Seorang manajer produk di Berlin mendorong pembaruan fitur. Sebuah tim pertumbuhan di London menjalankan kampanye melalui agen Shanghai. Penyedia SaaS di Singapura secara diam-diam menyimpan transkrip dukungan pelanggan yang menyertakan nama, nomor telepon, dan potongan ID pengguna di Chengdu. Tak satu pun dari tim ini menganggap diri mereka beroperasi di Tiongkok. Semuanya, sesuai dengan Undang-Undang Perlindungan Informasi Pribadi, adalah pemroses informasi pribadi Tiongkok — dan semuanya berada dalam cakupannya.
Tiga tahun setelah Undang-Undang Perlindungan Informasi Pribadi diberlakukan, gambaran peraturan sudah cukup jelas sehingga “kami menunggu untuk melihat bagaimana dampaknya” tidak lagi menjadi sikap yang dapat dipertahankan. Administrasi Ruang Siber Tiongkok telah mengeluarkan langkah-langkah penerapan, merevisinya, dan memperjelas ambang batas. Perusahaan-perusahaan asing kini mempunyai cukup sinyal untuk membangun dasar kepatuhan yang bisa diterapkan. Bagian ini menjelaskan seperti apa dasar tersebut dalam praktiknya.
Pemicu ekstrateritorial yang diremehkan sebagian besar tim
PIPL berlaku untuk pemrosesan di Tiongkok, dan — yang terpenting — untuk pemrosesan di luar Tiongkok yang menargetkan individu di Tiongkok untuk tujuan menyediakan produk atau layanan, atau menganalisis perilaku mereka. Penyusunannya luas dan disengaja. Aplikasi konsumen yang tersedia dalam bahasa Mandarin di toko aplikasi global, situs web B2C yang dikirimkan ke alamat daratan, saluran analisis yang mengelompokkan pengguna berdasarkan kota di Tiongkok: masing-masing merupakan pemicu yang masuk akal.
Konsekuensi praktisnya adalah cakupan jarang sekali memberikan jawaban ya atau tidak. Yang menjadi pertanyaan adalah lini produk mana, kelompok pengguna mana, dan kumpulan data mana yang berada dalam jangkauan hukum. Oleh karena itu, tugas kepatuhan pertama bukanlah menyusun pemberitahuan privasi. Ini adalah pemetaan data: mengidentifikasi di mana informasi pribadi Tiongkok memasuki sistem Anda, di mana informasi tersebut disimpan, siapa yang menyentuhnya, dan ke mana informasi tersebut keluar. Sampai peta tersebut ada, setiap kontrol hilir hanyalah dugaan.
Persetujuan: dasar hukum, bukan kotak centang
PIPL sering digambarkan sebagai rezim yang dipimpin oleh persetujuan, dan di ruang rapat asing, hal ini diterjemahkan menjadi "tambahkan kotak centang". Itu meremehkan kewajibannya. PIPL mengakui beberapa dasar hukum – kebutuhan kontrak, kewajiban hukum, administrasi SDM, kepentingan publik, dan lain-lain – namun persetujuan tetap menjadi hal yang penting, dan undang-undang menetapkan standar tinggi dalam hal-hal yang penting.
Persetujuan berdasarkan PIPL harus diinformasikan, sukarela, dan eksplisit. Jika pemrosesan melibatkan informasi pribadi yang sensitif (rekening keuangan, kesehatan, data biometrik, informasi pribadi anak di bawah umur 14 tahun, pelacakan lokasi, dan kategori serupa) atau transfer lintas batas, diperlukan persetujuan terpisah. "Terpisah" berarti persis seperti itu: tindakan persetujuan yang berbeda dan spesifik, bukan sebuah paragraf yang terkubur di dalam penerimaan ketentuan umum.
Arsitektur izin yang bisa diterapkan untuk bisnis asing umumnya mencakup:
- Pemberitahuan berlapis yang menyatakan, dalam bahasa Mandarin sederhana, identitas pemroses, kategori informasi pribadi, tujuan, periode penyimpanan, dan hak pengguna.
- Tombol granular untuk kategori pemrosesan sensitif dan untuk pemasaran, terpisah dari persetujuan layanan inti.
- Alur persetujuan lintas batas yang berbeda yang menyebutkan nama penerima di luar negeri, yurisdiksi tujuan, dan tujuan transfer.
- Mekanisme penarikan yang mudah digunakan seperti alur persetujuan awal, tanpa pola gelap.
- Log audit yang mencatat, per pengguna, apa yang disetujui, kapan, dan berdasarkan versi pemberitahuan yang mana.
Poin terakhir lebih penting dari yang diharapkan tim. Regulator dan pihak lawan semakin meminta bukti, bukan pernyataan.
Transfer lintas batas: tiga rute, satu keputusan
Memindahkan informasi pribadi Tiongkok ke luar negeri adalah area di mana bisnis asing paling sering menemukan bahwa arsitektur mereka saat ini tidak patuh. PIPL menyediakan tiga mekanisme utama, yang disempurnakan melalui langkah-langkah CAC berikutnya:- Penilaian keamanan CAC. Wajib bagi operator infrastruktur informasi penting, bagi pemroses yang menangani informasi pribadi di atas ambang batas volume yang ditentukan, dan untuk transfer "data penting". Ini adalah tinjauan yang dipimpin oleh pemerintah, bukan sertifikasi mandiri.
- Klausul Kontrak Standar (SCC Tiongkok). Templat kontrak antara eksportir Tiongkok dan penerima di luar negeri, diajukan ke CAC provinsi bersama dengan penilaian dampak perlindungan informasi pribadi. Cocok untuk transfer volume menengah di bawah ambang batas penilaian.
