Kiinalainen datalaki ja GDPR: miksi Chongqingissa toimivien suomalaisten on syytä ottaa asia vakavasti

Kuvittele tilanne: olet suomalainen yrittäjä, joka on vain avannut toimipisteen Chongqingissa. Kaupunki on massiivinen — yli 32 miljoonaa asukasta, teollisuuden moottori, ja yhä tärkeämpä länsimaisen Kiinan portti. Sinulla on asiakkaita, työntekijöitä, ehkä jopa alihankkijoita. Kaikki heistä tuottavat persoonaa: nimiä, yhteystietoja, mahdollisesti jopa biometriaa tai terveyttietoja.

Sinulla on GDPR-tausta. Tiedät, mitä “oikeus unohtumiseen” tai “tietojen siirtoon” tarkoittaa Helsingissä. Mutta tässä Kiinassa pelisäännöt ovat toiset. Vuodesta 2021 alkaen Henkilötietojen suojaamisesta annetun lain (PIPL, Personal Information Protection Law) on asettanut oman standardinsa. Se muistuttaa GDPR:ää monissa asioissa — oikeudet, vastuullisuus, shock-absorption-mekanismit —, mutta yksityiskohdat eroavat. Ja nämä erot voivat maksaa sinulle sakkoja, reputaation menetyksen, tai pahimmassa tapauksessa liiketoiminnan sulkemisen.

Chongqing on erityinen tapaus. Se on suoraan valtionhallinnon alle kuuluva kaupunki (suoraan hallittu kaupunki), mikä tarkoittaa, että paikalliset viranomaiset voivat toimia nopeasti ja itsenäisesti. Paikallinen Cybersecurity-hallinto (CAC) ja markkinavalvonta ovat aktiivisia. Jos datasi liikkuu Chongqingin palvelimelta EU:hen — tai toisinpäin — ilman oikeita mekanismeja, olet harhaanjohtamassa itseäsi, jos luulet, että “GDPR riittää”.

Tässä artikkelissa käymme läpi, mitä GDPR:n ja PIPL:n välinen jännite tarkoittaa käytännössä Chongqingissa toimivalle suomalaiselle yritykselle, ja miksi paikallinen kiinalainen asianajaja ei ole vain “hyvä olla”, vaan usein ainoa tapa välttää kalleimmat virheet.

Mitä käytännössä eroaa: GDPR vs. PIPL Chongqing-kontekstissa

Monet suomalaiset yrittäjät lähestyvät asiaa siten: “Noudatamme GDPR:ää, joten oletamme olevan turvassa.” Se on ymmärrettävä, mutta riskialttiiden logiikka. Tässä on neljä keskeista eroa, jotka iskevät kovaa, jos niitä ei huomioi:

1. Lainsäädännön soveltamisala (territoriaalisuus)

GDPR soveltuu, jos tarjoat palveluita EU-asukkaille tai seurata heidän käyttäytymistään — riippumatta siitä, missä palvelimesi on. PIPL taas soveltuu, jos käsittelet henkilötietoja Kiinan alueella tai jos käsittely on suuntautunut Kiinan asukkaiden tuotteiden/palvelujen myyntiin tai heidän käyttäytymistensä seurantaan. Jos sinulla on palvelin Chongqingissa, joka käsittelee joko kiinalaisia tai eurolaisia asiakkaita, olet molempien lakien piiriin. Ei “tai”, vaan “ja”.

2. Suostumus vs. oikeutetut perusteet

GDPR:ssä artikkeli 6 antaa kuusi laillista perusta (sopimus, oikeudellinen velvoite, elintärkeä etu, yms.). Suostumus on vain yksi niistä. PIPL:ssä (art. 13) suostumus on ensisuuntainen peruste, ja se on oltava “vapaaehtoinen, tietoinen ja yksityiskohtainen”. Poikkeuksia (kuten sopimuksen täyttö tai julkinen etu) on kapeampia ja tiukemmin tolkitun. Käytännössä: jos pyydät suostumusta Kiinassa, se on oltava erittäin graanulinen ja helposti peruutettava. Yleinen “hyväksyn kaiken” -ruutu ei kelpaa.

