Um gerente de produto em Berlim promove uma atualização de recurso. Uma equipe de crescimento em Londres realiza uma campanha por meio de uma agência de Xangai. Um provedor de SaaS em Cingapura armazena discretamente transcrições de suporte ao cliente que incluem nomes, números de telefone e fragmentos de identificação de usuários em Chengdu. Nenhuma dessas equipes se considera operando na China. Todos eles são, para efeitos da Lei de Proteção de Informações Pessoais, processadores de informações pessoais chinesas — e todos estão dentro do escopo.
Três anos após a entrada em vigor da Lei de Proteção de Informações Pessoais, o quadro regulatório se estabilizou o suficiente para que “estamos esperando para ver como isso vai acontecer” não é mais uma postura defensável. A Administração do Ciberespaço da China emitiu medidas de implementação, revisou-as e esclareceu limites. As empresas estrangeiras têm agora sinais suficientes para construir uma base de conformidade viável. Esta peça define como é essa linha de base na prática.
O gatilho extraterritorial que a maioria das equipes subestima
O PIPL aplica-se ao processamento dentro da China e – principalmente – ao processamento fora da China que visa indivíduos na China com a finalidade de fornecer produtos ou serviços ou de analisar o seu comportamento. A redação é ampla e intencional. Um aplicativo de consumidor disponível em mandarim em uma loja de aplicativos global, um site B2C que envia para endereços do continente, um pipeline de análise que segmenta os usuários por cidade chinesa: cada um é um gatilho plausível.
A consequência prática é que o escopo raramente é um sim ou não claro. É uma questão de saber quais linhas de produtos, quais grupos de usuários e quais conjuntos de dados estão ao alcance da lei. A primeira tarefa de conformidade não é, portanto, redigir um aviso de privacidade. Trata-se de mapear dados: identificar onde as informações pessoais chinesas entram nos seus sistemas, onde são armazenadas, quem as toca e de onde saem. Até que esse mapa exista, todo controle posterior é uma adivinhação.
Consentimento: base legal, não uma caixa de seleção
O PIPL é frequentemente descrito como um regime orientado por consentimento e, em salas de reuniões estrangeiras, isso é traduzido como “adicionar uma caixa de seleção”. Isso subestima a obrigação. O PIPL reconhece várias bases legais – necessidade contratual, dever estatutário, administração de RH, interesse público e outros – mas o consentimento continua a ser o carro-chefe e a lei estabelece um padrão elevado para o que conta.
O consentimento sob o PIPL deve ser informado, voluntário e explícito. Quando o processamento envolver informações pessoais sensíveis (contas financeiras, saúde, dados biométricos, informações pessoais de menores de 14 anos, rastreamento de localização e categorias semelhantes) ou transferência transfronteiriça, é necessário um consentimento separado. “Separado” significa exatamente isso: um ato de acordo distinto e específico, não um parágrafo enterrado dentro de uma aceitação de termos gerais.
Uma arquitetura de consentimento viável para empresas estrangeiras geralmente inclui:
- Um aviso em camadas que indica, em chinês simples, a identidade do processador, as categorias de informações pessoais, as finalidades, o período de retenção e os direitos do usuário.
- Alterações granulares para categorias de processamento confidenciais e para marketing, separadas do consentimento do serviço principal.
- Um fluxo de consentimento transfronteiriço distinto que nomeia o destinatário estrangeiro, a jurisdição de destino e a finalidade da transferência.
- Um mecanismo de retirada tão fácil de usar quanto o fluxo de consentimento original, sem padrões obscuros.
- Um registro de auditoria que registra, por usuário, o que foi consentido, quando e em relação a qual versão do aviso.
O último ponto importa mais do que as equipes esperam. Os reguladores e as contrapartes pedem cada vez mais provas e não afirmações.
Transferência transfronteiriça: três rotas, uma decisão
A transferência de informações pessoais chinesas para o exterior é a área onde as empresas estrangeiras descobrem com mais frequência que a sua arquitetura existente não é compatível. O PIPL fornece três mecanismos principais, refinados por medidas CAC subsequentes:- Avaliação de segurança CAC. Obrigatório para operadores de infra-estruturas de informação críticas, para processadores que processam informações pessoais acima dos limites de volume prescritos e para transferências de "dados importantes". Esta é uma revisão liderada pelo governo, não uma autocertificação.
- Cláusulas Contratuais Padrão (SCCs da China). Um modelo de contrato entre o exportador chinês e o destinatário estrangeiro, arquivado no CAC provincial juntamente com uma avaliação de impacto de proteção de informações pessoais. Adequado para transferências de volume médio abaixo dos limites de avaliação.
- Certificação de proteção de informações pessoais. Emitida por órgãos credenciados pelo CAC. Na prática, esta via é mais útil para transferências intragrupo dentro de multinacionais.
