Información personal
Cualquier información vinculada a una persona identificada o identificable, registrada por medios electrónicos o no. Los datos anonimizados quedan fuera.
Guía · Normativa china
La PIPL es la ley de protección de la información personal de China continental. Alcanza a las empresas de fuera que ofrecen servicios o analizan el comportamiento de personas en el país, exige consentimiento separado en varios casos y prevé multas de hasta el 5% de la facturación. Mira qué significa esto para un sitio con visitantes chinos.
Qué es
La Ley de Protección de la Información Personal de la República Popular China, conocida como PIPL, se aprobó el 20 de agosto de 2021 y entró en vigor el 1 de noviembre de 2021. Funciona junto con la Ley de Ciberseguridad y la Ley de Seguridad de Datos y rige para China continental. Hong Kong y Macao tienen leyes propias.
La coordinación de la fiscalización está a cargo de la Administración del Ciberespacio de China, la CAC, que también publica las reglas complementarias. Otros organismos del gobierno fiscalizan dentro de sus áreas.
La ley rige para el tratamiento de datos realizado dentro de China y también fuera de ella, cuando el objetivo es ofrecer productos o servicios a personas en el país o analizar y evaluar su comportamiento. Un sitio extranjero que crea perfiles de visitantes chinos para anuncios puede, por tanto, estar sujeto a la ley.
Las empresas de fuera alcanzadas por la PIPL deben crear una oficina o nombrar a un representante en China para ocuparse de la protección de datos e informar esos contactos a las autoridades. La ley también permite que la CAC incluya en una lista de restricción a las organizaciones extranjeras que infrinjan los derechos de ciudadanos chinos.
Lista de verificación
Lo que pide la PIPL a un sitio con anuncios que trata datos de personas en China continental.
Antes de tratar los datos, informa en lenguaje claro quién eres y cómo contactarte, las finalidades, los modos, los tipos de datos, el plazo de conservación y cómo ejercer los derechos. Google también exige que la política diga que terceros, como Google, usan cookies para mostrar anuncios.
El consentimiento tiene que ser voluntario, explícito e informado, y debe pedirse de nuevo si cambia la finalidad. La persona puede retirarlo, y el sitio tiene que ofrecer una forma fácil. Con etiquetas de Google, el Consent Mode puede empezar denegado solo para China.
gtag('consent', 'default', {
'ad_storage': 'denied',
'ad_user_data': 'denied',
'ad_personalization': 'denied',
'wait_for_update': 500,
'region': ['CN']
});Antes de pasar datos a otro procesador, como un socio de anuncios, informa su nombre y contacto y pide un consentimiento separado.
Permitir que nuestros socios de anuncios, listados abajo, reciban mis datos: Sí o No.
El marketing hecho por decisión automatizada tiene que ofrecer una opción que no use las características personales del visitante o una forma fácil de rechazar.
Los datos sensibles piden un consentimiento separado y una explicación de por qué son necesarios. Los datos de menores de 14 años piden el consentimiento de los padres o tutores.
Informa quién recibe los datos en el exterior, la finalidad y cómo ejercer los derechos, y pide un consentimiento separado. Usa también uno de los caminos de la ley, como evaluación de seguridad, certificación o contrato estándar.
Haz la evaluación antes de tratar datos sensibles, usar decisiones automatizadas, pasar datos a terceros o enviarlos al exterior. Guarda el informe y los registros por al menos tres años.
Si el sitio está fuera de China y la ley lo alcanza, crea una oficina o nombra a un representante en el país e informa los contactos a las autoridades. Consulta con tu asesor legal si tu sitio entra.
En la práctica
Herramientas oficiales
Google no exige una CMP certificada ni tiene un mensaje propio para China, así que los enlaces de abajo son el texto oficial de la ley, la regla de la CAC y las páginas de Google para configurar por región.
Definiciones
Los nombres recuerdan al GDPR, pero el contenido de cada uno tiene diferencias importantes.
Cualquier información vinculada a una persona identificada o identificable, registrada por medios electrónicos o no. Los datos anonimizados quedan fuera.
Datos biométricos, religión, identidades específicas, salud, cuentas financieras, rastreo de ubicación y cualquier dato de menores de 14 años.
Quien decide la finalidad y la forma del tratamiento, el equivalente al controlador del GDPR. Quien trata en su nombre es el tercero contratado.
Un consentimiento aparte, dado solo para ese uso específico, sin mezclarse con la aceptación general de los términos o de la política.
Bases legales y consentimiento
La PIPL enumera las situaciones en que el tratamiento está permitido: consentimiento, necesidad para un contrato o para la gestión de personal, cumplimiento de un deber legal, emergencias de salud pública y protección de la vida, reportaje periodístico de interés público y uso razonable de datos ya hechos públicos. A diferencia del GDPR y la LGPD, no existe la base del interés legítimo.
Por eso, para las cookies de anuncios, los perfiles de público y el remarketing, el camino normal es el consentimiento. Debe ser voluntario, explícito y dado con pleno conocimiento. Si cambia la finalidad, la forma o el tipo de dato, hay que volver a pedirlo. La persona puede retirar el consentimiento en cualquier momento, y el sitio debe ofrecer una forma fácil de hacerlo.
La ley exige un consentimiento separado en casos específicos: compartir datos con otro procesador, publicar datos personales, tratar información sensible y enviar datos fuera de China. En la práctica, una aceptación genérica en el banner no cubre la transferencia de los datos a socios de anuncios ni la transferencia internacional.
