Un gerente de producto en Berlín impulsa una actualización de funciones. Un equipo de crecimiento en Londres dirige una campaña a través de una agencia de Shanghai. Un proveedor de SaaS en Singapur almacena silenciosamente transcripciones de atención al cliente que incluyen los nombres, números de teléfono y fragmentos de identificación de los usuarios en Chengdu. Ninguno de estos equipos se considera operando en China. Todos ellos son, a los efectos de la Ley de Protección de Información Personal, procesadores de información personal china, y todos ellos están dentro del alcance.
Tres años después de que la Ley de Protección de Información Personal entrara en vigor, el panorama regulatorio se ha asentado lo suficiente como para que "estamos esperando a ver cómo evoluciona" ya no es una postura defendible. La Administración del Ciberespacio de China ha emitido medidas de implementación, las ha revisado y ha aclarado los umbrales. Las empresas extranjeras ahora tienen suficiente señal para construir una base de cumplimiento viable. Este artículo establece cómo se ve esa línea de base en la práctica.
El desencadenante extraterritorial que la mayoría de los equipos subestiman
PIPL se aplica al procesamiento dentro de China y, fundamentalmente, al procesamiento fuera de China dirigido a personas en China con el fin de proporcionar productos o servicios, o analizar su comportamiento. La redacción es amplia e intencionada. Una aplicación para consumidores disponible en mandarín en una tienda de aplicaciones global, un sitio web B2C que envía a direcciones continentales, un canal de análisis que segmenta a los usuarios por ciudad china: cada uno de ellos es un desencadenante plausible.
La consecuencia práctica es que el alcance rara vez es un claro sí o no. Es una cuestión de qué líneas de productos, qué cohortes de usuarios y qué conjuntos de datos están dentro del alcance de la ley. Por tanto, la primera tarea de cumplimiento no es redactar un aviso de privacidad. Se trata de datos cartográficos: identificar dónde ingresa la información personal china a sus sistemas, dónde se almacena, quién la toca y dónde sale. Hasta que exista ese mapa, todo control posterior será una conjetura.
Consentimiento: base legal, no una casilla de verificación
PIPL se describe a menudo como un régimen basado en el consentimiento, y en las salas de juntas extranjeras esto se traduce en "añadir una casilla de verificación". Eso subestima la obligación. PIPL reconoce varias bases legales (necesidad contractual, deber legal, administración de recursos humanos, interés público y otras), pero el consentimiento sigue siendo el caballo de batalla y la ley establece un alto estándar de lo que cuenta.
El consentimiento bajo PIPL debe ser informado, voluntario y explícito. Cuando el procesamiento involucra información personal sensible (cuentas financieras, salud, datos biométricos, información personal de menores de 14 años, seguimiento de ubicación y categorías similares) o transferencia transfronteriza, se requiere un consentimiento por separado. "Separado" significa exactamente eso: un acto de acuerdo distinto y específico, no un párrafo enterrado dentro de una aceptación de términos generales.
Una arquitectura de consentimiento viable para empresas extranjeras generalmente incluye:
- Un aviso en capas que indica, en chino sencillo, la identidad del procesador, las categorías de información personal, los propósitos, el período de retención y los derechos del usuario.
- Alternancias granulares para categorías de procesamiento confidenciales y para marketing, separadas del consentimiento del servicio principal.
- Un flujo de consentimiento transfronterizo distinto que nombre el destinatario en el extranjero, la jurisdicción de destino y el propósito de la transferencia.
- Un mecanismo de retiro que es tan fácil de usar como el flujo de consentimiento original, sin patrones oscuros.
- Un registro de auditoría que registra, por usuario, qué se dio su consentimiento, cuándo y contra qué versión del aviso.
El último punto importa más de lo que los equipos esperan. Los reguladores y las contrapartes piden cada vez más pruebas, no afirmaciones.
Transferencia transfronteriza: tres rutas, una decisión
El traslado de información personal china al extranjero es el área donde las empresas extranjeras descubren con mayor frecuencia que su arquitectura existente no cumple con las normas. PIPL proporciona tres mecanismos principales, perfeccionados por medidas CAC posteriores:- Evaluación de seguridad CAC. Obligatorio para operadores de infraestructura de información crítica, para procesadores que manejan información personal por encima de los umbrales de volumen prescritos y para transferencias de "datos importantes". Esta es una revisión dirigida por el gobierno, no una autocertificación.
- Cláusulas contractuales estándar (SCC de China). Un modelo de contrato entre el exportador chino y el destinatario extranjero, presentado ante la CAC provincial junto con una evaluación de impacto de la protección de la información personal. Adecuado para transferencias de volumen medio por debajo de los umbrales de evaluación.