As flexibilizações de 2024 introduziram isenções para certas transferências de baixo volume, transferências necessárias para executar um contrato com o indivíduo (comércio eletrónico transfronteiriço, reservas de viagens, pedidos de visto) e transferências de RH necessárias para a gestão transfronteiriça do emprego. Estas isenções são reais, mas limitadas. Eles se baseiam na contagem do volume, na natureza da necessidade contratual e na questão de saber se estão envolvidas informações pessoais confidenciais. Tratar uma isenção como uma postura permanente sem revisão periódica é um erro comum.
Qualquer que seja a via aplicável, cada transferência transfronteiriça exige uma avaliação de impacto na proteção de informações pessoais — documentada, retida durante pelo menos três anos e atualizada quando o tratamento sofrer alterações materiais.
A linha de base realista de conformidade
Para uma empresa estrangeira de tamanho moderado que lida com dados de usuários chineses, uma linha de base defensável é mais ou menos assim:
- Um mapa de dados que abrange todos os fluxos de informações pessoais chineses, atualizado pelo menos anualmente.
- Um aviso de privacidade em chinês e uma arquitetura de consentimento que distingue o consentimento geral, sensível e transfronteiriço.
- Um representante ou entidade designada dentro da China, quando necessário, com detalhes de contato publicados.
- Um mecanismo de transferência transfronteiriça escolhido — avaliação, SCC ou certificação — com a avaliação de impacto subjacente em arquivo.
- Diligência do fornecedor cobrindo qualquer processador posterior que toque nos dados, incluindo provedores de nuvem e de análise.
- Um procedimento de resposta a incidentes que atenda às expectativas de notificação do PIPL tanto para os reguladores quanto para os indivíduos afetados.
- Treinamento interno para equipes de produto, engenharia e marketing sobre o que desencadeia uma nova avaliação de impacto.
Nada disso é exótico. É, em termos gerais, a mesma disciplina que um programa maduro de GDPR já pratica, com sobreposições específicas da China sobre granularidade de consentimento, registros transfronteiriços e idioma.
Onde as equipes estrangeiras normalmente erram
Três padrões se repetem. Em primeiro lugar, tratar o PIPL como um exercício de tradução de um aviso do RGPD — os dois regimes sobrepõem-se, mas divergem no que diz respeito ao consentimento, à mecânica transfronteiriça e ao papel do Estado. Em segundo lugar, presumindo que, como os dados estão hospedados fora da China, o PIPL não se aplica; a extraterritorialidade é a regra, não a exceção. Terceiro, deixar o pedido transfronteiriço até que um regulador ou uma contraparte comercial chinesa o solicite, altura em que o cronograma já não é seu para controlar.
A rota de avaliação de segurança do CAC, em particular, não é um processo que recompensa a preparação de última hora. Os registros do SCC são mais rápidos, mas ainda exigem uma avaliação de impacto devidamente comprovada.
A conformidade com a privacidade de dados na China é, em última análise, uma questão de maturidade operacional e não de inteligência jurídica. As regras são conhecidas. O custo de ignorá-los – medidas coercivas, transferências bloqueadas, acordos comerciais perdidos com parceiros chineses que agora fazem eles próprios as perguntas – é cada vez mais concreto.
Para equipes estrangeiras que precisam de aconselhamento qualificado da RPC sobre uma estrutura de transferência específica, fluxo de consentimento ou arquivamento, o serviço de Advogado Chinês da Serene Jade coloca você em contato com advogados admitidos na Ordem dos Advogados do continente e de Hong Kong.
Perguntas frequentes
Precisamos de uma entidade chinesa apenas para registrar SCCs? Não necessariamente. O exportador chinês ao abrigo das SCC é quem detém as informações pessoais dentro da China – que pode ser a sua subsidiária local, um parceiro de joint venture ou uma plataforma chinesa através da qual você opera. Se você não estiver presente, a questão é se você deve nomear um representante designado nos termos do Artigo 53 do PIPL.O envio de dados para Hong Kong conta como uma transferência internacional? Sim. Para efeitos do PIPL, Hong Kong é tratado como fora da China continental, pelo que as transferências para lá requerem um dos três mecanismos ou uma isenção válida, em pé de igualdade com as transferências para Londres ou Frankfurt.
Podemos contar com a isenção de necessidade contratual para os dados de nossos clientes SaaS? Somente quando a transferência for genuinamente necessária para executar o contrato celebrado pelo indivíduo – por exemplo, cumprir um pedido que ele fez. As transferências B2B SaaS de dados do usuário final, análises e a maioria dos casos de uso de marketing estão fora disso e precisam de SCCs, certificação ou avaliação.