Para el marketing y los anuncios basados en decisiones automatizadas, el sitio también debe ofrecer una opción que no use las características personales del visitante o una forma simple de rechazar. Los datos de menores de 14 años exigen el consentimiento de los padres o tutores y reglas propias de tratamiento.
Derechos de las personas
El sitio debe tener un medio práctico para recibir las solicitudes y, si rechaza alguna, explicar el motivo.
Ser informado sobre el tratamiento y decidir sobre él, incluido limitar o rechazar el uso de sus propios datos.
Consultar y recibir una copia de la información personal que guarda el sitio.
Pedir que los datos se transfieran a otro procesador, en las condiciones definidas por la CAC.
Pedir la corrección de datos erróneos y la complementación de datos incompletos.
Pedir la eliminación cuando se cumplió la finalidad, se retiró el consentimiento o el tratamiento es irregular.
Pedir que el sitio explique las reglas de tratamiento y rechazar decisiones importantes tomadas solo por un sistema automatizado.
Obligaciones
Supervisión y multas
La ley combina órdenes de corrección, multas para la empresa y para las personas responsables y efectos en el historial crediticio.
Orden de corrección, advertencia, decomiso de ganancias ilegales y suspensión de aplicaciones. Si la empresa no corrige, multa de hasta 1 millón de yuanes.
Multa de hasta 50 millones de yuanes o hasta el 5% de la facturación del año anterior, además de la suspensión de actividades y la revocación de licencias.
Los directivos y responsables directos pueden pagar de 100 mil a 1 millón de yuanes en los casos graves y quedar inhabilitados para ocupar cargos de dirección durante un período.
Las infracciones se registran en el historial crediticio de la empresa y se publican, lo que pesa en licencias y contratos en China.
Cronología
La PIPL viene siendo detallada por reglamentos de la CAC desde que entró en vigor.
El Comité Permanente del Congreso Nacional del Pueblo aprueba la PIPL.
La ley pasa a regir para el tratamiento de datos dentro y fuera de China.
Empiezan a regir las reglas de evaluación de seguridad de la CAC para el envío de datos al exterior.
Entra en vigor el modelo oficial de contrato para la transferencia internacional de datos personales.
Nuevas reglas crean excepciones y franjas por volumen para el envío de datos al exterior.
Empiezan a regir las reglas de auditoría de cumplimiento de la protección de la información personal.
Entra en vigor el reglamento de la certificación, el último de los tres caminos para la transferencia internacional.
Para quienes tienen AdSense o Ad Manager
Google no exige una CMP certificada ni el IAB TCF para China. Esa exigencia rige para el Espacio Económico Europeo, el Reino Unido y Suiza.
Aun así, el sitio recopila datos de los visitantes chinos mediante cookies, analytics y píxeles. Si lo hace para analizar su comportamiento, entra en el alcance de la PIPL. El camino seguro es tratar a China continental como región de consentimiento previo en la CMP, con un banner de aceptación explícita y nada que se active antes de la elección.
Piensa en un sitio brasileño sobre importación que tiene una página en chino para atraer proveedores. El formulario de contacto recopila nombre, empresa y WeChat. Ese sitio necesita un aviso de privacidad claro, consentimiento para el uso de los datos y un cuidado redoblado si pretende transferir los contactos a socios.
Para la mayoría de los sitios de contenido, el resultado práctico es simple: configurar la CMP por región, mantener una política completa y evitar recopilar datos sensibles de visitantes chinos.
En la práctica
Ejemplos del día a día de sitios que reciben público de China continental.
Errores comunes
Fallas frecuentes en sitios con público chino.
La PIPL no tiene esa base. El rastreo para anuncios sin consentimiento queda sin justificación.
La ley exige un consentimiento separado para la transferencia a terceros, los datos sensibles y el envío al exterior. Un único botón genérico no cubre esos casos.
El rastreo de ubicación individual es información sensible. Pedir la ubicación precisa solo para mostrar contenido local puede ser innecesario.
Aunque haya pocos visitantes chinos, las cookies y los píxeles siguen recopilando datos de ellos, y la ley no establece un volumen mínimo para el aviso y el consentimiento.
La ley pide el nombre y el contacto de quien recibe los datos en el exterior. Los textos genéricos no cumplen.
El sitio debe recibir solicitudes de acceso, corrección y eliminación y explicar cuándo rechaza alguna.
En ConsentMode
Puede afectarte, si el sitio ofrece productos o servicios a personas en China continental o analiza su comportamiento, como hace el rastreo para anuncios. Para dudas sobre el representante o la transferencia, busca orientación jurídica local.
Es una aceptación aparte, solo para ese uso, como la transferencia de datos a socios o el envío al exterior. No puede estar escondida dentro de la aceptación general de los términos.
Fueron pensadas principalmente para quien recopila datos dentro de China y los envía al exterior. Un sitio alojado en Brasil que recopila datos directamente del visitante chino queda alcanzado por la regla extraterritorial de la ley, y el encuadre exacto en las reglas de transferencia es una cuestión de interpretación que merece orientación jurídica local.
No. La PIPL rige para China continental. Hong Kong y Macao tienen leyes propias de protección de datos, y Taiwán también tiene la suya.
La Administración del Ciberespacio de China coordina la fiscalización y emite reglas complementarias. Otros organismos actúan en sus áreas.
Sí. En casos graves, los directivos y responsables directos pueden pagar de 100 mil a 1 millón de yuanes y quedar inhabilitados para ocupar cargos de dirección durante un período.
Biblioteca
Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:
La auditoría abre el sitio desde China continental y muestra lo que se activa antes del consentimiento, sin cambiar nada.