Меры по управлению данными клиентов в соответствии с китайским законом о кибербезопасности: практический взгляд изнутри

Дорогие инвесторы и предприниматели, которые привыкли читать на русском и оценивать риски до того, как подписать первый чек! Меня зовут Лю, и последние двенадцать лет я работаю в компании «Цзясюй Цайшуй» (加喜财税), где мы помогаем иностранным предприятиям проходить регистрацию, налоговый учёт и — что особенно важно в последние годы — выстраивать комплаенс в области данных. Скажу честно: ещё пять-шесть лет назад мало кто из наших клиентов всерьёз спрашивал про кибербезопасность. Все хотели открыть компанию, получить лицензию, запустить продажи. Сегодня же примерно каждый третий разговор с инвестором начинается с вопроса: «А что будет с данными наших клиентов? Кто за них отвечает?»

И это правильный вопрос. Китайский закон о кибербезопасности (网络安全法) — не абстрактный документ для юристов. Он напрямую влияет на то, как вы собираете, храните, передаёте и удаляете данные клиентов. Нарушения здесь могут стоить не только штрафов, но и приостановки деятельности, а в отдельных случаях — уголовной ответственности для ответственных лиц. Для инвестора это означает вполне конкретные вещи: репутационные риски, задержки в сделках, блокировку приложений в магазинах и проблемы с банковским обслуживанием.

В этой статье я хочу не просто пересказать нормы закона. Я хочу показать, как эти нормы выглядят на практике — глазами человека, который четырнадцать лет занимается регистрационными процедурами и видел, как компании спотыкаются на ровном месте. Мы разберём несколько аспектов: от классификации данных до работы с облачными провайдерами, от внутренних регламентов до трансграничной передачи. Плюс я поделюсь парой историй из реальной практики — без имён, но с деталями, которые, надеюсь, помогут вам не наступить на те же грабли.

Классификация данных: с чего начать

Первое, что я обычно говорю клиенту, когда речь заходит о комплаенсе в сфере данных: нельзя защитить то, что вы не классифицировали. Китайский закон о кибербезопасности вместе с подзаконными актами (в частности, с законом о защите персональной информации 个人信息保护法, принятым в 2021 году) выстраивает многоуровневую систему: обычные данные, персональные данные, чувствительные персональные данные и «важные данные» (重要数据). Каждая категория влечёт разные обязанности. И если вы, например, обрабатываете биометрию или медицинские сведения, требования становятся заметно строже.

На практике я вижу типичную ошибку: иностранная компания открывает дочернюю структуру в Шанхае или Шэньчжэне, запускает приложение для клиентов и считает, что «данные — это просто данные». А потом выясняется, что часть информации о пользователях попадает в категорию чувствительной, и компания обязана назначить ответственного за защиту информации, провести оценку воздействия на защиту персональных данных (个人信息保护影响评估) и обеспечить отдельное согласие пользователя. Без этого — риск проверки со стороны Управления по делам киберпространства (网信办).

Мой совет: начните с инвентаризации. Составьте карту данных: какие сведения вы собираете, откуда, зачем, где храните, кому передаёте, как долго держите. Это скучная работа, но она экономит месяцы переговоров с юристами позже. В нашей практике был случай, когда клиент — европейский производитель промышленного оборудования — полгода не мог запустить сервисное приложение, потому что выяснилось: данные о техническом состоянии станков клиентов в Китае могут квалифицироваться как важные данные. Пришлось перестраивать архитектуру сбора. Если бы инвентаризация была проведена на старте, проект сэкономил бы и деньги, и нервы.

Кстати, не стоит думать, что классификация — это разовое мероприятие. Регуляторные разъяснения в Китае обновляются довольно часто, и то, что год назад считалось обычными данными, сегодня может попасть в более чувствительную категорию. Поэтому я рекомендую пересматривать карту данных как минимум раз в год — а лучше при каждом существенном изменении бизнес-модели.