3. Tietojen ulkomaan siirto (Cross-border transfer) — tämä on suurin piikki

GDPR:ssä siirrot kolmannisiin maihin vaativat “asemakaavan tasoisen suojan” (SCC, BCR, adequacy decision). Kiina ei ole adequacy-maa. PIPL:n mukaan (art. 38–39) kriittisten tietojen infrastruktuurin operaattoreiden (CIIO) ja suuren määrien käsittelijöiden on suoritettava turvallisuuden arviointi (Security Assessment) valtion CAC:lle ennen siirtoa. Muilla on kolme reittiä:

  • CAC:n turvallisuuden arviointi (pakollinen CIIO:lle / suurille määrien käsittelijöille)
  • Ammattilaisinstituutin (esim. China Law Society) sertifioima standardisopimus (Standard Contract)
  • Kolmannen osapuolen sertifikaatti (harvinaisempi)

Chongqingissa toimivilla yrityksillä tämä on usein “ajatuspeli”, kunnes he huomaavat, että heidän HR-järjestelmänsä tai CRM:n palvelin on Frakassa tai Singaporeissa — ja he ovat siirtäneet tietoja ilman paperikirjaa. Se on rikkomus.

4. DPO vs. Vastuuhenkilö (Person in Charge)

GDPR vaatii tietosuojavastaavan (DPO) tiettyissä tapauksissa. PIPL vaatii vastuuhenkilön (Person in Charge of Personal Information Protection), joka on kiinalainen asukas tai organisaatio, joka on rekisteröity Kiinassa. Tämä henkilö vastaa viranomaisia ja tietoja kohteita kohtaan. Se ei voi olla sinun Suomi-pääkonttorisi tietosuojavastaava, ellei hänellä ole kiinalainen asumisoikeus ja paikallinen läsnäolo.

Miksi paikallinen asianajaja Chongqingissa on “ensimmäinen viiva”, ei “viimeinen varmistus”

Monet yrittäjät harkitsevat asianajajan hankkimista vasta, kun ongelma on ilmennyt: valvonta-अधिकारी on pyytänyt selityksiä, asiakas on valittanut, tai sakko on tullut. Se on myöhäistä. Paikallinen asianajaja Chongqingissa tuo arvot, joita et voi ostaa etäydennöltä:

Hän ymmärtää paikallisen “politiikan” (policy implementation)

Kiinan laki on kerrostunut: ylin taso (PIPL), asetukset (esim. Network Data Security Management Regulations -luonnos), kansalliset standardit (GB/T 35273), ja paikalliset toteutusohjeet. Chongqingin CAC on voinut julkaista omia “opastuksia” tai “valvonta-avainkohtia” (inspection focus), joita ei löydy Pekinin kansallisista teksteistä. Paikallinen asianajaja lukee nämä, osallistuu paikallisiin seminaareihin, ja tietää, mitä tarkastaja todella kysyy.

Hän osaa neuvotella standardisopimuksen (Standard Contract) klausuleita

PIPL:n standardisopimus on kiinteä mallipohja (CAC:n vahvistama). Mutta liitemuistiin (appendices) on tilaa — ja se tila on kriittinen. Minkälaiset tekniset toimet (encryption, pseudonymization)? Miten tietojen tuhotaan sopimuksen päätyttyä? Mitä tapahtuu, jos saaja-maassa (esim. Suomi) viranomainen pyytää tietoja ilman kiinalaista tuomioistuinta? Paikallinen asianajaja osaa kirjoittaa nämä liitteet siten, että ne kuluvalvonta (pass the CAC filing) ja suojavat sinua sopimusvastuussa.

