Apri lo spazio

Guida · Normativa cinese

PIPL: la legge sui dati della Cina spiegata senza complicazioni

La PIPL è la legge sulla protezione delle informazioni personali della Cina continentale. Riguarda anche le aziende estere che offrono servizi o analizzano il comportamento di persone nel paese, richiede un consenso separato in vari casi e prevede sanzioni fino al 5% del fatturato. Scopri cosa significa per un sito con visitatori cinesi.

  • ✓Basato sulla traduzione ufficiale della legge pubblicata dall'Assemblea nazionale del popolo
  • ✓Esempi di siti con annunci, anche brasiliani
  • ✓Lettura senza modificare il sito
50 mlndi yuan, o fino al 5% del fatturato dell'anno precedente: tetto della sanzione nei casi gravi
14anni: sotto questa età i dati del minore sono sensibili e richiedono il consenso dei genitori
3percorsi per inviare dati fuori dalla Cina: valutazione di sicurezza, contratto standard o certificazione
2021anno in cui la legge è entrata in vigore, il 1° novembre

Che cos'è

La legge generale sui dati personali della Cina

La Legge sulla protezione delle informazioni personali della Repubblica popolare cinese, nota come PIPL, è stata approvata il 20 agosto 2021 ed è entrata in vigore il 1° novembre 2021. Funziona insieme alla Legge sulla cibersicurezza e alla Legge sulla sicurezza dei dati e vale per la Cina continentale. Hong Kong e Macao hanno leggi proprie.

Il coordinamento dei controlli spetta all'Amministrazione del cyberspazio della Cina, la CAC, che pubblica anche le regole complementari. Altri organi del governo controllano nei rispettivi ambiti.

La legge vale per il trattamento di dati svolto in Cina e anche fuori dalla Cina, quando l'obiettivo è offrire prodotti o servizi a persone nel paese o analizzare e valutare il loro comportamento. Un sito estero che profila visitatori cinesi per gli annunci può quindi essere soggetto alla legge.

Le aziende estere coinvolte dalla PIPL devono creare un ufficio o nominare un rappresentante in Cina che si occupi della protezione dei dati e comunicare questi contatti alle autorità. La legge permette inoltre alla CAC di inserire in un elenco di restrizione le organizzazioni straniere che violano i diritti dei cittadini cinesi.

Checklist

Cosa devi rispettare

Cosa richiede la PIPL a un sito con annunci che tratta dati di persone nella Cina continentale.

  1. Avvisa prima di trattare

    Prima di trattare i dati, informa in linguaggio chiaro chi sei e come contattarti, le finalità, le modalità, i tipi di dati, il periodo di conservazione e come esercitare i diritti. Google richiede anche che l'informativa dica che terzi, come Google, usano i cookie per mostrare annunci.

  2. Consenso esplicito e facile da revocare

    Il consenso deve essere volontario, esplicito e informato, e va richiesto di nuovo se cambia la finalità. La persona può revocarlo, e il sito deve offrire un modo facile. Con i tag di Google, il Consent Mode può partire negato solo per la Cina.

    gtag('consent', 'default', {
      'ad_storage': 'denied',
      'ad_user_data': 'denied',
      'ad_personalization': 'denied',
      'wait_for_update': 500,
      'region': ['CN']
    });
  3. Consenso separato per i partner

    Prima di passare dati a un altro responsabile del trattamento, come un partner pubblicitario, comunica il suo nome e il suo contatto e chiedi un consenso separato.

    Esempio

    Permettere ai nostri partner pubblicitari, elencati qui sotto, di ricevere i miei dati: Sì o No.

  4. Opzione senza personalizzazione

    Il marketing basato su decisioni automatizzate deve offrire un'opzione che non usi le caratteristiche personali del visitatore o un modo facile per rifiutare.

  5. Dati sensibili e minori di 14 anni

    I dati sensibili richiedono un consenso separato e una spiegazione del perché sono necessari. I dati di minori di 14 anni richiedono il consenso dei genitori o dei tutori.

  6. Invio fuori dalla Cina

    Informa chi riceve i dati all'estero, la finalità e come esercitare i diritti, e chiedi un consenso separato. Usa anche uno dei percorsi previsti dalla legge, come valutazione di sicurezza, certificazione o contratto standard.

