Informazione personale
Qualsiasi informazione collegata a una persona identificata o identificabile, registrata per via elettronica o no. I dati anonimizzati sono esclusi.
Guida · Normativa cinese
La PIPL è la legge sulla protezione delle informazioni personali della Cina continentale. Riguarda anche le aziende estere che offrono servizi o analizzano il comportamento di persone nel paese, richiede un consenso separato in vari casi e prevede sanzioni fino al 5% del fatturato. Scopri cosa significa per un sito con visitatori cinesi.
Che cos'è
La Legge sulla protezione delle informazioni personali della Repubblica popolare cinese, nota come PIPL, è stata approvata il 20 agosto 2021 ed è entrata in vigore il 1° novembre 2021. Funziona insieme alla Legge sulla cibersicurezza e alla Legge sulla sicurezza dei dati e vale per la Cina continentale. Hong Kong e Macao hanno leggi proprie.
Il coordinamento dei controlli spetta all'Amministrazione del cyberspazio della Cina, la CAC, che pubblica anche le regole complementari. Altri organi del governo controllano nei rispettivi ambiti.
La legge vale per il trattamento di dati svolto in Cina e anche fuori dalla Cina, quando l'obiettivo è offrire prodotti o servizi a persone nel paese o analizzare e valutare il loro comportamento. Un sito estero che profila visitatori cinesi per gli annunci può quindi essere soggetto alla legge.
Le aziende estere coinvolte dalla PIPL devono creare un ufficio o nominare un rappresentante in Cina che si occupi della protezione dei dati e comunicare questi contatti alle autorità. La legge permette inoltre alla CAC di inserire in un elenco di restrizione le organizzazioni straniere che violano i diritti dei cittadini cinesi.
Checklist
Cosa richiede la PIPL a un sito con annunci che tratta dati di persone nella Cina continentale.
Prima di trattare i dati, informa in linguaggio chiaro chi sei e come contattarti, le finalità, le modalità, i tipi di dati, il periodo di conservazione e come esercitare i diritti. Google richiede anche che l'informativa dica che terzi, come Google, usano i cookie per mostrare annunci.
Il consenso deve essere volontario, esplicito e informato, e va richiesto di nuovo se cambia la finalità. La persona può revocarlo, e il sito deve offrire un modo facile. Con i tag di Google, il Consent Mode può partire negato solo per la Cina.
gtag('consent', 'default', {
'ad_storage': 'denied',
'ad_user_data': 'denied',
'ad_personalization': 'denied',
'wait_for_update': 500,
'region': ['CN']
});Prima di passare dati a un altro responsabile del trattamento, come un partner pubblicitario, comunica il suo nome e il suo contatto e chiedi un consenso separato.
Permettere ai nostri partner pubblicitari, elencati qui sotto, di ricevere i miei dati: Sì o No.
Il marketing basato su decisioni automatizzate deve offrire un'opzione che non usi le caratteristiche personali del visitatore o un modo facile per rifiutare.
I dati sensibili richiedono un consenso separato e una spiegazione del perché sono necessari. I dati di minori di 14 anni richiedono il consenso dei genitori o dei tutori.
Informa chi riceve i dati all'estero, la finalità e come esercitare i diritti, e chiedi un consenso separato. Usa anche uno dei percorsi previsti dalla legge, come valutazione di sicurezza, certificazione o contratto standard.
Fai la valutazione prima di trattare dati sensibili, usare decisioni automatizzate, cedere dati o inviarli all'estero. Conserva il rapporto e i registri per almeno tre anni.
Se il sito è fuori dalla Cina e la legge lo riguarda, apri un ufficio o nomina un rappresentante nel paese e comunica i contatti alle autorità. Verifica con il tuo ufficio legale se il tuo sito rientra.
In pratica
Strumenti ufficiali
Google non richiede una CMP certificata né ha un messaggio dedicato per la Cina, quindi i link qui sotto sono il testo ufficiale della legge, la regola della CAC e le pagine di Google per configurare per regione.
