Een productmanager in Berlijn pusht een functie-update. Een groeiteam in Londen voert een campagne via een bureau in Shanghai. Een SaaS-provider in Singapore bewaart stilletjes transcripties van klantenondersteuning met de namen, telefoonnummers en ID-fragmenten van gebruikers in Chengdu. Geen van deze teams beschouwt zichzelf als actief in China. Ze zijn allemaal, in het kader van de Wet Bescherming Persoonsgegevens, verwerkers van Chinese persoonlijke informatie – en ze vallen allemaal binnen het toepassingsgebied.
Drie jaar nadat de Wet Bescherming Persoonsgegevens van kracht werd, is het beeld van de regelgeving zo stabiel geworden dat 'we wachten af hoe het uitpakt' niet langer een verdedigbare houding is. De Cyberspace Administration van China heeft uitvoeringsmaatregelen uitgevaardigd, herzien en drempels verduidelijkt. Buitenlandse bedrijven hebben nu voldoende signaal om een werkbare compliance-baseline op te bouwen. In dit stuk wordt uiteengezet hoe die basislijn er in de praktijk uitziet.
De extraterritoriale trigger die de meeste teams onderschatten
PIPL is van toepassing op verwerking binnen China, en – van cruciaal belang – op verwerking buiten China die gericht is op individuen in China met het doel producten of diensten te leveren, of hun gedrag te analyseren. De formulering is breed en doelgericht. Een consumentenapp die beschikbaar is in het Mandarijn in een wereldwijde app store, een B2C-website die naar adressen op het vasteland verzendt, een analysepijplijn die gebruikers segmenteert op Chinese stad: elk is een plausibele trigger.
Het praktische gevolg is dat de reikwijdte zelden een zuiver ja of nee is. Het gaat om de vraag welke productlijnen, welke gebruikerscohorten en welke datasets binnen het bereik van de wet vallen. De eerste compliancetaak is dus niet het opstellen van een privacyverklaring. Het brengt gegevens in kaart: identificeren waar Chinese persoonlijke informatie uw systemen binnenkomt, waar deze wordt opgeslagen, wie ermee in aanraking komt en waar deze weggaat. Totdat die kaart bestaat, is elke stroomafwaartse controle giswerk.
Toestemming: wettelijke basis, geen selectievakje
PIPL wordt vaak omschreven als een op toestemming gebaseerd regime, en in buitenlandse bestuurskamers wordt dit vertaald als ‘voeg een vinkje toe’. Dat ondermijnt de verplichting. PIPL erkent verschillende wettige grondslagen – contractuele noodzaak, wettelijke plicht, HR-beheer, algemeen belang en andere – maar toestemming blijft het werkpaard, en de wet stelt hoge eisen aan wat telt.
Toestemming onder PIPL moet geïnformeerd, vrijwillig en expliciet zijn. Wanneer de verwerking gevoelige persoonlijke informatie betreft (financiële rekeningen, gezondheid, biometrische gegevens, de persoonlijke informatie van minderjarigen onder de 14 jaar, locatietracking en soortgelijke categorieën) of grensoverschrijdende overdracht, is afzonderlijke toestemming vereist. 'Afzonderlijk' betekent precies dat: een afzonderlijke, specifieke overeenkomst, en niet een paragraaf die verborgen ligt in een aanvaarding van algemene voorwaarden.
Een werkbare toestemmingsarchitectuur voor buitenlandse bedrijven omvat over het algemeen:
- Een gelaagde kennisgeving waarin in gewoon Chinees de identiteit van de verwerker, de categorieën persoonlijke gegevens, de doeleinden, de bewaartermijn en de rechten van de gebruiker worden vermeld.
- Gegranuleerde schakelaars voor gevoelige verwerkingscategorieën en voor marketing, gescheiden van de toestemming voor de kernservice.
- Een afzonderlijke grensoverschrijdende toestemmingsstroom waarin de buitenlandse ontvanger, het rechtsgebied van bestemming en het doel van de overdracht worden vermeld.
- Een intrekkingsmechanisme dat net zo eenvoudig te gebruiken is als de oorspronkelijke toestemmingsstroom, zonder duistere patronen.
- Een auditlogboek waarin per gebruiker wordt vastgelegd waarvoor toestemming is gegeven, wanneer en tegen welke versie van de kennisgeving.
Het laatste punt is belangrijker dan teams verwachten. Toezichthouders en tegenpartijen vragen steeds vaker om bewijs, niet om beweringen.
Grensoverschrijdende overdracht: drie routes, één beslissing
Het verplaatsen van Chinese persoonlijke informatie naar het buitenland is het gebied waar buitenlandse bedrijven het vaakst ontdekken dat hun bestaande architectuur niet aan de regels voldoet. PIPL biedt drie hoofdmechanismen, verfijnd door daaropvolgende CAC-maatregelen:- CAC-beveiligingsbeoordeling. Verplicht voor exploitanten van kritieke informatie-infrastructuur, voor verwerkers die persoonlijke informatie verwerken boven de voorgeschreven volumedrempels, en voor de overdracht van "belangrijke gegevens". Dit is een door de overheid geleide beoordeling, geen zelfcertificering.
- Standaardcontractbepalingen (Chinese SCC's). Een modelcontract tussen de Chinese exporteur en de overzeese ontvanger, ingediend bij de provinciale CAC, samen met een impactbeoordeling op de bescherming van persoonlijke informatie. Geschikt voor overdrachten van middelgrote volumes onder de beoordelingsdrempels.
