Nové pravidla pro lékařská data v Čtyřpíngu: Co se změnilo a proč to zajímá české firmy

Když jsem minulý týden rozhovoroval s klientem z Prahy, který plánuje rozjet telemedicínu ve spolupráci s nemocnicí v Čtyřpíngu (Siping), Jilin, jeho první věta zněla: „Máme hotovou aplikaci, data posíláme na server v Číně, co ještě může chybět?“ Odpověď byla krátká: skoro všechno. Od 1. listopadu 2021, kdy nabyl účinnosti Zákon o ochraně osobních údajů ČLR (PIPL), se hra změnila dramaticky. Lékařská data spadají do kategorie citlivých osobních údajů – jejich sběr, ukládání, předávání a zejména vývoz za hranice vyžaduje samostatný, explicitní souhlas pacienta, provedení posudku dopadu na bezpečí údajů (DPIA) a v mnoha případech i registraci u úřadu CAC (Cyberspace Administration of China). Pro českého podnikatele to znamená: nemůžete si dovolit „jen tak“ data táhnout do cloudu v Praze nebo Frankfurcu bez právní základny. Riskujete pokuty v řádech desítek milionů ČKJ (CNY), zablokování podnikání a poškození reputation, které se v čínském prostředí platí roky.

Proč Čtyřpíng (Siping) a proč právě teď? Kontext pro expansión do Ji-linu

Čtyřpíng není Peking ani Šanghaj. Je to průmyslové město v jihu provincie Jilin, kde se soustředí několik velkých nemocnic a výzkumných center zaměřených na onkologii a kardiologii. Pro české firmy – ať už dodavatele medicínských zařízení, SaaS řešení pro elektronické zdravotnictví, nebo CRO organizace – představuje Čtyřpíng zajímavý trh s nižšími náklady na provoz a dostupností odborníků. Ale právě proto, že jde o regionální centrum, místní regulátoři (lokální kancelář CAC, zdravotnictví, policie) mohou aplikovat pravidla střežitěji než v metropoli, kde firmy mají silnější lobbistické síly.

V minulosti jsme viděli případy, kdy zahraniční startup सकता (mohl) měsíce sbírat data pacientů v „pilotu“ bez registrace. Dnes to nejde. Zákon o zabezpečení dat (DSL) a Zákon o kybernetické bezpečnosti (CSL) společně s PIPL vytvářejí trojici, která neodpouští. Pokud vaše aplikace sbírá identifikační údaje (jméno, ID karta), zdravotní historie, genetická data, biometrie – jste zpracovatelem citlivých osobních údajů. Bez ohledu na to, zda máte entitu v Číně, nebo jen poskytujete SaaS z EU.

Hlavní bolestí českých zakladatelů v Čtyřpíngu

  1. Nevědomí o povinnosti registrace (Bei’an): Mnoho týmů myslí, že ICP licence pro web stačí. Nestihá. Pro sběr citlivých údajů je nutná samostatná registrace zpracovatele u CAC.
  2. Vývoz dat (Cross-border transfer): Standardní smluvní klauzule (SCC) fungují v EU (GDPR). V Číně potřebujete certifikaci CAC, standardní smlouvu ČLR (canonickou verzi) nebo projít posudkem bezpečí pro vývoz. Pro malé a střední firmy je certifikace drahá a složitá; standardní smlouva vyžaduje právní revizi oběma stranami.
  3. Lokalizace dat: I když PIPL nevyžaduje u všech firem ukládání dat jen v Číně, pro důležité informační infrastruktury (CII) a operátory velkého objemu citlivých dat je to povinné. Definice „velkého objemu“ se liší, ale u lékařských dat je prah nízký.
  4. Smlouvy s čínskými partnery (nemocnicemi): Čínská nemocnice je často řadičem (controller), vy jste zpracovatelem (processor). Ale podle PIPL máte přímé povinnosti. Smlouva musí explicitně definovat účel, dobu uchování, bezpečnostní opatření, právo na audit a povinnost nahlásit incident do 24 hodin.

