Op 30 maart 2025 heeft de Cyberspace Administratie van China (CAC) een kennisgeving uitgegeven die de indieningsvereisten verduidelijkt voor bedrijven die gezichtsherkenningstechnologie gebruiken om gezichtsgegevens van een bepaald aantal individuen te verwerken en op te slaan.
De kennisgeving is aanvullend op een nieuwe set van voorschriften over het gebruik van gezichtsherkenningstechnologie uitgegeven op 21 maart 2025 door de CAC en het Ministerie van Openbare Veiligheid (MPS). Deze maatregelen, genaamd de Beveiligingsbeheermaatregelen voor de Toepassing van Gezichtsherkenningstechnologie (“Beveiligingsbeheermaatregelen”), die op 1 juni 2025 in werking treden, zijn ontworpen om de persoonlijke informatierrechten van individuen te beschermen terwijl ervoor wordt gezorgd dat de technologie op verantwoorde en wettige wijze wordt toegepast.
De kennisgeving biedt een overgangsperiode voor bedrijven die de drempel van het opslaan van gezichtsherkenningsgegevens voor meer dan 100.000 individuen vóór 1 juni 2025 hebben bereikt, waardoor de onmiddellijke nalevingslast wordt verlicht.
Apart daarvan heeft de CAC ook een gids opgesteld voor bedrijven om de registratieprocedures te voltooien, die gedetailleerde instructies bevat over de vereiste materialen en hoe de online registratie te voltooien.
Indieningsvereisten voor bedrijven die gezichtsherkenningsinformatie opslaan
Onder Artikel 15 van de Beveiligingsbeheermaatregelen zijn bedrijven die gezichtsherkenningsgegevens van meer dan 100.000 individuen opslaan verplicht om zich te registreren bij de provinciale cyberspace administratie binnen 30 werkdagen vanaf de datum dat deze drempel is bereikt. Echter, om de overgang te vergemakkelijken, biedt de recente kennisgeving een verlengde deadline voor bedrijven die deze drempel vóór 1 juni 2025 hebben bereikt.
Registratiedeadlines zijn als volgt:
- Op of na 1 juni 2025: Bedrijven moeten de registratie voltooien binnen 30 werkdagen vanaf de datum dat gezichtsherkenningsgegevens 100.000 individuen bereiken.
- Voor 1 juni 2025: Bedrijven moeten de registratie voltooien vóór 14 juli 2025.
Bovendien bepaalt de kennisgeving dat als er een materiële verandering is in de geregistreerde informatie, het bedrijf de registratie moet bijwerken binnen 30 werkdagen vanaf de datum waarop de verandering plaatsvindt.
Als het gebruik van gezichtsherkenningstechnologie wordt stopgezet, moet het bedrijf de annulering van de registratie voltooien binnen 30 werkdagen vanaf de beëindigingsdatum, en de verzamelde gezichtsinformatie behandelen in overeenstemming met de toepasselijke wetten en voorschriften.
Hoe te registreren bij de cyberspace administratie
De kennisgeving verduidelijkt ook dat de registratieprocedures online kunnen worden voltooid door de Persoonlijke Informatie Bescherming Bedrijfssysteem (). De registratie moet worden gedaan in overeenstemming met de Instructies voor het invullen van het Aanmeldsysteem voor Toepassing van Gezichtsherkenningstechnologie (Eerste Editie) (“Instructies voor Indienen”), die van deze website kunnen worden gedownload. Alternatief kunnen bedrijven toegang krijgen tot het Persoonlijke Informatie Bescherming Bedrijfssysteem via de Nationele Cyberspace Administratie Overheidszaken Hal () kolom op de CAC homepage.