И ещё один момент, который часто упускают: классификация должна быть задокументирована. Недостаточно «мы знаем, что у нас за данные». Нужен внутренний документ, утверждённый руководством, с описанием категорий, критериев отнесения и ответственных лиц. При проверке или due diligence перед инвестицией такой документ — это не формальность, а доказательство добросовестности.

Согласие и прозрачность

Китайский режим защиты данных строится вокруг принципа информированного согласия. Это означает, что компания обязана четко и понятно объяснить пользователю, какие данные собираются, с какой целью, как долго хранятся и кому передаются. Причём «понятно» — это не мелкий шрифт на двадцати страницах. Регулятор в последние годы выпускал руководства, где прямо говорит: политика конфиденциальности должна быть краткой, наглядной и на китайском языке.

В моей практике был показательный случай с клиентом из сферы розничной торговли. Компания запустила программу лояльности, где для регистрации просила номер телефона, дату рождения и адрес. Формально согласие было — галочка в приложении. Но когда пользователи начали жаловаться, выяснилось, что цель сбора адреса не была объяснена, а сама политика конфиденциальности существовала только на английском. Пришлось срочно переделывать: переводить документы, упрощать формулировки, добавлять отдельные согласия для маркетинговых рассылок. Отдельное согласие для каждой цели — это не бюрократия, а требование, которое регулятор проверяет в первую очередь.

Ещё один нюанс: согласие можно отозвать. И компания должна обеспечить техническую возможность это сделать — без звонков в службу поддержки и письменных заявлений. Если пользователь хочет удалить аккаунт и данные, процесс должен быть простым. У нас был случай, когда клиент — финтех-стартап — потратил три месяца на переработку процедуры удаления данных, потому что изначально она была встроена в бэк-офис и требовала ручной обработки. Инвесторы, кстати, обратили на это внимание на этапе due diligence и задали неприятные вопросы.

Прозрачность работает и в обратную сторону: когда компания честно объясняет, зачем ей данные, пользователи охотнее дают согласие. Это не только комплаенс, но и элемент доверия к бренду. В нашей практике клиенты, которые переписывали политику конфиденциальности на человеческий язык, отмечали рост конверсии в регистрацию. Мелочь, а приятно.

Наконец, стоит помнить о специальных правилах для несовершеннолетних. Если ваша аудитория включает лиц младше четырнадцати лет, требуется согласие родителей или опекунов. Это касается игр, образовательных платформ, детских товаров. Мы однажды консультировали компанию, которая об этом не подумала, — пришлось останавливать маркетинговую кампанию и переделывать онбординг. Лучше предусмотреть это заранее.

Локализация и облака

Один из самых болезненных вопросов для иностранных инвесторов — локализация данных. Китайский закон о кибербезопасности в связке с законом о защите персональной информации устанавливает: операторы, обрабатывающие персональные данные в Китае, в определённых случаях обязаны хранить их на территории страны. Для «критических операторов информационной инфраструктуры» (关键信息基础设施运营者) это требование жёсткое, для остальных — зависит от объёма и характера данных. На практике это означает, что выбирать облачного провайдера нужно с умом.

И тут начинается самое интересное. Многие наши клиенты приходят с архитектурой, построенной на глобальных облаках, и спрашивают: «А можно просто оставить всё как есть?» Ответ: можно, но с оговорками. Если данные китайских пользователей хранятся за пределами Китая, может потребоваться прохождение процедуры оценки безопасности трансграничной передачи данных (数据出境安全评估) — а это долго, дорого и не всегда успешно. Проще сразу строить локальную инфраструктуру или использовать гибридную модель.

В нашей практике был клиент — европейская SaaS-компания, которая полтора года пыталась согласовать трансграничную передачу данных через оценку безопасности. В итоге руководство приняло решение развернуть отдельный кластер в Китае у местного провайдера. Да, это дополнительные расходы и операционная сложность. Но зато компания смогла запустить продукт и не зависеть от сроков регулятора.

