211service.com
Inne i Kinas uventede søken etter å beskytte personvernet
En ny personvernlov vil ligne mye på Europas GDPR – men vil den begrense statlig overvåking? 19. august 2020
Stefan Chow
Sent på sommeren 2016 fikk Xu Yuyu en telefon som lovet å forandre livet hennes. Hun ble fortalt at hun hadde fått opptak til den engelske avdelingen ved Nanjing University of Posts and Telecommunications. Xu bodde i byen Linyi i Shandong, en kystprovins i Kina, sørøst for Beijing. Hun kom fra en fattig familie, enestående avhengig av farens magre inntekt. Men foreldrene hennes hadde møysommelig spart til undervisningen hennes; svært få av hennes slektninger hadde noen gang gått på college.
Noen dager senere mottok Xu en ny telefon som fortalte henne at hun også hadde blitt tildelt et stipend. For å samle inn 2600 yuan ($370), måtte hun først sette inn en aktiveringsavgift på 9900 yuan på universitetskontoen sin. Etter å ha søkt om økonomisk støtte bare dager før, koblet hun pengene til nummeret som ringer ga henne. Den kvelden rykket familien til politiet for å rapportere at de var blitt svindlet. Xus far sa senere at hans største beklagelse var at han spurte betjenten om de fortsatt kunne få pengene tilbake. Svaret – sannsynligvis ikke – forverret bare Xus ødeleggelse. På vei hjem fikk hun et hjerteinfarkt. Hun døde på sykehus to dager senere.
Denne historien var en del av september 2020-utgaven vår
- Se resten av saken
- Abonnere
En undersøkelse viste at selv om den første samtalen var ekte, kom den andre fra svindlere som hadde betalt en hacker for Xus nummer, opptaksstatus og forespørsel om økonomisk støtte.
For kinesiske forbrukere som er altfor kjent med å få data stjålet, ble Xu et emblem. Hennes død utløste et nasjonalt ramaskrik for bedre beskyttelse av personvernet. Bare måneder før hadde EU vedtatt General Data Protection Regulation (GDPR), et forsøk på å gi europeiske borgere kontroll over hvordan deres personopplysninger brukes. I mellomtiden var Donald Trump i ferd med å vinne det amerikanske presidentvalget, delvis drevet av en kampanje som i stor grad baserte seg på velgerdata. Disse dataene inkluderte detaljer om 87 millioner Facebook-kontoer, ulovlig innhentet av konsulentfirmaet Cambridge Analytica. Kinesiske regulatorer og juridiske lærde fulgte disse hendelsene nøye.
I Vesten er det en utbredt oppfatning at verken kinesiske myndigheter eller kinesere bryr seg om personvern. Amerikanske teknologigiganter bruker denne antatte likegyldigheten for å argumentere for at tyngende personvernlover vil sette dem i en konkurransemessig ulempe for kinesiske firmaer. I sitt vitnesbyrd fra Senatet i 2018 etter Cambridge Analytica-skandalen, oppfordret Facebooks administrerende direktør, Mark Zuckerberg, regulatorer til ikke å slå for hardt ned på teknologier som ansiktsgjenkjenning. Vi må fortsatt gjøre det slik at amerikanske selskaper kan innovere på disse områdene, sa han, ellers kommer vi til å falle bak kinesiske konkurrenter og andre rundt om i verden.
I virkeligheten er dette bildet av kinesiske holdninger til personvern utdatert. I løpet av de siste årene har den kinesiske regjeringen, som søker å styrke forbrukernes tillit og deltakelse i den digitale økonomien, begynt å implementere personvernbeskyttelse som på mange måter ligner den i Amerika og Europa i dag.
Selv om regjeringen har styrket forbrukernes personvern, har den imidlertid økt statlig overvåking. Den bruker DNA-prøver og annen biometri, som ansikts- og fingeravtrykkgjenkjenning, for å overvåke innbyggere over hele landet. Den har strammet inn internettsensur og utviklet et sosialt kredittsystem, som straffer atferd myndighetene sier svekker sosial stabilitet. Under pandemien implementerte den et system med helsekodeapper for å diktere hvem som kunne reise, basert på deres risiko for å bære koronaviruset. Og den har brukt en rekke invasive overvåkingsteknologier i sin harde undertrykkelse av muslimske uigurer i den nordvestlige regionen Xinjiang.
