Chapterبەش 3 · Lectureوانە 3.6

Health Data and National Rules: HIPAA and China's Cybersecurity Lawدراوەی تەندروستی و یاسا نیشتیمانییەکان: HIPAA و یاسای ئاسایشی سایبەری چین

Two more legal frameworks. HIPAA: protected health information, covered entities and business associates, the Privacy, Security and Breach Notification Rules, today's inflation-adjusted penalties and the Anthem case. China: the Cybersecurity Law (amended from 1 January 2026) with the Data Security Law and the PIPL, critical infrastructure, data localisation, consent, cross-border transfers, penalties and the Didi fine. Ends with the lecture's comparison table, rebuilt and corrected.

دوو چوارچێوەی یاسایی تر. : ، دامەزراوە گیراوەکان و هاوبەشە بازرگانییەکان، ڕێساکانی ، و ، سزاکانی ئەمڕۆ کە بەپێی هەڵاوسان ڕێکخراون و نموونەی Anthem. چین: یاسای (هەموارکراو لە ١ی کانوونی دووەمی ٢٠٢٦ەوە) لەگەڵ یاسای و PIPL، ، ، ، گواستنەوەی دەرەوەی سنوور، سزاکان و سزای دیدی. بە خشتەی بەراوردکاریی وانەکە کۆتایی دێت، دووبارە دروستکراو و چاککراو.

17 min read20 خولەک خوێندنەوە · 16 stepsهەنگاو

What you will learnچی فێر دەبیت

Explain what PHI is and who must follow HIPAA.
Describe HIPAA's three rules and apply the breach-notification deadlines.
Read today's HIPAA penalty tiers and explain why the old amounts changed.
Summarise China's Cybersecurity Law, Data Security Law and PIPL: CII, localisation, consent, transfers and penalties.
Compare the GDPR, HIPAA and China's laws in one table.

ڕوونی بکەیتەوە PHI چییە و کێ دەبێت پەیڕەوی بکات.
سێ ڕێساکەی وەسف بکەیت و ماوەکانی جێبەجێ بکەیت.
ئاستەکانی ئەمڕۆی سزای بخوێنیتەوە و ڕوونی بکەیتەوە بۆچی بڕە کۆنەکان گۆڕاون.
یاسای ، یاسای و PIPLـی چین کورت بکەیتەوە: CII، ، ، گواستنەوە و سزاکان.
، و یاساکانی چین لە یەک خشتەدا بەراورد بکەیت.

HIPAA: health data in the United StatesHIPAA: دراوەی تەندروستی لە ئەمریکا

Europe's GDPR protects all personal data. Many countries also have laws for one especially sensitive kind of data. The best-known is the United States' Health Insurance Portability and Accountability Act (HIPAA) of 1996. Its purpose, as the notes say, is to protect the privacy and security of healthcare data in the US.

GDPRـی ئەوروپا هەموو دەپارێزێت. زۆر وڵاتیش یاسایان هەیە بۆ جۆرێکی زۆر هەستیاری . ناسراوترینیان یاسای ئەمریکیی گواستنەوە و لێپرسینەوەی بیمەی تەندروستی ()، کە لە ١٩٩٦دا دەرچووە. مەبەستی، وەک تێبینییەکان دەڵێن، پاراستنی و تەندروستییە لە ئەمریکا.

Definitionپێناسە

Under , any health information that can identify a person, such as medical records, test results, bills, names, addresses or phone numbers linked to care. In electronic form it is called ePHI.

بەپێی ، هەر زانیارییەکی تەندروستییە کە بتوانێت کەسێک بناسێنێت، وەک تۆماری پزیشکی، ئەنجامی پشکنین، پسوولە، ناو، ناونیشان یان ژمارەی تەلەفۆن کە بە چارەسەرەوە پەیوەستن. بە شێوەی ئەلیکترۆنی پێی دەڵێن ePHI.

The data it protects is Protected Health Information (PHI): medical records, billing information, and any data that can identify a person in connection with their health or care, such as the patient's name, address, place of birth and mobile number. When PHI is stored or sent electronically it is called ePHI.

ئەو دەیپارێزێت ⁦(PHI)⁩ـە: تۆماری پزیشکی، زانیاریی پسوولە و هەر کە بتوانێت کەسێک بناسێنێتەوە لە پەیوەندی لەگەڵ تەندروستی یان چارەسەرییەوە، وەک ناو، ناونیشان، شوێنی لەدایکبوون و ژمارەی مۆبایلی نەخۆش. کاتێک PHI بە شێوەی ئەلیکترۆنی هەڵدەگیرێت یان دەنێردرێت، پێی دەوترێت ePHI.

Who must obey it? HIPAA applies to covered entities and their business associates that handle PHI. Covered entities are health plans (insurers), health care clearinghouses (companies that process health bills) and health care providers (doctors, clinics, hospitals) that send health information electronically. A business associate works for a covered entity and handles PHI for it, for example a billing company or a cloud provider that stores a hospital's records.

کێ دەبێت پابەندی بێت؟ دامەزراوە گیراوەکان (covered entities) و هاوبەشە بازرگانییەکانیان (business associates) دەگرێتەوە کە مامەڵە لەگەڵ PHI دەکەن. دامەزراوە گیراوەکان بریتین لە پلانەکانی تەندروستی (کۆمپانیاکانی بیمە)، ناوەندەکانی ڕێکخستنی پسوولەی تەندروستی و دابینکەرانی چاودێریی تەندروستی (پزیشک، کلینیک، نەخۆشخانە) کە زانیاریی تەندروستی بە شێوەی ئەلیکترۆنی دەنێرن. هاوبەشی بازرگانی بۆ دامەزراوەیەکی گیراو کار دەکات و مامەڵە لەگەڵ PHIـەکەی دەکات، بۆ نموونە کۆمپانیایەکی پسوولە یان دابینکەرێکی هەوری کە تۆماری نەخۆشخانەیەک هەڵدەگرێت.

Quick checkپشکنینی خێراWhich of these is PHI under HIPAA?کام لەمانە بەپێی PHIـە؟A clinic's list of patients' names with their test resultsلیستی ناوی نەخۆشانی کلینیکێک لەگەڵ ئەنجامی پشکنینەکانیانA bakery's list of bread pricesلیستی نرخی نانی نانەواخانەیەکA newspaper article about flu in generalوتارێکی ڕۆژنامە دەربارەی ئەنفلوەنزا بە گشتی

The three HIPAA rulesسێ ڕێساکەی HIPAA

The notes list HIPAA's main provisions as three rules. Each answers a different question:

تێبینییەکان خاڵە سەرەکییەکانی وەک سێ ڕێسا دەژمێرن. هەریەکەیان وەڵامی پرسیارێکی جیاواز دەداتەوە:

