Обязательное шифрование данных
Первый и, пожалуй, самый частый подводный камень — это требования к шифрованию персональных данных и важной коммерческой информации. Китайский Закон о кибербезопасности чётко предписывает, что при регистрации компании и последующей работе серверы, обрабатывающие «ключевые данные» (critical data) и «важную информацию о персональных данных» граждан КНР, должны соответствовать уровню защиты, установленному государством. Я помню одного клиента из Европы, который открывал филиал IT-компании в Шанхае. На этапе регистрации он хотел сэкономить и использовать облачный сервер за пределами Китая, аргументируя это тем, что «закон не запрещает». Наш юрист сразу это пресёк: если компания зарегистрирована в Китае, даже если это 100% дочернее предприятие иностранного капитала, все данные китайских пользователей по закону должны храниться на территории КНР. Иностранные предприятия должны подавать заявку и проходить аттестацию на соответствие требованиям информационной безопасности, которая, кстати, может занять до полугода. Это не бюрократия, это, как говорят китайские коллеги, «связано с национальной безопасностью». На практике шифрование должно быть не просто на галочку, а с использованием сертифицированных алгоритмов, иначе любая утечка данных грозит штрафом до 50 миллионов юаней или 5% годового оборота. Мы обычно рекомендуем на этапе регистрации прописать в уставе: конкретный план обработки данных, а затем сразу выбирать дата-центры, прошедшие проверку, такие как Alibaba Cloud в зоне Шанхая.
В этой ситуации многие иностранцы делают ошибку: думают, что «я только регистрирую компанию, данных пока нет, можно и подождать». На самом деле, в момент подачи документов на регистрацию, особенно если в бизнес-лицензии прописаны информационные технологии или консультационные услуги, комиссия по кибербезопасности уже может запросить описание системы управления данными. Если его нет — регистрацию могут приостановить. Мы однажды вели клиента — международную логистическую платформу. Они полгода согласовывали бизнес-план, но на финальном этапе регистрации у них потребовали заключение оценки кибербезопасности. Им пришлось срочно нанимать шанхайскую сертификационную организацию, что растянуло процесс ещё на три месяца. Поэтому мой совет: заранее, до подачи документов, проконсультируйтесь с местным юридическим партнёром и подготовьте хотя бы рамочный протокол защиты данных. Это вопрос не соблюдения закона, а эффективности бизнеса.
Кроме того, стоит помнить: закон требует, чтобы иностранные предприятия назначали ответственного за информационную безопасность, причём это должно быть лицо, работающее в Китае. Обычно мы советуем, чтобы эту роль взял на себя будущий финансовый директор или юрист компании. Этот человек будет нести ответственность за взаимодействие с регуляторами по вопросам утечек, отчётов и ежегодных аудитов. Многие международные компании в Shanghai Free Trade Zone уже создали специальные должности DPO (Data Protection Officer) — это правильный тренд.
Локализация серверов
Второй важнейший аспект — локализация вычислительных мощностей и серверов. Это прямой перевод требований «Эры китайской кибербезопасности»: если вы хотите законно работать с данными китайских граждан, ваши сервера должны находиться на материке. Конечно, бывают исключения — например, если вы используете технику, которая физически не может разместиться в Китае (специализированное лабораторное оборудование), но тогда нужно получать отдельное разрешение от Министерства промышленности и информатизации. Для 90% компаний сферы услуг, консалтинга, логистики, финтеха и e-commerce лучший вариант — облачные решения от Alibaba Cloud, Huawei Cloud или Tencent Cloud. Причём, как я заметил, многие иностранные инвесторы путают понятие «физический сервер» и «виртуальный сервер». Например, при регистрации компании в Шанхае, если вы укажете в документах, что используете AWS Singapore для хранения данных китайских клиентов, регистрация не пройдёт проверку на соответствие — 工商局 может запросить отказ, сославшись на нарушение Статьи 37.
В моей практике был случай с одним стартапом из Бостона: они разрабатывали софт для медицинской диагностики с использованием ИИ. Парень, CEO, был уверен, что «данные анонимны, значит, не подпадают под закон». Наш партнёр — юрист по интеллектуальной собственности — объяснил, что даже анонимизированные данные о здоровье в Китае приравниваются к «важной информации». Им пришлось арендовать сервер в Шанхае и переписать весь свой data pipeline, чтобы соответствовать требованиям локализации. Затраты выросли на 30%, но зато они получили одобрение и смогли заключить контракт с шанхайской больницей. Без этого шага их бы просто не пустили на рынок. Поэтому ещё раз подчеркну: когда вы регистрируете компанию, сразу решите вопрос с сервером. Выберите провайдера, который предоставляет так называемый «compliant cloud» — сертифицированное облако. Это сэкономит вам нервы и деньги на штрафы.
