Il 30 marzo 2025, l'Amministrazione del Cyberspazio della Cina (CAC) ha emesso un avviso che chiarisce i requisiti di registrazione per le aziende che utilizzano la tecnologia di riconoscimento facciale per elaborare e memorizzare i dati facciali di un certo numero di individui.
L'avviso è supplementare a un nuovo insieme di regolamenti sull'uso della tecnologia di riconoscimento facciale rilasciato il 21 marzo 2025 dal CAC e dal Ministero della Pubblica Sicurezza (MPS). Queste misure, chiamate Misure di Gestione della Sicurezza per l'Applicazione della Tecnologia di Riconoscimento Facciale (“Misure di Amministrazione della Sicurezza”), che entreranno in vigore il 1° giugno 2025, sono progettate per salvaguardare i diritti delle persone in materia di informazioni personali, garantendo al contempo che la tecnologia sia applicata in modo responsabile e legale.
L'avviso fornisce un periodo di transizione per le aziende che hanno raggiunto la soglia di memorizzazione dei dati di riconoscimento facciale per oltre 100.000 individui prima del 1° giugno 2025, alleviando così l'immediato onere di conformità.
Separatamente, il CAC ha anche formulato una guida per le aziende per completare le procedure di registrazione, che include istruzioni dettagliate sui materiali richiesti e su come completare la registrazione online.
Requisiti di registrazione per le aziende che memorizzano informazioni di riconoscimento facciale
Ai sensi dell'Articolo 15 delle Misure di Gestione della Sicurezza, le aziende che memorizzano dati di riconoscimento facciale di oltre 100.000 individui sono tenute a registrarsi presso l'amministrazione del cyberspazio a livello provinciale entro 30 giorni lavorativi dalla data in cui viene raggiunta questa soglia. Tuttavia, per facilitare la transizione, l'avviso recente fornisce una scadenza estesa per le aziende che hanno raggiunto questa soglia prima del 1° giugno 2025.
Le scadenze per la registrazione sono le seguenti:
- Dal 1° giugno 2025 in poi: Le aziende devono completare la registrazione entro 30 giorni lavorativi dalla data in cui i dati di riconoscimento facciale raggiungono i 100.000 individui.
- Prima del 1° giugno 2025: Le aziende devono completare la registrazione entro il 14 luglio 2025.
Inoltre, l'avviso stabilisce che se vi è un cambiamento sostanziale nelle informazioni registrate, l'azienda deve aggiornare la registrazione entro 30 giorni lavorativi dalla data in cui si verifica il cambiamento.
Se l'uso della tecnologia di riconoscimento facciale viene interrotto, l'azienda deve completare la cancellazione della registrazione entro 30 giorni lavorativi dalla data di cessazione e gestire le informazioni facciali raccolte in conformità con le leggi e i regolamenti applicabili.
Come registrarsi presso l'amministrazione del cyberspazio
L'avviso chiarisce inoltre che le procedure di registrazione possono essere completate online visitando il Sistema di Gestione delle Informazioni Personali (). La registrazione deve essere effettuata in conformità con il Istruzioni per la Compilazione del Sistema di Registrazione dell'Applicazione della Tecnologia di Riconoscimento Facciale (Prima Edizione) (“Istruzioni per la Registrazione”), che possono essere scaricate da questo sito web. In alternativa, le aziende possono accedere al Sistema di Gestione delle Informazioni Personali tramite il Nazioneal Cyberspace Administration Government Affairs Hall () colonna sul homepage del CAC.