HIPAA's three rulesسێ ڕێساکەی
Ruleڕێسا	Question it answersوەڵامی چ پرسیارێک دەداتەوە	Examplesنموونە
Privacy Ruleڕێسای	Who may use or disclose PHI, and for what?کێ دەتوانێت PHI بەکار بهێنێت یان ئاشکرای بکات و بۆ چی؟	A doctor may share records with another doctor treating you, but not sell them to an advertiser; patients can see their own records.پزیشکێک دەتوانێت تۆمارەکان لەگەڵ پزیشکێکی تر کە چارەسەرت دەکات بەش بکات، بەڵام نایفرۆشێت بە ڕیکلامکەرێک؛ نەخۆشەکان دەتوانن تۆماری خۆیان ببینن.
Security Ruleڕێسای	How is electronic PHI (ePHI) protected?PHIـی ئەلیکترۆنی ⁦(ePHI)⁩ چۆن دەپارێزرێت؟	Administrative safeguards: risk analysis, staff training. Physical: locked server rooms, controlled workstations. Technical: access control, audit logs, encryption in transit.پاراستنی کارگێڕی: ، ڕاهێنانی کارمەندان. فیزیکی: ژووری داخراو، ئامێری کاری کۆنترۆڵکراو. تەکنیکی: ، پشکنین، لە کاتی ناردندا.
Breach Notification Ruleڕێسای	Who must be told after a breach, and when?دوای کێ دەبێت ئاگادار بکرێتەوە و کەی؟	The affected individuals, the Department of Health and Human Services (HHS), and sometimes the media: next screen.ئەو کەسانەی زیانیان پێ گەیشتووە، وەزارەتی تەندروستی و خزمەتگوزارییە مرۆییەکان ⁦(HHS)⁩ و هەندێک جار میدیا: پەردەی داهاتوو.

The Security Rule's goal is written in a familiar way: covered entities must ensure the confidentiality, integrity and availability of all ePHI, the CIA triad.

ئامانجی ڕێسای بە شێوەیەکی ناسراو نووسراوە: دامەزراوە گیراوەکان دەبێت ، و هەموو ePHI دابین بکەن، واتە سێگۆشەی CIA.

Quick checkپشکنینی خێراA hospital locks its server room and gives each nurse her own login. Which HIPAA rule is it following?نەخۆشخانەیەک ژووری دادەخات و تایبەت دەداتە هەر پەرستارێک. پەیڕەوی کام ڕێسای دەکات؟Breach Notification Ruleڕێسای ئاگادارکردنەوەی دزەکردنی دراوەPrivacy Ruleڕێسای تایبەتێتیSecurity Ruleڕێسای ئاسایش

The three HIPAA rulesسێ ڕێساکەی HIPAA

The Breach Notification Rule step by stepڕێسای ئاگادارکردنەوەی دزەکردنی دراوە هەنگاو بە هەنگاو

The notes: after a data breach, entities must notify the affected individuals, the Department of Health and Human Services (HHS), and sometimes the media. The regulations give the details:

تێبینییەکان: دوای ، دامەزراوەکان دەبێت ئەو کەسانەی زیانیان پێ گەیشتووە، وەزارەتی تەندروستی و خزمەتگوزارییە مرۆییەکان ⁦(HHS)⁩ و هەندێک جار میدیا ئاگادار بکەنەوە. ڕێساکان وردەکارییەکان دەدەن:

Individuals: without unreasonable delay and no later than 60 calendar days after the breach is discovered.
Media: if more than 500 residents of one state are affected, prominent media outlets in that state are told too, within the same 60 days.
HHS: for 500 or more people, at the same time as the individuals; for fewer than 500, in a yearly log sent within 60 days after the end of the year.
Only unsecured PHI: the rule covers PHI that was not made unusable, unreadable or indecipherable to outsiders. Strong encryption done the way HHS describes can mean no notification is needed.

تاکەکان: بەبێ دواکەوتنی ناماقووڵ و لە ٦٠ ڕۆژی ڕۆژژمێری زیاتر نا دوای دۆزینەوەی .
میدیا: ئەگەر زیاتر لە ٥٠٠ دانیشتووی یەک ویلایەت زیانیان پێ گەیشتبێت، میدیا دیارەکانی ئەو ویلایەتەش ئاگادار دەکرێنەوە، لە هەمان ٦٠ ڕۆژدا.
HHS: بۆ ٥٠٠ کەس یان زیاتر، لە هەمان کاتی ئاگادارکردنەوەی تاکەکاندا؛ بۆ کەمتر لە ٥٠٠، لە تۆمارێکی ساڵانەدا کە لە ماوەی ٦٠ ڕۆژ دوای کۆتایی ساڵ دەنێردرێت.
تەنها PHIـی نەپارێزراو: ڕێساکە ئەو PHI دەگرێتەوە کە نەکراوە بە شتێکی بەکارنەهاتوو، نەخوێندراو یان تێنەگەیشتوو بۆ کەسانی دەرەکی. بەهێز بەو شێوەیەی HHS وەسفی دەکات دەتوانێت واتای ئەوە بێت کە ئاگادارکردنەوە پێویست نییە.

Animation in five scenes. 1: a clinic stores patient records on a server. 2: Day 0, an unauthorised person copies the records; the breach is discovered. 3: within 60 days, a letter goes to every affected patient. 4: more than 500 people in one state, so local media are told; 500 or more, so HHS is told at the same time. 5: the comparison with the GDPR: 60 days to individuals under HIPAA, 72 hours to the authority under the GDPR. — Who is told after a HIPAA breachدوای بەپێی کێ ئاگادار دەکرێتەوەCêIT

Quick checkپشکنینی خێراA clinic in Texas discovers a breach of 1,200 Texans' unencrypted records on 1 March. Which is required?کلینیکێک لە تەکساس لە ١ی ئازاردا دەدۆزێتەوە کە تۆماری بێ شفرەی ١٢٠٠ دانیشتووی تەکساس دەگرێتەوە. کامە پێویستە؟Nothing, because Texas is one stateهیچ، چونکە تەکساس یەک ویلایەتەLetters to the 1,200 people, the media and HHS, all within 60 daysنامە بۆ ١٢٠٠ کەسەکە، میدیا و HHS، هەمووی لە ماوەی ٦٠ ڕۆژداOnly a line in the yearly logتەنها دێڕێک لە تۆماری ساڵانەدا

HIPAA penalties: four tiers, adjusted for inflationسزاکانی HIPAA: چوار ئاست، ڕێکخراو بەپێی هەڵاوسان

The notes give HIPAA penalties as $100 to $50,000 per violation, capped at $1.5 million per year for repeated violations. Those were the amounts set by the HITECH Act in 2009. Today the civil penalties depend on how much the organisation was at fault, and US law requires them to be adjusted for inflation, normally every year.

تێبینییەکان سزاکانی وەک ١٠٠ تا ٥٠،٠٠٠ دۆلار بۆ هەر سەرپێچییەک، بە سنووری ١.٥ ملیۆن دۆلار لە ساڵێکدا بۆ سەرپێچیی دووبارە دەدەن. ئەمانە ئەو بڕانە بوون کە یاسای HITECH لە ٢٠٠٩دا دایناون. ئەمڕۆ سزا مەدەنییەکان بەندن بە ئەوەی ڕێکخراوەکە چەند هەڵەی کردووە و یاسای ئەمریکا داوا دەکات بەپێی هەڵاوسان ڕێک بخرێن، زۆرجار هەموو ساڵێک.

Current HIPAA penalty amountsبڕە ئێستاییەکانی سزای HIPAA

The amounts in force today are those of the HHS rule published on 28 January 2026 (the 2025 adjustment). On 21 October 2026 HHS announced that there will be no adjustment for 2026, so these numbers stay in use. They apply to violations since 2 November 2015 for penalties assessed after the rule was published.