- Sertifikasi perlindungan informasi pribadi. Dikeluarkan oleh badan terakreditasi CAC. Dalam praktiknya, rute ini paling berguna untuk transfer intra-grup dalam perusahaan multinasional.
Relaksasi pada tahun 2024 memperkenalkan pengecualian untuk transfer bervolume rendah tertentu, transfer yang diperlukan untuk melaksanakan kontrak dengan individu (e-commerce lintas batas, pemesanan perjalanan, pengajuan visa), dan transfer SDM yang diperlukan untuk manajemen ketenagakerjaan lintas batas. Pengecualian ini nyata namun sempit. Mereka menghitung jumlah volume, sifat kebutuhan kontrak, dan apakah ada informasi pribadi sensitif yang terlibat. Memperlakukan pengecualian sebagai sikap permanen tanpa peninjauan berkala adalah kesalahan umum.
Rute mana pun yang berlaku, setiap transfer lintas negara memerlukan penilaian dampak perlindungan informasi pribadi — didokumentasikan, disimpan setidaknya selama tiga tahun, dan diperbarui ketika pemrosesan berubah secara signifikan.
Garis dasar kepatuhan yang realistis
Untuk bisnis asing berukuran sedang yang menangani data pengguna Tiongkok, garis dasar yang dapat dipertahankan kira-kira seperti ini:
- Peta data yang mencakup semua aliran informasi pribadi Tiongkok, diperbarui setidaknya setiap tahun.
- Pemberitahuan privasi berbahasa Mandarin dan arsitektur persetujuan yang membedakan persetujuan umum, sensitif, dan lintas batas.
- Perwakilan atau entitas yang ditunjuk di Tiongkok, jika diperlukan, dengan rincian kontak dipublikasikan.
- Mekanisme transfer lintas batas yang dipilih – penilaian, SCC, atau sertifikasi – dengan penilaian dampak yang mendasarinya ada dalam arsip.
- Ketekunan vendor mencakup semua prosesor yang berhubungan dengan data, termasuk penyedia cloud dan analitik.
- Prosedur respons insiden yang memenuhi ekspektasi pemberitahuan PIPL kepada regulator dan individu yang terkena dampak.
- Pelatihan internal untuk tim produk, teknik, dan pemasaran tentang hal-hal yang memicu penilaian dampak baru.
Semua ini tidak eksotik. Secara umum, hal ini merupakan disiplin yang sama dengan yang sudah dipraktikkan oleh program GDPR yang sudah matang, dengan penerapan khusus di Tiongkok dalam hal perincian izin, pengajuan lintas batas, dan bahasa.
Dimana tim asing biasanya melakukan kesalahan
Tiga pola berulang. Pertama, memperlakukan PIPL sebagai upaya penerjemahan pemberitahuan GDPR — kedua rezim tersebut tumpang tindih namun berbeda dalam hal persetujuan, mekanisme lintas batas, dan peran negara. Kedua, dengan asumsi bahwa karena data disimpan di luar Tiongkok, PIPL tidak berlaku; ekstrateritorialitas adalah aturannya, bukan pengecualian. Ketiga, membiarkan pengajuan lintas batas sampai regulator atau mitra komersial Tiongkok memintanya, sehingga batas waktu tidak lagi dapat Anda kendalikan.
Rute penilaian keamanan CAC khususnya bukanlah proses yang menghargai persiapan di menit-menit terakhir. Pengajuan SCC lebih cepat namun tetap memerlukan penilaian dampak yang dibuktikan dengan baik.
Kepatuhan privasi data Tiongkok, pada akhirnya, merupakan pertanyaan mengenai kematangan operasional dibandingkan kepintaran hukum. Aturannya bisa diketahui. Akibat dari mengabaikan hal-hal tersebut – tindakan penegakan hukum, pemblokiran transfer dana, hilangnya kesepakatan komersial dengan mitra Tiongkok yang kini mengajukan pertanyaan sendiri – semakin nyata.
Untuk tim asing yang memerlukan saran berkualifikasi RRT mengenai struktur transfer, alur persetujuan, atau pengajuan tertentu, layanan Pengacara Tiongkok Serene Jade memasangkan Anda dengan penasihat hukum di Tiongkok daratan dan Hong Kong.
Pertanyaan Umum
Apakah kami memerlukan entitas Tiongkok hanya untuk mengajukan SCC? Belum tentu. Eksportir Tiongkok di bawah SCC adalah siapa pun yang menyimpan informasi pribadi di Tiongkok — yang mungkin merupakan anak perusahaan lokal Anda, mitra usaha patungan, atau platform Tiongkok tempat Anda beroperasi. Jika Anda tidak hadir sama sekali, pertanyaannya adalah apakah Anda harus menunjuk perwakilan yang ditunjuk berdasarkan PIPL Pasal 53.Apakah pengiriman data ke Hong Kong dihitung sebagai transfer lintas batas? Ya. Untuk tujuan PIPL, Hong Kong diperlakukan seperti di luar Tiongkok daratan, sehingga transfer ke sana memerlukan salah satu dari tiga mekanisme atau pengecualian yang sah, sama seperti transfer ke London atau Frankfurt.
Dapatkah kami mengandalkan pengecualian kebutuhan kontrak untuk data pelanggan SaaS kami? Hanya jika pengalihan benar-benar diperlukan untuk melaksanakan kontrak yang dibuat oleh individu tersebut — misalnya, memenuhi pesanan yang mereka buat. Transfer SaaS B2B atas data pengguna akhir, analitik, dan sebagian besar kasus penggunaan pemasaran berada di luar cakupannya dan memerlukan SCC, sertifikasi, atau penilaian.