Praktické kroky ke shodě (Compliance Checklist pro Čtyřpíng)

Není to o tom, abyste „udělali papíry“. Je to o tom, abyste postavili proces, který vydrží inspekci. Zde je zjednodušený plán, který doporučuji klientům, než podepíšou MoU s nemocnicí v Čtyřpíngu:

  1. Mapování dat (Data Mapping): Vypište všechna pole, která sbíráte. Označte, která jsou „citlivá“ (zdravotní, biometrie, génová data, ID karta, bankovní údaje). Bez toho nejdete dál.
  2. DPIA (Data Protection Impact Assessment): Povinné pro sběr citlivých údajů, systematické monitorování, využití nových technologií (AI diagnostika). Musíte ho mít před startem zpracování. Ne po roce.
  3. Právní základna pro sběr: Obvykle explicitní souhlas pacienta (oddělený od obecných podmínek). U dětí do 14 let souhlas rodiče/opatrovníka. Pozor: souhlas musí být dobrovolný, informovaný, specifický. „Kliknutím souhlasíte se vším“ neprojde.
  4. Registrace u CAC (pokud platíte kritéria): Pokud jste operátor CII nebo zpracováváte data přesahující prahy stanovené CAC (např. 1 milion pacientů, vývoz do zahraničí), registrace je povinná. Proces trvá 1–3 měsíce, vyžaduje místního agenta.
  5. Mechanismus pro vývoz dat: Rozhodněte se: Standardní smlouva ČLR (nejčastější pro SME), Certifikace CAC (pro velké hráče), Podnikatelská pravidla (BCR) – složité, drahé. Standardní smlouva musí být podepsána před prvním vývozem.
  6. Bezpečnostní opatření (Technická & Organizační): Šifrování v klidu i přenosu (TLS 1.3+, AES-256), řízení přístupu (RBAC, MFA), logování přístupů (min. 6 měsíců), pravidelné pentesty, plán reakce na incident (24h notifikace úřadu + postižení).
  7. Smlouva o zpracování (DPA) s nemocnicí: Musí obsahovat: konkrétní účel, seznam podzpracovatelů (sub-processors), právo nemocnice auditu, povinnost výmazu/vrácení dat po ukončení, odpovědnost za škodu.
  8. Školení zaměstnanců: Každý vývojář, který má přístup k produkční DB, musí vědět, co je citlivé dato a jak ho nezkazit. Jedno špatné SELECT * v logu = incident.

Často kladené otázky (FAQ)

Q1: Naše firma nemá entitu v Číně, jen poskytujeme SaaS z EU pro nemocnici v Čtyřpíngu. Platí pro nás PIPL? A1: Ano. PIPL má extrateritoriální dosah (Článek 3). Pokud poskytujete služby fyzickým osobám v Číně nebo analyzujete/posuzujete jejich chování v Číně, PIPL se vztahuje na vás. Kroky:

  1. Určete, zda jste „zpracovatelem v zahraničí“ (overseas processor).
  2. Stanovte místního zástupce (agent) v Číně pro přijímání právních dokumentů a komunikaci s CAC – to je povinné pro registraci a nahlášení incidentů.
  3. Proveďte DPIA a zavřete Standardní smlouvu ČLR s nemocnicí (řídicem) před tím, jak první reálný pacientská data protékají vaším systémem.
  4. Zajistěte mechanismus pro realizaci práv subjektů údajů (vymazání, oprava, výpis) v čínštině a včas.

Q2: Nemocnice v Čtyřpíngu tvrdí, že „oni se postarají o registraci a my jen dodáváme software“. Je to v pořádku? A2: Rizikové. I když je nemocnice řadičem (Controller), vy jako dodavatel SaaS (Processor) máte podle PIPL Článek 21 přímé povinnosti: bezpečnostní opatření, povinnost nahlásit únik, pomoc při realizaci práv subjektů. Pokud nemocnice nezaregistruje vývoz vašimi servery v čase, vy porušujete zákon. Doporučení:

  1. V smlouvě explicitně uveďte, kdo je odpovědný za registraci vývozu (ideálně sdílená odpovědnost, ale s jasným rozdělením úkolů).
  2. Vyžádejte si kopii potvrzení registrace (Bei’an) nebo zápisu o posudku bezpečí před go-live.
  3. Nevěřte úستním slibům. V Číně platí: „Není v smlouvě, neexistuje.“

