Cybersikkerhedsloven i Folkerepublikken Kina (også kendt som Folkerepublikken Kinas internetsikkerhedslov ) er den vigtigste lovgivningsmæssige retsakt, der regulerer området for internetsikkerhed i Kina . Udgivet 7. november 2016 med virkning fra 1. juni 2017.
Cybersikkerhedsloven regulerer udbydere af netværksprodukter og -tjenesters handlinger til indsamling, lagring og behandling af brugerdata, fastlægger proceduren og detaljerne for at sikre informationsinfrastrukturens sikkerhed i strategisk vigtige industrier. Hovedmålet med vedtagelsen af loven er at beskytte den nationale "cybersuverænitet" i Kina. [en]
Cybersikkerhedssfæren kom til de kinesiske myndigheders opmærksomhed i anden halvdel af 1990'erne.
Et af incitamenterne til udviklingen af lovgivning på dette område var oprettelsen i 1999 af systemet for elektronisk forvaltning (Government Online Project, GOP) og fremkomsten af behovet for passende lovregulering. [2] For eksempel blev retningslinjerne for national elektronisk regeringskonstruktion (NEGC) vedtaget i 2000.
I 2011 blev cybersikkerhedsbestemmelser indført i den nationale straffelov i Kina og i 2013 i loven om beskyttelse af forbrugernes rettigheder og interesser.
I juli 2015 offentliggjorde Kinas nationale folkekongres udkastet til den første lov om cybersikkerhed.
Den 7. november 2016 blev PRC Cyber Security Law godkendt ved tredjebehandlingen på mødet i NPC Stående Komité . Trådte officielt i kraft den 1. juni 2017.
Cybersikkerhedsloven er kumulativ og repræsenterer de kinesiske myndigheders første forsøg på at formulere og opsummere de strategiske principper, der styrer Kinas handlinger inden for cybersikkerhed.
Lovteksten består af 79 artikler, samlet i 7 sektioner:
Loven påvirker hovedsageligt aktiviteterne for udbydere af netværksprodukter og -tjenester. I henhold til artikel 22 skal udbydere af netværksprodukter og -tjenester rettidigt informere brugere og de relevante kompetente myndigheder om alle kendte sikkerhedssårbarheder og træffe de nødvendige foranstaltninger for at fjerne dem. [3] I tilfælde af at produkter eller tjenester indsamler persondata, er udbyderne forpligtet til at underrette brugerne om dette. Indsamling og opbevaring af brugernes personlige data skal udelukkende udføres til de formål, der er officielt udpeget af udbyderen. Videregivelse, ændring, sletning og overførsel af data til tredjemand er forbudt, med undtagelse af at udføre de anførte handlinger efter anmodning fra brugeren selv.
Loven begrænser brugernes anonymitet betydeligt ved at indføre et krav om obligatorisk verifikation for at få adgang til netværket. Hvis brugeren ikke oplyser reelle identifikationsdata, har udbyderen ikke ret til at åbne adgang til netværket.
Der lægges særlig vægt på sikkerheden af kritisk infrastruktur, som omfatter offentlige kommunikations- og informationstjenester, energi, transport, kunstvanding, finans, forsvar, e-forvaltning og andre nøgleindustrier og sektorer, hvor skader, misbrug og datalækage kan føre til alvorlige trussel mod den nationale sikkerhed og offentlige interesser. Blandt andet skærpes kravene til den faglige uddannelse af medarbejdere, der arbejder på KVII-anlæg, der indføres forbud mod lagring af data uden for Kina; i henhold til lovens bestemmelser skal køb af netværksprodukter og tjenester til faciliteterne i CIS udføres under kontrol af autoriserede statslige organer, virksomheder i kritiske industrier er forpligtet til at udføre årlige sikkerhedsrisikovurderinger og afspejle resultaterne i rapporter.
Hvis der konstateres overtrædelser, giver loven bøder på mellem 10.000 og 1 million yuan, afhængigt af alvoren af cyberkriminalitet, med alle ulovligt opnåede indtægter underlagt konfiskation. [4] I overensstemmelse med artikel 75 har de kinesiske myndigheder mulighed for at indefryse udenlandske institutioners, organisationers og enkeltpersoners aktiver, hvis de er mistænkt for at organisere og udføre et angreb, hacking, interferens eller skade på Kinas kritiske informationsinfrastruktur.
Forordningen indeholder også bestemmelser om gennemførelse af foranstaltninger til at øge befolkningens læsefærdigheder inden for cybersikkerhed med deltagelse af offentlige myndigheder på alle niveauer og medier.
Vedtagelsen af loven fører til øget statskontrol over kinesiske og udenlandske virksomheders aktiviteter på internettet.
Loven kan have en væsentlig indflydelse på strukturen af Kinas indenlandske it-marked og nationale producenters positioner. Dens implementering begrænser vestlige it-virksomheders adgang til det kinesiske marked, da den kræver, at de skal gennemgå en særlig certificering, som blandt andet indebærer behovet for at afsløre kildekoderne til den leverede software.
Kinesiske og udenlandske virksomheder, der planlægger at sælge it-produkter på det kinesiske marked, skal foretage hel eller delvis tilpasning af deres forretning og driftspraksis i overensstemmelse med bestemmelserne i den nye lov. [5]
I august 2016 anmodede mere end 40 internationale virksomheder den kinesiske premierminister Li Keqiang om at ændre det offentliggjorte lovforslag, men de kinesiske myndigheder sagde, at lovens bestemmelser "ikke er i konflikt med udenlandske virksomheders interesser." [6]
Vestlige medier har gentagne gange kaldt den nye retsakt for kontroversiel. Ikke-kinesiske publikationer rapporterede, at store udenlandske teknologivirksomheder var "bekymrede over, at loven også sigter mod at beskytte Kinas indenlandske it-sektor" og sagde, at de nye regler "afviser kinesiske købere fra at købe udenlandske produkter." [7]
Det amerikanske handelskammer Kinas formand, James Zimmerman, kaldte i et interview med Reuters bestemmelserne i den nye lov for "vage, tvetydige og åbne for fortolkning af myndighederne." [6]
Menneskerettighedsorganisationen Amnesty International har flere gange kritiseret de kinesiske myndigheders politik inden for cybersikkerhed. Især direktøren for Amnesty Internationals programmer i Østasien, Nicholas Bekelin, kommenterede offentliggørelsen af udkastet til kinesisk cybersikkerhedslov, at det fører til institutionalisering af censur. [8] Ifølge Amnesty Internationals Kina-specialist Patrick Moon, "gør denne farlige lov faktisk internetvirksomheder til statens agenter, der kræver, at de censurerer og giver brugernes personlige data til myndighederne på deres første anmodning." Organisationen opfordrede også den kinesiske regering til at ophæve den nye cybersikkerhedslov, som "giver myndighederne carte blanche til at begrænse retten til ytringsfrihed og retten til privatliv." [fire]