Hän hallinnoi CAC-hakemusprosessin (Filing / Declaration)

Jos yrityksesi on luokiteltu CIIO:ksi tai käsittää “suuren määrän” tietoja (kynnys on alhainen: esim. 100 000 henkilön tietoja tai 10 000 “herkän” tiedon), sinun on tehtävä turvallisuuden arviointi (Security Assessment) CAC:lle ennen siirtoa. Prosessi on byrokraattinen, kiinalankielinen, ja vaatii paikallista yritysrekisteröitymiä, organisaatiotodistuksia, teknisiä kaavioita, riskiarviointeja. Paikallinen asianajaja tekee tämän “paperityön” oikein ensimmäisellä kerralla — pelastaa kuukausia.

Hän on “vastuuhenkilö” (Person in Charge) -kysymyksessä ratkaisu

Jos sinulla ei ole kiinalaista työntekijää, joka voi toimia vastuuhenkilönä, asianajajasi (tai hänen toimistonsa) voi usein toimia ulkopuolisena vastuuhenkilönä tai auttaa rekrytoimaan ja kouluttamaan sopivan henkilön. Tämä on laillinen vaatimus, ei valinnainen.

Chongqing-spesifisiä nuansseja, joista kenellekään ei kerrota webineereissa

Chongqing on ollut Kiinan eersteistä “Digitaalinen talous” -pilottikaupunki ja “Kansainvälinen logistiikkakeskus”. Tämä tuo mukanaan spesifisiä datavirtoja:

  • Rajankuljetusdata: Jos yrityksesi käsittelee tullilogiikkaa, raide-autoja (China-Europe Railway Express) tai vapaakauppavyöhykkeen (Chongqing Liangjiang New Area) yrityksiä, käsittelet massiivisia määriä kuljettajien, viejien, tuonti-yritysten ja kuljettajien persoonaa. Tämä data on usein “herkkää” (identity cards, passport numbers, license plates) ja siirtyy rajojen yli (Kazakhstan, Puola, Saksa, Suomi).
  • Teollinen IoT / Älykäs tehdas -data: Chongqingin autoteollisuus (Changan, Ford-joint ventures) ja elektronikkateollisuus tuottavat koneellista dataa, johon voi liittyä henkilötietoja (työntekijäseuranta, biometriset pääsyjärjestelmät). PIPL luokittelee biometriset tiedot “herkiksi persoonaan” (Sensitive PI) — tiukemmat suojelut, tiukemmat siirtosäännöt.
  • Paikallinen valvonta-aalto: Vuonna 2023–2024 Chongqingin markkinavalvonta (SAMR) ja CAC ovat tehneet yhteistyötä “verkkotietoturva-erikoiskampanjoissa” (Network Data Security Special Action), kohdennettuun vapaakauppavyöhykkeen ja ulkomaaninvestoituihin yrityksiin. He ovat pyytäneet Data Protection Impact Assessment (DPIA) -raportteja ja Standard Contract -rekisteröintitodistuksia paikalla.

Mitä sinun pitäisi tehdä tällä viikolla: Tarkistuslista

Älä yritä tehdä kaikki kerralla. Aloita tästä:

  • Kartta datavirrat: Piirrä kaavio: mistä data tulee (asiakkaiset, työntekijät, alihankkijat, IoT-laitteet), mihin se menee (palvelimet Chongqingissa, Suomi-pilvi, Singapore-pilvi, kolmannet osapuolet), ja millä juridillisella perustalla (suostumus, sopimus, laillinen velvoite).
  • Tunnista “siirrot”: Jokainen liikkuvuus datan Chongqingin palvelimelta ulos Kiinasta (myös Hong Kong / Macao / Taiwan) on “ulkomaille siirto” PIPL:n mielessä. Listaa ne.
  • Arvioi CIIO / suuri määrä -status: Oletko kriittinen tieto-infrastruktuuri? Käsitteletkö >100k henkilön tietoja vuodessa? >10k herkän tiedon? Jos kyllä → pakollinen CAC Security Assessment ennen siirtoa.
  • Varmista vastuuhenkilö: Onko yritykselläsi kiinalainen asukas, joka on virallisesti nimitetty vastuuhenkilöksi? Onko hänen yhteystietonsa julkistetty (esim. verkkosivulla, rekisterissä)?
  • Tarkista standardisopimukset: Onko jokaisella ulkomaille siirtävällä vastapuolella (mukaan lukien Suomi-pääkonttori, jos se saa dataa) allekirjoitettu CAC:n standardisopimus? Onko liitteet täytetty teknisesti ja organisaatiotason toimein? Onko hakemus (filing) tehty paikalliseen CAC:aan (Chongqingin taso)?
  • DPIA (Data Protection Impact Assessment): Onko tehty herkän datan, suuren määrien, tai automatisoidun päätöksenteon kohdalla? Onko se kiinaksi käännetty ja arkistoitu valvontaa varten?
  • Työntekijädata / HR: Kiinalaiset työntekijäsopimukset, työsuojelurekisterit, palkkalaskenta — kaikki nämä ovat PIPL:n piiriin. Onko HR-järjestelmäsi palvelin Kiinassa? Jos se on Suomi-pilvessä, se on siirto.