ئەو بڕانەی ئەمڕۆ کاریان پێ دەکرێت هی ئەو ڕێسایەی HHSـن کە لە ٢٨ی کانوونی دووەمی ٢٠٢٦دا بڵاو کرایەوە (ڕێکخستنی ٢٠٢٥). لە ٢١ی تشرینی یەکەمی ٢٠٢٦دا HHS ڕایگەیاند کە بۆ ٢٠٢٦ هیچ ڕێکخستنێک نابێت، بۆیە ئەم ژمارانە بەکاردێن. بۆ سەرپێچییەکانی دوای ٢ی تشرینی دووەمی ٢٠١٥ جێبەجێ دەبن، بۆ ئەو سزایانەی دوای بڵاوکردنەوەی ڕێساکە دەدرێن.

HIPAA civil penalties (HHS, 45 CFR 102.3, amounts in force from 28 January 2026)سزا مەدەنییەکانی (HHS، ⁦45 CFR 102.3⁩، ئەو بڕانەی لە ٢٨ی کانوونی دووەمی ٢٠٢٦ەوە کاریان پێ دەکرێت)
Tier: how much at fault?ئاست: چەند هەڵەی کردووە؟	Per violation (min – max)بۆ هەر سەرپێچییەک (کەمترین – زۆرترین)	Calendar-year cap in the ruleسنووری ساڵانە لە ڕێساکەدا
1. Did not know, and could not reasonably have known١. نەیدەزانی و بە شێوەیەکی ماقووڵ نەیدەتوانی بزانێت	$145 – $73,011	$2,190,294
2. Reasonable cause, not wilful neglect٢. هۆی ماقووڵ، نەک کەمتەرخەمیی بە ئەنقەست	$1,461 – $73,011	$2,190,294
3. Wilful neglect, corrected within 30 days٣. کەمتەرخەمیی بە ئەنقەست، لە ماوەی ٣٠ ڕۆژدا چاک کرا	$14,602 – $73,011	$2,190,294
4. Wilful neglect, not corrected in time٤. کەمتەرخەمیی بە ئەنقەست، لە کاتی خۆیدا چاک نەکرا	$73,011 – $2,190,294	$2,190,294

Quick checkپشکنینی خێراWhy are today's HIPAA amounts different from the notes' '$100 to $50,000'?بۆچی بڕەکانی ئەمڕۆی لە «١٠٠ تا ٥٠،٠٠٠ دۆلار»ـی تێبینییەکان جیاوازن؟Because the amounts are adjusted for inflation, normally every yearچونکە بڕەکان بەپێی هەڵاوسان ڕێک دەخرێن، زۆرجار هەموو ساڵێکBecause HIPAA now uses the GDPR's 4% ruleچونکە HIPAA ئێستا یاسای ٤٪ـی GDPR بەکار دەهێنێتBecause HIPAA was cancelledچونکە HIPAA هەڵوەشێنرایەوە

Lower yearly caps in practiceسنووری ساڵانەی نزمتر لە ڕاستیدا

Noteتێبینی

Since 2019 HHS has used lower yearly caps for the three lower tiers as a matter of enforcement discretion (before inflation: $25,000, $100,000 and $250,000; the top tier keeps the full cap). So in practice the yearly total for a less serious violation is far below the cap in the table. Fines are for each violation, so many violations can add up quickly.

لە ٢٠١٩ەوە HHS وەک ئازادیی جێبەجێکردن سنووری ساڵانەی نزمتر بۆ سێ ئاستە نزمەکە بەکار دەهێنێت (پێش هەڵاوسان: ٢٥،٠٠٠، ١٠٠،٠٠٠ و ٢٥٠،٠٠٠ دۆلار؛ ئاستی سەرەوە سنوورە تەواوەکەی دەمێنێتەوە). بۆیە لە ڕاستیدا کۆی ساڵانە بۆ سەرپێچییەکی کەمتر قورس زۆر لە خوار سنوورەکەی ناو خشتەکەوەیە. سزاکان بۆ هەر سەرپێچییەکن، بۆیە سەرپێچیی زۆر دەتوانن بە خێرایی کۆ ببنەوە.

Quick checkپشکنینی خێراA clinic's violations are in tier 1 ('did not know'). Why will its real yearly total usually be far below the $2,190,294 in the table?سەرپێچییەکانی کلینیکێک لە ئاستی ١دان («نەیدەزانی»). بۆچی کۆی ساڵانەی ڕاستەقینەی زۆرجار زۆر لە خوار ٢،١٩٠،٢٩٤ دۆلارەکەی خشتەکەوە دەبێت؟Tier-1 violations are never finedسەرپێچییەکانی ئاستی ١ هەرگیز سزا نادرێنSince 2019 HHS has applied much lower yearly caps to the three lower tiersلە ٢٠١٩ەوە HHS سنووری ساڵانەی زۆر نزمتر بۆ سێ ئاستە نزمەکە بەکار دەهێنێتHIPAA fines ended in 2026سزاکانی HIPAA لە ٢٠٢٦دا کۆتاییان هات

A HIPAA case: Anthem, $16 millionنموونەیەکی HIPAA: Anthem، ١٦ ملیۆن دۆلار

The notes' example: Anthem Inc. paid $16 million in 2018 for a breach affecting 79 million people, then the largest HIPAA settlement. Anthem is a large US health insurer. Attackers got in through spear-phishing e-mails (targeted fake e-mails) and stayed inside for weeks, taking the records of almost 79 million people. In October 2018 the HHS Office for Civil Rights announced the settlement. Besides the money, Anthem had to follow a corrective plan under government supervision, starting with a thorough risk analysis; regulators stressed that large health organisations are expected to monitor their systems and react to incidents quickly.

نموونەی تێبینییەکان: کۆمپانیای Anthem لە ٢٠١٨دا ١٦ ملیۆن دۆلاری دا بەهۆی کە ٧٩ ملیۆن کەسی گرتەوە، کە ئەو کات گەورەترین ڕێککەوتنی بوو. Anthem کۆمپانیایەکی گەورەی بیمەی تەندروستیی ئەمریکییە. لە ڕێگەی (ئیمەیڵی ساختەی ئامانجدار) چوونە ژوورەوە و چەند هەفتەیەک لە ناوەوە مانەوە و تۆماری نزیکەی ٧٩ ملیۆن کەسیان برد. لە تشرینی یەکەمی ٢٠١٨دا نووسینگەی مافە مەدەنییەکانی HHS ڕێککەوتنەکەی ڕاگەیاند. جگە لە پارەکە، Anthem دەبوو پلانێکی چاککردن لەژێر چاودێریی حکوومەتدا پەیڕەو بکات، کە بە وردەوە دەست پێدەکات؛ چاودێران جەختیان کردەوە کە چاوەڕێ دەکرێت ڕێکخراوە گەورەکانی تەندروستی چاودێریی سیستەمەکانیان بکەن و بە خێرایی وەڵامی ڕووداوەکان بدەنەوە.

Noteتێبینی

'The largest HIPAA settlement to date' was true when it was announced in 2018. The lesson is not the size of the number. A single tricked employee opened the door (spear phishing); risk analysis, monitoring and multi-factor sign-in are the kind of safeguards HIPAA's Security Rule asks for.

