वर्कस्पेस खोलें

गाइड · चीन का नियमन

PIPL: चीन का डेटा कानून, बिना उलझन के समझाया

PIPL मुख्य भूमि चीन का निजी जानकारी की सुरक्षा का कानून है। यह बाहर की उन कंपनियों पर भी लागू होता है जो देश के लोगों को सेवाएं देती हैं या उनके व्यवहार का विश्लेषण करती हैं, कई मामलों में अलग सहमति मांगता है और राजस्व के 5% तक जुर्माने का प्रावधान करता है। देखें कि चीनी विज़िटर वाली साइट के लिए इसका क्या मतलब है।

  • ✓नेशनल पीपल्स कांग्रेस द्वारा प्रकाशित कानून के आधिकारिक अनुवाद पर आधारित
  • ✓विज्ञापन वाली साइटों के उदाहरण, ब्राज़ील की साइटों सहित
  • ✓साइट में बदलाव किए बिना रीडिंग
5 करोड़युआन, या पिछले साल के राजस्व का 5% तक: गंभीर मामलों में जुर्माने की सीमा
14वर्ष: इससे कम उम्र में बच्चे का डेटा संवेदनशील है और माता-पिता की सहमति मांगता है
3चीन के बाहर डेटा भेजने के रास्ते: सुरक्षा आकलन, मानक अनुबंध या प्रमाणन
2021वह साल जब कानून 1 नवंबर को लागू हुआ

यह क्या है

चीन का सामान्य निजी डेटा कानून

पीपल्स रिपब्लिक ऑफ चाइना का निजी जानकारी सुरक्षा कानून, जिसे PIPL कहते हैं, 20 अगस्त 2021 को पास हुआ और 1 नवंबर 2021 से लागू हुआ। यह साइबर सुरक्षा कानून और डेटा सुरक्षा कानून के साथ काम करता है और मुख्य भूमि चीन पर लागू होता है। हांगकांग और मकाऊ के अपने कानून हैं।

कानून लागू करवाने का समन्वय चीन के साइबरस्पेस प्रशासन, यानी CAC, के पास है, जो पूरक नियम भी प्रकाशित करता है। सरकार के दूसरे विभाग अपने क्षेत्रों में निगरानी करते हैं।

कानून चीन के भीतर किए गए डेटा प्रोसेसिंग पर लागू होता है और उसके बाहर भी, जब मकसद देश के लोगों को उत्पाद या सेवाएं देना या उनके व्यवहार का विश्लेषण और आकलन करना हो। इसलिए विदेशी साइट जो विज्ञापनों के लिए चीनी विज़िटरों की प्रोफाइल बनाती है, कानून के दायरे में आ सकती है।

PIPL के दायरे में आने वाली बाहर की कंपनियों को चीन में डेटा सुरक्षा संभालने के लिए एक कार्यालय बनाना या प्रतिनिधि नियुक्त करना होगा और ये संपर्क अधिकारियों को बताने होंगे। कानून CAC को यह भी अधिकार देता है कि वह चीनी नागरिकों के अधिकारों का उल्लंघन करने वाले विदेशी संगठनों को प्रतिबंध सूची में डाले।

चेकलिस्ट

आपको क्या पूरा करना है

PIPL उस विज्ञापन वाली साइट से क्या माँगता है जो मुख्यभूमि चीन के लोगों का डेटा प्रोसेस करती है।

  1. प्रोसेस करने से पहले बताएँ

    डेटा प्रोसेस करने से पहले सरल भाषा में बताएँ कि आप कौन हैं और आपसे कैसे संपर्क करें, उद्देश्य, तरीके, डेटा के प्रकार, रखने की अवधि और अधिकारों का उपयोग कैसे करें। Google यह भी माँगता है कि नीति में लिखा हो कि Google जैसे तीसरे पक्ष विज्ञापन दिखाने के लिए कुकीज़ का उपयोग करते हैं।