Definizioni
I nomi ricordano il GDPR, ma il contenuto di ciascuno ha differenze importanti.
Qualsiasi informazione collegata a una persona identificata o identificabile, registrata per via elettronica o no. I dati anonimizzati sono esclusi.
Dati biometrici, religione, identità specifiche, salute, conti finanziari, tracciamento della posizione e qualsiasi dato di minori di 14 anni.
Chi decide la finalità e le modalità del trattamento, l'equivalente del titolare del trattamento del GDPR. Chi tratta per suo conto è il terzo incaricato.
Un consenso a parte, dato solo per quell'uso specifico, senza essere mescolato con l'accettazione generale dei termini o dell'informativa.
Basi giuridiche e consenso
La PIPL elenca le situazioni in cui il trattamento è consentito: consenso, necessità per un contratto o per la gestione del personale, adempimento di un dovere legale, emergenze di sanità pubblica e tutela della vita, cronaca giornalistica di interesse pubblico e uso ragionevole di dati già resi pubblici. A differenza del GDPR e della LGPD, non esiste la base del legittimo interesse.
Per questo, per i cookie pubblicitari, i profili di pubblico e il remarketing, il percorso normale è il consenso. Deve essere volontario, esplicito e dato con piena consapevolezza. Se la finalità, la modalità o il tipo di dato cambia, bisogna chiedere di nuovo. La persona può revocare il consenso in qualsiasi momento, e il sito deve offrire un modo facile per farlo.
La legge richiede un consenso separato in casi specifici: condividere dati con un altro incaricato, pubblicare dati personali, trattare informazioni sensibili e inviare dati fuori dalla Cina. In pratica, un'accettazione generica nel banner non copre la cessione dei dati ai partner pubblicitari né il trasferimento internazionale.
Per il marketing e gli annunci basati su decisioni automatizzate, il sito deve offrire anche un'opzione che non usi le caratteristiche personali del visitatore o un modo semplice per rifiutare. I dati di minori di 14 anni richiedono il consenso dei genitori o dei tutori e regole proprie di trattamento.
Diritti delle persone
Il sito deve avere un mezzo pratico per ricevere le richieste e, se ne rifiuta qualcuna, spiegarne il motivo.
Essere informato sul trattamento e decidere in merito, compreso limitare o rifiutare l'uso dei propri dati.
Consultare e ricevere una copia delle informazioni personali che il sito conserva.
Chiedere che i dati siano trasferiti a un altro incaricato, alle condizioni definite dalla CAC.
Chiedere la correzione di dati errati e il completamento di dati incompleti.
Chiedere la cancellazione quando la finalità è stata raggiunta, il consenso è stato revocato o il trattamento è irregolare.
Chiedere che il sito spieghi le regole di trattamento e rifiutare decisioni importanti prese solo da un sistema automatizzato.
Obblighi
Controlli e sanzioni
La legge combina ordini di correzione, sanzioni per l'azienda e per i responsabili e effetti sulla storia creditizia.
Ordine di correzione, ammonimento, confisca dei guadagni illeciti e sospensione delle app. Se l'azienda non corregge, sanzione fino a 1 milione di yuan.
Sanzione fino a 50 milioni di yuan o fino al 5% del fatturato dell'anno precedente, oltre alla sospensione delle attività e alla revoca delle licenze.
Dirigenti e responsabili diretti possono pagare da 100.000 a 1 milione di yuan nei casi gravi ed essere interdetti dagli incarichi dirigenziali per un periodo.
Le violazioni vengono registrate nella storia creditizia dell'azienda e rese pubbliche, il che pesa su licenze e contratti in Cina.
Cronologia
La PIPL viene dettagliata da regolamenti della CAC da quando è entrata in vigore.
Il Comitato permanente dell'Assemblea nazionale del popolo approva la PIPL.
La legge entra in vigore per il trattamento di dati dentro e fuori dalla Cina.