Dette paradokset har blitt et avgjørende trekk ved Kinas nye personvernregime, sier Samm Sacks, en ledende Kina-forsker ved Yale og New America, en tenketank i Washington, DC. Det reiser et spørsmål: Kan et system holde ut med sterke beskyttelser for forbrukernes personvern, men nesten ingen mot statlig snoking? Svaret påvirker ikke bare Kina. Teknologiselskapene har et stadig mer globalt fotavtrykk, og regulatorer over hele verden følger med på deres politiske beslutninger.
November 2000 markerer uten tvil fødselen til den moderne kinesiske overvåkingsstaten. Den måneden kunngjorde departementet for offentlig sikkerhet, det offentlige byrået som overvåker den daglige rettshåndhevelsen, et nytt prosjekt på en messe i Beijing. Byrået så for seg et sentralisert nasjonalt system som skulle integrere både fysisk og digital overvåking ved bruk av den nyeste teknologien. Det ble kalt Golden Shield.
Vestlige selskaper, inkludert det amerikanske konglomeratet Cisco, den finske telekomgiganten Nokia og Canadas Nortel Networks, var ivrige etter å tjene penger, og samarbeidet med byrået om forskjellige deler av prosjektet. De hjalp til med å konstruere en landsdekkende database for lagring av informasjon om alle kinesiske voksne, og utviklet et sofistikert system for å kontrollere informasjonsflyten på internett – det som til slutt skulle bli den store brannmuren. Mye av det involverte utstyret hadde faktisk allerede blitt standardisert for å gjøre overvåking enklere i USA – en konsekvens av Communications Assistance for Law Enforcement Act fra 1994.
Den kinesiske regjeringen har begynt å implementere personvernbeskyttelse som ligner den i Amerika og Europa i dag.
Til tross for det standardiserte utstyret, ble Golden Shield-prosjektet hemmet av datasiloer og torvkriger i den kinesiske regjeringen. Over tid har departementets streben etter et enkelt, enhetlig system gått over i to separate operasjoner: et overvåkings- og databasesystem, viet til innsamling og lagring av informasjon, og det sosiale kredittsystemet, som rundt 40 offentlige avdelinger deltar i. Når folk gjentatte ganger gjør det. ting som ikke er tillatt – fra jaywalking til å engasjere seg i forretningskorrupsjon – deres sosiale kredittpoeng faller og de kan blokkeres fra ting som å kjøpe tog- og flybilletter eller søke om boliglån.
Samme år kunngjorde departementet for offentlig sikkerhet Golden Shield, gikk Hong Yanqing inn på departementets politiuniversitet i Beijing. Men etter syv års trening, etter å ha mottatt bachelor- og mastergradene, begynte Hong å tenke på å bli politimann. Han søkte i stedet for å studere i utlandet. Høsten 2007 hadde han flyttet til Nederland for å begynne på en doktorgrad i internasjonal menneskerettighetslov, godkjent og subsidiert av den kinesiske regjeringen.
I løpet av de neste fire årene gjorde han seg kjent med vestlig rettspraksis gjennom sin doktorgradsforskning og en rekke praksisplasser ved internasjonale organisasjoner. Han jobbet i International Labour Organization med global diskrimineringslovgivning på arbeidsplassen og Verdens helseorganisasjon for trafikksikkerhet i Kina. Det er en veldig legalistisk kultur i Vesten - som virkelig slår meg. Folk ser ut til å gå mye til retten, sier han. For eksempel, for menneskerettighetslovgivning, handler de fleste lærebøkene om de viktige sakene i retten som løser menneskerettighetsspørsmål.
Hong syntes dette var merkelig ineffektivt. Han så på å gå til retten som en siste utvei for å lappe opp lovens mangler, ikke et hovedverktøy for å etablere den i utgangspunktet. Lovverk laget mer omfattende og med større omtanke, mente han, ville oppnå bedre resultater enn et system lappet sammen gjennom en tilfeldig opphopning av rettspraksis, som i USA.
Etter endt utdanning bar han disse ideene tilbake til Beijing i 2012, på tampen av Xi Jinpings oppstigning til presidentskapet. Hong jobbet ved FNs utviklingsprogram og deretter som journalist for People's Daily, den største avisen i Kina, som eies av regjeringen.
Xi begynte raskt å utvide omfanget av statlig sensur. Innflytelsesrike kommentatorer, eller Big Vs – oppkalt etter deres bekreftede kontoer på sosiale medier – hadde blitt komfortable med å kritisere og latterliggjøre det kinesiske kommunistpartiet. Høsten 2013 arresterte partiet hundrevis av mikrobloggere for det det beskrev som ondsinnet rykteutveksling og paraderte en spesielt innflytelsesrik en på nasjonal fjernsyn for å lage et eksempel på ham.
