Cina: la CAC chiarisce l’uso delle informazioni personali pubblicamente disponibili e le misure per prevenire i data breach.

 

La Cyberspace Administration of China (CAC) ha pubblicato un nuovo documento in formato Q&A dedicato alle politiche e agli obblighi in materia di protezione delle informazioni personali, con l’obiettivo di fornire indicazioni operative ai soggetti che trattano dati ai sensi della Personal Information Protection Law (PIPL).

Tra i profili di maggiore interesse, la CAC interviene sul trattamento delle informazioni personali già rese pubbliche, chiarendo che esse possono essere utilizzate entro un ambito ragionevole e coerente con le finalità e le circostanze della loro divulgazione. Tale possibilità non è tuttavia illimitata: il soggetto che tratta i dati deve rispettare l’eventuale opposizione espressa dell’interessato e, quando il trattamento possa incidere in modo significativo sui diritti e sugli interessi della persona, deve essere acquisito il consenso separato richiesto dalla PIPL.

Il documento dedica inoltre attenzione alla prevenzione degli incidenti di sicurezza e dei data breach, richiamando tra le principali criticità operative l’assenza o l’inadeguatezza della cifratura e, più in generale, l’insufficienza delle misure di sicurezza adottate. Tra gli interventi raccomandati figurano l’utilizzo della crittografia, l’adozione di password robuste e la formazione periodica del personale sui rischi e sulle misure di sicurezza.

Per le imprese che operano in Cina o trattano informazioni personali soggette alla PIPL, le indicazioni della CAC suggeriscono l’opportunità di verificare in particolare i processi di raccolta e riutilizzo di dati provenienti da fonti pubbliche, evitando di considerarli automaticamente “liberamente utilizzabili”, nonché di riesaminare le misure tecniche e organizzative adottate per prevenire accessi non autorizzati, divulgazioni o perdite di dati. È inoltre consigliabile documentare i criteri utilizzati per valutare la ragionevolezza del trattamento di informazioni pubblicamente disponibili e i casi in cui sia necessario acquisire uno specifico consenso dell’interessato.