Ещё один практический момент: закон обязывает иностранные предприятия проводить ежегодную оценку кибербезопасности, если они обрабатывают более 1 миллиона записей персональных данных или работают с важными отраслями (финансы, здравоохранение, транспорт). Для новой компании это легко упустить, а потом регулятор приходит с проверкой. Штрафы — от 10 до 50 тысяч юаней за мелкие нарушения, а в серьёзных случаях — приостановка работы. Я всегда говорю клиентам: «Не надо геройствовать — наймите аудитора до того, как вас попросят. Это не признак слабости, это признак зрелости бизнеса».
Отчётность по безопасности
Третий аспект, который часто застаёт иностранцев врасплох — обязательная отчётность о нарушениях кибербезопасности. Закон чётко прописывает: если произошла утечка данных, кибератака или другой инцидент, компания обязана в течение 72 часов сообщить в Министерство общественной безопасности (МОБ) и в отраслевой регулятор. Для иностранной компании, регистрирующейся в Шанхае, в уставе должно быть указано, кто именно подаёт такой отчёт. Я знаю случай: британская юридическая фирма открыла офис в Пудуне, у них хакеры украли базу с контактами клиентов. Они думали «замять» — не сообщать регулятору, чтобы не подорвать репутацию. Через месяц проверяющие пришли сами (видимо, утечка засветилась в даркнете), и фирму оштрафовали на 2 миллиона юаней, а директора — ещё дополнительно на 100 тысяч. Теперь у них проблемы с продлением лицензии. Проактивность в таких вопросах — залог сохранения статуса.
Лично я считаю, что многие иностранцы недооценивают китайскую систему контроля. Если вы думаете, что ваш небольшой стартап не заметен — вы ошибаетесь. Регуляторы активно мониторят трафик и следят за уязвимостями. В нашей компании есть специальный регламент: при регистрации нового клиента мы сразу включаем в план работ раздел «Правила реагирования на инциденты». Это включает шаблон уведомления, контакты уполномоченных органов и порядок взаимодействия с IT-отделом. Это кажется лишним, но я видел, как спасло бизнес — мы помогли одному канадскому логистическому стартапу вовремя сообщить о инциденте с фишингом, и их просто оштрафовали на 50 тысяч, а не закрыли на месяц.
Помимо срочной отчётности, существуют ежеквартальные и ежегодные отчёты по кибербезопасности для компаний, работающих с критическими данными. Например, если вы занимаетесь финтехом, то должны отправлять отчёт в Центральный банк Китая. Если торгуете химией — в Министерство экологии. Для многих иностранных фирм это становится шоком: «Как, ещё один отчёт?». Да, и его нужно готовить на китайском языке с печатью компании. Мы советуем нанимать специалиста по compliance или аутсорсить эту задачу — это работает дешевле, чем штрафы. Сейчас, кстати, в Шанхае появилось много компаний, которые специализируются именно на compliance, и это хорошая инвестиция.
Проверка третьих лиц
Четвёртый важный слой — требования к венчурным партнёрам и поставщикам. Закон о кибербезопасности обязывает компанию нести ответственность за действия связанных лиц, если они обрабатывают её данные. Иностранные предприятия, регистрирующиеся в Шанхае, обязаны прописать в договорах с провайдерами услуг (бухгалтерскими фирмами, облачными платформами, IT-подрядчиками) пункты о соблюдении кибербезопасности. Если ваш партнёр допустил утечку — отвечать будете вы. Я лично консультировал немецкую консалтинговую фирму, которая наняла китайского IT-фрилансера для настройки CRM. У фрилансера не было никакой сертификации, он допустил уязвимость, и данные клиентов утекли. Регулятор выставил счёт немецкой компании, а не тому фрилансеру. Пришлось платить штраф за нарушение правил привлечения третьих лиц.