  7. Valutazione d'impatto

    Fai la valutazione prima di trattare dati sensibili, usare decisioni automatizzate, cedere dati o inviarli all'estero. Conserva il rapporto e i registri per almeno tre anni.

  8. Rappresentante in Cina

    Se il sito è fuori dalla Cina e la legge lo riguarda, apri un ufficio o nomina un rappresentante nel paese e comunica i contatti alle autorità. Verifica con il tuo ufficio legale se il tuo sito rientra.

In pratica

Giusto e sbagliato

Strumenti ufficiali

CMP certificate e link ufficiali

Google non richiede una CMP certificata né ha un messaggio dedicato per la Cina, quindi i link qui sotto sono il testo ufficiale della legge, la regola della CAC e le pagine di Google per configurare per regione.

Definizioni

Le parole che incontrerai

I nomi ricordano il GDPR, ma il contenuto di ciascuno ha differenze importanti.

Informazione personale

Qualsiasi informazione collegata a una persona identificata o identificabile, registrata per via elettronica o no. I dati anonimizzati sono esclusi.

Informazione sensibile

Dati biometrici, religione, identità specifiche, salute, conti finanziari, tracciamento della posizione e qualsiasi dato di minori di 14 anni.

Processore

Chi decide la finalità e le modalità del trattamento, l'equivalente del titolare del trattamento del GDPR. Chi tratta per suo conto è il terzo incaricato.

Consenso separato

Un consenso a parte, dato solo per quell'uso specifico, senza essere mescolato con l'accettazione generale dei termini o dell'informativa.

Basi giuridiche e consenso

In Cina, il consenso è la regola

La PIPL elenca le situazioni in cui il trattamento è consentito: consenso, necessità per un contratto o per la gestione del personale, adempimento di un dovere legale, emergenze di sanità pubblica e tutela della vita, cronaca giornalistica di interesse pubblico e uso ragionevole di dati già resi pubblici. A differenza del GDPR e della LGPD, non esiste la base del legittimo interesse.

Per questo, per i cookie pubblicitari, i profili di pubblico e il remarketing, il percorso normale è il consenso. Deve essere volontario, esplicito e dato con piena consapevolezza. Se la finalità, la modalità o il tipo di dato cambia, bisogna chiedere di nuovo. La persona può revocare il consenso in qualsiasi momento, e il sito deve offrire un modo facile per farlo.

La legge richiede un consenso separato in casi specifici: condividere dati con un altro incaricato, pubblicare dati personali, trattare informazioni sensibili e inviare dati fuori dalla Cina. In pratica, un'accettazione generica nel banner non copre la cessione dei dati ai partner pubblicitari né il trasferimento internazionale.

Per il marketing e gli annunci basati su decisioni automatizzate, il sito deve offrire anche un'opzione che non usi le caratteristiche personali del visitatore o un modo semplice per rifiutare. I dati di minori di 14 anni richiedono il consenso dei genitori o dei tutori e regole proprie di trattamento.

Diritti delle persone

Cosa può chiedere il visitatore cinese

Il sito deve avere un mezzo pratico per ricevere le richieste e, se ne rifiuta qualcuna, spiegarne il motivo.

Sapere e decidere

Essere informato sul trattamento e decidere in merito, compreso limitare o rifiutare l'uso dei propri dati.

Accedere e copiare

Consultare e ricevere una copia delle informazioni personali che il sito conserva.

Portabilità

Chiedere che i dati siano trasferiti a un altro incaricato, alle condizioni definite dalla CAC.

Correggere e completare

Chiedere la correzione di dati errati e il completamento di dati incompleti.

Cancellare

Chiedere la cancellazione quando la finalità è stata raggiunta, il consenso è stato revocato o il trattamento è irregolare.

Spiegazione

Chiedere che il sito spieghi le regole di trattamento e rifiutare decisioni importanti prese solo da un sistema automatizzato.

