Che cos'è la PIPL cinese (legge sulla protezione delle informazioni personali)?

La Legge sulla Protezione delle Informazioni Personali (PIPL) della Cina è una fonte normativa fondamentale in materia di protezione dei dati personali; una delle tre leggi fondamentali sulle questioni relative ai dati in Cina, insieme alla Cybersecurity Law e alla Data Security Law. La PIPL è entrata in vigore il 1° novembre 2021. Per le aziende SaaS e gli sviluppatori di software con utenti cinesi, la conformità alla PIPL è un requisito e le procedure di applicazione sono diventate più rigorose.

La PIPL ha una dimensione extraterritoriale molto forte. Le disposizioni si riferiscono a qualsiasi organizzazione che elabora informazioni personali relative a individui in Cina. Ciò include le aziende senza una presenza fisica in Cina; le loro attività comportano la fornitura di prodotti o servizi agli utenti cinesi o l'analisi dei loro modelli di comportamento.

La base giuridica per il trattamento delle informazioni personali ai sensi del PIPL è il consenso, la necessità contrattuale, l'obbligo legale e l'interesse pubblico (con il consenso di gran lunga il più comune). Considerare le pratiche di gestione dei dati personali potrebbe essere un punto focale per le aziende.

Obblighi del Responsabile del trattamento:

•   Preparare i piani e le procedure di gestione dei dati all'interno dell'azienda.
•   Differenziare le misure di protezione per le varie categorie di informazioni personali
•   Utilizzare misure di sicurezza tecniche: crittografia, de-identificazione, controllo degli accessi
•   Condurre regolarmente corsi di formazione sulla consapevolezza della privacy dei dati con il personale
•   Eseguire un'auto-ispezione obbligatoria della conformità; le entità che elaborano dati di oltre 10 milioni di persone sono tenute a conformarsi alle Misure di Audit di Conformità PIPL, che sono entrate in vigore dal 1° maggio 2025 e devono essere ispezionate almeno una volta ogni due anni
•   Preparare e attuare piani per eventuali incidenti di violazione dei dati.

Le persone fisiche detengono i seguenti diritti nei confronti dei gestori dei dati:

•   Possono essere informati, avere accesso, ottenere copie, far correggere i propri dati personali, o farli cancellare o trasferire
•   Gli individui possono limitare o bloccare il trattamento
•   Chiedere le motivazioni alla base delle operazioni di trattamento

La gestione di PIPL riguardanti i trasferimenti transfrontalieri di dati verso paesi terzi da parte di aziende straniere al di fuori della Cina presenta aspetti legati a sanzioni finanziarie o alla conformità normativa. Dal 1° gennaio 2026, esistono 3 percorsi formali; le aziende devono sceglierne uno.

Articolo 66 del PIPL determina requisiti finanziari per violazioni specifiche, con importi massimi di 50 milioni di RMB (~6,9 milioni di dollari) o il 5% del fatturato annuo globale.
L'applicazione delle misure di esecuzione è passata da un approccio selettivo. Una campagna congiunta CAC-MIIT-MPS lanciata ad aprile 2026 ha reso pubbliche 33 app non conformi e ha segnalato un'evoluzione verso l'applicazione di routine.