На практике это означает, что нужно проводить аудит всех поставщиков перед подписанием договора. Запросы: наличие сертификата ISO 27001, лицензии на облачную деятельность (если это облачный провайдер), а также обеспечивать, чтобы все контракты содержали специальный раздел о защите данных. Многие иностранные компании совершают ошибку, полагаясь на стандартные международные договоры, например, по гражданскому праву. Но китайское право имеет особые требования — в договоре должно быть чётко указано, что поставщик несёт солидарную ответственность за нарушения закона о кибербезопасности. Я рекомендую добавлять в контракты так называемые «mirror clauses» — зеркальные обязательства, чтобы обе стороны были взаимозависимы. Это не только снижает риск, но и даёт вам рычаги в случае проблем.
И ещё один нюанс: закон требует, чтобы компания хранила журналы доступа к данным (логи) не менее 6 месяцев. Это касается как внутренних действий сотрудников, так и действий сторонних подрядчиков. Если у вас нет такой системы, при проверке вам выпишут предписание. В нашей практике часто бывает: клиенты спрашивают «зачем нам дорогой SIEM-система?». А затем, при первой же проверке из Министерства промышленности и информатизации, приходится срочно внедрять, но уже в спешке с переплатой. Лучше заложить эти расходы на старте.
Классификация данных
Пятый аспект, который стоит выделить — обязательная классификация и каталогизация данных. Закон обязывает компании создать систему классификации — разделить данные на «важные», «обычные» и «публичные». Для иностранцев, регистрирующих компанию, это выглядит как бюрократическая головная боль, но на самом деле это спасение от юридических проблем. Я помню шведскую энергетическую компанию, которая начала свою работу в Шанхае с проектом по умным счётчикам. Они хранили все данные в одном облаке без разметки. Когда пришла проверка, инспектор спросил: «Почему вы храните данные о потреблении энергии (что считается критической инфраструктурой) в том же bucket, что и рекламные брошюры?». Штраф 1,5 миллиона юаней и предписание прекратить сбор данных. Они потратили ещё полгода на реорганизацию. Если бы они заранее провели классификацию, такого не случилось бы.
На практике это выглядит так: нужно разработать внутренний регламент, в котором прописать категории данных: например, паспортные данные клиентов — это «важные персональные данные», а номера телефонов — просто «персональные данные», а статистика — «публичные». Для каждой категории определить срок хранения, шифрование и уровень доступа. Многие международные компании уже внедрили в Китае методологию «Data Asset Management» — это хороший стандарт. Я советую использовать китайский национальный стандарт GB/T 35273-2020 «Информационная безопасность — персональные данные — спецификация защиты» как основу. Это проще, чем изобретать велосипед. При регистрации компании вы можете сразу указать, что будете следовать этому стандарту, и это даёт бонус при прохождении проверки.
Также важный момент: необходимо обеспечить, чтобы доступ к данным был разграничен по ролям. Например, бухгалтер не должен видеть логи оператора, а оператор не должен видеть финансовые отчёты. В уставе или внутренних правилах нужно прописать права доступа. Если этого нет, то при утечке будут считать, что компания не принимала разумных мер, и это уже отягчающее обстоятельство. В одном из дел, которое мне знакомо, филиал американского ритейлера пострадал от утечки именно из-за того, что все сотрудники имели доступ к базе клиентов. Суд признал их виновными в халатности, и компания была оштрафована на 300% больше базовой суммы.
Экспорт данных
Шестой аспект — контроль за передачей данных за пределы Китая. Закон о кибербезопасности, а также Закон о защите персональных данных (PIPL), устанавливают строгие ограничения на трансграничную передачу данных. Если вы планируете, что данные китайских клиентов будут обрабатываться в головном офисе за рубежом (например, в США или Европе), вам нужно пройти процедуру оценки влияния на защиту данных (Data Protection Impact Assessment, DPIA) и заключить с регулятором специальный контракт или получить сертификацию CCRC. Для многих иностранных стартапов это становится шоком: «Как же так — я владелец компании, а не могу просто скачать базу себе на ноутбук?». Да, такова реальность. Несанкционированная передача данных за границу — это нарушение, которое может привести к блокировке бизнеса.
У меня была история с канадской AI-компанией, занимающейся распознаванием лиц. Они хотели тестировать алгоритмы на китайских данных, но передавать их в лабораторию в Торонто. Наш юрист объяснил: нужно либо создать local lab в Шанхае, либо получить специальное разрешение Министерства науки и технологий. Они выбрали local lab, что обошлось дороже, но зато они сохранили доступ к рынку. Если бы они попытались передать данные нелегально, то рисковали бы уголовной ответственностью. Сейчас, по новому положению, компании обязаны уведомлять регулятора о любом трансфере данных, который включает более 10 тысяч записей pers data в год. Для больших данных — даже сложнее.