  2. स्पष्ट सहमति जिसे वापस लेना आसान हो

    सहमति स्वैच्छिक, स्पष्ट और सूचित होनी चाहिए, और उद्देश्य बदलने पर दोबारा माँगी जानी चाहिए। व्यक्ति उसे वापस ले सकता है, और साइट को इसका आसान तरीका देना होगा। Google टैग के साथ, Consent Mode को सिर्फ़ चीन के लिए अस्वीकृत से शुरू किया जा सकता है।

    gtag('consent', 'default', {
      'ad_storage': 'denied',
      'ad_user_data': 'denied',
      'ad_personalization': 'denied',
      'wait_for_update': 500,
      'region': ['CN']
    });
  3. पार्टनरों के लिए अलग सहमति

    डेटा किसी दूसरे प्रोसेसर, जैसे विज्ञापन पार्टनर, को भेजने से पहले उसका नाम और संपर्क बताएँ और अलग सहमति माँगें।

    उदाहरण

    हमारे विज्ञापन पार्टनरों को, जो नीचे सूचीबद्ध हैं, मेरा डेटा पाने की अनुमति दें: हाँ या नहीं।

  4. बिना वैयक्तिकरण वाला विकल्प

    स्वचालित निर्णय से की गई मार्केटिंग में ऐसा विकल्प देना होगा जो विज़िटर की व्यक्तिगत विशेषताओं का उपयोग न करे, या इनकार का आसान तरीका।

  5. संवेदनशील डेटा और 14 साल से कम के बच्चे

    संवेदनशील डेटा के लिए अलग सहमति और यह स्पष्टीकरण चाहिए कि उसकी ज़रूरत क्यों है। 14 साल से कम के बच्चों के डेटा के लिए माता-पिता या अभिभावक की सहमति चाहिए।

  6. चीन के बाहर भेजना

    बताएँ कि विदेश में डेटा कौन पाता है, उद्देश्य क्या है और अधिकारों का उपयोग कैसे करें, और अलग सहमति माँगें। साथ ही कानून के रास्तों में से एक अपनाएँ, जैसे सुरक्षा मूल्यांकन, प्रमाणन या मानक अनुबंध।

  7. प्रभाव आकलन

    संवेदनशील डेटा प्रोसेस करने, स्वचालित निर्णय इस्तेमाल करने, डेटा आगे भेजने या विदेश भेजने से पहले मूल्यांकन करें। रिपोर्ट और रिकॉर्ड कम से कम तीन साल तक रखें।

  8. चीन में प्रतिनिधि

    अगर साइट चीन के बाहर है और कानून उस पर लागू होता है, तो देश में कार्यालय बनाएँ या प्रतिनिधि नियुक्त करें और संपर्क अधिकारियों को बताएँ। अपनी कानूनी टीम से जाँच लें कि आपकी साइट इसमें आती है या नहीं।

असल में

सही और गलत

आधिकारिक टूल

प्रमाणित CMP और आधिकारिक लिंक

Google चीन के लिए प्रमाणित CMP नहीं माँगता और उसका अपना कोई संदेश भी नहीं है, इसलिए नीचे के लिंक कानून का आधिकारिक पाठ, CAC का नियम और क्षेत्र के अनुसार सेट करने के लिए Google के पेज हैं।

परिभाषाएं

वे शब्द जो आपको मिलेंगे

नाम GDPR की याद दिलाते हैं, लेकिन हर एक की सामग्री में अहम फर्क हैं।

व्यक्तिगत जानकारी

किसी पहचाने गए या पहचाने जा सकने वाले व्यक्ति से जुड़ी कोई भी जानकारी, इलेक्ट्रॉनिक रूप से दर्ज हो या नहीं। अनामित डेटा बाहर है।

संवेदनशील जानकारी

बायोमेट्रिक्स, धर्म, खास पहचानें, स्वास्थ्य, वित्तीय खाते, लोकेशन ट्रैकिंग और 14 साल से कम उम्र के किसी भी व्यक्ति का डेटा।

प्रोसेसर

जो प्रोसेसिंग का उद्देश्य और तरीका तय करता है, GDPR के कंट्रोलर के बराबर। उसकी ओर से प्रोसेस करने वाला ठेके पर रखा गया थर्ड पार्टी है।

अलग सहमति

अलग से दी गई सहमति, सिर्फ उस खास उपयोग के लिए, जो शर्तों या पॉलिसी की आम स्वीकृति में मिली हुई न हो।