Øyeblikket markerte begynnelsen på en ny æra med sensur. Året etter ble Cyberspace Administration of China grunnlagt. Det nye sentrale byrået var ansvarlig for alt involvert i internettregulering, inkludert nasjonal sikkerhet, media- og talesensur og databeskyttelse. Hong forlot People's Daily og begynte i byråets avdeling for internasjonale anliggender. Han representerte det i FN og andre globale organer og jobbet med cybersikkerhetssamarbeid med andre regjeringer.
I juli 2015 hadde Cyberspace Administration gitt ut et utkast til sin første lov. Cybersikkerhetsloven, som trådte i kraft i juni 2017, krevde at selskaper innhentet samtykke fra folk til å samle inn personlig informasjon. Samtidig strammet det sensur på internett ved å forby anonyme brukere – en bestemmelse håndhevet av regelmessige statlige inspeksjoner av data fra internettleverandører.
Våren 2016 søkte Hong å returnere til akademia, men byrået ba ham om å bli. Cybersikkerhetsloven hadde med vilje gjort reguleringen av personopplysningsbeskyttelse vag, men forbrukerdatabrudd og tyveri hadde nådd uutholdelige nivåer. En studie fra 2016 av Internet Society of China fant at 84 % av de spurte hadde fått noen lekkasje av dataene deres, inkludert telefonnumre, adresser og bankkontodetaljer. Dette ansporet til en økende mistillit til digitale tjenesteleverandører som krevde tilgang til personlig informasjon, som for eksempel turbud, matlevering og økonomiske apper. Xu Yuyus død helte olje på flammene.
Regjeringen var bekymret for at slike følelser ville svekke deltakelsen i den digitale økonomien, som hadde blitt en sentral del av strategien for å styrke landets avtagende økonomiske vekst. Innkomsten av GDPR fikk også regjeringen til å innse at kinesiske teknologigiganter ville trenge å oppfylle globale personvernnormer for å ekspandere i utlandet.
Hong ble satt til å lede en ny arbeidsgruppe som skulle skrive en spesifikasjon for personlig informasjonsbeskyttelse (PIPS) for å hjelpe til med å løse disse utfordringene. Dokumentet, selv om det ikke er bindende, vil fortelle selskaper hvordan regulatorer hadde til hensikt å implementere Cybersecurity Law. I prosessen, håpet regjeringen, ville den presse dem til å vedta nye normer for databeskyttelse alene.
Hongs arbeidsgruppe begynte å oversette alle relevante dokumenter de kunne finne til kinesisk. De oversatte retningslinjene for personvern lagt ut av Organisasjonen for økonomisk samarbeid og utvikling og av dens motpart, Asia-Pacific Economic Cooperation; de oversatte GDPR og California Consumer Privacy Act. De oversatte til og med 2012 White House Consumer Privacy Bill of Rights, introdusert av Obama-administrasjonen, men som aldri ble gjort til lov. Hele tiden møtte Hong jevnlig europeiske og amerikanske databeskyttelsesregulatorer og lærde.
Bit for bit, fra dokumentene og konsultasjonene, dukket det opp et generelt valg. Folk sa, i veldig forenklede termer, 'Vi har en europeisk modell og den amerikanske modellen,' minnes Hong. De to tilnærmingene divergerte betydelig i filosofi og implementering. Hvilken man skulle følge ble arbeidsgruppens første debatt.
I kjernen av den europeiske modellen er ideen om at mennesker har en grunnleggende rett til å få dataene sine beskyttet. GDPR legger bevisbyrden på datainnsamlere, for eksempel selskaper, for å demonstrere hvorfor de trenger dataene. Derimot privilegerer den amerikanske modellen industrien fremfor forbrukerne. Bedrifter definerer selv hva som er rimelig datainnsamling; forbrukerne kan bare velge om de vil bruke den virksomheten. Lovene om databeskyttelse er også langt mer stykkevis enn i Europa, delt opp mellom sektorregulatorer og spesifikke stater.
En epidemikontrollarbeider sjekker temperaturen til folk som står i kø for å bli testet for covid-19 i Xicheng-distriktet i sentrale Beijing.