«گەورەترین ڕێککەوتنی تا ئەمڕۆ» لە کاتی ڕاگەیاندنیدا لە ٢٠١٨ ڕاست بوو. وانەکە قەبارەی ژمارەکە نییە. تەنها کارمەندێکی فریوخواردوو دەرگاکەی کردەوە (فیشینگی ئامانجدار)؛ ، چاودێری و پشتڕاستکردنەوەی فرەهۆکاری ئەو جۆرە پاراستنانەن کە ڕێسای داوایان دەکات.

Quick checkپشکنینی خێراHow did the attackers first get into Anthem? یەکەمجار چۆن چوونە ناو Anthemـەوە؟Through a public bug bountyلە ڕێگەی بەرنامەیەکی گشتیی خەڵاتی دۆزینەوەی باگەوەBy stealing the building's keysبە دزینی کلیلی بیناکەThrough spear-phishing e-mails to staffلە ڕێگەی ئیمەیڵەکانی فیشینگی ئامانجدار بۆ کارمەندان

China's Cybersecurity Lawیاسای ئاسایشی سایبەری چین

The third framework is China's Cybersecurity Law (adopted in November 2016, in force since 1 June 2017). The notes give its purpose: to strengthen network security, protect critical information infrastructure and safeguard personal information. It applies to all businesses operating in China, including foreign companies.

سێیەم چوارچێوە یاسای چینە (لە تشرینی دووەمی ٢٠١٦دا پەسەند کرا، لە ١ی حوزەیرانی ٢٠١٧ەوە جێبەجێ دەکرێت). تێبینییەکان مەبەستەکەی دەدەن: بەهێزکردنی ، پاراستنی زانیاری و پاراستنی زانیاریی کەسی. هەموو ئەو کار و کۆمپانیایانە دەگرێتەوە کە لە چین کار دەکەن، لەوانە کۆمپانیا بیانییەکان.

Critical information infrastructure (CII): organisations in key sectors must follow stricter security standards, because an attack on them could seriously harm national security, people's lives or the public interest. The notes' examples are finance, transport and healthcare; the law's own list (Article 31) names public communications, energy, transport, water, finance, public services and e-government, plus any other system whose loss would cause such serious harm.
Data localisation: personal information and important data collected in China must be stored inside China.
User consent: companies must get users' consent before collecting personal data, say why and how it is used, and collect only what their service needs.
Data transfers: sending personal data across the border needs a security assessment first.

⁦(CII)⁩: ڕێکخراوەکانی کەرتە سەرەکییەکان دەبێت پەیڕەوی ستانداردی توندتر بکەن، چونکە بۆ سەریان دەتوانێت زیانی گەورە بە ، ژیانی خەڵک یان بەرژەوەندیی گشتی بگەیەنێت. نموونەکانی تێبینییەکان دارایی، گواستنەوە و تەندروستین؛ لیستی خودی یاساکە (ماددەی ٣١) پەیوەندییە گشتییەکان، وزە، گواستنەوە، ئاو، دارایی، خزمەتگوزارییە گشتییەکان و حکوومەتی ئەلیکترۆنی ناو دەهێنێت، لەگەڵ هەر سیستەمێکی تر کە لەدەستدانی زیانێکی ئاوها گەورە دروست بکات.
: زانیاریی کەسی و گرنگ کە لە چین کۆکراونەتەوە دەبێت لە ناو چیندا هەڵبگیرێن.
: کۆمپانیاکان دەبێت پێش کۆکردنەوەی وەربگرن، بڵێن بۆچی و چۆن بەکار دێت و تەنها ئەوەندە کۆ بکەنەوە کە خزمەتگوزارییەکەیان پێویستی پێیەتی.
گواستنەوەی : ناردنی بۆ دەرەوەی سنوور سەرەتا پێویستی بە هەڵسەنگاندنی هەیە.

Definitionپێناسە

A legal rule that some , especially citizens' , must be stored on servers inside the country. China's Cybersecurity Law is a well-known example.

ڕێسایەکی یاساییە کە هەندێک ، بەتایبەتی ، دەبێت لەسەر ناو وڵات خەزن بکرێن. یاسای چین نموونەیەکی ناسراوە.

Quick checkپشکنینی خێراWhich of these is most clearly a critical information infrastructure (CII) operator under China's Cybersecurity Law?کام لەمانە بە ڕوونترین شێوە بەڕێوەبەری ⁦(CII)⁩ـە بەپێی یاسای چین؟A small online bookshopکتێبفرۆشییەکی بچووکی سەرهێڵA student's personal blogبلۆگی کەسیی خوێندکارێکA national power-grid companyکۆمپانیایەکی نیشتیمانیی تۆڕی کارەبا

Localisation and transfers todayهێشتنەوەی دراوە لە ناو وڵات و ناردنی دراوە بۆ دەرەوە، ئەمڕۆ

Localisation and transfers todayهێشتنەوەی دراوە لە ناو وڵات و گواستنەوە ئەمڕۆ

Two points are narrower than the notes say. Localisation in the Cybersecurity Law (Article 37) applies to CII operators, not to every company; the later Personal Information Protection Law extends it to companies that handle very large amounts of personal information. Cross-border transfers are now mainly governed by that 2021 law: a company may send personal information abroad after a government security assessment, a certification, or a standard contract with the receiver, and rules issued in March 2024 exempt some transfers (for example small volumes or transfers needed for a contract). Transfers by CII operators and of 'important data' always need the security assessment.

دوو خاڵ لەوە تەسکترن کە تێبینییەکان دەیڵێن. لە یاسای (ماددەی ٣٧) بەڕێوەبەرانی CII دەگرێتەوە، نەک هەموو کۆمپانیایەک؛ یاسای دواتری پاراستنی زانیاریی کەسی فراوانی دەکات بۆ ئەو کۆمپانیایانەی بڕێکی زۆر گەورەی زانیاریی کەسی بەکار دەهێنن. گواستنەوەی دەرەوەی سنوور ئێستا بە شێوەیەکی سەرەکی بەو یاسایەی ٢٠٢١ ڕێک دەخرێت: کۆمپانیایەک دەتوانێت زانیاریی کەسی بنێرێتە دەرەوە دوای هەڵسەنگاندنی حکوومەت، بڕوانامەیەک، یان گرێبەستێکی ستاندارد لەگەڵ وەرگرەکە و ڕێساکانی ئازاری ٢٠٢٤ هەندێک گواستنەوە بەدەر دەکەن (بۆ نموونە بڕی کەم یان ئەو گواستنەوانەی بۆ گرێبەستێک پێویستن). گواستنەوەی بەڕێوەبەرانی CII و « گرنگ» هەمیشە پێویستیان بە هەڵسەنگاندنی هەیە.

Quick checkپشکنینی خێراUnder the Cybersecurity Law's Article 37, who must keep personal information collected in China inside China?بەپێی ماددەی ٣٧ی یاسای ، کێ دەبێت ئەو زانیارییە کەسییانەی لە چین کۆکراونەتەوە لە ناو چیندا بهێڵێتەوە؟Operators of critical information infrastructureبەڕێوەبەرانی ژێرخانی گرنگی زانیاریNobody: the law has no localisation ruleهیچ کەس: یاساکە هیچ ڕێسایەکی هێشتنەوەی دراوە لە ناو وڵاتی نییەEvery website in the world with Chinese visitorsهەموو تۆڕگەیەک لە جیهاندا کە سەردانیکەری چینیی هەیە

Three laws that work togetherسێ یاسا کە پێکەوە کار دەکەن

The notes name one Chinese law, but today three laws are read together. The Cybersecurity Law (2017) covers network security and CII. The Data Security Law (DSL, in force 1 September 2021) covers all handling of data, sorts data by importance ('important data', 'core data') and controls handing data to foreign courts or police. The Personal Information Protection Law (PIPL, in force 1 November 2021) is China's main personal-data law, close in many ways to the GDPR: it has several lawful bases besides consent, rules for cross-border transfers, and it also reaches companies abroad that offer products or services to people in China or analyse their behaviour.

