Právní realita informační bezpečnosti v Tianmen pro české podnikatele
Když se česká firma rozhodne expandovat do Číny, oblast Hubej a konkrétně město Tianmen často upadne do pole zájmu díky průmyslové základně a logistické poloze. Ale co mnoho zakladatelů neřeší včas, je informační bezpečnost (Information Security Management) – ne jako IT téma, ale jako právní povinnost. Čínské legislativy v posledních letech betydně ztěžila život firm, které shromažďují, ukládají nebo přenášejí osobní údaje a důležitá data. Kľúčové právní rámce jsou Zákon o bezpečnosti dat (DSL), Zákon o ochraně osobních údajů (PIPL) a Zákon o kybernetické bezpečnosti (CSL).
Pro českého podnikatele to znění: „máme firewall a antivir, jsme v pořádku“ nestačí. Čínské orgány (CAC, MPS, SAMR) nehodnotí technické opatření izolovaně, ale celkovou souladnost řízení – politika, riziková analýza, smlouvy se zpracovateli, plán reakce na incidenty, možná klasifikace dat a bezpečnostní hodnocení (risk assessment) před odesláním dat do zahraničí. V praxi to znamená, že bez lokálního advokáta, který zná regionální praxi Tianmen a Hubej, riskujete pokuty, uzávěru provozu nebo zakázku veřejných zakázek.
Tento článek není právní poradenství. Je to přehled zkušeností z praxe – co funguje, co ne, a kde lokální právník ušetří čas, peníze a nepříjemnosti.
Proč Tianmen a Hubej nejsou jen „další město“
Tianmen leží v centrální Číně, v provincii Hubej, blíže k Vũhani – regionálnímu centru vědy, výroby a logistiky. Město má silnou-basic chemickou, textilní a strojírenskou tradici, ale současně se snaží přitáhnout high-tech a digitální podniky. Místní úřady (lokální oddělení CAC, policie MPS, tržní dohled SAMR) mají svá vlastní interpretační směrnice a kontrolní plány, které se liší od Pekingu, Šanghaje nebo Šenčenu.
Co to znamená pro vás:
- Klasifikace dat – některé místní úřady vyžadují podrobnější inventář dat a jejich stupně citlivosti než jinak.
- Hodnocení bezpečnosti (Risk Assessment) – u klíčových informačních infrastruktur (CII) nebo velkého objemu osobních údajů může být povinné zprostředkovat hodnocení certifikovaným institucion ještě před provozem.
- Smlouvy se zpracovateli – standardní šablony z internetu často neobsahují klauzule vyžadované místními orgány (např. povinnost oznámit incident do 24 hodin místní policii).
- Přenesení dat do zahraničí – pokud posíláte data do EU (GDPR), musíte splnit standardní smluvní klauzule (SCC) Číny a často i bezpečnostní hodnocení odchylky dat u CAC.
Bez advokáta, který denně komunikuje s místními úřady v Tianmen, hrozí, že vaše dokumentace „projde“ v Praze, ale selže v Hubeji.
Co konkrétně dělá lokální advokát specializovaný na informační bezpečnost
Není to jen „kontrola smluv“. Dobrý právník v Tianmen/Hubeji pro cross-border klienta pokrývá:
- Právní due diligence stávajícího stavu – mapa toků dat, kdo je kontroler, kdo zpracovatel, kde jsou servery, kdo má přístup.
- Návrh a revize interních politik – politika ochrany osobních údajů, politika uchovávání dat, plán reakce na incidenty, schvalovací řád pro nový software/SaaS.
- Smluvní rámec s dodavateli a partnery – DPA (Data Processing Agreement) podle PIPL + DSL, klauzule o auditu, povinnost oznámení incidentů, jurisdiction a governing law.
- Registrace a hlášení – registrace u CAC (pokud je povinná), hlášení bezpečnostních incidentů MPS, možná klasifikace systému jako CII.
- Příprava na kontroly (inspekce) – simulace kontroly, připravenost předložit důkazy (logy, politiky, záznamy školení zaměstnanců).
- Řešení křížově hraničních přenosů – SCC Číny, bezpečnostní hodnocení, certifikace (např. ISO 27001, GB/T 22080) jako důkaz opatření.
- Školení zaměstnanců a managementu – nejen „klikni sem“, ale důkazy pro úřady, že lidé vědí, co dělají.
