PIPL i praktiken: Vad utländska företag faktiskt måste göra

En produktchef i Berlin driver en funktionsuppdatering. Ett tillväxtteam i London driver en kampanj genom en Shanghai-byrå. En SaaS-leverantör i Singapore lagrar i tysthet kundsupportutskrifter som inkluderar namn, telefonnummer och ID-fragment för användare i Chengdu. Inget av dessa team anser sig själva vara verksamma i Kina. Alla av dem är, i enlighet med lagen om skydd av personuppgifter, processorer av kinesisk personlig information - och alla av dem är inom räckvidden.

Tre år efter att lagen om skydd av personuppgifter trädde i kraft har regleringsbilden satt sig tillräckligt för att "vi väntar på att se hur det skakar ut" inte längre är en försvarbar hållning. Cyberspace Administration of China har utfärdat genomförandeåtgärder, reviderat dem och förtydligat tröskelvärden. Utländska företag har nu tillräckligt med signaler för att bygga en fungerande efterlevnadsbaslinje. Det här stycket beskriver hur den baslinjen ser ut i praktiken.

Den extraterritoriella triggern som de flesta lag underskattar

PIPL gäller för bearbetning i Kina, och - kritiskt - för bearbetning utanför Kina som riktar sig till individer i Kina i syfte att tillhandahålla produkter eller tjänster, eller analysera deras beteende. Utformningen är bred och avsiktlig. En konsumentapp tillgänglig på mandarin i en global appbutik, en B2C-webbplats som skickas till fastlandsadresser, en analyspipeline som segmenterar användare efter kinesisk stad: var och en är en rimlig trigger.

Den praktiska konsekvensen är att omfattningen sällan är ett rent ja eller nej. Det är en fråga om vilka produktlinjer, vilka användarkohorter och vilka datamängder som sitter inom lagens räckhåll. Den första efterlevnadsuppgiften är därför inte att utarbeta ett integritetsmeddelande. Det är kartdata: identifiera var kinesisk personlig information kommer in i dina system, var den lagras, vem som rör vid den och var den lämnar. Tills den kartan finns är varje kontroll nedströms gissningar.

Samtycke: laglig grund, inte en kryssruta

PIPL beskrivs ofta som en samtyckesstyrd regim, och i utländska styrelserum översätts detta till "lägg till en kryssruta". Det underskrider skyldigheten. PIPL erkänner flera lagliga grunder - kontraktsmässig nödvändighet, lagstadgad skyldighet, HR-administration, allmänt intresse och andra - men samtycke förblir arbetshästen, och lagen sätter en hög standard för vad som räknas.

Samtycke enligt PIPL måste vara informerat, frivilligt och uttryckligt. Om behandlingen omfattar känslig personlig information (ekonomiska konton, hälsa, biometriska uppgifter, personuppgifter för minderåriga under 14 år, platsspårning och liknande kategorier) eller gränsöverskridande överföring krävs separat samtycke. "Separat" betyder exakt det: en distinkt, specifik avtalshandling, inte ett stycke begravt i en allmän villkorsacceptans.

En fungerande samtyckesarkitektur för utländska företag inkluderar vanligtvis:

1. Ett lagermeddelande som anger, på vanlig kinesiska, identiteten på processorn, kategorierna av personlig information, syftena, lagringsperioden och användarens rättigheter.
2. Granulära växlar för känsliga bearbetningskategorier och för marknadsföring, åtskilda från kärntjänstens samtycke.
3. Ett distinkt gränsöverskridande samtyckesflöde som namnger den utomeuropeiska mottagaren, destinationens jurisdiktion och syftet med överföringen.
4. En uttagsmekanism som är lika enkel att använda som det ursprungliga samtyckesflödet, utan mörka mönster.
5. En granskningslogg som registrerar, per användare, vad som samtycktes till, när och mot vilken version av meddelandet.

Den sista poängen är viktigare än vad lagen förväntar sig. Tillsynsmyndigheter och motparter efterfrågar allt oftare bevis, inte påståenden.

Gränsöverskridande överföring: tre rutter, ett beslut

Att flytta kinesisk personlig information till havs är det område där utländska företag oftast upptäcker att deras befintliga arkitektur inte är kompatibel. PIPL tillhandahåller tre huvudsakliga mekanismer, förfinade av efterföljande CAC-åtgärder:- CAC-säkerhetsbedömning. Obligatorisk för operatörer av kritisk informationsinfrastruktur, för processorer som hanterar personlig information över föreskrivna volymtrösklar, och för överföringar av "viktig data". Detta är en regeringsledd granskning, inte en självcertifiering.

• Standard Contractual Clauses (Kina SCCs). Ett mallkontrakt mellan den kinesiska exportören och den utomeuropeiska mottagaren, inlämnad till den provinsiella CAC tillsammans med en konsekvensbedömning av personlig informationsskydd. Lämplig för medelstora överföringar under bedömningströskelvärdena.
• Intyg om skydd av personlig information. Utfärdat av CAC-ackrediterade organ. I praktiken är denna väg mest användbar för koncerninterna överföringar inom multinationella företag.