कानूनी आधार और सहमति

चीन में सहमति ही नियम है

PIPL उन स्थितियों की सूची देता है जिनमें प्रोसेसिंग की इजाजत है: सहमति, अनुबंध या कर्मचारी प्रबंधन के लिए जरूरत, कानूनी कर्तव्य का पालन, सार्वजनिक स्वास्थ्य आपात स्थितियां और जान की रक्षा, सार्वजनिक हित की पत्रकारीय रिपोर्टिंग और पहले से सार्वजनिक किए गए डेटा का उचित उपयोग। GDPR और LGPD से अलग, वैध हित का आधार नहीं है।

इसलिए विज्ञापन cookies, ऑडियंस प्रोफाइल और रीमार्केटिंग के लिए सामान्य रास्ता सहमति है। वह स्वैच्छिक, स्पष्ट और पूरी जानकारी के साथ दी हुई होनी चाहिए। अगर उद्देश्य, तरीका या डेटा का प्रकार बदले, तो फिर से पूछना होगा। व्यक्ति कभी भी सहमति वापस ले सकता है, और साइट को इसका आसान तरीका देना होगा।

कानून खास मामलों में अलग सहमति मांगता है: दूसरे प्रोसेसर के साथ डेटा साझा करना, निजी डेटा प्रकाशित करना, संवेदनशील जानकारी प्रोसेस करना और डेटा चीन के बाहर भेजना। व्यवहार में बैनर की आम स्वीकृति विज्ञापन पार्टनरों को डेटा देने या अंतरराष्ट्रीय ट्रांसफर को कवर नहीं करती।

स्वचालित फैसलों पर आधारित मार्केटिंग और विज्ञापनों के लिए साइट को ऐसा विकल्प भी देना होगा जो विज़िटर की निजी विशेषताओं का इस्तेमाल न करे, या इनकार का सरल तरीका। 14 साल से कम उम्र के डेटा के लिए माता-पिता या अभिभावकों की सहमति और प्रोसेसिंग के अपने नियम चाहिए।

लोगों के अधिकार

चीनी विज़िटर क्या मांग सकता है

साइट के पास अनुरोध पाने का व्यावहारिक तरीका होना चाहिए और किसी को मना करने पर कारण समझाना होगा।

जानना और तय करना

प्रोसेसिंग के बारे में सूचित होना और उस पर फैसला करना, जिसमें अपने डेटा का उपयोग सीमित करना या मना करना शामिल है।

देखना और कॉपी लेना

साइट जो निजी जानकारी रखती है उसे देखना और उसकी कॉपी पाना।

पोर्टेबिलिटी

CAC की तय शर्तों के तहत डेटा को दूसरे प्रोसेसर को ट्रांसफर करने की मांग करना।

सुधारना और पूरा करना

गलत डेटा के सुधार और अधूरे डेटा को पूरा करने की मांग करना।

मिटाना

उद्देश्य पूरा होने, सहमति वापस लिए जाने या प्रोसेसिंग के अनियमित होने पर मिटाने की मांग करना।

स्पष्टीकरण

साइट से प्रोसेसिंग के नियम समझाने को कहना और सिर्फ स्वचालित सिस्टम से लिए गए अहम फैसलों को मना करना।