На практике я рекомендую клиентам на этапе регистрации компании прописать в уставе или в отдельном соглашении порядок международной передачи данных. Если вы торгуете в Китае — используйте дуальное облако: данные храните на китайском сервере, а анализ делаете только после анонимизации. Для большинства бизнесов это безопасный путь. Не пытайтесь играть в «прятки» с firewall или VPN — это уголовно наказуемо.
Аудит и ежегодные проверки
Седьмой важный аспект — регулярные аудиты кибербезопасности. Закон предписывает, что компании, которые работают с большими объёмами данных или в важных секторах, должны проходить ежегодный независимый аудит. Для иностранных предприятий в Шанхае это включает не только стандартные опросники, но и детальную проверку политик, технических решений и журналов событий. Я видел много компаний, которые считали, что достаточно просто сертификата ISO 27001, но для Китая этого мало. Требуется китайский сертификат, выданный организацией, аккредитованной CNCA.
Такие аудиты лучше заказывать у местных консультантов, которые знают все «болевые точки» регуляторов. К примеру, один из моих клиентов — испанский производитель автокомплектующих — думал, что его глобальная система безопасности покроет китайские требования. Но во время аудита выяснилось, что у них нет специальной системы инвентаризации данных и не прописаны процедуры для уведомления инцидентов на китайском языке. Пришлось нанимать местного специалиста по compliance за 50 тысяч юаней в месяц на полгода, пока проходил аудит. Лучше было бы изначально учесть это при регистрации. Я советую включать стоимость такого аудита в бюджет первого года работы: это примерно 20-50 тысяч юаней в зависимости от сложности.
Организация аудита также помогает выявить слабые места до того, как они станут проблемой. Я помню случай с датской компанией по кибербезопасности (ирония судьбы!), которая при регистрации в Шанхае не прописала порядок хранения логов. Во время аудита обнаружилось, что их логи хранятся всего месяц, а требуется 6 месяцев. Штраф небольшой — 20 тысяч юаней, но это привлекло к лишнему вниманию со стороны налоговой и регуляторов. Если бы они прошли аудит до выхода на рынок, то сэкономили бы нервы. Своевременный аудит — это не наказание, а защита.
И последнее: не забывайте, что законы постоянно обновляются. Например, в 2023 году вступили в силу новые правила по защите данных в сфере финансовых услуг, которые затронули многих иностранцев. Мы в компании «Цзясяй Финансы и Налоги» советуем клиентам подписывать новостные рассылки от Министерства промышленности и информатики или нанимать консультанта, который мониторит изменения. Это недорого, а может предотвратить миллионные штрафы.
Итог от компании «Цзясяй Финансы и Налоги»
Подводя итог, хочу сказать: законы о кибербезопасности для иностранцев, регистрирующих компанию в Шанхае, — это не стена, а скорее мост. Да, они добавляют бюрократии и затрат на старте, но они же создают понятные правила игры. За 14 лет работы я видел, как клиенты, которые серьёзно отнеслись к этим требованиям, выигрывают: они быстрее проходят регистрацию, имеют меньше проблем с проверками и легче находят партнёров. Наша компания, «Цзясяй Финансы и Налоги», уже 12 лет помогает иностранным предприятиям не просто регистрироваться, а делать это с умом — с учётом всех современных требований. Мы считаем, что ключ к успеху — это проактивная защита данных и планирование с первого дня. Если вы проигнорируете кибербезопасность, то рискуете получить не только штрафы, но и репутационный ущерб, который для международного бизнеса может быть фатальным.
Наш совет следующим инвесторам: не экономьте на этапе «due diligence» в области данных. Наймите местного юриста, специалиста по compliance и IT-аудитора до того, как подпишете аренду офиса. Затраты могут быть от 100 до 300 тысяч юаней — это сумма, которая в долгосрочной перспективе с лихвой окупается спокойствием и стабильностью. В будущем, я уверен, требования будут только ужесточаться, особенно в связи с развитием искусственного интеллекта и больших данных. Те, кто начнёт готовиться сейчас, будут в выигрыше.