Usein kysytyt kysymykset (FAQ)

Q1: Me emme siirrä dataa EU:hen, vaan pitämme sen Chongqingin palvelimella. Tarvitsemmeko GDPR:n ja PIPL:n molemmat? A1: Kyllä, jos käsittelet EU-asukkaiden tietoja (esim. verkkokaupan asiakkaita, SaaS-käyttäjiä), GDPR soveltuu. Jos palvelimesi on Chongqingissa, PIPL soveltuu automaattisesti, koska käsittely tapahtuu Kiinan alueella. Sinun on noudatettava molemmat samanaikaisesti. Aloita tekemällä datavirta-analyysi ja määrittelemällä jokaisen käsittelytoiminnon laillinen peruste GDPR:n art. 6 ja PIPL:n art. 13 mukaisesti.

Q2: Mikä on “Standard Contract” ja voiko me tehdä oman sopimusmallin? A2: PIPL:n mukainen standardisopimus on CAC:n vahvistama virallinen malli (uusin versio 2024). Sen ydin on kiinteä ja ei muokattavissa. Voit (ja sinun on) täyttää liitteet (Appendices), joissa määritetään tekniset toimet, tietojen kategoriat, säilytysaikataulut, den vueloikeudet, ja poikkeamattomat oikeudet. Oma malli ei korvaa virallista mallia CAC-filingissä. Paikallinen asianajaja auttaa täyttämään liitteet siten, että ne kuluvalvonnan ja suojaavat sopimusvastuussuhteessasi.

Q3: Meillä on vain 5 työntekijää Chongqingissa. Olemmeko “suuri määrä” käsittelijä? A3: Kynnys “suurelle määrälle” (Large Volume) on virallisessa käännöksessä 100 000 henkilön tiedot tai 10 000 herkän tiedon (biometria, terveys, uskonto, sijainti, jne.) vuoden aikana. 5 työntekijää on pieni määrä, mutta jos keräät asiakkaiden sijaintidataa sovelluksessa, tai biometrisia pääsydataa tehtaassa, saatat ylittää 10 000 herkän tiedon kynnyksen nopeasti. Laske konservatiivisesti. Jos olet lähellä kynnystä, ole valmis Security Assessmentiin.

Q4: Voiko Suomi-pääkonttorin DPO toimia PIPL:n “vastuuhenkilönä”? A4: PIPL vaatii, että vastuuhenkilö on kiinalainen asukas (kiinalainen kansalainen tai ulkomaalainen pysyvällä asumisoikeudella) tai Kiinassa rekisteröity organisaatio. Suomi-pääkonttorin DPO ei kelpaa, ellei hänellä ole kiinalainen asumisoikeus ja fyysinen läsnäolo. Ratkaisu: nimitä paikallinen työntekijä, palkkaa ulkopuolinen asianajajatoimisto, tai käytä ammattilaispalvelua, joka tarjoaa “Outsourced DPO / Person in Charge” -palvelun Chongqingissa.