ज़िम्मेदारियां

PIPL के दायरे वाली साइट को क्या करना होगा

  1. प्रोसेसिंग से पहले बताएंदिखने वाले तरीके से और साफ भाषा में बताएं कि जिम्मेदार कौन है और उससे कैसे संपर्क करें, उद्देश्य, प्रोसेसिंग के तरीके, डेटा के प्रकार, रखने की अवधि और अधिकार कैसे इस्तेमाल करें। पॉलिसी चीनी भाषा में होने से विज़िटर को समझने में मदद मिलती है।
  2. सही सहमति मांगेंविज्ञापन cookies के लिए स्पष्ट स्वीकृति वाला बैनर इस्तेमाल करें और पार्टनरों को आगे देने, संवेदनशील डेटा और विदेश भेजने के लिए अलग सहमति मांगें।
  3. असर का आकलन करेंसंवेदनशील डेटा प्रोसेस करने, स्वचालित फैसलों का इस्तेमाल करने, डेटा थर्ड पार्टी को देने या चीन के बाहर भेजने से पहले प्रभाव आकलन करें, और रिकॉर्ड कम से कम तीन साल रखें।
  4. सुरक्षा करें और प्रतिक्रिया देंसुरक्षा के उपाय अपनाएं और अगर लीक हो, तो तुरंत सुधार करें और अधिकारियों को और आमतौर पर प्रभावित लोगों को बताएं।
  5. प्रतिनिधि नियुक्त करेंअगर साइट चीन के बाहर है और कानून के दायरे में आती है, तो देश में एक कार्यालय बनाएं या प्रतिनिधि नियुक्त करें और विवरण अधिकारियों को दें।
  6. ट्रांसफर का रास्ता चुनेंचीन के बाहर डेटा भेजने के लिए विदेश में पाने वाले का नाम और संपर्क बताएं, अलग सहमति लें और तीन में से एक रास्ता अपनाएं: CAC का सुरक्षा आकलन, मानक अनुबंध या प्रमाणन। मार्च 2024 के नियमों ने अपवाद और मात्रा के हिसाब से श्रेणियां बनाईं; प्रमाणन, उदाहरण के लिए, उनके लिए है जिन्होंने साल में 1 लाख से 10 लाख लोगों का गैर-संवेदनशील डेटा भेजा।

निगरानी और जुर्माने

PIPL की सजाएं

कानून सुधार के आदेश, कंपनी और जिम्मेदार लोगों पर जुर्माने और क्रेडिट रिकॉर्ड पर असर को जोड़ता है।

आम मामले

सुधार का आदेश, चेतावनी, अवैध कमाई जब्त करना और ऐप्स का निलंबन। अगर कंपनी सुधार न करे, तो 10 लाख युआन तक जुर्माना।

गंभीर मामले

5 करोड़ युआन तक या पिछले साल के राजस्व के 5% तक जुर्माना, साथ में गतिविधियों का निलंबन और लाइसेंस रद्द करना।

जिम्मेदार लोग

गंभीर मामलों में निदेशकों और सीधे जिम्मेदार लोगों पर 1 लाख से 10 लाख युआन का जुर्माना हो सकता है और उन्हें कुछ समय के लिए प्रबंधन पदों से रोका जा सकता है।

सार्वजनिक रिकॉर्ड

उल्लंघन कंपनी के क्रेडिट रिकॉर्ड में दर्ज होते हैं और प्रकाशित किए जाते हैं, जिसका असर चीन में लाइसेंस और अनुबंधों पर पड़ता है।

टाइमलाइन

कानून से पूरक नियमों तक

लागू होने के बाद से PIPL का ब्योरा CAC के नियमों से दिया जाता रहा है।

  1. 20 अगस्त 2021

    कानून पारित

    नेशनल पीपल्स कांग्रेस की स्थायी समिति PIPL को मंजूरी देती है।

  2. 1 नवंबर 2021

    लागू होना

    कानून चीन के भीतर और बाहर डेटा प्रोसेसिंग पर लागू होने लगता है।

  3. 1 सितंबर 2022

    सुरक्षा आकलन

    विदेश में डेटा भेजने के लिए CAC के सुरक्षा आकलन के नियम लागू होने लगते हैं।

  4. 1 जून 2023

    मानक अनुबंध

    निजी डेटा के अंतरराष्ट्रीय ट्रांसफर के लिए अनुबंध का आधिकारिक मॉडल लागू होता है।

  5. 22 मार्च 2024

    ज्यादा लचीले नियम

    नए नियम विदेश में डेटा भेजने के लिए अपवाद और मात्रा के हिसाब से श्रेणियां बनाते हैं।

  6. 1 मई 2025

    अनुपालन ऑडिट

    निजी जानकारी की सुरक्षा के अनुपालन ऑडिट के नियम लागू होने लगते हैं।

  7. 1 जनवरी 2026

    प्रमाणन

    प्रमाणन का नियमन लागू होता है, जो अंतरराष्ट्रीय ट्रांसफर के तीन रास्तों में आखिरी है।