تێبینییەکان ناوی یەک یاسای چین دەهێنن، بەڵام ئەمڕۆ سێ یاسا پێکەوە دەخوێنرێنەوە. یاسای (٢٠١٧) و CII دەگرێتەوە. یاسای (DSL، لە ١ی ئەیلوولی ٢٠٢١ەوە) هەموو مامەڵەکردنێک لەگەڵ دەگرێتەوە، بەپێی گرنگی پۆلێن دەکات (« گرنگ»، « بنەڕەتی») و کۆنترۆڵی دانی بە دادگا یان پۆلیسی بیانی دەکات. یاسای پاراستنی زانیاریی کەسی (PIPL، لە ١ی تشرینی دووەمی ٢٠٢١ەوە) یاسا سەرەکییەکەی چینە بۆ و لە زۆر ڕووەوە لە نزیکە: جگە لە چەند تری هەیە، ڕێسای گواستنەوەی دەرەوەی سنووری هەیە و ئەو کۆمپانیا بیانییانەش دەگرێتەوە کە بەرهەم یان خزمەتگوزاری پێشکەش بە خەڵکی ناو چین دەکەن یان ڕەفتاریان شی دەکەنەوە.

China's three data laws on one timelineسێ یاساکەی چین لەسەر یەک هێڵی کاتCêIT

Quick checkپشکنینی خێراWhich Chinese law is closest to the GDPR?کام یاسای چین لە نزیکترە؟The Personal Information Protection Law (PIPL)یاسای پاراستنی زانیاریی کەسی ⁦(PIPL)⁩None: China has no personal-data lawهیچیان: چین هیچ یاسایەکی دراوەی کەسیی نییەThe Data Security Law (DSL)یاسای ئاسایشی دراوە ⁦(DSL)⁩

Penalties under the Cybersecurity Lawسزاکان بەپێی یاسای ئاسایشی سایبەری چین

The notes list the penalties for breaking the Cybersecurity Law as severe fines, revocation (cancelling) of business licences, and criminal charges. Under the original law, regulators could order corrections, give warnings, confiscate illegal income and fine up to about RMB 1 million in many cases; responsible managers could be fined too; serious cases could lead to suspended business, closed websites or cancelled licences.

تێبینییەکان سزاکانی شکاندنی یاسای بەم شێوەیە دەژمێرن: سزای دارایی قورس، هەڵوەشاندنەوەی (پووچەڵکردنەوەی) مۆڵەتی بازرگانی و تۆمەتی تاوانکاری. بەپێی یاسا ڕەسەنەکە، چاودێران دەیانتوانی فەرمانی چاککردن بدەن، ئاگادار بکەنەوە، داهاتی نایاسایی دەستبەسەر بگرن و لە زۆر حاڵەتدا تا نزیکەی ١ ملیۆن یوان سزای دارایی بدەن؛ بەڕێوەبەرە بەرپرسەکانیش دەکرا سزای دارایی بدرێن؛ حاڵەتە قورسەکان دەیانتوانی ببنە هۆی ڕاگرتنی کار، داخستنی یان هەڵوەشاندنەوەی مۆڵەتەکان.

No death penalty in this lawئەم یاسایە سزای لەسێدارەدانی تێدا نییە

A Kurdish gloss in the notes explains 'criminal charges' as «such as life sentences and execution». That is not in the Cybersecurity Law. The law itself gives administrative penalties (fines, suspension, closing websites, cancelling licences, and for some acts short detention of the people responsible); conduct that is a crime is handled under China's general Criminal Law.

ڕوونکردنەوەیەکی کوردی لە تێبینییەکاندا «تۆمەتی تاوانکاری» بە «وەک حوکمی ئەبەدی و لەسێدارەدان» لێک دەداتەوە. ئەمە لە یاسای نییە. یاساکە خۆی سزای کارگێڕی دەدات (سزای دارایی، ڕاگرتن، داخستنی ، هەڵوەشاندنەوەی مۆڵەت و بۆ هەندێک کار دەستبەسەرکردنی کورتی کەسە بەرپرسەکان)؛ ئەو ڕەفتارانەی تاوانن بەپێی یاسای سزادانی گشتیی چین مامەڵەیان لەگەڵ دەکرێت.

Quick checkپشکنینی خێراA Kurdish gloss in the notes says China's Cybersecurity Law punishes with 'life sentences and execution'. What is true?ڕوونکردنەوەیەکی کوردی لە تێبینییەکاندا دەڵێت یاسای چین بە «حوکمی ئەبەدی و لەسێدارەدان» سزا دەدات. کامە ڕاستە؟The law sets fines, suspension, closed websites, cancelled licences and short detention; crimes go to the Criminal Lawیاساکە سزای دارایی، ڕاگرتنی کار، داخستنی تۆڕگەکان، هەڵوەشاندنەوەی مۆڵەت و دەستبەسەرکردنی کورت دادەنێت؛ تاوانەکان دەچنە ژێر یاسای سزادانIt has no penalties at allهیچ سزایەکی نییەIt sets the death penalty for any data leakبۆ هەر دزەکردنێکی دراوە سزای لەسێدارەدان دادەنێت

The 2026 amendment and the PIPL's finesهەموارکردنەوەی ٢٠٢٦ و سزاکانی PIPL

The 2026 amendment. On 28 October 2025 China amended the Cybersecurity Law for the first time; the new version has been in force since 1 January 2026. Fines are now higher: where the consequences are 'particularly serious', a company can be fined RMB 2 to 10 million, and the responsible persons RMB 200,000 to 1 million. CII operators can be fined for a first violation, the law reaches foreign organisations whose activities endanger China's cybersecurity more widely, and a new article supports the development and safe use of artificial intelligence.

هەموارکردنەوەی ٢٠٢٦. لە ٢٨ی تشرینی یەکەمی ٢٠٢٥دا چین بۆ یەکەمجار یاسای هەموار کرد؛ وەشانە نوێیەکە لە ١ی کانوونی دووەمی ٢٠٢٦ەوە جێبەجێ دەکرێت. سزا داراییەکان ئێستا بەرزترن: کاتێک ئەنجامەکان «زۆر قورس» بن، کۆمپانیایەک دەتوانرێت ٢ تا ١٠ ملیۆن یوان سزا بدرێت و کەسە بەرپرسەکان ٢٠٠،٠٠٠ تا ١ ملیۆن یوان. بەڕێوەبەرانی CII دەکرێت بۆ یەکەم سەرپێچی سزای دارایی بدرێن، یاساکە بە شێوەیەکی فراوانتر ئەو ڕێکخراوە بیانییانە دەگرێتەوە کە چالاکییەکانیان چین دەخەنە مەترسییەوە و ماددەیەکی نوێ پاڵپشتیی پەرەپێدان و بەکارهێنانی سەلامەتی دەکات.

