En produktsjef i Berlin driver med en funksjonsoppdatering. Et vekstteam i London kjører en kampanje gjennom et Shanghai-byrå. En SaaS-leverandør i Singapore lagrer kundestøtteutskrifter i stillhet som inkluderer navn, telefonnumre og ID-fragmenter til brukere i Chengdu. Ingen av disse teamene tenker på seg selv som opererer i Kina. Alle av dem er, i henhold til loven om beskyttelse av personopplysninger, behandlere av kinesisk personopplysninger – og alle er innenfor rammen.
Tre år etter at loven om beskyttelse av personopplysninger trådte i kraft, har reguleringsbildet satt seg nok til at «vi venter på å se hvordan det rister ut» ikke lenger er en forsvarlig holdning. Cyberspace Administration of China har utstedt implementeringstiltak, revidert dem og avklart terskler. Utenlandske virksomheter har nå nok signal til å bygge en brukbar compliance baseline. Dette stykket beskriver hvordan denne grunnlinjen ser ut i praksis.
Den ekstraterritoriale triggeren de fleste lag undervurderer
PIPL gjelder for behandling i Kina, og - kritisk - for behandling utenfor Kina som retter seg mot enkeltpersoner i Kina med det formål å tilby produkter eller tjenester, eller analysere deres oppførsel. Utkastet er bredt og tilsiktet. En forbrukerapp tilgjengelig på mandarin i en global appbutikk, et B2C-nettsted som sendes til fastlandsadresser, en analysepipeline som segmenterer brukere etter kinesisk by: hver av dem er en plausibel trigger.
Den praktiske konsekvensen er at omfanget sjelden er et rent ja eller nei. Det er et spørsmål om hvilke produktlinjer, hvilke brukerkohorter, og hvilke datasett som sitter innenfor lovens rekkevidde. Den første etterlevelsesoppgaven er derfor ikke å utarbeide en personvernerklæring. Det er kartleggingsdata: identifisere hvor kinesisk personlig informasjon kommer inn i systemene dine, hvor den er lagret, hvem som berører den og hvor den forlater. Inntil det kartet eksisterer, er hver nedstrømskontroll gjetting.
Samtykke: lovlig grunnlag, ikke en avmerkingsboks
PIPL blir ofte beskrevet som et samtykkestyrt regime, og i utenlandske styrerom blir dette oversatt til "legg til en avkryssningsboks". Det underseller forpliktelsen. PIPL anerkjenner flere lovlige grunnlag - kontraktsmessig nødvendighet, lovpålagt plikt, HR-administrasjon, offentlig interesse og andre - men samtykke forblir arbeidshesten, og loven setter en høy standard for hva som teller.
Samtykke under PIPL må være informert, frivillig og eksplisitt. Der behandlingen involverer sensitive personopplysninger (finanskontoer, helse, biometriske data, personopplysninger til mindreårige under 14 år, stedssporing og lignende kategorier) eller grenseoverskridende overføring, kreves separat samtykke. "Separat" betyr akkurat det: en distinkt, spesifikk avtale, ikke et avsnitt begravet i en aksept av generelle vilkår.
En brukbar samtykkearkitektur for utenlandske virksomheter inkluderer vanligvis:
- Et lagdelt varsel som angir, på vanlig kinesisk, identiteten til prosessoren, kategoriene for personlig informasjon, formålene, oppbevaringsperioden og brukerens rettigheter.
- Granulære brytere for sensitive behandlingskategorier og for markedsføring, atskilt fra kjernetjenestens samtykke.
- En distinkt grenseoverskridende samtykkestrøm som navngir mottakeren i utlandet, destinasjonsjurisdiksjonen og formålet med overføringen.
- En tilbaketrekkingsmekanisme som er like enkel å bruke som den opprinnelige samtykkestrømmen, uten mørke mønstre.
- En revisjonslogg som registrerer, per bruker, hva som ble samtykket til, når og mot hvilken versjon av varselet.
Det siste poenget betyr mer enn lagene forventer. Regulatorer og motparter ber i økende grad om bevis, ikke påstander.
Grenseoverskridende overføring: tre ruter, en beslutning
Flytting av kinesisk personlig informasjon offshore er området der utenlandske virksomheter oftest oppdager at deres eksisterende arkitektur ikke er i samsvar. PIPL gir tre hovedmekanismer, raffinert av påfølgende CAC-mål:- CAC-sikkerhetsvurdering. Obligatorisk for operatører av kritisk informasjonsinfrastruktur, for prosessorer som håndterer personopplysninger over foreskrevne volumterskler, og for overføringer av "viktige data". Dette er en myndighetsledet vurdering, ikke en egensertifisering.
- Standard Contractual Clauses (China SCCs). En malkontrakt mellom den kinesiske eksportøren og den utenlandske mottakeren, innlevert til det provinsielle CAC sammen med en konsekvensvurdering for beskyttelse av personopplysninger. Egnet for overføringer i mellomvolum under vurderingsgrensene.
