Un product manager a Berlino promuove un aggiornamento delle funzionalità. Un team di crescita a Londra gestisce una campagna tramite un'agenzia di Shanghai. Un fornitore SaaS di Singapore archivia silenziosamente le trascrizioni dell'assistenza clienti che includono nomi, numeri di telefono e frammenti di identità degli utenti di Chengdu. Nessuno di questi team ritiene di operare in Cina. Tutti loro sono, ai fini della Legge sulla protezione dei dati personali, responsabili del trattamento dei dati personali cinesi – e rientrano tutti nell’ambito di applicazione.
Tre anni dopo l'entrata in vigore della Legge sulla Protezione dei Dati Personali, il quadro normativo si è stabilizzato abbastanza tanto che "stiamo aspettando di vedere come andrà a finire" non è più una posizione difendibile. La Cyberspace Administration of China ha emanato misure di attuazione, le ha riviste e ha chiarito le soglie. Le imprese straniere ora hanno segnali sufficienti per costruire una base di conformità praticabile. Questo pezzo illustra come appare in pratica quella linea di base.
Il fattore extraterritoriale che la maggior parte delle squadre sottovaluta
PIPL si applica al trattamento all’interno della Cina e, soprattutto, al trattamento al di fuori della Cina che prende di mira individui in Cina allo scopo di fornire prodotti o servizi o analizzare il loro comportamento. La formulazione è ampia e intenzionale. Un’app consumer disponibile in mandarino su un app store globale, un sito Web B2C che spedisce a indirizzi sulla terraferma, una pipeline di analisi che segmenta gli utenti per città cinese: ognuno è un fattore scatenante plausibile.
La conseguenza pratica è che l’ambito raramente è un sì o un no netto. La questione è quali linee di prodotti, quali gruppi di utenti e quali set di dati si trovano alla portata della legge. Il primo compito di compliance non è quindi quello di redigere un’informativa sulla privacy. Si tratta di mappare i dati: identificare dove le informazioni personali cinesi entrano nei vostri sistemi, dove vengono archiviate, chi le tocca e dove escono. Finché non esisterà quella mappa, ogni controllo a valle sarà una supposizione.
Consenso: base legale, non casella di controllo
Il PIPL è spesso descritto come un regime basato sul consenso, e nei consigli di amministrazione stranieri questo viene tradotto in "aggiungere una casella da spuntare". Ciò sminuisce l’obbligo. PIPL riconosce diverse basi giuridiche – necessità contrattuale, obbligo legale, amministrazione delle risorse umane, interesse pubblico e altre – ma il consenso rimane il cavallo di battaglia e la legge stabilisce uno standard elevato per ciò che conta.
Il consenso ai sensi del PIPL deve essere informato, volontario ed esplicito. Laddove il trattamento riguardi dati personali sensibili (conti finanziari, dati sanitari, dati biometrici, dati personali di minori di 14 anni, localizzazione e categorie simili) o trasferimenti transfrontalieri, è richiesto un consenso separato. "Separato" significa esattamente questo: un atto di accordo distinto e specifico, non un paragrafo sepolto all'interno dell'accettazione di termini generali.
Un’architettura di consenso praticabile per le imprese straniere generalmente include:
- Un avviso a più livelli che indica, in cinese semplice, l'identità del responsabile del trattamento, le categorie di informazioni personali, le finalità, il periodo di conservazione e i diritti dell'utente.
- Alternamenti granulari per le categorie di trattamento sensibili e per il marketing, separati dal consenso del servizio principale.
- Un flusso di consenso transfrontaliero distinto che nomina il destinatario estero, la giurisdizione di destinazione e lo scopo del trasferimento.
- Un meccanismo di prelievo facile da usare quanto il flusso di consenso originale, senza schemi oscuri.
- Un registro di controllo che registra, per utente, a cosa è stato acconsentito, quando e rispetto a quale versione dell'avviso.
L’ultimo punto conta più di quanto le squadre si aspettino. Le autorità di regolamentazione e le controparti chiedono sempre più prove, non affermazioni.
Trasferimento transfrontaliero: tre percorsi, una decisione
Lo spostamento offshore di informazioni personali cinesi è l’area in cui le aziende straniere più spesso scoprono che la loro architettura esistente non è conforme. PIPL fornisce tre meccanismi principali, perfezionati dalle successive misure CAC:- Valutazione della sicurezza CAC. Obbligatorio per gli operatori di infrastrutture informative critiche, per i responsabili del trattamento che trattano informazioni personali al di sopra delle soglie di volume prescritte e per i trasferimenti di "dati importanti". Questa è una revisione guidata dal governo, non un'autocertificazione.
- Clausole contrattuali standard (Cina SCC). Un modello di contratto tra l'esportatore cinese e il destinatario estero, depositato presso il CAC provinciale insieme a una valutazione d'impatto sulla protezione delle informazioni personali. Adatto per trasferimenti di medio volume al di sotto delle soglie di valutazione.
- Certificazione sulla protezione dei dati personali. Rilasciata da enti accreditati CAC. In pratica questo percorso è molto utile per i trasferimenti intragruppo all’interno di multinazionali.
