der folgenden Umstände hat der Verarbeiter personenbezogener Informationen im Voraus eine Folgenabschätzung zum Schutz personenbezogener Informationen durchzuführen und die Verarbeitungssituation aufzuzeichnen:
(1) Verarbeitung sensibler personenbezogener Informationen;
(2) Nutzung personenbezogener Informationen zur automatisierten Entscheidungsfindung;
(3) Beauftragung der Verarbeitung personenbezogener Informationen, Bereitstellung personenbezogener Informationen an andere Verarbeiter personenbezogener Informationen und Offenlegung personenbezogener Informationen;
(4) Bereitstellung personenbezogener Informationen ins Ausland;
(5) andere Verarbeitungstätigkeiten personenbezogener Informationen, die erhebliche Auswirkungen auf die Rechte und Interessen der Einzelperson haben.
Artikel 56 Die Folgenabschätzung zum Schutz personenbezogener Informationen hat die folgenden Inhalte zu umfassen:
(1) ob der Zweck und die Methode der Verarbeitung personenbezogener Informationen rechtmäßig, legitim und notwendig sind;
(2) Auswirkungen auf die Rechte der Einzelperson und Sicherheitsrisiken;
(3) ob die ergriffenen Schutzmaßnahmen rechtmäßig, wirksam und dem Grad des Risikos angemessen sind.
Berichte über die Folgenabschätzung zum Schutz personenbezogener Informationen und Verarbeitungsaufzeichnungen sind mindestens drei Jahre lang aufzubewahren.
Artikel 57 Wo eine Offenlegung, Manipulation oder ein Verlust personenbezogener Informationen eintritt oder eintreten kann, hat der Verarbeiter personenbezogener Informationen unverzüglich Abhilfemaßnahmen zu ergreifen und die Behörden und Einzelpersonen zu benachrichtigen, die die Pflichten zum Schutz personenbezogener Informationen erfüllen. Die Benachrichtigung hat Folgendes zu enthalten:
(1) die Arten von Informationen, die offengelegt, manipuliert oder verloren wurden oder sein können, sowie die Ursachen und möglichen Schäden;
(2) vom Verarbeiter personenbezogener Informationen ergriffene Abhilfemaßnahmen und Maßnahmen, die Einzelpersonen zur Minderung des Schadens ergreifen können;
(3) die Kontaktinformationen des Verarbeiters personenbezogener Informationen.
Ergreift der Verarbeiter personenbezogener Informationen Maßnahmen, um den durch Offenlegung, Manipulation oder Verlust von Informationen verursachten Schaden wirksam zu vermeiden, muss der Verarbeiter personenbezogener Informationen die Einzelperson nicht benachrichtigen; ist die Behörde, die die Pflichten zum Schutz personenbezogener Informationen erfüllt, der Auffassung, dass ein Schaden verursacht werden kann, hat sie das Recht, vom Verarbeiter personenbezogener Informationen zu verlangen, die Einzelperson zu benachrichtigen.
Artikel 58 Verarbeiter personenbezogener Informationen, die wichtige Internetplattformdienste bereitstellen, eine riesige Anzahl von Nutzern haben und über komplexe Geschäftstypen verfügen, haben die folgenden Pflichten zu erfüllen:
(1) Errichtung und Verbesserung des Compliance-Systems zum Schutz personenbezogener Informationen im Einklang mit nationalen Vorschriften und Einrichtung einer unabhängigen, hauptsächlich aus externen Mitgliedern bestehenden Organisation zur Beaufsichtigung des Schutzes personenbezogener Informationen;
(2) Befolgung der Grundsätze der Offenheit, Fairness und Unparteilichkeit, Formulierung von Plattformregeln und Klarstellung der Normen für die Verarbeitung personenbezogener Informationen durch Produkt- oder Dienstanbieter auf der Plattform und der Pflicht zum Schutz personenbezogener Informationen;
(3) Einstellung der Bereitstellung von Diensten für Produkt- oder Dienstanbieter auf der Plattform, die bei der Verarbeitung personenbezogener Informationen schwerwiegend gegen Gesetze und Verwaltungsvorschriften verstoßen;
(4) regelmäßige Veröffentlichung von Berichten über die gesellschaftliche Verantwortung beim Schutz personenbezogener Informationen und Annahme gesellschaftlicher Aufsicht.