2024-lättnaderna införde undantag för vissa överföringar i låg volym, överföringar som är nödvändiga för att utföra ett kontrakt med individen (gränsöverskridande e-handel, resebokningar, visumansökningar) och HR-överföringar som är nödvändiga för gränsöverskridande anställningshantering. Dessa undantag är verkliga men snäva. De aktiverar volymräkningar, på vilken typ av kontraktuell nödvändighet och om känslig personlig information är inblandad. Att behandla ett undantag som en permanent hållning utan periodisk granskning är ett vanligt fel.

Oavsett vilken väg som gäller kräver varje gränsöverskridande överföring en konsekvensbedömning av skyddet av personuppgifter – dokumenterad, bevarad i minst tre år och uppdaterad när behandlingen ändras väsentligt.

Den realistiska efterlevnadsbaslinjen

För ett utländskt företag av måttlig storlek som hanterar kinesiska användardata ser en försvarbar baslinje ungefär ut så här:

• En datakarta som täcker alla kinesiska personliga informationsflöden, uppdaterad minst årligen.
• Ett kinesisktspråkigt integritetsmeddelande och en samtyckesarkitektur som särskiljer allmänt, känsligt och gränsöverskridande samtycke.
• En utsedd representant eller enhet inom Kina, där så krävs, med kontaktuppgifter publicerade.
• En vald mekanism för gränsöverskridande överföring – bedömning, SCC eller certifiering – med den underliggande konsekvensbedömningen i register.
• Leverantörsaktsamhet som täcker alla vidarebehandlare som rör data, inklusive moln- och analysleverantörer.
• En incidentresponsprocedur som uppfyller PIPL:s förväntningar på meddelanden till både tillsynsmyndigheter och berörda individer.
• Intern utbildning för produkt-, ingenjörs- och marknadsföringsteam om vad som utlöser en ny konsekvensanalys.

Inget av detta är exotiskt. Det är i stort sett samma disciplin som ett moget GDPR-program redan tillämpar, med kinesiska specifika överlagringar på granularitet för samtycke, gränsöverskridande anmälningar och språk.

Där utländska lag brukar ha fel

Tre mönster återkommer. För det första, att behandla PIPL som en översättningsövning på ett GDPR-meddelande – de två regimerna överlappar varandra men skiljer sig åt när det gäller samtycke, om gränsöverskridande mekanik och om statens roll. För det andra, förutsatt att eftersom data lagras utanför Kina, gäller inte PIPL; extraterritorialitet är regeln, inte undantaget. För det tredje, att lämna den gränsöverskridande registreringen tills en tillsynsmyndighet eller en kinesisk kommersiell motpart ber om det, då tidslinjen inte längre är din att kontrollera.

Särskilt CAC-säkerhetsbedömningsvägen är inte en process som belönar förberedelser i sista minuten. SCC-ansökningar är snabbare men kräver fortfarande en väl underbyggd konsekvensbedömning bakom dem.

Kinas efterlevnad av datasekretess är i slutändan en fråga om operativ mognad snarare än juridisk smarthet. Reglerna är kännbara. Kostnaden för att ignorera dem – verkställande åtgärder, blockerade överföringar, förlorade kommersiella avtal med kinesiska partners som nu ställer frågorna själva – blir allt mer konkret.

För utländska team som behöver PRC-kvalificerad rådgivning om en specifik överföringsstruktur, samtyckesflöde eller arkivering, kopplar Serene Jades tjänst kinesisk advokat dig ihop med advokater som har antagits av fastlandet och Hongkong.

Vanliga frågor

Behöver vi en kinesisk enhet bara för att lämna in SCC? Inte nödvändigtvis. Den kinesiska exportören under SCC:erna är den som har den personliga informationen i Kina – det kan vara ditt lokala dotterbolag, en joint venture-partner eller en kinesisk plattform som du verkar genom. Om du inte har någon närvaro alls blir frågan om du ska utse en utsedd representant enligt PIPL artikel 53.Räknas det att skicka data till Hongkong som en gränsöverskridande överföring? Ja. För PIPL-ändamål behandlas Hongkong som utanför Kina, så överföringar där kräver en av de tre mekanismerna eller ett giltigt undantag, på samma villkor som överföringar till London eller Frankfurt.

Kan vi lita på undantaget från avtalsmässig nödvändighet för våra SaaS-kunddata? Endast när överföringen verkligen är nödvändig för att fullgöra avtalet som den enskilde ingick – till exempel genom att fullgöra en beställning som de lagt. B2B SaaS-överföringar av slutanvändardata, analyser och de flesta fall av marknadsföringsanvändning faller utanför det och behöver SCC:er, certifiering eller bedömning.