Abrir espacio

Guía · Normativa china

PIPL: la ley de datos de China explicada sin complicaciones

La PIPL es la ley de protección de la información personal de China continental. Alcanza a las empresas de fuera que ofrecen servicios o analizan el comportamiento de personas en el país, exige consentimiento separado en varios casos y prevé multas de hasta el 5% de la facturación. Mira qué significa esto para un sitio con visitantes chinos.

  • ✓Basado en la traducción oficial de la ley publicada por el Congreso Nacional del Pueblo
  • ✓Ejemplos de sitios con anuncios, incluidos sitios brasileños
  • ✓Lectura sin modificar el sitio
50 millonesde yuanes, o hasta el 5% de la facturación del año anterior: tope de la multa en casos graves
14años: por debajo de esa edad, los datos del niño son sensibles y exigen el consentimiento de los padres
3caminos para enviar datos fuera de China: evaluación de seguridad, contrato estándar o certificación
2021año en que la ley entró en vigor, el 1 de noviembre

Qué es

La ley general de datos personales de China

La Ley de Protección de la Información Personal de la República Popular China, conocida como PIPL, se aprobó el 20 de agosto de 2021 y entró en vigor el 1 de noviembre de 2021. Funciona junto con la Ley de Ciberseguridad y la Ley de Seguridad de Datos y rige para China continental. Hong Kong y Macao tienen leyes propias.

La coordinación de la fiscalización está a cargo de la Administración del Ciberespacio de China, la CAC, que también publica las reglas complementarias. Otros organismos del gobierno fiscalizan dentro de sus áreas.

La ley rige para el tratamiento de datos realizado dentro de China y también fuera de ella, cuando el objetivo es ofrecer productos o servicios a personas en el país o analizar y evaluar su comportamiento. Un sitio extranjero que crea perfiles de visitantes chinos para anuncios puede, por tanto, estar sujeto a la ley.

Las empresas de fuera alcanzadas por la PIPL deben crear una oficina o nombrar a un representante en China para ocuparse de la protección de datos e informar esos contactos a las autoridades. La ley también permite que la CAC incluya en una lista de restricción a las organizaciones extranjeras que infrinjan los derechos de ciudadanos chinos.

Lista de verificación

Lo que debes cumplir

Lo que pide la PIPL a un sitio con anuncios que trata datos de personas en China continental.

  1. Avisa antes de tratar

    Antes de tratar los datos, informa en lenguaje claro quién eres y cómo contactarte, las finalidades, los modos, los tipos de datos, el plazo de conservación y cómo ejercer los derechos. Google también exige que la política diga que terceros, como Google, usan cookies para mostrar anuncios.

  2. Consentimiento explícito y fácil de retirar

    El consentimiento tiene que ser voluntario, explícito e informado, y debe pedirse de nuevo si cambia la finalidad. La persona puede retirarlo, y el sitio tiene que ofrecer una forma fácil. Con etiquetas de Google, el Consent Mode puede empezar denegado solo para China.

    gtag('consent', 'default', {
      'ad_storage': 'denied',
      'ad_user_data': 'denied',
      'ad_personalization': 'denied',
      'wait_for_update': 500,
      'region': ['CN']
    });
  3. Consentimiento separado para socios

    Antes de pasar datos a otro procesador, como un socio de anuncios, informa su nombre y contacto y pide un consentimiento separado.

    Ejemplo

    Permitir que nuestros socios de anuncios, listados abajo, reciban mis datos: Sí o No.

  4. Opción sin personalización

    El marketing hecho por decisión automatizada tiene que ofrecer una opción que no use las características personales del visitante o una forma fácil de rechazar.

  5. Datos sensibles y menores de 14 años

    Los datos sensibles piden un consentimiento separado y una explicación de por qué son necesarios. Los datos de menores de 14 años piden el consentimiento de los padres o tutores.

  6. Envío fuera de China

    Informa quién recibe los datos en el exterior, la finalidad y cómo ejercer los derechos, y pide un consentimiento separado. Usa también uno de los caminos de la ley, como evaluación de seguridad, certificación o contrato estándar.