Artikel 59 Der Beauftragte, der die beauftragte Verarbeitung personenbezogener Informationen annimmt, hat im Einklang mit den Bestimmungen dieses Gesetzes und einschlägiger Gesetze und Verwaltungsvorschriften notwendige Maßnahmen zu ergreifen, um die Sicherheit der verarbeiteten personenbezogenen Informationen zu gewährleisten, und den Verarbeiter personenbezogener Informationen bei der Erfüllung der in diesem Gesetz festgelegten Pflichten zu unterstützen.
Kapitel 6: Behörden, die die Pflichten zum Schutz personenbezogener Informationen erfüllen
Artikel 60 Die nationale Behörde für Cybersicherheit und Informatisierung ist für die Gesamtplanung und Koordinierung der Arbeit zum Schutz personenbezogener Informationen und die damit verbundene Aufsichts- und Verwaltungsarbeit zuständig. Die einschlägigen Behörden des Staatsrats sind im Rahmen ihrer jeweiligen Pflichten im Einklang mit den Bestimmungen dieses Gesetzes und einschlägiger Gesetze und Verwaltungsvorschriften für den Schutz, die Aufsicht und die Verwaltung personenbezogener Informationen zuständig.
Die Zuständigkeiten für den Schutz, die Aufsicht und die Verwaltung personenbezogener Informationen der einschlägigen Behörden der lokalen Volksregierungen auf oder oberhalb der Kreisebene werden im Einklang mit einschlägigen staatlichen Vorschriften festgelegt.
Die in den beiden vorstehenden Absätzen genannten Behörden werden gemeinsam als Behörden bezeichnet, die die Pflichten zum Schutz personenbezogener Informationen erfüllen.
Artikel 61 Behörden, die die Pflichten zum Schutz personenbezogener Informationen erfüllen, nehmen die folgenden Pflichten zum Schutz personenbezogener Informationen wahr:
(1) Durchführung von Bekanntmachung und Aufklärung über den Schutz personenbezogener Informationen und Anleitung und Beaufsichtigung von Verarbeitern personenbezogener Informationen bei der Durchführung der Arbeit zum Schutz personenbezogener Informationen;
(2) Annahme und Bearbeitung von Beschwerden und Meldungen im Zusammenhang mit dem Schutz personenbezogener Informationen;
(3) Organisation der Bewertung des Schutzes personenbezogener Informationen etwa bei Anwendungen und Veröffentlichung der Bewertungsergebnisse;
(4) Untersuchung und Behandlung rechtswidriger Verarbeitungstätigkeiten personenbezogener Informationen;
(5) andere durch Gesetze und Verwaltungsvorschriften vorgeschriebene Pflichten.
Artikel 62 Die nationale Behörde für Cybersicherheit und Informatisierung koordiniert die einschlägigen Behörden, um im Einklang mit diesem Gesetz die folgende Arbeit zum Schutz personenbezogener Informationen zu fördern:
(1) Formulierung spezifischer Regeln und Standards zum Schutz personenbezogener Informationen;
(2) Formulierung besonderer Regeln und Standards zum Schutz personenbezogener Informationen für kleine Verarbeiter personenbezogener Informationen, die Verarbeitung sensibler personenbezogener Informationen sowie neue Technologien und Anwendungen wie Gesichtserkennung und künstliche Intelligenz;
(3) Unterstützung der Forschung, Entwicklung und Förderung sicherer und bequemer elektronischer Identitätsauthentifizierungstechnologie und Förderung des Aufbaus öffentlicher Dienste zur Netzwerkidentitätsauthentifizierung;
(4) Förderung des Aufbaus eines sozialisierten Dienstleistungssystems zum Schutz personenbezogener Informationen und Unterstützung einschlägiger Institutionen bei der Durchführung von Bewertungs- und Zertifizierungsdiensten zum Schutz personenbezogener Informationen;
(5) Verbesserung des Arbeitsmechanismus für Beschwerden und Meldungen zum Schutz personenbezogener Informationen.