Ещё один аспект: не все местные облачные провайдеры одинаковы. Некоторые предлагают услуги с разным уровнем соответствия требованиям. Я обычно советую клиентам смотреть не только на цену, но и на наличие сертификатов, на то, как провайдер реагирует на запросы регулятора, и на прозрачность его политики в области данных. Дешёвое облако может обернуться дорогим комплаенсом.

И не забывайте про резервное копирование и аварийное восстановление. Закон требует обеспечивать безопасность данных, и если у вас нет плана на случай инцидента, это может быть расценено как недостаточная защита. Мы рекомендуем прописывать процедуры в внутренних регламентах и регулярно проводить учения — хотя бы раз в год.

Внутренние регламенты и обучение

Закон о кибербезопасности требует от организаций не только технических мер, но и организационных. Это значит: назначить ответственного за защиту информации, разработать внутренние политики, проводить обучение сотрудников. Звучит банально, но на практике именно здесь возникает больше всего пробелов. Я видел компании с прекрасными техническими решениями, где при этом никто из сотрудников не знал, что делать при утечке данных.

В «Цзясюй Цайшуй» мы часто помогаем клиентам выстраивать базовый набор документов: политика обработки персональных данных, регламент реагирования на инциденты, порядок доступа к данным, инструкция по удалению. Это не требует огромных бюджетов, но требует дисциплины. Регулятор при проверке смотрит не только на то, что написано, но и на то, как это работает. Если у вас есть политика, но сотрудники ей не следуют, это хуже, чем отсутствие политики, — потому что демонстрирует формальный подход.

Обучение — отдельная история. Мы проводили тренинг для клиента из сферы логистики, и выяснилось, что менеджеры отправляли файлы с данными клиентов через личные мессенджеры. Формально — нарушение внутренних правил и потенциальная утечка. Пришлось перестраивать процессы: вводить корпоративные каналы, ограничивать доступ, проводить разъяснительную работу. Через полгода число инцидентов упало почти до нуля. Культура безопасности — это не разовый тренинг, а постоянная работа.

Кстати, не стоит недооценивать роль «человеческого фактора» в проверках. Регулятор может запросить записи о проведённых обучениях, журналы доступа, протоколы совещаний. Если всего этого нет, доказать добросовестность сложно. Мы советуем вести простой учёт: кто, когда и какой тренинг прошёл. Это занимает минуты, но спасает часы объяснений.

И ещё: внутренние регламенты должны быть на китайском языке. Это не всегда удобно для головного офиса, но необходимо. Мы видели случаи, когда компании предоставляли регулятору документы на английском и получали замечания. Перевод — небольшая инвестиция по сравнению с рисками.

Трансграничная передача

Тема, которая вызывает больше всего вопросов у иностранных инвесторов, — трансграничная передача данных. Китайский закон о кибербезопасности и связанные с ним акты устанавливают несколько механизмов: оценка безопасности, стандартный контракт, сертификация. Выбор зависит от объёма данных, категории и характера деятельности. Для многих компаний это означает необходимость юридической экспертизы и времени.

В нашей практике был случай с клиентом — американской компанией, которая хотела синхронизировать данные китайских клиентов с глобальной CRM. Мы провели предварительный анализ и выяснили, что объём данных превышает порог, требующий оценки безопасности. Процесс занял несколько месяцев, и всё это время компания работала с ограничениями. Если вы планируете передавать данные за пределы Китая, закладывайте время и бюджет заранее.

Альтернатива — минимизация передачи. Часто можно перестроить процессы так, чтобы за границу уходили только агрегированные или обезличенные данные. Это не всегда возможно, но стоит рассмотреть. Мы помогали клиенту из сферы здравоохранения переработать архитектуру: чувствительные данные остались в Китае, а за рубеж передавалась только статистика. Это позволило избежать сложной процедуры оценки.

Ещё один момент: стандартный контракт. Это относительно новый механизм, и его применение требует внимательного отношения к формулировкам. Мы рекомендуем привлекать китайских юристов для проверки — шаблонный подход здесь рискован. Ошибка в контракте может привести к тому, что передача будет признана незаконной.