Under the PIPL, the most serious personal-information violations can bring fines of up to RMB 50 million or 5% of the previous year's turnover, suspension of business or cancelled licences, and fines of RMB 100,000 to 1 million for the responsible persons, who can also be banned from senior posts for a time.

بەپێی PIPL، قورسترین سەرپێچییەکانی زانیاریی کەسی دەتوانن ببنە هۆی سزای دارایی تا ٥٠ ملیۆن یوان یان ٥٪ی داهاتی ساڵی پێشوو، ڕاگرتنی کار یان هەڵوەشاندنەوەی مۆڵەت و سزای دارایی ١٠٠،٠٠٠ تا ١ ملیۆن یوان بۆ کەسە بەرپرسەکان، کە دەکرێت بۆ ماوەیەکیش لە پۆستە باڵاکان قەدەغە بکرێن.

Quick checkپشکنینی خێراUnder the PIPL, what is the top fine for the most serious violations?بەپێی PIPL، بەرزترین سزای دارایی بۆ قورسترین سەرپێچییەکان چییە؟Up to RMB 50 million or 5% of last year's turnoverتا ٥٠ ملیۆن یوان یان ٥٪ی داهاتی ساڵی پێشووUp to €20 million or 4% of turnoverتا ٢٠ ملیۆن یۆرۆ یان ٤٪ی داهاتLife in prisonزیندانی ئەبەدی

A Chinese case: Didi, 2021–2022نموونەیەکی چینی: دیدی، ٢٠٢١–٢٠٢٢

The notes' example: in 2021 the ride-hailing giant Didi was investigated for alleged data-handling violations, which led to a ban on downloading its app. Didi had listed its shares on the New York Stock Exchange in June 2021. Days later, in July 2021, China's Cyberspace Administration (CAC) opened a review, ordered app stores to remove Didi's apps and stopped it from signing up new users.

نموونەی تێبینییەکان: لە ٢٠٢١دا لە کۆمپانیای گەورەی گواستنەوەی دیدی لێکۆڵینەوە کرا بەهۆی سەرپێچیی گومانلێکراو لە مامەڵەکردن لەگەڵ ، کە بووە هۆی قەدەغەکردنی دابەزاندنی . دیدی لە حوزەیرانی ٢٠٢١دا پشکەکانی لە بازاڕی پشکی نیویۆرک خستبووە ڕوو. چەند ڕۆژێک دواتر، لە تەممووزی ٢٠٢١دا، دەزگای سایبەریی چین ⁦(CAC)⁩ پێداچوونەوەیەکی دەست پێکرد، فەرمانی دا دیدی لە لابدرێن و ڕێی لە تۆمارکردنی بەکارهێنەری نوێ گرت.

The 2022 fineسزا داراییەکەی ٢٠٢٢

The story went further than an investigation. In July 2022 the CAC fined Didi 8.026 billion yuan (about $1.2 billion), more than 4% of its 2021 revenue, and fined its founder and chief executive and its president 1 million yuan each. The regulator said Didi had illegally collected users' information since 2015, stored the personal information of more than 57 million drivers insecurely, and analysed passengers' data, including facial-recognition data, without their consent. After more than a year of 'rectification' Didi was allowed to sign up new users again; it also left the New York Stock Exchange.

چیرۆکەکە لە لێکۆڵینەوەیەک تێپەڕی. لە تەممووزی ٢٠٢٢دا CAC دیدی بە ٨.٠٢٦ ملیار یوان (نزیکەی ١.٢ ملیار دۆلار) سزا دا، کە زیاتر لە ٤٪ی داهاتی ٢٠٢١ی بوو و دامەزرێنەر و بەڕێوەبەری جێبەجێکار و سەرۆکەکەی هەریەکەیان بە ١ ملیۆن یوان سزا دران. چاودێرەکە گوتی دیدی لە ٢٠١٥ەوە بە نایاسایی زانیاریی کۆکردووەتەوە، زانیاریی کەسیی زیاتر لە ٥٧ ملیۆن شۆفێری بە ناسەلامەتی هەڵگرتووە و گەشتیارانی، لەوانە ، بەبێ خۆیان شی کردووەتەوە. دوای زیاتر لە ساڵێک «چاککردنەوە» ڕێگە بە دیدی درا دووبارە بەکارهێنەری نوێ تۆمار بکات؛ هەروەها لە بازاڕی پشکی نیویۆرکیش کشایەوە.

Quick checkپشکنینی خێراWhat did the CAC say Didi had done?CAC گوتی دیدی چی کردبوو؟Published a vulnerability too earlyخاڵێکی لاواز زوو بڵاو کردبووەوەCollected and analysed users' data, including facial-recognition data, without proper consentدراوەی بەکارهێنەرەکان، لەوانە دراوەی ناسینەوەی ڕووخسار، بەبێ ڕەزامەندیی دروست کۆ کردبووەوە و شی کردبووەوەRefused to pay a ransomڕەتی کردبووەوە پارەی بارمتە بدات

The three laws side by sideسێ یاساکە لە تەنیشت یەک

The lecture ends this part with a comparison table. Here it is rebuilt, with the old numbers corrected and China's three laws together.

وانەکە ئەم بەشە بە خشتەیەکی بەراوردکاری کۆتایی پێدەهێنێت. ئەمە دووبارە دروستکراوەکەیەتی، لەگەڵ چاککردنی ژمارە کۆنەکان و سێ یاساکەی چین پێکەوە.

GDPR, HIPAA and China's laws compared (rebuilt from the lecture's table, corrected October 2026)، و یاساکانی چین بەراورد کراون (لە خشتەی وانەکەوە دووبارە دروستکراوە، چاککراو لە تشرینی یەکەمی ٢٠٢٦)
Aspectلایەن	GDPR (Europe) (ئەوروپا)	HIPAA (USA) (ئەمریکا)	Cybersecurity Law + DSL + PIPL (China)یاسای + ⁦DSL + PIPL⁩ (چین)
Focusناوەڕۆک	Personal data protection and privacy کەسی و	Health-care data privacy and security و تەندروستی	Network security, critical infrastructure, data security, personal information, data localisation ، ، ، زانیاریی کەسی،
Scopeبواری جێبەجێکردن	Any organisation handling data of people in the EU/EEA, wherever it isهەر ڕێکخراوێک کە مامەڵە لەگەڵ خەڵکی ناو یەکێتیی ئەوروپا دەکات، لە هەر شوێنێک بێت	Health plans, clearinghouses, providers and their business associatesپلانەکانی تەندروستی، ناوەندەکانی پسوولە، دابینکەران و هاوبەشە بازرگانییەکانیان	Businesses operating in China, including foreign ones; PIPL also reaches some activities abroadکار و کۆمپانیاکانی ناو چین، لەوانە بیانییەکان؛ PIPL هەندێک چالاکیی دەرەوەش دەگرێتەوە
Key provisionsخاڵە سەرەکییەکان	Lawful basis and consent, eight rights, 72-hour breach notice, accountability, fines و ، هەشت ماف، ئاگادارکردنەوەی ٧٢ کاتژمێر، ، سزای دارایی	Privacy, Security and Breach Notification Rules (60 days)ڕێساکانی ، و (٦٠ ڕۆژ)	CII rules, localisation, consent, cross-border assessments or contractsڕێساکانی CII، ، ، هەڵسەنگاندن یان گرێبەستی دەرەوەی سنوور
Penaltiesسزاکان	Up to €20 M or 4% of worldwide turnover (lower tier €10 M or 2%)تا ٢٠ ملیۆن یۆرۆ یان ٤٪ی داهاتی جیهانی (ئاستی نزم ١٠ ملیۆن یان ٢٪)	$145 to $73,011 per violation; up to $2,190,294 a year (2026 levels)١٤٥ تا ٧٣،٠١١ دۆلار بۆ هەر سەرپێچییەک؛ تا ٢،١٩٠،٢٩٤ دۆلار لە ساڵێکدا (ئاستەکانی ٢٠٢٦)	CSL up to RMB 10 M (2026); PIPL up to RMB 50 M or 5%; licence revocation; criminal law for crimesCSL تا ١٠ ملیۆن یوان (٢٠٢٦)؛ PIPL تا ٥٠ ملیۆن یوان یان ٥٪؛ هەڵوەشاندنەوەی مۆڵەت؛ یاسای سزادان بۆ تاوانەکان
Exampleنموونە	Amazon €746 M (2021, annulled on appeal 2026); Meta €1.2 bn (2023)ئەمازۆن ٧٤٦ ملیۆن یۆرۆ (٢٠٢١، لە ٢٠٢٦ هەڵوەشێنرایەوە)؛ مێتا ١.٢ ملیار یۆرۆ (٢٠٢٣)	Anthem $16 M settlement (2018)Anthem ١٦ ملیۆن دۆلار ڕێککەوتن (٢٠١٨)	Didi 8.026 bn yuan fine (2022)دیدی ٨.٠٢٦ ملیار یوان سزا (٢٠٢٢)