  7. Evaluación de impacto

    Haz la evaluación antes de tratar datos sensibles, usar decisiones automatizadas, pasar datos a terceros o enviarlos al exterior. Guarda el informe y los registros por al menos tres años.

  8. Representante en China

    Si el sitio está fuera de China y la ley lo alcanza, crea una oficina o nombra a un representante en el país e informa los contactos a las autoridades. Consulta con tu asesor legal si tu sitio entra.

En la práctica

Lo correcto y lo incorrecto

Herramientas oficiales

CMPs certificadas y enlaces oficiales

Google no exige una CMP certificada ni tiene un mensaje propio para China, así que los enlaces de abajo son el texto oficial de la ley, la regla de la CAC y las páginas de Google para configurar por región.

Definiciones

Las palabras que encontrarás

Los nombres recuerdan al GDPR, pero el contenido de cada uno tiene diferencias importantes.

Información personal

Cualquier información vinculada a una persona identificada o identificable, registrada por medios electrónicos o no. Los datos anonimizados quedan fuera.

Información sensible

Datos biométricos, religión, identidades específicas, salud, cuentas financieras, rastreo de ubicación y cualquier dato de menores de 14 años.

Procesador

Quien decide la finalidad y la forma del tratamiento, el equivalente al controlador del GDPR. Quien trata en su nombre es el tercero contratado.

Consentimiento separado

Un consentimiento aparte, dado solo para ese uso específico, sin mezclarse con la aceptación general de los términos o de la política.

Bases legales y consentimiento

En China, el consentimiento es la regla

La PIPL enumera las situaciones en que el tratamiento está permitido: consentimiento, necesidad para un contrato o para la gestión de personal, cumplimiento de un deber legal, emergencias de salud pública y protección de la vida, reportaje periodístico de interés público y uso razonable de datos ya hechos públicos. A diferencia del GDPR y la LGPD, no existe la base del interés legítimo.

Por eso, para las cookies de anuncios, los perfiles de público y el remarketing, el camino normal es el consentimiento. Debe ser voluntario, explícito y dado con pleno conocimiento. Si cambia la finalidad, la forma o el tipo de dato, hay que volver a pedirlo. La persona puede retirar el consentimiento en cualquier momento, y el sitio debe ofrecer una forma fácil de hacerlo.

La ley exige un consentimiento separado en casos específicos: compartir datos con otro procesador, publicar datos personales, tratar información sensible y enviar datos fuera de China. En la práctica, una aceptación genérica en el banner no cubre la transferencia de los datos a socios de anuncios ni la transferencia internacional.

Para el marketing y los anuncios basados en decisiones automatizadas, el sitio también debe ofrecer una opción que no use las características personales del visitante o una forma simple de rechazar. Los datos de menores de 14 años exigen el consentimiento de los padres o tutores y reglas propias de tratamiento.

Derechos de las personas

Lo que puede pedir el visitante chino

El sitio debe tener un medio práctico para recibir las solicitudes y, si rechaza alguna, explicar el motivo.

Saber y decidir

Ser informado sobre el tratamiento y decidir sobre él, incluido limitar o rechazar el uso de sus propios datos.

Acceder y copiar

Consultar y recibir una copia de la información personal que guarda el sitio.

Portabilidad

Pedir que los datos se transfieran a otro procesador, en las condiciones definidas por la CAC.

Corregir y completar

Pedir la corrección de datos erróneos y la complementación de datos incompletos.

Borrar

Pedir la eliminación cuando se cumplió la finalidad, se retiró el consentimiento o el tratamiento es irregular.

Explicación

Pedir que el sitio explique las reglas de tratamiento y rechazar decisiones importantes tomadas solo por un sistema automatizado.

