Китай вводит сертификацию для трансграничной передачи данных

Китай представил программу сертификации для регулирования передачи персональных данных за рубеж. Новая система призвана усилить безопасность информации, обеспечивая при этом легальные рамки для трансграничных потоков данных. Правила вступят в силу 1 января 2026 года.

Государственное управление киберпространства Китая (CAC) и Государственное управление по регулированию рынка совместно опубликовали новые меры в пятницу, 17 октября 2025 года, детализируя требования к организациям, осуществляющим передачу персональных данных за границу.

Согласно заявлению официального представителя CAC, программа предоставляет легальный путь для экспортеров данных, которые соответствуют национальным стандартам сертификации, как это предусмотрено Законом о защите персональной информации.

Сертификация доступна для обработчиков персональных данных, которые не являются операторами критической информационной инфраструктуры. Она применяется к тем, кто с начала календарного года передавал нечувствительные персональные данные от 100 000 до менее 1 миллиона человек или чувствительные персональные данные менее 10 000 людей. Важные данные исключены из программы.

Меры явно запрещают обработчикам данных разделять крупные передачи на более мелкие партии, чтобы избежать обязательных оценок безопасности.

В рамках новой системы обработчики данных должны подавать заявки в аккредитованные сертификационные органы. Срок действия каждого сертификата составляет три года.

Сертифицирующие учреждения обязаны загружать детали сертификации на национальную платформу государственных услуг для сертификации и аккредитации.

Если у сертифицированной организации будут обнаружены расхождения между фактическим экспортом данных и областью сертификации, или если она перестанет соответствовать критериям сертификации, учреждению будет разрешено приостановить или отозвать сертификат. Любые нарушения законов или нормативных актов, связанные с экспортом данных, должны немедленно сообщаться регуляторам.

Сертификационные органы также должны подавать записи в CAC в течение 10 рабочих дней после получения аккредитации. Как CAC, так и Государственное управление по регулированию рынка будут осуществлять надзор за сертификационной деятельностью.

Киберпространственные органы провинциального уровня или выше и соответствующие департаменты могут вызывать сертифицированных обработчиков данных для бесед, если будут обнаружены серьезные риски или инциденты безопасности данных.