- Sertifisering for beskyttelse av personopplysninger. Utstedt av CAC-akkrediterte organer. I praksis er denne ruten mest nyttig for konserninterne overføringer innen multinasjonale selskaper.
Lempelsene fra 2024 introduserte unntak for visse overføringer med lavt volum, overføringer som er nødvendige for å utføre en kontrakt med den enkelte (grenseoverskridende e-handel, reisebestillinger, visumsøknader) og HR-overføringer som er nødvendige for grenseoverskridende arbeidsledelse. Disse unntakene er reelle, men snevre. De slår på volumtellinger, på arten av den kontraktsmessige nødvendigheten, og på om sensitive personopplysninger er involvert. Å behandle et fritak som en permanent holdning uten periodisk gjennomgang er en vanlig feil.
Uansett hvilken rute som gjelder, krever hver grenseoverskridende overføring en konsekvensvurdering av personopplysningsbeskyttelse – dokumentert, oppbevart i minst tre år og oppdatert når behandlingen endres vesentlig.
Den realistiske grunnlinjen for samsvar
For en utenlandsk virksomhet av moderat størrelse som håndterer kinesiske brukerdata, ser en forsvarlig grunnlinje omtrent slik ut:
– Et datakart som dekker alle kinesiske personopplysninger, oppdateres minst årlig. – En kinesisk-språklig personvernerklæring og en samtykkearkitektur som skiller generelt, sensitivt og grenseoverskridende samtykke.
- En utpekt representant eller enhet i Kina, der det er nødvendig, med kontaktinformasjon publisert. – En valgt grenseoverskridende overføringsmekanisme – vurdering, SCC-er eller sertifisering – med den underliggende konsekvensanalysen på arkivet.
- Vendor diligence som dekker enhver videregående prosessor som berører dataene, inkludert sky- og analyseleverandører.
- En hendelsesprosedyre som oppfyller PIPLs varslingsforventninger til både regulatorer og berørte personer.
- Intern opplæring for produkt-, ingeniør- og markedsteam om hva som utløser en fersk konsekvensutredning.
Ingenting av dette er eksotisk. Det er i store trekk den samme disiplinen et modent GDPR-program allerede praktiserer, med kinesisk-spesifikke overlegg på samtykkegranularitet, grenseoverskridende registreringer og språk.
Der utenlandske lag vanligvis tar feil
Tre mønstre går igjen. For det første, å behandle PIPL som en oversettelsesøvelse på en GDPR-melding – de to regimene overlapper hverandre, men divergerer når det gjelder samtykke, grenseoverskridende mekanikk og statens rolle. For det andre, forutsatt at fordi data er vert utenfor Kina, gjelder ikke PIPL; ekstraterritorialitet er regelen, ikke unntaket. For det tredje, å forlate den grenseoverskridende arkiveringen til en regulator eller en kinesisk kommersiell motpart ber om det, på hvilket tidspunkt tidslinjen ikke lenger er din å kontrollere.
Spesielt CAC-sikkerhetsvurderingsruten er ikke en prosess som belønner forberedelser i siste liten. SCC-innleveringer er raskere, men krever fortsatt en godt dokumentert konsekvensvurdering bak dem.
Overholdelse av personvern i Kina er til syvende og sist et spørsmål om operasjonell modenhet snarere enn juridisk kløkt. Reglene er kjente. Kostnadene ved å ignorere dem – håndhevelsestiltak, blokkerte overføringer, tapte kommersielle avtaler med kinesiske partnere som nå stiller spørsmålene selv – blir stadig mer konkrete.
For utenlandske team som trenger PRC-kvalifisert råd om en spesifikk overføringsstruktur, samtykkeflyt eller arkivering, kobler Serene Jades kinesisk advokat deg sammen med advokater som er godkjent av fastlandet og Hong Kong.
Vanlige spørsmål
Trenger vi en Kina-enhet bare for å sende inn SCC-er? Ikke nødvendigvis. Den kinesiske eksportøren under SCC-ene er den som har personopplysningene i Kina – det kan være ditt lokale datterselskap, en joint venture-partner eller en kinesisk plattform du opererer gjennom. Hvis du ikke er tilstede i det hele tatt, blir spørsmålet om du bør oppnevne en utpekt representant i henhold til PIPL artikkel 53.Teller sending av data til Hong Kong som en grenseoverskridende overføring? Ja. For PIPL-formål behandles Hong Kong som utenfor fastlands-Kina, så overføringer der krever en av de tre mekanismene eller et gyldig unntak, på samme måte som overføringer til London eller Frankfurt.
Kan vi stole på det kontraktsmessige nødvendighetsunntaket for SaaS-kundedataene våre? Bare der overføringen er virkelig nødvendig for å utføre kontrakten personen inngikk - for eksempel ved å oppfylle en ordre de la inn. B2B SaaS-overføringer av sluttbrukerdata, analyser og de fleste markedsføringstilfeller faller utenfor og trenger SCC-er, sertifisering eller vurdering.