Common mistakesهەڵە باوەکان

Mistakeهەڵە	Correct ideaبیرۆکەی دروست
'HIPAA fines are $100 to $50,000.'«سزاکانی ١٠٠ تا ٥٠،٠٠٠ دۆلارن.»	Those were 2009 amounts; today $145 to $73,011 per violation (up to $2,190,294 for the top tier), adjusted for inflation.ئەوانە بڕەکانی ٢٠٠٩ بوون؛ ئەمڕۆ ١٤٥ تا ٧٣،٠١١ دۆلار بۆ هەر سەرپێچییەک (تا ٢،١٩٠،٢٩٤ دۆلار بۆ ئاستی سەرەوە)، ڕێکخراو بەپێی هەڵاوسان.
'HIPAA covers every company that has health data.'« هەموو کۆمپانیایەک دەگرێتەوە کە تەندروستیی هەیە.»	Only covered entities and their business associates; a fitness app selling straight to users may fall outside it (other laws can still apply).تەنها دامەزراوە گیراوەکان و هاوبەشە بازرگانییەکانیان؛ ئەپێکی وەرزش کە ڕاستەوخۆ بە دەفرۆشرێت لەوانەیە نەیگرێتەوە (یاسای تر دەکرێت جێبەجێ ببن).
'All companies in China must keep all data in China.'«هەموو کۆمپانیایەک لە چین دەبێت هەموو لە چین بهێڵێتەوە.»	Strict localisation is for CII operators and very large processors; others can transfer after an assessment, certification or standard contract, or under an exemption. توند بۆ بەڕێوەبەرانی CII و کۆمپانیا زۆر گەورەکانە؛ ئەوانی تر دەتوانن دوای هەڵسەنگاندن، بڕوانامە یان گرێبەستی ستاندارد، یان بە بەدەرکردن، بیگوازنەوە.
'China's Cybersecurity Law punishes with execution.'«یاسای چین بە لەسێدارەدان سزا دەدات.»	It sets fines, suspensions, licence revocation and short detention; crimes go to the Criminal Law.سزای دارایی، ڕاگرتن، هەڵوەشاندنەوەی مۆڵەت و دەستبەسەرکردنی کورت دادەنێت؛ تاوانەکان دەچنە ژێر یاسای سزادان.
'Didi was only investigated.'«تەنها لە دیدی لێکۆڵینەوە کرا.»	It was fined 8.026 billion yuan in July 2022.لە تەممووزی ٢٠٢٢دا ٨.٠٢٦ ملیار یوان سزا درا.

Exercisesڕاهێنانەکان

ExerciseڕاهێنانWhich law applies?کام یاسا جێبەجێ دەبێت؟

For each case, say whether the GDPR, HIPAA or China's laws apply (more than one may): (a) a hospital in Chicago stores patient files on a cloud server; (b) a Chinese bank sends its customers' records to a data centre in Singapore; (c) an Iraqi online course sells to students living in France; (d) a US cloud company stores a hospital's records for it.

بۆ هەر حاڵەتێک بڵێ ، یان یاساکانی چین جێبەجێ دەبن (دەکرێت زیاتر لە یەک بێت): (أ) نەخۆشخانەیەک لە شیکاگۆ فایلی نەخۆشان لەسەر هەوری هەڵدەگرێت؛ (ب) بانکێکی چینی تۆماری کڕیارەکانی دەنێرێت بۆ سەنتەرێکی لە سەنگاپوور؛ (ج) کۆرسێکی سەرهێڵی عێراقی بە خوێندکارانی نیشتەجێی فەرەنسا دەفرۆشرێت؛ (د) کۆمپانیایەکی هەوریی ئەمریکی تۆماری نەخۆشخانەیەک بۆی هەڵدەگرێت.

Show answerوەڵامەکە پیشان بدە

(a) HIPAA: the hospital is a covered entity.
(b) China's laws: a bank is likely CII, so the transfer needs a security assessment (PIPL and the Cybersecurity Law).
(c) GDPR: it offers services to people in the EU (Article 3), although it is in Iraq.
(d) HIPAA: the cloud company is a business associate of the hospital.

(أ) : نەخۆشخانەکە دامەزراوەیەکی گیراوە.
(ب) یاساکانی چین: بانک لەوانەیە CII بێت، بۆیە گواستنەوەکە پێویستی بە هەڵسەنگاندنی هەیە (PIPL و یاسای ).
(ج) : خزمەتگوزاری پێشکەش بە خەڵکی ناو یەکێتیی ئەوروپا دەکات (ماددەی ٣)، هەرچەندە لە عێراقە.
(د) : کۆمپانیا هەورییەکە هاوبەشێکی بازرگانیی نەخۆشخانەکەیە.

ExerciseڕاهێنانHIPAA penalty rangeکەمترین و زۆرترین سزای HIPAA

A clinic had 10 violations of the same rule because of reasonable cause (tier 2). Using the table in the rule, give the smallest and the largest total for the year, before any enforcement-discretion cap.

کلینیکێک ١٠ سەرپێچیی هەمان ڕێسای کردووە بە هۆیەکی ماقووڵ (ئاستی ٢). بە بەکارهێنانی خشتەکەی ناو ڕێساکە، کەمترین و زۆرترین کۆی ساڵانە بڵێ، پێش هەر سنوورێکی ئازادیی جێبەجێکردن.