AdSense या Ad Manager वालों के लिए

कमाई पर व्यवहार में क्या बदलता है

Google चीन के लिए प्रमाणित CMP या IAB TCF नहीं मांगता। यह शर्त यूरोपीय आर्थिक क्षेत्र, यूनाइटेड किंगडम और स्विट्ज़रलैंड के लिए है।

फिर भी साइट cookies, analytics और pixels के जरिए चीनी विज़िटरों का डेटा इकट्ठा करती है। अगर यह उनके व्यवहार का विश्लेषण करने के लिए होता है, तो वह PIPL के दायरे में आती है। सुरक्षित रास्ता है मुख्य भूमि चीन को CMP में पहले सहमति वाला क्षेत्र मानना, स्पष्ट स्वीकृति वाले बैनर के साथ और चुनाव से पहले कुछ भी न चलने देना।

ब्राज़ील की आयात संबंधी एक साइट सोचें जिसमें सप्लायरों को आकर्षित करने के लिए चीनी भाषा का पेज है। संपर्क फ़ॉर्म नाम, कंपनी और WeChat इकट्ठा करता है। इस साइट को साफ प्राइवेसी सूचना, डेटा के उपयोग के लिए सहमति और, अगर संपर्क पार्टनरों को देने हैं, तो ज्यादा सावधानी चाहिए।

ज्यादातर कंटेंट साइटों के लिए व्यावहारिक नतीजा सरल है: CMP को क्षेत्र के हिसाब से सेट करें, पूरी पॉलिसी रखें और चीनी विज़िटरों का संवेदनशील डेटा इकट्ठा करने से बचें।

असल में

चीनी विज़िटरों के साथ क्या किया जा सकता है और क्या नहीं

मुख्य भूमि चीन से ऑडियंस पाने वाली साइटों के रोजमर्रा के उदाहरण।

कर सकते हैं

  • सहमति का बैनर सिर्फ मुख्य भूमि चीन के विज़िटरों को दिखाना, CMP में क्षेत्र के हिसाब से सेट करके
  • स्पष्ट स्वीकृति के बाद विज्ञापन और analytics cookies लोड करना
  • जो प्रोफाइल पर आधारित विज्ञापन नहीं चाहते उन्हें नॉन-पर्सनलाइज्ड विज्ञापन देना
  • कड़ाई से जरूरी cookies इस्तेमाल करना, जैसे वह जो बैनर का चुनाव सहेजती है
  • पॉलिसी में दिखने वाले तरीके से समझाना कि डेटा कौन पाता है और किन देशों में

नहीं कर सकते

  • ब्राउज़िंग जारी रखने को सहमति मानना
  • एक ही क्लिक में शर्तों की स्वीकृति और पार्टनरों को डेटा देना मिला देना
  • अलग सहमति के बिना सटीक लोकेशन या स्वास्थ्य डेटा इकट्ठा करना
  • माता-पिता की सहमति के बिना 14 साल से कम उम्र का डेटा इकट्ठा करना
  • हांगकांग और मकाऊ को ऐसे मानना जैसे वे PIPL का पालन करते हों

आम गलतियां

साइटें सबसे ज़्यादा कहां फिसलती हैं

चीनी ऑडियंस वाली साइटों में बार-बार होने वाली गलतियां।

वैध हित पर भरोसा करना

PIPL में यह आधार नहीं है। सहमति के बिना विज्ञापनों के लिए ट्रैकिंग का कोई औचित्य नहीं रहता।

सबके लिए एक स्वीकृति

कानून थर्ड पार्टी को देने, संवेदनशील डेटा और विदेश भेजने के लिए अलग सहमति मांगता है। एक आम बटन इन मामलों को कवर नहीं करता।

यह भूल जाना कि लोकेशन संवेदनशील है

किसी व्यक्ति की लोकेशन की ट्रैकिंग संवेदनशील जानकारी है। सिर्फ स्थानीय कंटेंट दिखाने के लिए सटीक लोकेशन मांगना गैर-जरूरी हो सकता है।

यह मानना कि कम ट्रैफ़िक होने पर कानून लागू नहीं होता

कम चीनी विज़िटर होने पर भी cookies और pixels उनका डेटा इकट्ठा करते रहते हैं, और कानून में सूचना और सहमति के लिए कोई न्यूनतम संख्या नहीं है।