Artikel 63 Behörden, die die Pflichten zum Schutz personenbezogener Informationen erfüllen, können bei der Erfüllung dieser Pflichten die folgenden Maßnahmen ergreifen:
(1) Befragung einschlägiger Parteien und Untersuchung der mit Verarbeitungstätigkeiten personenbezogener Informationen verbundenen Situation;
(2) Zugriff auf und Kopieren der Verträge, Aufzeichnungen, Geschäftsbücher und anderen einschlägigen Unterlagen der an Verarbeitungstätigkeiten personenbezogener Informationen beteiligten Parteien;
(3) Durchführung von Vor-Ort-Inspektionen und Untersuchung mutmaßlich rechtswidriger Verarbeitungstätigkeiten personenbezogener Informationen;
(4) Inspektion von Ausrüstung und Gegenständen im Zusammenhang mit Verarbeitungstätigkeiten personenbezogener Informationen; bei Ausrüstung und Gegenständen, bei denen nachgewiesen wurde, dass sie für rechtswidrige Verarbeitungstätigkeiten personenbezogener Informationen verwendet werden, ist dem Leiter der Behörde schriftlich zu berichten, und nach Genehmigung sind sie zu versiegeln oder zu beschlagnahmen.
Behörden, die die Pflichten zum Schutz personenbezogener Informationen erfüllen, nehmen ihre Pflichten im Einklang mit dem Gesetz wahr, und die Parteien haben zu unterstützen und mitzuwirken und dürfen dies nicht verweigern oder behindern.
Artikel 64 Stellt die Behörde, die die Pflichten zum Schutz personenbezogener Informationen erfüllt, bei der Erfüllung ihrer Pflichten fest, dass bei Verarbeitungstätigkeiten personenbezogener Informationen ein größeres Risiko besteht, oder treten Sicherheitsvorfälle personenbezogener Informationen auf, kann sie im Einklang mit der vorgeschriebenen Zuständigkeit und den vorgeschriebenen Verfahren den gesetzlichen Vertreter oder die hauptverantwortliche Person des Verarbeiters personenbezogener Informationen zu einem Gespräch laden oder vom Verarbeiter personenbezogener Informationen verlangen, eine Fachorganisation mit einer Compliance-Prüfung seiner Verarbeitungstätigkeiten personenbezogener Informationen zu beauftragen. Verarbeiter personenbezogener Informationen haben wie verlangt Maßnahmen zu ergreifen, um Berichtigungen vorzunehmen und verborgene Gefahren zu beseitigen.
Stellt die Behörde, die die Pflichten zum Schutz personenbezogener Informationen erfüllt, bei der Erfüllung ihrer Pflichten fest, dass die rechtswidrige Verarbeitung personenbezogener Informationen den Verdacht einer Straftat begründet, hat sie die Angelegenheit zeitnah im Einklang mit dem Gesetz an die Organe für öffentliche Sicherheit zu übergeben.
Artikel 65 Jede Organisation oder Einzelperson hat das Recht, bei der Behörde, die die Pflichten zum Schutz personenbezogener Informationen erfüllt, Beschwerde über rechtswidrige Verarbeitungstätigkeiten personenbezogener Informationen einzureichen oder diese zu melden. Die Behörde, die die Beschwerde oder Meldung entgegennimmt, hat diese zeitnah im Einklang mit dem Gesetz zu behandeln und den Beschwerdeführer oder Hinweisgeber über das Ergebnis der Behandlung zu informieren.