- Certificering voor de bescherming van persoonlijke informatie. Uitgegeven door CAC-geaccrediteerde instanties. In de praktijk is deze route het meest bruikbaar voor intragroepsoverdrachten binnen multinationals.
De versoepelingen van 2024 introduceerden vrijstellingen voor bepaalde overdrachten van kleine volumes, overdrachten die nodig zijn om een contract met het individu uit te voeren (grensoverschrijdende e-commerce, reisboekingen, visumaanvragen) en HR-overdrachten die nodig zijn voor grensoverschrijdend werkgelegenheidsbeheer. Deze vrijstellingen zijn reëel maar beperkt. Ze kijken naar volumetellingen, naar de aard van de contractuele noodzaak en naar de vraag of er sprake is van gevoelige persoonlijke informatie. Het behandelen van een vrijstelling als een permanente houding zonder periodieke toetsing is een veel voorkomende fout.
Welke route er ook van toepassing is, voor elke grensoverschrijdende overdracht is een impactbeoordeling op de bescherming van persoonlijke informatie vereist. Deze wordt gedocumenteerd, ten minste drie jaar bewaard en bijgewerkt wanneer de verwerking wezenlijk verandert.
De realistische nalevingsbasislijn
Voor een buitenlands bedrijf van gemiddelde omvang dat Chinese gebruikersgegevens verwerkt, ziet een verdedigbare basislijn er ongeveer als volgt uit:
- Een datakaart die alle Chinese persoonlijke informatiestromen omvat, die minstens jaarlijks wordt vernieuwd.
- Een Chineestalige privacyverklaring en een toestemmingsarchitectuur die onderscheid maakt tussen algemene, gevoelige en grensoverschrijdende toestemming.
- Een aangewezen vertegenwoordiger of entiteit in China, indien nodig, met gepubliceerde contactgegevens.
- Een gekozen mechanisme voor grensoverschrijdende overdracht – beoordeling, SCC's of certificering – met de onderliggende effectbeoordeling in ons dossier.
- Leveranciersdiligence voor elke verdere verwerker die met de gegevens in aanraking komt, inclusief cloud- en analyseproviders.
- Een incidentresponsprocedure die voldoet aan de meldingsverwachtingen van PIPL aan zowel toezichthouders als getroffen personen.
- Interne training voor product-, engineering- en marketingteams over wat aanleiding geeft tot een nieuwe impactbeoordeling.
Niets hiervan is exotisch. Het is in grote lijnen dezelfde discipline die een volwassen AVG-programma al beoefent, met Chinees-specifieke overlays op het gebied van toestemmingsgranulariteit, grensoverschrijdende indieningen en taalgebruik.
Waar buitenlandse teams het doorgaans bij het verkeerde eind hebben
Drie patronen keren terug. Ten eerste, door PIPL te behandelen als een vertaling van een AVG-kennisgeving: de twee regimes overlappen elkaar, maar lopen uiteen op het gebied van toestemming, grensoverschrijdende mechanismen en de rol van de staat. Ten tweede, ervan uitgaande dat PIPL niet van toepassing is, omdat de gegevens buiten China worden gehost; Extraterritorialiteit is de regel, niet de uitzondering. Ten derde: laat de grensoverschrijdende indiening over totdat een toezichthouder of een Chinese commerciële tegenpartij erom vraagt, waarna u de tijdlijn niet meer zelf kunt controleren.
Met name de CAC-beveiligingsbeoordelingsroute is geen proces dat voorbereiding op het laatste moment beloont. VCA-aanvragen zijn sneller, maar vereisen nog steeds een goed gedocumenteerde impactbeoordeling.
De naleving van de gegevensprivacy in China is uiteindelijk een kwestie van operationele volwassenheid en niet van juridische slimheid. De regels zijn bekend. De kosten van het negeren ervan – handhavingsmaatregelen, geblokkeerde overdrachten, verloren commerciële deals met Chinese partners die nu zelf de vragen stellen – worden steeds concreter.
Voor buitenlandse teams die PRC-gekwalificeerd advies nodig hebben over een specifieke overdrachtsstructuur, toestemmingsstroom of indiening, koppelt de dienst Chinese Advocaat van Serene Jade u aan een advocaat die is toegelaten tot de balie van het vasteland en Hong Kong.
Veelgestelde vragen
Hebben we een Chinese entiteit nodig om SCC's in te dienen? Niet noodzakelijkerwijs. De Chinese exporteur onder de SCC's is degene die de persoonlijke informatie in China bewaart – dat kan uw lokale dochteronderneming zijn, een joint venture-partner of een Chinees platform waarmee u opereert. Als u helemaal niet aanwezig bent, rijst de vraag of u een aangewezen vertegenwoordiger moet aanwijzen op grond van PIPL artikel 53.Telt het verzenden van gegevens naar Hong Kong als een grensoverschrijdende overdracht? Ja. Voor PIPL-doeleinden wordt Hongkong behandeld als een land buiten het vasteland van China, dus voor overdrachten daar is een van de drie mechanismen of een geldige vrijstelling vereist, op dezelfde voet als voor overdrachten naar Londen of Frankfurt.
Kunnen we een beroep doen op de contractuele noodzaakvrijstelling voor onze SaaS-klantgegevens? Alleen wanneer de overdracht echt noodzakelijk is om het contract uit te voeren dat de persoon is aangegaan, bijvoorbeeld het uitvoeren van een bestelling die hij of zij heeft geplaatst. B2B SaaS-overdrachten van gegevens van eindgebruikers, analyses en de meeste marketinggebruiksscenario's vallen daarbuiten en vereisen SCC's, certificering of beoordeling.