Obligaciones

Lo que debe hacer un sitio sujeto a la PIPL

  1. Avisar antes de tratarInforma, de forma visible y en lenguaje claro, quién es el responsable y cómo contactarlo, las finalidades, las formas de tratamiento, los tipos de datos, el plazo de conservación y cómo ejercer los derechos. Tener la política en chino ayuda al visitante a entender.
  2. Pedir el consentimiento correctoUsa un banner con aceptación explícita para las cookies de anuncios y pide un consentimiento separado para la transferencia a socios, los datos sensibles y el envío al exterior.
  3. Evaluar el impactoHaz una evaluación de impacto antes de tratar datos sensibles, usar decisiones automatizadas, transferir datos a terceros o enviarlos fuera de China, y guarda el registro por al menos tres años.
  4. Proteger y reaccionarAdopta medidas de seguridad y, si hay una filtración, adopta correcciones inmediatas y avisa a las autoridades y, por regla general, a las personas afectadas.
  5. Nombrar a un representanteSi el sitio está fuera de China y la ley lo alcanza, crea una oficina o nombra a un representante en el país e informa los datos a las autoridades.
  6. Elegir el camino de la transferenciaPara enviar datos fuera de China, informa el nombre y el contacto de quien recibe en el exterior, obtén el consentimiento separado y usa uno de tres caminos: evaluación de seguridad de la CAC, contrato estándar o certificación. Las reglas de marzo de 2024 crearon excepciones y franjas por volumen; la certificación, por ejemplo, sirve para quien envió en el año datos no sensibles de 100 mil a 1 millón de personas.

Supervisión y multas

Las sanciones de la PIPL

La ley combina órdenes de corrección, multas para la empresa y para las personas responsables y efectos en el historial crediticio.

Casos comunes

Orden de corrección, advertencia, decomiso de ganancias ilegales y suspensión de aplicaciones. Si la empresa no corrige, multa de hasta 1 millón de yuanes.

Casos graves

Multa de hasta 50 millones de yuanes o hasta el 5% de la facturación del año anterior, además de la suspensión de actividades y la revocación de licencias.

Personas responsables

Los directivos y responsables directos pueden pagar de 100 mil a 1 millón de yuanes en los casos graves y quedar inhabilitados para ocupar cargos de dirección durante un período.

Historial público

Las infracciones se registran en el historial crediticio de la empresa y se publican, lo que pesa en licencias y contratos en China.

Cronología

De la ley a las reglas complementarias

La PIPL viene siendo detallada por reglamentos de la CAC desde que entró en vigor.

  1. 20 de agosto de 2021

    Ley aprobada

    El Comité Permanente del Congreso Nacional del Pueblo aprueba la PIPL.

  2. 1 de noviembre de 2021

    Entrada en vigor

    La ley pasa a regir para el tratamiento de datos dentro y fuera de China.

  3. 1 de septiembre de 2022

    Evaluación de seguridad

    Empiezan a regir las reglas de evaluación de seguridad de la CAC para el envío de datos al exterior.

  4. 1 de junio de 2023

    Contrato estándar

    Entra en vigor el modelo oficial de contrato para la transferencia internacional de datos personales.

  5. 22 de marzo de 2024

    Reglas más flexibles

    Nuevas reglas crean excepciones y franjas por volumen para el envío de datos al exterior.

  6. 1 de mayo de 2025

    Auditorías de cumplimiento

    Empiezan a regir las reglas de auditoría de cumplimiento de la protección de la información personal.

  7. 1 de enero de 2026

    Certificación

    Entra en vigor el reglamento de la certificación, el último de los tres caminos para la transferencia internacional.

Para quienes tienen AdSense o Ad Manager

Qué cambia en la práctica para los ingresos

Google no exige una CMP certificada ni el IAB TCF para China. Esa exigencia rige para el Espacio Económico Europeo, el Reino Unido y Suiza.

Aun así, el sitio recopila datos de los visitantes chinos mediante cookies, analytics y píxeles. Si lo hace para analizar su comportamiento, entra en el alcance de la PIPL. El camino seguro es tratar a China continental como región de consentimiento previo en la CMP, con un banner de aceptación explícita y nada que se active antes de la elección.

Piensa en un sitio brasileño sobre importación que tiene una página en chino para atraer proveedores. El formulario de contacto recopila nombre, empresa y WeChat. Ese sitio necesita un aviso de privacidad claro, consentimiento para el uso de los datos y un cuidado redoblado si pretende transferir los contactos a socios.

Para la mayoría de los sitios de contenido, el resultado práctico es simple: configurar la CMP por región, mantener una política completa y evitar recopilar datos sensibles de visitantes chinos.

En la práctica

Qué se puede y qué no se puede con visitantes chinos

Ejemplos del día a día de sitios que reciben público de China continental.