Behörden, die die Pflichten zum Schutz personenbezogener Informationen erfüllen, haben die Kontaktinformationen für die Entgegennahme von Beschwerden und Meldungen zu veröffentlichen.
Kapitel 7: Rechtliche Haftung
Artikel 66 Wo personenbezogene Informationen unter Verstoß gegen die Bestimmungen dieses Gesetzes verarbeitet werden oder die Verarbeitung personenbezogener Informationen die in diesem Gesetz festgelegten Pflichten zum Schutz personenbezogener Informationen nicht erfüllt, ordnet die Behörde, die die Pflichten zum Schutz personenbezogener Informationen erfüllt, Korrekturen an, erteilt Verwarnungen, zieht rechtswidrige Gewinne ein und ordnet an, die Bereitstellung von Diensten der rechtswidrig verarbeitenden Anwendung personenbezogener Informationen auszusetzen oder zu beenden; wird die Korrektur verweigert, wird eine Geldbuße von nicht mehr als RMB 1.000.000 verhängt; dem unmittelbar verantwortlichen Leiter und anderem unmittelbar verantwortlichem Personal wird eine Geldbuße von nicht weniger als RMB 10.000, aber nicht mehr als RMB 100.000 auferlegt.
Liegt eine im vorstehenden Absatz genannte rechtswidrige Handlung vor und sind die Umstände schwerwiegend, ordnet die Behörde auf oder oberhalb der Provinzebene, die die Pflichten zum Schutz personenbezogener Informationen erfüllt, Korrekturen an, zieht das rechtswidrige Einkommen ein und verhängt eine Geldbuße von nicht mehr als RMB 50.000.000 oder nicht mehr als 5 % des Umsatzes des Vorjahres; sie kann auch die Einstellung einschlägiger Geschäfte oder die Einstellung des Betriebs zur Berichtigung anordnen und die zuständige Behörde benachrichtigen, die einschlägige Betriebslizenz oder die Betriebslizenz zu widerrufen; dem unmittelbar verantwortlichen Leiter und anderem unmittelbar verantwortlichem Personal wird eine Geldbuße von nicht weniger als RMB 100.000, aber nicht mehr als RMB 1.000.000 auferlegt, und es kann entschieden werden, ihnen für einen bestimmten Zeitraum zu untersagen, als Direktoren, Aufsichtsratsmitglieder, leitende Angestellte und Beauftragte für den Schutz personenbezogener Informationen verbundener Unternehmen tätig zu sein.
Artikel 67 Wer eine in diesem Gesetz festgelegte rechtswidrige Handlung begeht, wird im Einklang mit den Bestimmungen einschlägiger Gesetze und Verwaltungsvorschriften in die Kreditakte eingetragen und öffentlich bekannt gemacht.
Artikel 68 Wo staatliche Organe ihre in diesem Gesetz festgelegten Pflichten zum Schutz personenbezogener Informationen nicht erfüllen, ordnen ihre übergeordneten Organe oder die Behörden, die die Pflichten zum Schutz personenbezogener Informationen erfüllen, Korrekturen an; der unmittelbar verantwortliche Leiter und andere unmittelbar verantwortliche Personen werden nach dem Gesetz bestraft.
Wenn das Personal der Behörde, die die Pflichten zum Schutz personenbezogener Informationen erfüllt, seine Pflichten vernachlässigt, seine Befugnisse missbraucht oder sich zum persönlichen Vorteil in Missbräuche verstrickt, wird es, wenn dies keine Straftat darstellt, im Einklang mit dem Gesetz bestraft.
Artikel 69 Wo die Verarbeitung personenbezogener Informationen die Rechte und Interessen an personenbezogenen Informationen verletzt und Schaden verursacht und der Verarbeiter personenbezogener Informationen nicht nachweisen kann, dass ihn kein Verschulden trifft, trägt er die deliktische Haftung wie den Schadensersatz.