KEVIN FRAYER/GETTY-BILDERPå den tiden, uten en sentral lov eller enkelt byrå med ansvar for databeskyttelse, lignet Kinas modell mer på den amerikanske. Arbeidsgruppen fant imidlertid den europeiske tilnærmingen overbevisende. Den europeiske regelstrukturen, hele systemet, er tydeligere, sier Hong.
Men de fleste av arbeidsgruppens medlemmer var representanter fra kinesiske teknologigiganter, som Baidu, Alibaba og Huawei, og de følte at GDPR var for restriktiv. Så de tok i bruk dens brede trekk – inkludert grensene for datainnsamling og kravene til datalagring og sletting av data – og løsnet deretter noe av språket. GDPRs prinsipp om dataminimering fastholder for eksempel at kun nødvendige data skal samles inn i bytte for en tjeneste. PIPS gir rom for annen datainnsamling som er relevant for tjenesten som tilbys.
PIPS trådte i kraft i mai 2018, samme måned som GDPR endelig trådte i kraft. Men da kinesiske tjenestemenn så på den amerikanske omveltningen over Facebook- og Cambridge Analytica-skandalen, innså de at en uforpliktende avtale ikke ville være nok. Cybersikkerhetsloven hadde ikke en sterk mekanisme for å håndheve databeskyttelse. Regulatorer kunne bare bøtelegge overtredere med opptil 1 000 000 yuan ($140 000), et ubetydelig beløp for store selskaper. Like etter stemte National People's Congress, Kinas øverste lovgivende organ, for å begynne å utarbeide en lov om beskyttelse av personopplysninger innenfor den nåværende femårige lovperioden, som slutter i 2023. Den vil styrke databeskyttelsesbestemmelsene, sørge for strengere straffer og potensielt opprette et nytt håndhevingsorgan.
Etter Cambridge Analytica, sier Hong, forsto det offentlige byrået: 'Ok, hvis du ikke virkelig implementerer eller håndhever disse personvernreglene, kan du få en stor skandale, til og med påvirke politiske ting.'
Den lokale politiets etterforskning av Xu Yuyus død identifiserte til slutt svindlerne som hadde ringt henne. Det hadde vært en gjeng på syv som hadde lurt mange andre ofre for mer enn 560 000 yuan ved å bruke ulovlig innhentet personlig informasjon. Retten slo fast at Xus død hadde vært et direkte resultat av stresset med å miste familiens sparepenger. På grunn av dette, og hans rolle i å orkestrere titusenvis av andre samtaler, ble hovedlederen, Chen Wenhui, 22, dømt til livstid i fengsel. De andre fikk straffer mellom tre og 15 år.
Oppmuntret begynte kinesiske medier og forbrukere å kritisere brudd på personvernet mer åpent. I mars 2018 utløste internettsøkegiganten Baidus administrerende direktør, Robin Li, raseri i sosiale medier etter å ha antydet at kinesiske forbrukere var villige til å bytte personvern for sikkerhet, bekvemmelighet eller effektivitet. Tull, skrev en bruker av sosiale medier, senere sitert av People's Daily. Det er mer nøyaktig å si at [det er] umulig å forsvare [personvernet vårt] effektivt.
I slutten av oktober 2019 uttrykte brukere av sosiale medier igjen sinne etter at bilder begynte å sirkulere av en skoles elever som hadde på seg pannebånd som overvåker hjernebølger, angivelig for å forbedre fokus og læring. Den lokale utdanningsmyndigheten gikk til slutt inn og ba skolen slutte å bruke pannebåndene fordi de krenket elevenes privatliv. En uke senere saksøkte en kinesisk jussprofessor en dyrehage i Hangzhou for å ha erstattet dets fingeravtrykkbaserte inngangssystem med ansiktsgjenkjenning, og sa at dyrehagen ikke hadde fått hans samtykke til å lagre bildet hans.
Men offentlighetens økende følsomhet for brudd på forbrukernes personvern har ikke ført til mange begrensninger på statlig overvåking, og heller ikke mye gransking av det. Som Maya Wang, en forsker ved Human Rights Watch, påpeker, er dette delvis fordi de fleste kinesiske borgere ikke kjenner til omfanget eller omfanget av regjeringens operasjoner. I Kina, som i USA og Europa, er det brede offentlige og nasjonale sikkerhetsunntak fra personvernlover. Cybersikkerhetsloven åpner for eksempel for at myndighetene kan kreve data fra private aktører for å bistå i strafferettslige etterforskninger. Departementet for offentlig sikkerhet akkumulerer også enorme mengder data om enkeltpersoner direkte. Som et resultat kan datavernet i industrien styrkes uten å begrense statens tilgang til informasjon vesentlig.