Všechno výše se liší podle odvětví, objemu dat, typu dat (biometrie, zdraví, financie, děti) a regionální praxi. Proto „univerzální šablona“ neexistuje.
Typické pasti českých firem v Tianmen
| Past | Popis | Důsledek |
|---|---|---|
| Použití EU GDPR dokumentace bez úprav | PIPL ≠ GDPR. Rozdíly v právní základně, právích subjektů, povinnostech oznámení, přenosu do zahraničí. | Úřady odmítnou dokumentaci, nakládají pokuty, vyžadují opravy za týdny. |
| Ignorování klasifikace dat | Nevíte, která data jsou „důležitá data“ (important data) nebo „osobní údaje citlivé“. | Nelze provést rizikové hodnocení, nelze podat SCC, riziko klasifikace jako CII bez přípravy. |
| Chybějící smlouvy se zpracovateli (SaaS, cloud, HR, marketing) | Používáte الصيني云, AWS China, lokální CRM, e-mail marketing – bez DPA. | Porušení čl. 21 PIPL, pokuty až 50 mil. CNY nebo 5 % obratu. |
| Žádný plán reakce na incident | Když dojde k úniku dat, nikdo neví, kdo volá policii, CAC, dotčené osoby. | Prodlení > 24 hodin = přísnější pokuty, záznam v systému sociálního kreditu. |
| Předpoklad, že ISO 27001 stačí | ISO je skvělé, ale Čína vyžaduje konkrétní splnění článků zákonů, ne jen certifikát. | Certifikát nepokrývá registraci u CAC, SCC, místní hlášení incidentů. |
Praktické kroky: jak začít správně (checklist)
- Mapa toků dat (Data Flow Map) – nakreslete, jaká data shromažďujete, kde jsou uložena, kdo k nim přistupuje, kam tekou (včetně Drittländer – EU, USA, Hongkong).
- Klasifikace dat – podle GB/T 35273, DSL, PIPL: osobní údaje, citlivé osobní údaje, důležitá data, státní tajemství.
- Právní základ pro zpracování – souhlas, smlouva, právní povinnost, životní zájmy, veřejný zájem – dokumentujte pro každý účel.
- Smlouvy se všemi zpracovateli – DPA podle čl. 21 PIPL + klauzule pro Čín (jurisdikce, oznámení incidentů, audit, sub-zpracovatelé).
- Politiky a interní předpisy – v čínštině, přizpůbené místním zákonům, schválené managementem, dostupné zaměstnancům.
- Plán reakce na incidenty – role, kontakty (MPS, CAC, dotčení), časové limity (24 h MPS, 72 h CAC v určitých případech), důkazní řetězec.
- Školení a záznamy – pravidelné, cílené (IT, HR, prodej, management), podepsané účastníky.
- Registrace a hlášení – zjistěte u lokálního advokáta, zda vaše podnikání vyžaduje registraci u CAC, klasifikaci CII, bezpečnostní hodnocení před odesláním dat do EU.
- Křížově hraniční přenosy – připravte SCC Číny, bezpečnostní hodnocení (self-assessment nebo third-party), možná certifikaci.
- ** pravidelná revize (min. 1× ročně nebo po velké změně)** – nové zákony, nové SaaS, nový obchodní model, nový úřední směrnice.
🙋 FAQ
Q1: Musí naše firma v Tianmen mít místního advokáta pro informační bezpečnost, nebo stačí pražská kancelář s čínskou partnerskou firmou?
A1: Pražská kancelář může koordinovat, ale místní advokát v Tianmen/Hubeji je nezbytný pro: komunikaci s místními úřady (CAC, MPS, SAMR), znalost regionálních kontrolních plánů, příručky pro inspektory, jazykové a kulturní bariéry při kontrolách, přípravu českých dokumentů do formy akceptované místními orgány. Bez něj riskujete, že dokumentace „projde“ v Praze, ale selže při kontrole v Tianmen.
Q2: Jaké jsou konkrétní sankce za nedodržení PIPL/DSL v Hubeji?
A2: Sankce podle čl. 66 PIPL a DSL: varování, pokuta až 50 mil. CNY nebo 5 % ročního obratu, konfiskace nezákonných zisků, pozastavení činnosti, uzávěr webu/aplikace, odebrání obchodní licence, záznam do systému sociálního kreditu (ovlivňuje bankovní úvěry, veřejné zakázky, licence). V Hubeji byla v minulosti zaznamenána přísnější praxe u chemického a logistického sektoru (CII).