И, конечно, не забывайте про уведомление пользователей. Если данные передаются за границу, это должно быть отражено в политике конфиденциальности и, в ряде случаев, требует отдельного согласия. Прозрачность здесь — не формальность, а способ снизить риски жалоб и проверок.

Инциденты и реагирование

Даже самые добросовестные компании сталкиваются с инцидентами: утечки, взломы, ошибки сотрудников. Китайский закон о кибербезопасности требует оперативного реагирования и уведомления регулятора и пользователей. Промедление может быть расценено как нарушение. Поэтому план реагирования — это не опция, а необходимость.

В нашей практике был случай, когда клиент — компания в сфере электронной коммерции — обнаружил утечку данных клиентов. Благодаря заранее прописанному регламенту удалось быстро локализовать проблему, уведомить регулятора в установленные сроки и проинформировать пользователей. Репутационные потери были минимальными. Скорость и прозрачность — лучшие друзья в такой ситуации.

Что должно быть в плане реагирования? Как минимум: ответственные лица, процедура оценки масштаба, каналы уведомления, шаблоны сообщений, порядок взаимодействия с правоохранительными органами. И, конечно, регулярные учения. Мы рекомендуем проводить их хотя бы раз в год — это помогает выявить слабые места до того, как они станут проблемой.

Отдельно стоит упомянуть документирование. Каждый инцидент должен быть зафиксирован: что произошло, когда, какие меры приняты, какие выводы сделаны. Это помогает и при проверках, и при улучшении процессов. Регулятор ценит компании, которые учатся на своих ошибках.

И ещё: не пытайтесь скрыть инцидент. В китайском регулировании сокрытие информации может быть квалифицировано как отдельное нарушение с более серьёзными последствиями. Лучше признать проблему и показать, что вы её решаете.

Практические выводы и взгляд вперёд

Подводя итог, хочу вернуться к тому, с чего мы начали. Китайский закон о кибербезопасности — это не разовый барьер, а постоянный элемент операционной деятельности. Для инвестора это означает необходимость закладывать комплаенс в бюджет и в timeline проекта с самого начала. Компании, которые воспринимают защиту данных как инвестицию, а не как издержки, получают конкурентное преимущество.

Мой личный опыт подсказывает: самые успешные проекты — те, где комплаенс встроен в продукт, а не прикручен сбоку. Когда политика конфиденциальности пишется вместе с дизайном интерфейса, когда удаление данных предусмотрено в архитектуре, когда обучение сотрудников — часть онбординга. Это требует усилий, но окупается.

Что будет дальше? Я думаю, регуляторные требования продолжат ужесточаться, особенно в части трансграничной передачи и важных данных. Появятся новые руководства и разъяснения. Компаниям стоит следить за обновлениями и не стесняться задавать вопросы — регулятор, как ни странно, иногда идёт на диалог. И, конечно, стоит инвестировать в локальную экспертизу: юристов, консультантов, технических специалистов, которые понимают китайский контекст.

Напоследок — совет от меня как от человека, который четырнадцать лет наблюдает за регистрационными процедурами: не откладывайте комплаенс «на потом». Потом, как правило, оказывается дороже. Лучше сделать базовые вещи сразу — инвентаризацию, политики, обучение — и спать спокойно.

Взгляд компании «Цзясюй Цайшуй»

В «Цзясюй Цайшуй» мы смотрим на меры по управлению данными клиентов в соответствии с китайским законом о кибербезопасности как на неотъемлемую часть сопровождения иностранных предприятий. Наш опыт показывает: инвесторы, которые уделяют внимание комплаенсу на ранних этапах, реже сталкиваются с блокировками и штрафами. Мы помогаем клиентам выстраивать базовые процессы — от классификации данных до внутренних регламентов — и координируем взаимодействие с местными юристами и техническими консультантами. Наша позиция проста: защита данных — это не бюрократия, а элемент устойчивости бизнеса. И чем раньше компания это осознаёт, тем проще ей расти в Китае.