Utbruddet av pandemien har imidlertid forstyrret denne urolige balansen.
Den 11. februar lanserte Ant Financial, en finansteknologigigant med hovedkontor i Hangzhou, en by sørvest for Shanghai, en app-byggingsplattform kalt AliPay Health Code. Samme dag ga Hangzhou-regjeringen ut en app de hadde bygget ved hjelp av plattformen. Hangzhou-appen ba folk selv rapportere reise- og helseinformasjon, og ga dem deretter en fargekode rød, gul eller grønn. Plutselig ble Hangzhous 10 millioner innbyggere alle pålagt å vise en grønn kode for å ta t-banen, handle dagligvarer eller gå inn i et kjøpesenter. I løpet av en uke hadde lokale myndigheter i over 100 byer brukt AliPay Health Code til å utvikle sine egne apper. Den rivaliserende teknologigiganten Tencent fulgte raskt etter med sin egen plattform for å bygge dem.
Appene synliggjorde et bekymringsfullt nivå av statlig overvåking og utløste en ny bølge av offentlig debatt. I mars hevdet Hu Yong, en journalistikkprofessor ved Beijing University og en innflytelsesrik blogger på Weibo, at regjeringens pandemiske datainnsamling hadde krysset en grense. Ikke bare hadde det ført til tilfeller av informasjon som ble stjålet, skrev han, men det hadde også åpnet for at slike data ble brukt utover det opprinnelige formålet. Har historien noen gang vist at når regjeringen først har overvåkingsverktøy, vil den opprettholde beskjedenhet og forsiktighet når de bruker dem? spurte han.
Har historien noen gang vist at når regjeringen først har overvåkingsverktøy, vil den opprettholde beskjedenhet og forsiktighet når de bruker dem?'
Faktisk, i slutten av mai, avslørte lekkede dokumenter planer fra Hangzhou-regjeringen om å lage en mer permanent helsekode-app som ville score innbyggere på atferd som trening, røyking og søvn. Etter et offentlig ramaskrik kansellerte byens tjenestemenn prosjektet. At statlige medier også hadde publisert historier som kritiserte appen, hjalp sannsynligvis.
Debatten nådde raskt veien til sentralstyret. Den måneden kunngjorde den nasjonale folkekongressen at den hadde til hensikt å fremskynde loven om beskyttelse av personopplysninger. Omfanget av dataene som ble samlet inn under pandemien hadde gjort sterk håndhevelse mer presserende, sa delegatene, og fremhevet behovet for å avklare omfanget av regjeringens datainnsamling og dataslettingsprosedyrer under spesielle nødsituasjoner. I juli hadde det lovgivende organet foreslått en ny streng godkjenningsprosess for offentlige myndigheter å gjennomgå før de samler inn data fra privat sektors plattformer. Språket forblir igjen vagt, for å bli konkretisert senere - kanskje gjennom et annet ikke-bindende dokument - men dette trekket kan markere et skritt mot å begrense det brede omfanget av eksisterende statlige unntak for nasjonal sikkerhet, skrev Sacks og andre Kina-forskere ved New America.
Hong mener på samme måte at avviket mellom regler for industri og myndighetenes datainnsamling ikke vil vare, og at regjeringen snart vil begynne å begrense sitt eget omfang. Vi kan ikke bare henvende oss til den ene aktøren mens vi utelater den andre, sier han. Det ville ikke være en veldig vitenskapelig tilnærming.
Andre observatører er uenige. Regjeringen kan enkelt gjøre overfladiske anstrengelser for å adressere offentlig tilbakeslag mot synlig datainnsamling uten egentlig å berøre kjernen av departementet for offentlig sikkerhets nasjonale operasjoner, sier Wang, fra Human Rights Watch. Hun legger til at eventuelle lover sannsynligvis vil bli håndhevet ujevnt: I Xinjiang har ikke tyrkiske muslimer noe som helst å si om hvordan de blir behandlet.
Likevel er Hong fortsatt optimist. I juli begynte han i en jobb som underviser i jus ved Beijing University, og han har nå en blogg om cybersikkerhet og dataspørsmål. Månedlig møter han et spirende fellesskap av databeskyttelsesansvarlige i Kina, som nøye følger med på hvordan datastyring utvikler seg rundt om i verden.
Oppdater: Ytterligere sitater er lagt til stykket.