Wat is China PIPL (Personal Information Protection Law)?

China’s Personal Information Protection Law (PIPL) is een belangrijke rechtsbron op het gebied van persoonsgegevensbescherming; een van de drie basiswetten voor gegevensgerelateerde zaken in China, samen met de Cybersecurity Law en de Data Security Law. De PIPL is op 1 november 2021 van kracht geworden. Voor SaaS-bedrijven en softwareontwikkelaars met Chinese gebruikers is naleving van de PIPL een vereiste, en de handhavingsprocedures zijn strenger geworden.

PIPL heeft een zeer sterke extraterritoriale dimensie. De bepalingen hebben betrekking op elke organisatie die persoonsgegevens verwerkt van personen in China. Dit omvat bedrijven zonder fysieke aanwezigheid in China; hun activiteiten omvatten het leveren van producten of diensten aan Chinese gebruikers of het analyseren van hun gedragspatronen.

De wettelijke grondslag voor de verwerking van persoonlijke informatie onder PIPL is toestemming, contractuele noodzaak, wettelijke plicht en publiek belang (waarbij toestemming verreweg het meest voorkomt). Het overwegen van praktijken voor het omgaan met persoonsgegevens kan een aandachtspunt zijn voor bedrijven.

Verplichtingen van de verwerker:

•   Stel de gegevensbeheerplannen en -procedures binnen het bedrijf op.
•   Onderscheid beschermingsmaatregelen voor verschillende categorieën persoonsgegevens.
•   Gebruik technische veiligheidsmaatregelen: encryptie, de-identificatie, toegangscontrole.
•   Voer regelmatig trainingen over gegevensprivacybewustzijn uit met het personeel.
•   Voer een verplichte zelfinspectie van de naleving uit; entiteiten die gegevens verwerken van meer dan 10 miljoen mensen moeten voldoen aan de PIPL Compliance Audit Measures, die van kracht zijn sinds 1 mei 2025 en minstens eens in de twee jaar moeten worden geïnspecteerd
•   Bereid plannen voor en voer deze uit voor datalekincidenten, indien van toepassing.

Betrokkenen hebben de volgende rechten ten opzichte van gegevensverwerkers:

•   Ze kunnen geïnformeerd worden, toegang hebben, kopieën ontvangen, hun persoonlijke gegevens laten corrigeren, of deze laten verwijderen of overdragen
•   Personen kunnen de verwerking beperken of blokkeren
•   Vragen naar de reden achter de verwerkingen

Het beheer van PIPL met betrekking tot grensoverschrijdende gegevensoverdrachten naar derde landen door buitenlandse bedrijven buiten China, presenteert aspecten met betrekking tot financiële sancties of naleving van regelgeving. Sinds 1 januari 2026 zijn er 3 formele trajecten; bedrijven moeten er één kiezen.

Artikel 66 van de PIPL bepaalt financiële vereisten voor specifieke overtredingen, met maximale bedragen van RMB 50 miljoen (~$6.9M) of 5% van de jaarlijkse wereldwijde omzet.
De toepassing van handhavingsmaatregelen is verschoven van een selectieve aanpak. Een gezamenlijke CAC-MIIT-MPS campagne gelanceerd in april 2026 publiekelijk 33 niet-conforme apps genoemd en een verschuiving naar routinematige handhaving gesignaleerd.