Gli allentamenti del 2024 hanno introdotto esenzioni per alcuni trasferimenti di volume ridotto, trasferimenti necessari per eseguire un contratto con l'individuo (commercio elettronico transfrontaliero, prenotazioni di viaggi, domande di visto) e trasferimenti di risorse umane necessari per la gestione dell'occupazione transfrontaliera. Queste esenzioni sono reali ma limitate. Si basano sul conteggio dei volumi, sulla natura della necessità contrattuale e sul fatto che siano coinvolte informazioni personali sensibili. Trattare un'esenzione come una posizione permanente senza revisione periodica è un errore comune.
Qualunque sia il percorso applicato, ogni trasferimento transfrontaliero richiede una valutazione d’impatto sulla protezione delle informazioni personali: documentata, conservata per almeno tre anni e aggiornata quando il trattamento cambia sostanzialmente.
Il livello di conformità realistico
Per un’azienda straniera di dimensioni moderate che gestisce dati di utenti cinesi, una linea di base difendibile assomiglia più o meno a questa:
- Una mappa dei dati che copre tutti i flussi di informazioni personali cinesi, aggiornata almeno una volta all'anno.
- Un'informativa sulla privacy in lingua cinese e un'architettura di consenso che distingue il consenso generale, sensibile e transfrontaliero.
- Un rappresentante o un'entità designata all'interno della Cina, ove richiesto, con i dettagli di contatto pubblicati.
- Un meccanismo di trasferimento transfrontaliero prescelto (valutazione, SCC o certificazione) con la sottostante valutazione d'impatto in archivio.
- Diligenza del fornitore che copre qualsiasi processore successivo che tocca i dati, inclusi i fornitori di cloud e analisi.
- Una procedura di risposta agli incidenti che soddisfi le aspettative di notifica di PIPL sia alle autorità di regolamentazione che ai soggetti interessati.
- Formazione interna per i team di prodotto, ingegneria e marketing su ciò che innesca una nuova valutazione d'impatto.
Niente di tutto questo è esotico. Si tratta, in generale, della stessa disciplina già praticata da un programma GDPR maturo, con sovrapposizioni specifiche per la Cina sulla granularità del consenso, sulle archiviazioni transfrontaliere e sulla lingua.
Dove le squadre straniere in genere sbagliano
Ricorrono tre modelli. In primo luogo, trattando PIPL come un esercizio di traduzione di un avviso GDPR: i due regimi si sovrappongono ma divergono sul consenso, sui meccanismi transfrontalieri e sul ruolo dello Stato. In secondo luogo, presupponendo che, poiché i dati sono ospitati al di fuori della Cina, il PIPL non si applica; l’extraterritorialità è la regola, non l’eccezione. In terzo luogo, lasciare la presentazione transfrontaliera fino a quando un regolatore o una controparte commerciale cinese non lo richiederà, a quel punto la tempistica non sarà più sotto il tuo controllo.
Il percorso di valutazione della sicurezza CAC, in particolare, non è un processo che premia la preparazione dell'ultimo minuto. Le dichiarazioni SCC sono più rapide ma richiedono comunque una valutazione d'impatto adeguatamente documentata.
Il rispetto della privacy dei dati in Cina è, in definitiva, una questione di maturità operativa piuttosto che di intelligenza giuridica. Le regole sono conoscibili. Il costo di ignorarli – azioni coercitive, trasferimenti bloccati, accordi commerciali perduti con partner cinesi che ora si pongono essi stessi le domande – è sempre più concreto.
Per i team stranieri che necessitano di consulenza qualificata dalla RPC su una specifica struttura di trasferimento, flusso di consenso o archiviazione, il servizio Avvocato cinese di Serene Jade ti abbina a consulenti legali della terraferma e di Hong Kong ammessi agli avvocati.
Domande frequenti
Abbiamo bisogno di un'entità cinese solo per presentare le SCC? Non necessariamente. L’esportatore cinese ai sensi delle SCC è chiunque detenga le informazioni personali all’interno della Cina: potrebbe trattarsi della tua filiale locale, di un partner di joint venture o di una piattaforma cinese attraverso la quale operi. Se non sei affatto presente, la questione diventa se dovresti nominare un rappresentante designato ai sensi dell’articolo 53 del PIPL.L'invio di dati a Hong Kong conta come trasferimento transfrontaliero? Sì. Ai fini PIPL Hong Kong è trattata come fuori dalla Cina continentale, quindi i trasferimenti richiedono uno dei tre meccanismi o un'esenzione valida, allo stesso titolo dei trasferimenti a Londra o Francoforte.
Possiamo fare affidamento sull'esenzione per necessità contrattuale per i dati dei nostri clienti SaaS? Solo quando il trasferimento è realmente necessario per eseguire il contratto stipulato dall'individuo, ad esempio per evadere un ordine effettuato. I trasferimenti SaaS B2B di dati degli utenti finali, analisi e la maggior parte dei casi d'uso di marketing non rientrano in questo ambito e necessitano di SCC, certificazione o valutazione.