Die im vorstehenden Absatz festgelegte Haftung für Schäden wird nach den von der Einzelperson erlittenen Verlusten oder den vom Verarbeiter personenbezogener Informationen erzielten Vorteilen bestimmt; ist es schwierig, den von der Einzelperson erlittenen Verlust und die vom Verarbeiter personenbezogener Informationen erzielten Vorteile zu bestimmen, wird die Höhe der Entschädigung nach der tatsächlichen Lage bestimmt.
Artikel 70 Wo Verarbeiter personenbezogener Informationen personenbezogene Informationen unter Verstoß gegen die Bestimmungen dieses Gesetzes verarbeiten und die Rechte und Interessen zahlreicher Einzelpersonen verletzen, können die Volksstaatsanwaltschaft, gesetzlich bestimmte Verbraucherorganisationen und von der nationalen Behörde für Cybersicherheit und Informatisierung bestimmte Organisationen im Einklang mit dem Gesetz Klage bei einem Volksgericht erheben.
Artikel 71 Ein Verstoß gegen die Bestimmungen dieses Gesetzes, der einen Verstoß gegen die Verwaltung der öffentlichen Sicherheit darstellt, wird nach dem Gesetz mit Strafen der Verwaltung der öffentlichen Sicherheit belegt; liegt eine Straftat vor, wird die strafrechtliche Verantwortung nach dem Gesetz verfolgt.
Kapitel 8: Ergänzende Bestimmungen
Artikel 72 Dieses Gesetz gilt nicht für natürliche Personen, die personenbezogene Informationen aufgrund persönlicher oder familiärer Angelegenheiten verarbeiten.
Wo das Gesetz Bestimmungen über die Verarbeitung personenbezogener Informationen bei den von den Volksregierungen auf allen Ebenen und ihren einschlägigen Behörden organisierten und umgesetzten Statistik- und Archivverwaltungstätigkeiten enthält, sind jene Bestimmungen anzuwenden.
Artikel 73 Die Bedeutungen der folgenden Begriffe in diesem Gesetz:
(1) Verarbeiter personenbezogener Informationen bezeichnet eine Organisation oder Einzelperson, die bei Verarbeitungstätigkeiten personenbezogener Informationen eigenständig über Zweck und Methode der Verarbeitung entscheidet.
(2) Automatisierte Entscheidungsfindung bezeichnet die Tätigkeit, die Verhaltensgewohnheiten, Interessen oder den wirtschaftlichen, gesundheitlichen und Bonitätsstatus einer Einzelperson durch Computerprogramme automatisch zu analysieren und zu bewerten und Entscheidungen zu treffen.
(3) De-Identifizierung bezeichnet den Prozess, bei dem personenbezogene Informationen so verarbeitet werden, dass sie ohne Zuhilfenahme zusätzlicher Informationen keine bestimmte natürliche Person identifizieren können.
(4) Anonymisierung bezeichnet den Prozess, bei dem personenbezogene Informationen keine bestimmte natürliche Person identifizieren können und nach der Verarbeitung nicht wiederhergestellt werden können.
Artikel 74 Dieses Gesetz tritt am 1. November 2021 in Kraft.
Abschluss
Das von der Cyberspace-Verwaltung Chinas veröffentlichte Original-PIPL (auch auf npc.gov.cn) ist auf Chinesisch verfasst; wir haben es ins Deutsche übersetzt, was Sie oben lesen. Dieses Dokument dient ausschließlich dem schnellen Verständnis des Gesetzes; die Verwendung erfolgt auf eigenes Risiko.
Wenn Sie weitere Hilfe von unserem Team benötigen, kontaktieren Sie uns noch heute, und unsere Experten erklären Ihnen alle Geheimnisse, wie Sie Ihre Site in China an den Start bringen!