Q3: Kolik to stojí a jak dlouho to trvá? Chceme startovat za 3 měsíce. A3: Realistický odhad pro SME (malou/ střední firmu) bez entity v Číně:

  • Právní audit & Mapování dat: 3–4 týdny, ~300–500 tis. Kč (záleží na složitosti).
  • DPIA & Bezpečnostní opatření (technika): 4–6 týdnů (paralelně), náklady na dev/sec týmy + příp. externí pentest (150–300 tis. Kč).
  • Standardní smlouva ČLR (revize, překlad, podepsání): 2–3 týdny, právní poplatky ~100–200 tis. Kč.
  • Registrace u CAC (pokud je potřeba): 1–3 měsíce po předložení kompletní dokumentace. Vyžaduje místního agenta.
  • Celkem: Minimálně 4–6 měsíců od nuly do „compliant go-live“.
  • Náklady celkem: 800 tis. – 1,5 mil. Kč v prvním roce (včetně právní podpory, technických úprav, agenta).
  • Radka: Nestartujte go-live bez hotové DPIA a podepsané Standardní smlouvy. Riziko pokuty a zablokování je realné. Místní advokát v Čtyřpíngu / Čangčune (Changchun) vám ušetří měsíce التواصل (komunikace) s úřady.

Závěr: Neřiďte se nadějí, říďte se procesem

Expaze do čínského zdravotnictví – a to i do regionálního centra jako Čtyřpíng – je příležitost. Ale cesta tam vede přes právní hygienu. Neexistuje zkratka. „Uděláme to později“ v Číně 2026 končí pokutou, ustavením serverů nebo zakázáním činnosti. A to je tučný úder do rozpočtu i důvěry investorů.

Co udělat teď, dnes:

  1. Nenechte si uvést k zadírce slovy „my to řešíme smlouvou“. Požádejte o konkrétní kroky, termíny, odpovědné osoby.
  2. Najděte místního advokáta v Jilinu (Čangčun je blízko a má silnější právní trh), který zná místní CAC a zdravotnickou komisi. Vzdálenost Prahy–Čtyřpíng je velká, ale WeChat hovor s advokátem, který zná místní soudy, je neocenitelný.
  3. Začněte s DPIA a mapováním dat už v týdnu, kdy podepisujete NDA/Term Sheet. Ne čekáte na smlouvu.
  4. Počítejte s náklady na compliance jako na CAPEX, ne OPEX. Je to cena vstupu na trh.

📣 Potřebujete poradit s konkrétním případem v Jilinu?

Jsme malý tým, ale po deseti letech v tomto oboru víme, že zkratky neexistují. Neslibujeme okamžité výsledky ani zaručený úspěch. Co můžeme slíbit: práce čestně, transparentně a zkušeností.

Pokud máte otázky k ochraně lékařských dat, registraci u CAC, Standardním smlouvám ČLR nebo hledáte spolehlivého advokáta v Čangčune/Čtyřpíngu, napište nám.

📧 E-mail (hlavní kontakt): lvga2015@qq.com
💬 WeChat (záloha pro pokračování diskuze k tomuto tématu): přidejte JingJing (WeChat ID: lvga2015)

Upozornění: WeChat není kanál pro okamžité právní služby. Nezaručujeme okamžitou odezvu ani výsledek. Je to způsob, jak zůstat v kontaktu a dohodnout se na dalších krocích.

Pojďme se pobavit, vyhněte se omylům a ušetřete zbytečné „školné“.

📚 Další čtení

Žádné ověřené zdroje z výzkumného kontextu nebyly k dispozici pro tento článek.

📌 Prohlášení

Lvga.com je platforma pro propojení klientů s čínskými advokáty, ne advokátská kancelář.
Obsah tohoto článku slouží pouze informačním účelům, byl vytvořen s pomocí AI a není právním poradenstvím.
Právní předpisy, jejich výklad a aplikace se mohou lišit podle regionu, konkrétní situace a času. Vždy se obraťte na kvalifikovaného místního advokáta a ověřte údaje u oficiálních zdrojů.
Pokud jste našli nepresnost, kontaktujte nás na lvga2015@qq.com – rádi to opravíme.