China verskerp reëls vir oudit van persoonlike data vir korporatiewe persone
Op 14 Februarie 2025 het China se Kuberruimte-administrasie die "Maatreëls vir die Administrasie van Nakomingsoudits vir die Beskerming van Persoonlike Inligting" (个人信息保护合规审计管理办法, hierna die "Maatreëls") vrygestel, wat op 1 Mei 2025 in werking sal tree. Die Maatreëls verduidelik korporatiewe verpligtinge in nakomingsoudits om 'n balans te vind tussen databenutting en die beskerming van persoonlike inligting.
In onlangse jare het China 'n databeskermingsraamwerk daargestel deur die "Persoonlike Inligtingsbeskermingswet" (个人信息保护法) en die "Regulasies oor Netwerkdatasekuriteitsbestuur" (网络数据安全管理条例), wat vereis dat maatskappye gereelde nakomingsoudit uitvoer.
Die Maatreëls verskaf gedetailleerde implementeringsriglyne, wat ouditprosedures, institusionele kwalifikasies en regstellingsverpligtinge spesifiseer om die deursigtigheid en wettigheid van die verwerking van persoonlike data te verbeter.
Die hoogtepunte van die maatreëls is soos volg.
- Maatskappye wat die persoonlike inligting van meer as 10 miljoen individue verwerk, moet ten minste een keer elke twee jaar oudits uitvoer, terwyl ander maatskappye 'n redelike frekwensie kan bepaal.
- Indien regulerende owerhede groot risiko's identifiseer (bv. datalekke of gebruikersregteskendings), kan hulle vereis dat die maatskappy 'n professionele oudit deur 'n derde party aanvra.
- Dieselfde professionele instelling of enige van sy geaffilieerde instellings of dieselfde persoon in beheer van voldoeningsoudits mag nie voldoeningsoudits vir die beskerming van persoonlike inligting vir dieselfde geouditeerde drie of meer kere agtereenvolgens uitvoer nie.