Q5: Mitä tapahtuu, jos emme tee CAC-filingiä standardisopimuksesta? A5: Se on rikkomus PIPL:n art. 39 ja Measures for Standard Contract -asetuksen mukaisesti. Seuraukset voivat olla:varoitus, korjauskäsky, sakot (yli 50 mln RMB tai 5 % vuositilinnosta), liiketoiminnan keskeyttäminen, ja vastaavuuden listaus (Credit Blacklist), joka estää pankkipalvelut, myyntiluvat, julkiset hankinnat. Chongqingin CAC on tehnyt esimerkkejä yrityksistä, joita on rangaistu filing-puutteen vuoksi.

Yhteenveto: Mitä tämä tarkoittaa sinulle toisella viikolla

GDPR on perusta, mutta se on riittämätön Chongqingissa. PIPL on Kiinan “GDPR”, mutta sen hampaat ovat terävämmät siirroissa, suostumuksessa, ja paikallisessa vastuuorganisaatiossa. Paikallinen asianajaja Chongqingissa on ainoa, joka:

  1. Lukee paikalliset valvontaohjeet reaaliajassa,
  2. Osallistuu CAC-filingiin ilman kielellisiä esteitä,
  3. Kirjoittaa standardisopimuksen liitteet siten, että ne toimivat teknisesti ja laillisesti,
  4. Toimii tai valmentaa vastuuhenkilöä, jota laki vaatii.

Älä odota valvontaa. Älä odota asiakkaan valitusta. Älä odota sakkoa.

Neljä askelta tällä kuukaudella:

  1. Palkkaa paikallinen asianajaja Chongqingissa (tunnista hän PIPL/CAC-kokemuksesta, ei vain “yrityslaista”).
  2. Tee datavirta-kartta ja DPIA herkälle datalle.
  3. Allekirjoita ja fileeraa Standard Contracts jokaiselle ulkomaille siirrolle.
  4. Nimitä ja rekisteröi vastuuhenkilö.

📣 Tarvitsetko apua Chongqingin datalakin läpikäymisessä?

Olemme pieni tiimi, mutta kymmenen vuoden kokemuksen jälkeen olemme oppineet pitämään asiat yksinkertaisina: ei lyhytpolkuja, ei tyhjiä lupauksia. Emme voi garantirata tuloksia — mutta garantoiämme läpinäkyvyyden, luotettavuuden ja todellista kokemusta.

Maailma on iso, ja risteytävän perustajan tie on vielä isompi. Lvga yhdistää luotettavia kiinalaisia paikallisia asianajajia suomalaisten yrittäjien kanssa, auttaen sinua navigoimaan Kiinassa selkeyden ja luottamuksen myötä.

👋 Onko sinulla Kiinaan liittyviä juridisia kysymyksissä? Ota yhteyttä sähköpostilla lvga2015@qq.com. Jos sähköposti ei ole kätevää, lisää JingJing WeChattiin (WeChat ID: lvga2015) varayhteytenä, jotta voimme jatkaa keskustelua tämän artikkelin aiheen ympärillä. Keskustellaan, vältetään umpihankkeet ja säästetään sinulta tarpeettomia oppitunteja. “Risteytävän liiketoiminnan ei pidä tuntua riskialttiilta — ei kun sinulla on oikea juridinen kumppani.”

📌 Vastuuvapauslauseke

Tämä artikkeli on tarkoitettu ainoastaan tiedonantoon ja ei muodosta juridista, taloudellista tai sijoitusneuvoa. Lvga.com on alusta, joka yhdistää asiakkaita kiinalaisiin asianajajiin; emme ole asianajotoimisto. Sisältö on luotu tekoälyn avustuksella ja se voi sisältää virheitä tai olla vanhentunutta. Lakisäädännöt ja viranomaisten käytännöt vaihtelevat alueen ja ajan mukaan. Tarkista aina viralliset lähteet ja konsultoi kvalifioitua paikallista asianajajaa ennen päätöksentekoa. Jos havaitset virheen tai haluat ehdottaa korjausta, ota yhteyttä meille: lvga2015@qq.com.