Show answerوەڵامەکە پیشان بدە

\begin{aligned} T_{\min} &= 10 \times \$1{,}461 = \$14{,}610 \\ T_{\max} &= \min(10 \times \$73{,}011,\; \$2{,}190{,}294) = \min(\$730{,}110,\; \$2{,}190{,}294) = \$730{,}110 \end{aligned}

ExerciseڕاهێنانCorrect the old tableخشتە کۆنەکە چاک بکەرەوە

The lecture's table said: HIPAA penalties '$100 to $50,000 per violation' and Didi '(investigation for data mishandling)'. Rewrite both cells for today and give one source for each.

خشتەکەی وانەکە دەیگوت: سزاکانی «١٠٠ تا ٥٠،٠٠٠ دۆلار بۆ هەر سەرپێچییەک» و دیدی «(لێکۆڵینەوە بۆ خراپ مامەڵەکردن لەگەڵ )». هەردوو خانەکە بۆ ئەمڕۆ دووبارە بنووسەوە و بۆ هەریەکەیان سەرچاوەیەک بدە.

Show answerوەڵامەکە پیشان بدە

HIPAA: '$145 to $73,011 per violation, up to $2,190,294 a year for the top tier (HHS, 2025 levels in force from 28 January 2026; no 2026 adjustment)'. Source: the Federal Register rule of 28 January 2026 and the HHS notice of 21 October 2026.
Didi: '8.026 billion yuan fine by the CAC (July 2022)'. Source: Al Jazeera, 21 July 2022.

: «١٤٥ تا ٧٣،٠١١ دۆلار بۆ هەر سەرپێچییەک، تا ٢،١٩٠،٢٩٤ دۆلار لە ساڵێکدا بۆ ئاستی سەرەوە (HHS، ئاستەکانی ٢٠٢٥ کە لە ٢٨ی کانوونی دووەمی ٢٠٢٦ەوە کاریان پێ دەکرێت؛ بۆ ٢٠٢٦ ڕێکخستن نییە)». سەرچاوە: ڕێساکەی تۆماری فیدراڵی لە ٢٨ی کانوونی دووەمی ٢٠٢٦ و ئاگادارییەکەی HHS لە ٢١ی تشرینی یەکەمی ٢٠٢٦.
دیدی: «٨.٠٢٦ ملیار یوان سزای دارایی لەلایەن CAC (تەممووزی ٢٠٢٢)». سەرچاوە: ئەلجەزیرە، ٢١ی تەممووزی ٢٠٢٢.

Summary and reviewکورتە و پێداچوونەوە

HIPAA (US, 1996) protects PHI held by covered entities and their business associates, through the Privacy, Security and Breach Notification Rules.
HIPAA breach: tell individuals within 60 days; the media if more than 500 in a state; HHS at once for 500 or more, yearly for fewer.
HIPAA penalties follow four tiers of fault and are adjusted for inflation: today $145 to $73,011 per violation, up to $2,190,294 a year; Anthem paid $16 million in 2018.
China: the Cybersecurity Law (2017, amended from 1 January 2026), the Data Security Law and the PIPL (both 2021) cover CII, localisation, consent and cross-border transfers.
China's penalties: fines (up to RMB 10 M under the amended CSL, RMB 50 M or 5% under the PIPL), suspension, licence revocation; no death penalty in these laws. Didi: 8.026 billion yuan (2022).

(ئەمریکا، ١٩٩٦) ئەو دەپارێزێت کە لای دامەزراوە گیراوەکان و هاوبەشە بازرگانییەکانیانە، لە ڕێگەی ڕێساکانی ، و .
: تاکەکان لە ماوەی ٦٠ ڕۆژدا ئاگادار بکەرەوە؛ میدیا ئەگەر زیاتر لە ٥٠٠ لە یەک ویلایەت بن؛ HHS یەکسەر بۆ ٥٠٠ یان زیاتر، ساڵانە بۆ کەمتر.
سزاکانی چوار ئاستی هەڵە پەیڕەو دەکەن و بەپێی هەڵاوسان ڕێک دەخرێن: ئەمڕۆ ١٤٥ تا ٧٣،٠١١ دۆلار بۆ هەر سەرپێچییەک، تا ٢،١٩٠،٢٩٤ دۆلار لە ساڵێکدا؛ Anthem لە ٢٠١٨دا ١٦ ملیۆن دۆلاری دا.
چین: یاسای (٢٠١٧، هەموارکراو لە ١ی کانوونی دووەمی ٢٠٢٦ەوە)، یاسای و PIPL (هەردووکیان ٢٠٢١) CII، ، و گواستنەوەی دەرەوەی سنوور دەگرنەوە.
سزاکانی چین: سزای دارایی (تا ١٠ ملیۆن یوان بەپێی CSLـی هەموارکراو، ٥٠ ملیۆن یوان یان ٥٪ بەپێی PIPL)، ڕاگرتن، هەڵوەشاندنەوەی مۆڵەت؛ لەم یاسایانەدا لەسێدارەدان نییە. دیدی: ٨.٠٢٦ ملیار یوان (٢٠٢٢).

Review questionsپرسیارەکانی پێداچوونەوە

What are HIPAA's three rules?سێ ڕێساکەی HIPAA چین؟

Privacy Rule, Security Rule (administrative, physical, technical safeguards), Breach Notification Rule.

ڕێسای ، ڕێسای (پاراستنی کارگێڕی، فیزیکی، تەکنیکی)، ڕێسای .

Who is a business associate? Give an example.هاوبەشی بازرگانی کێیە؟ نموونەیەک بهێنەرەوە.

Someone who handles PHI for a covered entity, e.g. a billing company or a cloud provider.

کەسێک یان کۆمپانیایەک کە بۆ دامەزراوەیەکی گیراو مامەڵە لەگەڵ PHI دەکات، بۆ نموونە کۆمپانیایەکی پسوولە یان دابینکەرێکی هەوری.

Which Chinese law requires CII operators to store data in China?کام یاسای چین داوا لە بەڕێوەبەرانی CII دەکات دراوە لە چین هەڵبگرن؟

The Cybersecurity Law, Article 37 (the PIPL adds very large processors).

یاسای ، ماددەی ٣٧ (PIPL کۆمپانیا زۆر گەورەکانیش زیاد دەکات).

When did the amended Cybersecurity Law come into force?یاسای ئاسایشی سایبەری هەموارکراو کەی جێبەجێ بوو؟

On 1 January 2026 (adopted 28 October 2025).

لە ١ی کانوونی دووەمی ٢٠٢٦ (لە ٢٨ی تشرینی یەکەمی ٢٠٢٥ پەسەند کرا).

Lesson complete!وانەکە تەواو بوو!

Well done. Review the key terms, then go on to the next lesson.دەستخۆش. سەیرێکی زاراوە سەرەکییەکان بکەرەوە، پاشان بڕۆ بۆ وانەی داهاتوو.

Key termsزاراوە سەرەکییەکان

Next lessonوانەی داهاتوو

Computer-Crime Laws: Budapest, the CFAA, the UK and the Law at Homeیاساکانی تاوانی سایبەری: بوداپێست، CFAA، بەریتانیا و یاسا لە وڵاتی خۆمان

Related lecturesوانە پەیوەندیدارەکان

References and further readingسەرچاوەکان و خوێندنەوەی زیاتر

This lecture is a first edition. The Kurdish text and terminology are waiting for review by Kurdish IT teachers.ئەم وانەیە چاپی یەکەمە. دەقە کوردییەکە و زاراوەکانی چاوەڕێی پێداچوونەوەی مامۆستایانی کوردی بواری IT ن.