De Instructies voor Indienen stellen dat de volgende materialen moeten worden ingediend bij het voltooien van de online registratie:
- Een digitale versie van het Basisinformatieformulier van Persoonlijke Informatie Verwerker (sjabloon verstrekt in de Instructies voor Indienen, Bijlage 1);
- Een digitale versie van het Gezichtsherkenningstechnologie Toepassingsregistratieformulier (sjabloon verstrekt in de Instructies voor Indienen, Bijlage 2);
- Een digitale versie van de Persoonlijke Informatie Bescherming Impact Beoordeling (PIPIA) (sjabloon verstrekt in de Instructies voor Indienen, Bijlage 3);
- Een gescande kopie van het origineel of een fotokopie van het Unified Social Credit Code-certificaat (gestempeld met officiële zegel);
- Een gescande kopie van het identiteitsbewijs van de wettelijke vertegenwoordiger of de verantwoordelijke persoon;
- Een gescande kopie van het identiteitsbewijs van de agent;
- Een gescande kopie van de volmacht voor de agent (gestempeld met officiële zegel) (sjabloon verstrekt in de indieningsinstructies, Bijlage 4);
- Een gescande kopie van de Toezeggingsbrief (gestempeld met officiële zegel) (sjabloon verstrekt in de indieningsinstructies, Bijlage 5); en
- Gescande kopieën van andere relevante materialen.
Bedrijven moeten eerst een account registreren op het Personal Information Protection Business System voordat ze kunnen inloggen en de bovenstaande documenten kunnen uploaden.
De materialen worden binnen 15 werkdagen na de datum van indiening gecontroleerd. Bedrijven kunnen zien of de documenten zijn geaccepteerd door de "Status"-kolom te bekijken, die afhankelijk van de resultaten van de materiaalinspectie "Indiening voltooid", "Teruggestuurd voor verbetering" of "Beoordeling mislukt" zal weergeven.
"Indiening voltooid" betekent dat de registratieprocedures succesvol zijn geweest. Als de status "Teruggestuurd voor verbetering" aangeeft, moet de aanvrager binnen 10 werkdagen de vereiste aanvullende materialen verstrekken. Als de aanvrager er niet in slaagt om de materialen binnen de tijdslimiet aan te vullen, wordt de indieningsprocedure beëindigd.
Als de status "Beoordeling mislukt" aangeeft, betekent dit dat de materialen niet aan de vereisten hebben voldaan en de registratieprocedure automatisch wordt beëindigd.
Een PIPIA uitvoeren
Onder de Chinese Wet op de Bescherming van Persoonlijke Informatie (PIPL) zijn bedrijven die zich bezighouden met bepaalde verwerkingsactiviteiten van persoonlijke informatie verplicht om een PIPIA. De inhoud van de PIPIA hangt af van het type en de reikwijdte van de verwerkingsactiviteit, maar omvat over het algemeen het beoordelen of de doeleinden en methoden voor het verwerken van persoonlijke informatie legaal, legitiem en noodzakelijk zijn, de potentiële impact op persoonlijke rechten en veiligheidsrisico's, en of de beschermende maatregelen die zijn genomen om persoonlijke informatie te beschermen legaal, effectief en in overeenstemming met het risiconiveau zijn.
De indieningsinstructies hebben een specifiek sjabloon verstrekt voor het uitvoeren van een PIPIA voor gezichtsherkenningsinformatie. Het sjabloon omvat grotendeels dezelfde vereisten voor het beoordelen van maatregelen ter bescherming van persoonlijke informatie en andere juridische nalevingsprocedures, maar vereist ook dat bedrijven openbaar maken:
- Basis technische specificaties
- Verzameling, gebruik en opslag van persoonlijke (gezichts)gegevens
- Standaard operationele procedures voor gegevensinvoer, gezichtsherkenning, resultaatverwerking, gegevensopslag, risicobeheer en vertrouwelijkheid
- Het doel, de methode en de juridische/ethische basis voor het verzamelen van gezichtsgegevens
- Het gebruik van gezichtsgegevens voor geautomatiseerde besluitvorming
- Details over opslaginfrastructuur, platforms en technologieproviders
De overgang voor bedrijven vergemakkelijken
De kennisgeving weerspiegelt de inspanning van de overheid om een balans te vinden tussen handhaving van regelgeving en praktische implementatie. Door een overgangsperiode te bieden voor bedrijven die de datadrempel vóór 1 juni 2025 hebben bereikt en gedetailleerde richtlijnen te bieden via de indieningsinstructies, helpen de autoriteiten bedrijven om naleving te navigeren zonder onnodige verstoring van de activiteiten.