Obblighi

Cosa deve fare un sito soggetto alla PIPL

  1. Informare prima di trattareIndica, in modo visibile e con un linguaggio chiaro, chi è il responsabile e come contattarlo, le finalità, le modalità di trattamento, i tipi di dati, il periodo di conservazione e come esercitare i diritti. Avere l'informativa in cinese aiuta il visitatore a capire.
  2. Chiedere il consenso giustoUsa un banner con accettazione esplicita per i cookie pubblicitari e chiedi un consenso separato per la cessione ai partner, i dati sensibili e l'invio all'estero.
  3. Valutare l'impattoFai una valutazione d'impatto prima di trattare dati sensibili, usare decisioni automatizzate, cedere dati a terzi o inviarli fuori dalla Cina, e conserva la registrazione per almeno tre anni.
  4. Proteggere e reagireAdotta misure di sicurezza e, in caso di violazione, adotta correzioni immediate e avvisa le autorità e, di regola, le persone coinvolte.
  5. Nominare un rappresentanteSe il sito è fuori dalla Cina e rientra nella legge, crea un ufficio o nomina un rappresentante nel paese e comunica i dati alle autorità.
  6. Scegliere il percorso di trasferimentoPer inviare dati fuori dalla Cina, indica nome e contatto di chi riceve all'estero, ottieni un consenso separato e usa uno di tre percorsi: valutazione di sicurezza della CAC, contratto standard o certificazione. Le regole di marzo 2024 hanno creato eccezioni e fasce per volume; la certificazione, ad esempio, serve a chi ha inviato nell'anno dati non sensibili da 100.000 a 1 milione di persone.

Controlli e sanzioni

Le sanzioni della PIPL

La legge combina ordini di correzione, sanzioni per l'azienda e per i responsabili e effetti sulla storia creditizia.

Casi comuni

Ordine di correzione, ammonimento, confisca dei guadagni illeciti e sospensione delle app. Se l'azienda non corregge, sanzione fino a 1 milione di yuan.

Casi gravi

Sanzione fino a 50 milioni di yuan o fino al 5% del fatturato dell'anno precedente, oltre alla sospensione delle attività e alla revoca delle licenze.

Persone responsabili

Dirigenti e responsabili diretti possono pagare da 100.000 a 1 milione di yuan nei casi gravi ed essere interdetti dagli incarichi dirigenziali per un periodo.

Storico pubblico

Le violazioni vengono registrate nella storia creditizia dell'azienda e rese pubbliche, il che pesa su licenze e contratti in Cina.

Cronologia

Dalla legge alle regole complementari

La PIPL viene dettagliata da regolamenti della CAC da quando è entrata in vigore.

  1. 20 agosto 2021

    Legge approvata

    Il Comitato permanente dell'Assemblea nazionale del popolo approva la PIPL.

  2. 1° novembre 2021

    Entrata in vigore

    La legge entra in vigore per il trattamento di dati dentro e fuori dalla Cina.

  3. 1° settembre 2022

    Valutazione di sicurezza

    Entrano in vigore le regole sulla valutazione di sicurezza della CAC per l'invio di dati all'estero.

  4. 1° giugno 2023

    Contratto standard

    Entra in vigore il modello ufficiale di contratto per il trasferimento internazionale di dati personali.

  5. 22 marzo 2024

    Regole più flessibili

    Nuove regole creano eccezioni e fasce per volume per l'invio di dati all'estero.

  6. 1° maggio 2025

    Audit di conformità

    Entrano in vigore le regole sugli audit di conformità alla protezione delle informazioni personali.

  7. 1° gennaio 2026

    Certificazione

    Entra in vigore il regolamento sulla certificazione, l'ultimo dei tre percorsi per il trasferimento internazionale.

Per chi ha AdSense o Ad Manager

Cosa cambia in pratica per i ricavi

Google non richiede una CMP certificata né l'IAB TCF per la Cina. Questo requisito vale per lo Spazio economico europeo, il Regno Unito e la Svizzera.

Anche così, il sito raccoglie dati dei visitatori cinesi tramite cookie, analytics e pixel. Se lo fa per analizzarne il comportamento, rientra nell'ambito della PIPL. La strada sicura è trattare la Cina continentale come una regione di consenso preventivo nella CMP, con un banner di accettazione esplicita e nulla che si attivi prima della scelta.

Pensa a un sito brasiliano sull'importazione che ha una pagina in cinese per attirare fornitori. Il modulo di contatto raccoglie nome, azienda e WeChat. Questo sito ha bisogno di un'informativa sulla privacy chiara, del consenso per l'uso dei dati e di maggiore cura se intende cedere i contatti ai partner.

Per la maggior parte dei siti di contenuti, il risultato pratico è semplice: configurare la CMP per regione, mantenere un'informativa completa ed evitare di raccogliere dati sensibili dei visitatori cinesi.

In pratica

Cosa è consentito e cosa no con i visitatori cinesi

Esempi quotidiani di siti che ricevono pubblico dalla Cina continentale.