Le Istruzioni per la Registrazione indicano che i seguenti materiali devono essere presentati al momento del completamento della registrazione online:
- Una versione digitale del Modulo di Informazioni di Base del Processore di Informazioni Personali (modello fornito nelle Istruzioni per la Registrazione, Allegato 1);
- Una versione digitale del Modulo di Registrazione dell'Applicazione della Tecnologia di Riconoscimento Facciale (modello fornito nelle Istruzioni per la Registrazione, Allegato 2);
- Una versione digitale del Valutazione d'Impatto sulla Protezione delle Informazioni Personali (PIPIA) (modello fornito nelle Istruzioni per la Registrazione, Allegato 3);
- Una copia scansionata dell'originale o una fotocopia del Certificato del Codice Unico di Credito Sociale (timbrato con sigillo ufficiale);
- Una copia scansionata del documento d'identità del rappresentante legale o della persona responsabile;
- Una copia scansionata del documento d'identità dell'agente;
- Una copia scansionata della Procura per l'agente (timbrata con sigillo ufficiale) (modello fornito nelle Istruzioni per la Registrazione, Allegato 4);
- Una copia scansionata della Lettera di Impegno (timbrata con sigillo ufficiale) (modello fornito nelle Istruzioni per la Registrazione, Allegato 5); e
- Copie scansionate di altri materiali pertinenti.
Le aziende devono prima registrare un account sul Sistema di Protezione delle Informazioni Personali prima di poter accedere e caricare i documenti sopra indicati.
I materiali saranno controllati entro 15 giorni lavorativi dalla data della loro presentazione. Le aziende possono verificare se i documenti sono stati accettati visualizzando la colonna "Stato", che mostrerà "Registrazione completata", "Restituito per miglioramento" o "Revisione fallita", a seconda dei risultati dell'ispezione del materiale.
"Registrazione completata" significa che le procedure di registrazione sono state completate con successo. Se lo stato mostra "Restituito per miglioramento", il richiedente deve fornire i materiali supplementari richiesti entro 10 giorni lavorativi. Se il richiedente non integra i materiali entro il termine, la procedura di registrazione sarà terminata.
Se lo stato mostra "Revisione fallita", significa che i materiali non hanno soddisfatto i requisiti e la procedura di registrazione sarà automaticamente terminata.
Condurre un PIPIA
Secondo la Legge sulla Protezione delle Informazioni Personali della Cina (PIPL), le aziende che si impegnano in determinate attività di elaborazione delle informazioni personali sono tenute a svolgere un PIPIA. I contenuti del PIPIA dipendono dal tipo e dall'ambito dell'attività di elaborazione, ma generalmente includono la valutazione se gli scopi e i metodi di elaborazione delle informazioni personali siano legali, legittimi e necessari, l'impatto potenziale sui diritti personali e i rischi per la sicurezza, e se le misure protettive adottate per proteggere le informazioni personali siano legali, efficaci e commisurate al livello di rischio.
Le Istruzioni per la Registrazione hanno fornito un modello specifico per condurre un PIPIA per l'elaborazione delle informazioni di riconoscimento facciale. Il modello include in gran parte gli stessi requisiti per valutare le misure di protezione delle informazioni personali e altre procedure di conformità legale, ma richiede anche alle aziende di divulgare:
- Specifiche tecniche di base
- Raccolta, uso e archiviazione dei dati personali (facciali)
- Procedure operative standard per l'immissione dei dati, il riconoscimento facciale, l'elaborazione dei risultati, l'archiviazione dei dati, la risposta ai rischi e la riservatezza
- Lo scopo, il metodo e la base legale/etica per la raccolta dei dati facciali
- L'uso dei dati facciali per il processo decisionale automatizzato
- Dettagli sull'infrastruttura di archiviazione, piattaforme e fornitori di tecnologia
Facilitare la transizione per le aziende
L'avviso riflette lo sforzo del governo di trovare un equilibrio tra l'applicazione normativa e l'implementazione pratica. Offrendo un periodo di grazia per le aziende che hanno raggiunto la soglia dei dati prima del 1° giugno 2025 e fornendo una guida dettagliata attraverso le Istruzioni per la Registrazione, le autorità stanno aiutando le imprese a navigare nella conformità senza interruzioni inutili alle operazioni.
