Обработчикам обычных данных в Китае рекомендуется проводить оценку не реже одного раза в три года. Компания может провести её сама, назначив ответственного, либо нанять стороннюю организацию по договору. Если состояние безопасности важных данных существенно меняется, оценку нужно провести внепланово. Ведомства уровня провинции и выше получили право требовать привлечения сертифицированной организации и проверять отчёты. При угрозе национальной безопасности или общественным интересам компанию обязывают устранить нарушения, а если она этого не делает — могут потребовать прекратить обработку важных данных. Ориентиром для оценки служат национальные стандарты GB/T 45577-2025 и GB/T 45389-2025.
Узбекистан в этом году двигался в обратную сторону. Закон о персональных данных, который президент подписал 26 марта, оставил обязательное хранение внутри страны только для биометрических и генетических данных, а также данных абонентов местных операторов связи. Остальные персональные данные можно хранить и обрабатывать за рубежом, если страна признана обеспечивающей равнозначную защиту либо оператор применяет утверждённые типовые договорные условия или корпоративные правила.
Контекст
«Важные данные» в китайском праве — отдельная категория, не совпадающая с персональными данными в привычном смысле: это информация, утечка или искажение которой может напрямую угрожать национальной безопасности или общественным интересам — например, геоданные и видеопотоки вокруг критической инфраструктуры, данные о транспортных потоках, отражающие экономическую активность, или персональные данные более 100 тысяч человек разом. То есть обязательная ежегодная оценка рисков касается не любого бизнеса, а компаний, которые реально работают с массивами данных такого масштаба — от операторов критической инфраструктуры до крупных технологических и автомобильных компаний. За нарушения предусмотрены штрафы от 50 тысяч до 2 млн юаней при тяжёлых последствиях, а в крайнем случае — приостановка деятельности или отзыв лицензии, то есть требование подкреплено реальными санкциями, а не декларативно.
Узбекский разворот в противоположную сторону объясняется конкретной практической проблемой: введённое в 2021 году требование хранить все персональные данные граждан на серверах внутри страны оказалось, по формулировке самого правительства, «неоднозначным в толковании» и на практике выступало барьером, не пускавшим в страну крупные международные сервисы — в первую очередь платёжные системы Apple Pay, Google Pay и PayPal, которым требовалось обрабатывать данные карт и транзакций за рубежом по глобальным стандартам. Поэтому закон от 26 марта сохранил обязательную локализацию только для самых чувствительных категорий — биометрических, генетических данных и данных абонентов местных операторов связи, — а остальные персональные данные теперь можно передавать за границу, если страна-получатель обеспечивает равнозначную защиту или оператор использует утверждённые типовые договорные условия.
По сути, два события описывают противоположные стратегии в отношении данных: Китай ужесточает контроль над данными, которые считает вопросом национальной безопасности, одновременно сохраняя жёсткий суверенитет над информацией в целом, а Узбекистан, наоборот, ослабляет локализацию персональных данных ради того, чтобы интегрироваться в глобальную цифровую инфраструктуру (платежи, облачные сервисы) — обе страны решают разные задачи: Пекин защищается от рисков для безопасности государства, Ташкент — снимает барьеры для прихода мировых технологических компаний.