Consentito

  • Mostrare un banner di consenso solo ai visitatori della Cina continentale, configurato per regione nella CMP
  • Caricare cookie pubblicitari e di analytics dopo l'accettazione esplicita
  • Offrire annunci non personalizzati a chi non vuole annunci basati sul profilo
  • Usare cookie strettamente necessari, come quello che conserva la scelta del banner
  • Spiegare nell'informativa, in modo visibile, chi riceve i dati e in quali paesi

Non consentito

  • Considerare il continuare a navigare come consenso
  • Mescolare nello stesso clic l'accettazione dei termini e la cessione di dati ai partner
  • Raccogliere posizione precisa o dati sanitari senza consenso separato
  • Raccogliere dati di minori di 14 anni senza il consenso dei genitori
  • Trattare Hong Kong e Macao come se seguissero la PIPL

Errori comuni

Dove i siti sbagliano di più

Errori frequenti nei siti con pubblico cinese.

Contare sul legittimo interesse

La PIPL non ha questa base. Il tracciamento per gli annunci senza consenso resta senza giustificazione.

Un'accettazione per tutto

La legge richiede un consenso separato per la cessione a terzi, i dati sensibili e l'invio all'estero. Un solo pulsante generico non copre questi casi.

Dimenticare che la posizione è sensibile

Il tracciamento della posizione individuale è un'informazione sensibile. Chiedere la posizione precisa solo per mostrare contenuti locali può essere superfluo.

Pensare che poco traffico dispensi dalla legge

Anche con pochi visitatori cinesi, cookie e pixel continuano a raccogliere i loro dati, e la legge non prevede un volume minimo per l'informativa e il consenso.

Informativa senza destinatari

La legge richiede il nome e il contatto di chi riceve i dati all'estero. I testi generici non bastano.

Nessun canale per le richieste

Il sito deve ricevere richieste di accesso, correzione e cancellazione e spiegare quando ne rifiuta qualcuna.

In ConsentMode

Cosa controlla l'audit per la Cina

  • Apre il sito come visitatore dalla Cina continentale e registra se il banner compare e se l'accettazione è esplicita.
  • Elenca cookie, pixel e richieste di rete prima e dopo la scelta e segnala ciò che si attiva prima del consenso.
  • Identifica la CMP dal codice della pagina e legge i segnali di Consent Mode inviati a Google.
  • Verifica se l'informativa sulla privacy riporta responsabile, finalità, tipi di dati, periodo di conservazione, destinatari e diritti.
  • Controlla i moduli che chiedono posizione, salute o dati di minori.

Domande frequenti

Il mio sito è brasiliano. La PIPL si applica a me?

Può valere, se il sito offre prodotti o servizi a persone nella Cina continentale o ne analizza il comportamento, come fa il tracciamento per gli annunci. Per dubbi su rappresentante o trasferimento, cerca una consulenza legale locale.

Cos'è il consenso separato?

È un'accettazione a parte, solo per quell'uso, come la cessione di dati ai partner o l'invio all'estero. Non può essere nascosto dentro l'accettazione generale dei termini.

Il mio sito è in Brasile. Le regole sul trasferimento internazionale valgono per me?

Sono pensate soprattutto per chi raccoglie dati in Cina e li invia all'estero. Un sito ospitato in Brasile che raccoglie dati direttamente dal visitatore cinese rientra nella regola extraterritoriale della legge, e l'inquadramento esatto nelle regole sul trasferimento è una questione di interpretazione che merita una consulenza legale locale.

La PIPL vale per Hong Kong e Taiwan?

No. La PIPL vale per la Cina continentale. Hong Kong e Macao hanno leggi proprie sulla protezione dei dati, e anche Taiwan ha la sua.

Chi controlla la legge?

L'Amministrazione del cyberspazio della Cina coordina i controlli ed emana regole complementari. Altri organi agiscono nei rispettivi ambiti.

Le sanzioni possono colpire le persone?

Sì. Nei casi gravi, dirigenti e responsabili diretti possono pagare da 100.000 a 1 milione di yuan ed essere interdetti dagli incarichi dirigenziali per un periodo.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Scopri come il tuo sito tratta un visitatore cinese

L'audit apre il sito dalla Cina continentale e mostra cosa si attiva prima del consenso, senza modificare nulla.

Avvia l'audit