Entrano in vigore le regole sulla valutazione di sicurezza della CAC per l'invio di dati all'estero.
Entra in vigore il modello ufficiale di contratto per il trasferimento internazionale di dati personali.
Nuove regole creano eccezioni e fasce per volume per l'invio di dati all'estero.
Entrano in vigore le regole sugli audit di conformità alla protezione delle informazioni personali.
Entra in vigore il regolamento sulla certificazione, l'ultimo dei tre percorsi per il trasferimento internazionale.
Per chi ha AdSense o Ad Manager
Google non richiede una CMP certificata né l'IAB TCF per la Cina. Questo requisito vale per lo Spazio economico europeo, il Regno Unito e la Svizzera.
Anche così, il sito raccoglie dati dei visitatori cinesi tramite cookie, analytics e pixel. Se lo fa per analizzarne il comportamento, rientra nell'ambito della PIPL. La strada sicura è trattare la Cina continentale come una regione di consenso preventivo nella CMP, con un banner di accettazione esplicita e nulla che si attivi prima della scelta.
Pensa a un sito brasiliano sull'importazione che ha una pagina in cinese per attirare fornitori. Il modulo di contatto raccoglie nome, azienda e WeChat. Questo sito ha bisogno di un'informativa sulla privacy chiara, del consenso per l'uso dei dati e di maggiore cura se intende cedere i contatti ai partner.
Per la maggior parte dei siti di contenuti, il risultato pratico è semplice: configurare la CMP per regione, mantenere un'informativa completa ed evitare di raccogliere dati sensibili dei visitatori cinesi.
In pratica
Esempi quotidiani di siti che ricevono pubblico dalla Cina continentale.
Errori comuni
Errori frequenti nei siti con pubblico cinese.
La PIPL non ha questa base. Il tracciamento per gli annunci senza consenso resta senza giustificazione.
La legge richiede un consenso separato per la cessione a terzi, i dati sensibili e l'invio all'estero. Un solo pulsante generico non copre questi casi.
Il tracciamento della posizione individuale è un'informazione sensibile. Chiedere la posizione precisa solo per mostrare contenuti locali può essere superfluo.
Anche con pochi visitatori cinesi, cookie e pixel continuano a raccogliere i loro dati, e la legge non prevede un volume minimo per l'informativa e il consenso.
La legge richiede il nome e il contatto di chi riceve i dati all'estero. I testi generici non bastano.
Il sito deve ricevere richieste di accesso, correzione e cancellazione e spiegare quando ne rifiuta qualcuna.
In ConsentMode
Può valere, se il sito offre prodotti o servizi a persone nella Cina continentale o ne analizza il comportamento, come fa il tracciamento per gli annunci. Per dubbi su rappresentante o trasferimento, cerca una consulenza legale locale.
È un'accettazione a parte, solo per quell'uso, come la cessione di dati ai partner o l'invio all'estero. Non può essere nascosto dentro l'accettazione generale dei termini.
Sono pensate soprattutto per chi raccoglie dati in Cina e li invia all'estero. Un sito ospitato in Brasile che raccoglie dati direttamente dal visitatore cinese rientra nella regola extraterritoriale della legge, e l'inquadramento esatto nelle regole sul trasferimento è una questione di interpretazione che merita una consulenza legale locale.
No. La PIPL vale per la Cina continentale. Hong Kong e Macao hanno leggi proprie sulla protezione dei dati, e anche Taiwan ha la sua.
L'Amministrazione del cyberspazio della Cina coordina i controlli ed emana regole complementari. Altri organi agiscono nei rispettivi ambiti.
Sì. Nei casi gravi, dirigenti e responsabili diretti possono pagare da 100.000 a 1 milione di yuan ed essere interdetti dagli incarichi dirigenziali per un periodo.
Biblioteca
Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:
L'audit apre il sito dalla Cina continentale e mostra cosa si attiva prima del consenso, senza modificare nulla.