Sí se puede

  • Mostrar un banner de consentimiento solo a visitantes de China continental, configurado por región en la CMP
  • Cargar cookies de anuncios y analytics después de la aceptación explícita
  • Ofrecer anuncios no personalizados a quien no quiere anuncios basados en el perfil
  • Usar cookies estrictamente necesarias, como la que guarda la elección del banner
  • Explicar en la política, de forma visible, quién recibe los datos y en qué países

No se puede

  • Considerar que seguir navegando es consentimiento
  • Mezclar en el mismo clic la aceptación de los términos y la transferencia de datos a socios
  • Recopilar ubicación precisa o datos de salud sin consentimiento separado
  • Recopilar datos de menores de 14 años sin el consentimiento de los padres
  • Tratar a Hong Kong y Macao como si siguieran la PIPL

Errores comunes

Dónde fallan más los sitios

Fallas frecuentes en sitios con público chino.

Contar con el interés legítimo

La PIPL no tiene esa base. El rastreo para anuncios sin consentimiento queda sin justificación.

Una aceptación para todo

La ley exige un consentimiento separado para la transferencia a terceros, los datos sensibles y el envío al exterior. Un único botón genérico no cubre esos casos.

Olvidar que la ubicación es sensible

El rastreo de ubicación individual es información sensible. Pedir la ubicación precisa solo para mostrar contenido local puede ser innecesario.

Creer que el poco tráfico exime de la ley

Aunque haya pocos visitantes chinos, las cookies y los píxeles siguen recopilando datos de ellos, y la ley no establece un volumen mínimo para el aviso y el consentimiento.

Política sin destinatarios

La ley pide el nombre y el contacto de quien recibe los datos en el exterior. Los textos genéricos no cumplen.

Sin canal para solicitudes

El sitio debe recibir solicitudes de acceso, corrección y eliminación y explicar cuándo rechaza alguna.

En ConsentMode

Qué revisa la auditoría para China

  • Abre el sitio como visitante de China continental y registra si aparece el banner y si la aceptación es explícita.
  • Enumera cookies, píxeles y solicitudes de red antes y después de la elección y señala lo que se activa antes del consentimiento.
  • Identifica la CMP por el código de la página y lee las señales de Consent Mode enviadas a Google.
  • Comprueba si la política de privacidad incluye responsable, finalidades, tipos de datos, plazo de conservación, destinatarios y derechos.
  • Verifica los formularios que piden ubicación, salud o datos de menores.

Preguntas frecuentes

Mi sitio es brasileño. ¿Me afecta la PIPL?

Puede afectarte, si el sitio ofrece productos o servicios a personas en China continental o analiza su comportamiento, como hace el rastreo para anuncios. Para dudas sobre el representante o la transferencia, busca orientación jurídica local.

¿Qué es el consentimiento separado?

Es una aceptación aparte, solo para ese uso, como la transferencia de datos a socios o el envío al exterior. No puede estar escondida dentro de la aceptación general de los términos.

Mi sitio está en Brasil. ¿Me afectan las reglas de transferencia internacional?

Fueron pensadas principalmente para quien recopila datos dentro de China y los envía al exterior. Un sitio alojado en Brasil que recopila datos directamente del visitante chino queda alcanzado por la regla extraterritorial de la ley, y el encuadre exacto en las reglas de transferencia es una cuestión de interpretación que merece orientación jurídica local.

¿La PIPL rige para Hong Kong y Taiwán?

No. La PIPL rige para China continental. Hong Kong y Macao tienen leyes propias de protección de datos, y Taiwán también tiene la suya.

¿Quién fiscaliza la ley?

La Administración del Ciberespacio de China coordina la fiscalización y emite reglas complementarias. Otros organismos actúan en sus áreas.

¿Las multas pueden alcanzar a las personas?

Sí. En casos graves, los directivos y responsables directos pueden pagar de 100 mil a 1 millón de yuanes y quedar inhabilitados para ocupar cargos de dirección durante un período.

Biblioteca

Fuentes oficiales

Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:

Mira cómo trata tu sitio a un visitante chino

La auditoría abre el sitio desde China continental y muestra lo que se activa antes del consentimiento, sin cambiar nada.

Comenzar la auditoría