Q3: Co všechno musí obsahovat Data Processing Agreement (DPA) podle PIPL pro našeho dodavatele SaaS v Číně?
A3: Minimální povinné položky (čl. 21 PIPL): účel, doba, způsob zpracování, typy dat, kategorie subjektů, práva a povinnosti obou stran, povinnost zpracovatele: zpracovávat jen podle pokynů, zajistit bezpečnost, pomáhat kontrolerovi s právy subjektů, oznámit incident do 24 hodin, povolit audit, vrátit/znicit data po skončení, nezasahovat do sub-zpracovatelů bez písemného souhlasu. Doporučeno: jurikce čínský soud, Čínské jako herrschende jazyk, klauzule o pokutách za porušení.
Q4: Jak probíhá bezpečnostní hodnocení před odesláním dat do EU (SCC Číny)?
A4: Postup: 1) Inventář a klasifikace dat, 2) Rizikové hodnocení (self-assessment nebo third-party), 3) Vyplnění standardních smluvních klauzulí Číny (CAC verze), 4) Podání u místního CAC (krajský úroveň) – u velkých objemů nebo citlivých dat i u ústředního CAC, 5) Čekání na schválení (běžně 30–60 dní, složitější případy déle), 6) Po schválení smlouvy podepsat, archivovat, pravidelně aktualizovat. Lokální advokát připraví podklady, komunikuje s CAC, řeší dotazy.
🧩 Závěr: co si odnést a co dělat dnes
Expandování do Tianmen a Hubeji nabízí obrovské příležitosti – ale informační bezpečnost není volitelný doplněk, je předpokladem legálního provozu. Český podnikatel, který to podcení, platí „školné“ v řádu stovek tisíc až milionů korun (pokuty, zastavení provozu, ztrěta důvěry partnerů).
Čtyři kroky, které můžete udělat již tento týden:
- Napište e-mail lokálnímu advokátu v Tianmen (nebo nám na lvga2015@qq.com) s popisem vašeho podnikání, objemu dat a cílových trhů.
- Vytvořte první verzi mapy toků dat – i ručně na papíře, hlavní je vidět, kde data jsou a kam tekou.
- Seznamte se s PIPL/DSL/CSL – přečtěte si alespoň shrnutí v angličtině/češtině, abyste rozuměli termínům v diskuzi s advokátem.
- Naplánujte rozpočet na právní due diligence a úpravu dokumentace – realistisch 3–6 měsíců práce, náklady podle rozsahu, ale řádově nižší než pokuty.
My v Lvga.com nejsme velká korporace, nejsme „one-stop-shop“ s garancí úspěchu. Jsme malý tým, který od roku 2015 spojuje zahraniční podnikatele s ověřenými čínskými advokáty – těmi, které známe, kterým důvěřujeme, kteří mluví anglicky a znají místní praxi. Neřekneme vám, co chcete slyšet. Řekneme vám, co je realita, a pomůžeme vám najít právníka, který vám ušetří čas, peníze a nervy.
📣 Máte otázky k informační bezpečnosti v Číně?
Rádi poradíme – upřímně, bez nadsázek, bez slibů okamžitého výsledku.
📧 Pište nám na: lvga2015@qq.com
💬 Nebo přidejte JingJing na WeChat (ID: lvga2015) jako záložní kontakt pro pokračování diskuze k tomuto tématu.
Neodpovíme okamžitě, nejsme 24/7 linka, ale odpovíme činně a upřímně.
„Když už jdete do Číny, dělejte to s jasnou hlavou a dobrým advokátem.“
📚 Další čtení
Žádné ověřené zdroje z výzkumného kontextu nebyly k dispozici pro tuto sekci.
📌 Prohlášení
Lvga.com je platforma, ne advokátská kancelář. Obsah tohoto článku slouží pouze informačnímu účelu, byl vytvořen s pomocí AI a není právním poradenstvím. Právní předpisy a praxe se liší podle regionu, odvětví a konkrétní situace – vždy se obraťte na kvalifikovaného místního advokáta a ověřte informace u úředních zdrojů. Pokud najdete nepřesnost, pište nám na lvga2015@qq.com, rádi to opravíme.