पाने वालों के बिना पॉलिसी

कानून विदेश में डेटा पाने वाले का नाम और संपर्क मांगता है। आम शब्द काफी नहीं हैं।

अनुरोधों के लिए चैनल नहीं

साइट को एक्सेस, सुधार और मिटाने के अनुरोध लेने होंगे और किसी को मना करने पर समझाना होगा।

ConsentMode में

चीन के लिए ऑडिट क्या जांचता है

  • साइट को मुख्य भूमि चीन के विज़िटर की तरह खोलता है और दर्ज करता है कि बैनर दिखता है या नहीं और स्वीकृति स्पष्ट है या नहीं।
  • चुनाव से पहले और बाद में cookies, pixels और नेटवर्क अनुरोधों की सूची बनाता है और बताता है कि सहमति से पहले क्या चलता है।
  • पेज के कोड से CMP की पहचान करता है और Google को भेजे गए Consent Mode के संकेत पढ़ता है।
  • जांचता है कि प्राइवेसी पॉलिसी में जिम्मेदार, उद्देश्य, डेटा के प्रकार, रखने की अवधि, पाने वाले और अधिकार हैं या नहीं।
  • उन फ़ॉर्मों को जांचता है जो लोकेशन, स्वास्थ्य या कम उम्र वालों का डेटा मांगते हैं।

अक्सर पूछे जाने वाले सवाल

मेरी साइट ब्राज़ील की है। क्या PIPL मुझ पर लागू होता है?

लागू हो सकता है, अगर साइट मुख्य भूमि चीन के लोगों को उत्पाद या सेवाएं देती है या उनके व्यवहार का विश्लेषण करती है, जैसा विज्ञापनों के लिए ट्रैकिंग करती है। प्रतिनिधि या ट्रांसफर के बारे में सवालों के लिए स्थानीय कानूनी सलाह लें।

अलग सहमति क्या है?

यह सिर्फ उस उपयोग के लिए अलग स्वीकृति है, जैसे पार्टनरों को डेटा देना या विदेश भेजना। यह शर्तों की आम स्वीकृति के अंदर छिपी नहीं हो सकती।

मेरी साइट ब्राज़ील में है। क्या अंतरराष्ट्रीय ट्रांसफर के नियम मुझ पर लागू होते हैं?

ये मुख्य रूप से उनके लिए बने थे जो चीन के भीतर डेटा इकट्ठा करके बाहर भेजते हैं। ब्राज़ील में होस्ट की गई साइट जो चीनी विज़िटर से सीधे डेटा इकट्ठा करती है, कानून के बाहरी क्षेत्र के नियम के दायरे में आती है, और ट्रांसफर के नियमों में ठीक वर्गीकरण व्याख्या का सवाल है जिसके लिए स्थानीय कानूनी सलाह लेना ठीक रहेगा।

क्या PIPL हांगकांग और ताइवान पर लागू होता है?

नहीं। PIPL मुख्य भूमि चीन पर लागू होता है। हांगकांग और मकाऊ के अपने डेटा सुरक्षा कानून हैं, और ताइवान का भी अपना है।

कानून कौन लागू करवाता है?

चीन का साइबरस्पेस प्रशासन निगरानी का समन्वय करता है और पूरक नियम बनाता है। दूसरे विभाग अपने क्षेत्रों में काम करते हैं।

क्या जुर्माना व्यक्तियों पर भी लग सकता है?

हां। गंभीर मामलों में निदेशकों और सीधे जिम्मेदार लोगों पर 1 लाख से 10 लाख युआन का जुर्माना हो सकता है और उन्हें कुछ समय के लिए प्रबंधन पदों से रोका जा सकता है।

लाइब्रेरी

आधिकारिक स्रोत

यह गाइड इन आधिकारिक पेजों से लिखी गई है। सीधे स्रोत पर पढ़ें:

देखें कि आपकी साइट चीनी विज़िटर के साथ कैसे पेश आती है

ऑडिट साइट को मुख्य भूमि चीन से खोलता है और बिना कुछ बदले दिखाता है कि सहमति से पहले क्या चलता है।

ऑडिट शुरू करें