- Certificación de protección de información personal. Emitida por organismos acreditados por CAC. En la práctica, esta vía es más útil para transferencias dentro de un grupo dentro de multinacionales.
Las flexibilizaciones de 2024 introdujeron exenciones para ciertas transferencias de bajo volumen, transferencias necesarias para ejecutar un contrato con el individuo (comercio electrónico transfronterizo, reservas de viajes, solicitudes de visa) y transferencias de recursos humanos necesarias para la gestión del empleo transfronterizo. Estas exenciones son reales pero limitadas. Dependen del recuento de volúmenes, de la naturaleza de la necesidad contractual y de si se trata de información personal confidencial. Tratar una exención como una postura permanente sin revisión periódica es un error común.
Cualquiera que sea la ruta que se aplique, cada transferencia transfronteriza requiere una evaluación del impacto de la protección de la información personal: documentada, conservada durante al menos tres años y actualizada cuando el procesamiento cambia materialmente.
La base de cumplimiento realista
Para una empresa extranjera de tamaño moderado que maneja datos de usuarios chinos, una línea de base defendible se parece más o menos a esto:
- Un mapa de datos que cubra todos los flujos de información personal china, actualizado al menos una vez al año.
- Un aviso de privacidad en chino y una arquitectura de consentimiento que distingue el consentimiento general, sensible y transfronterizo.
- Un representante o entidad designado dentro de China, cuando sea necesario, con datos de contacto publicados.
- Un mecanismo de transferencia transfronteriza elegido (evaluación, SCC o certificación) con la evaluación de impacto subyacente archivada.
- Diligencia del proveedor que cubra cualquier procesador posterior que toque los datos, incluidos los proveedores de nube y análisis.
- Un procedimiento de respuesta a incidentes que cumpla con las expectativas de notificación de PIPL tanto a los reguladores como a las personas afectadas.
- Capacitación interna para equipos de producto, ingeniería y marketing sobre lo que desencadena una nueva evaluación de impacto.
Nada de esto es exótico. Es, en términos generales, la misma disciplina que ya practica un programa GDPR maduro, con superposiciones específicas de China sobre la granularidad del consentimiento, las presentaciones transfronterizas y el idioma.
Donde los equipos extranjeros suelen equivocarse
Se repiten tres patrones. En primer lugar, tratar la PIPL como un ejercicio de traducción de un aviso del RGPD: los dos regímenes se superponen pero divergen en cuanto al consentimiento, la mecánica transfronteriza y el papel del Estado. En segundo lugar, suponiendo que debido a que los datos están alojados fuera de China, la PIPL no se aplica; La extraterritorialidad es la regla, no la excepción. En tercer lugar, dejar la presentación transfronteriza hasta que un regulador o una contraparte comercial china la solicite, momento en el cual el cronograma ya no está bajo su control.
La ruta de evaluación de seguridad del CAC en particular no es un proceso que premie la preparación de último momento. Las presentaciones de SCC son más rápidas pero aún requieren una evaluación de impacto debidamente evidenciada detrás de ellas.
El cumplimiento de la privacidad de datos en China es, al final, una cuestión de madurez operativa más que de inteligencia jurídica. Las reglas son conocibles. El costo de ignorarlos (medidas coercitivas, transferencias bloqueadas, pérdida de acuerdos comerciales con socios chinos que ahora hacen las preguntas ellos mismos) es cada vez más concreto.
Para los equipos extranjeros que necesitan asesoramiento calificado de la República Popular China sobre una estructura de transferencia, flujo de consentimiento o presentación específicos, el servicio Abogado chino de Serene Jade lo conecta con abogados admitidos por el colegio de abogados en China continental y Hong Kong.
Preguntas frecuentes
¿Necesitamos una entidad china solo para presentar SCC? No necesariamente. El exportador chino según las SCC es quien posee la información personal dentro de China; puede ser su filial local, un socio de una empresa conjunta o una plataforma china a través de la cual opera. Si no tiene ninguna presencia, la pregunta es si debe nombrar un representante designado según el artículo 53 de PIPL.¿El envío de datos a Hong Kong cuenta como una transferencia transfronteriza? Sí. A los efectos del PIPL, Hong Kong se considera fuera de China continental, por lo que las transferencias allí requieren uno de los tres mecanismos o una exención válida, en las mismas condiciones que las transferencias a Londres o Frankfurt.
¿Podemos confiar en la exención de necesidad contractual para los datos de nuestros clientes SaaS? Sólo cuando la transferencia sea realmente necesaria para ejecutar el contrato que la persona celebró (por ejemplo, para cumplir con un pedido que realizó). Las transferencias B2B SaaS de datos de usuarios finales, análisis y la mayoría de los casos de uso de marketing quedan fuera de él y necesitan SCC, certificación o evaluación.