O que é a PIPL (Lei de Proteção de Informações Pessoais) da China?

A Lei de Proteção de Informações Pessoais (PIPL) da China é uma das principais fontes de legislação sobre proteção de dados pessoais; uma das três leis básicas sobre assuntos relacionados a dados na China, juntamente com a Lei de Cibersegurança e a Lei de Segurança de Dados. A PIPL entrou em vigor em 1º de novembro de 2021. Para empresas SaaS e desenvolvedores de software com usuários chineses, a conformidade com a PIPL é um requisito, e os procedimentos de fiscalização tornaram-se mais rigorosos.

A PIPL tem uma dimensão extraterritorial muito forte. As suas disposições aplicam-se a qualquer organização que processe informações pessoais relativas a indivíduos na China. Isto inclui empresas sem presença física na China; as suas atividades envolvem o fornecimento de produtos ou serviços a utilizadores chineses ou a análise dos seus padrões de comportamento.

A base legal para o tratamento de informações pessoais sob a PIPL é o consentimento, a necessidade contratual, o dever legal e o interesse público (sendo o consentimento de longe o mais comum). Considerar as práticas de tratamento de dados pessoais pode ser um foco para as empresas.

Obrigações do processador:

•   Preparar os planos e procedimentos de gestão de dados na empresa.
•   Diferenciar medidas de proteção para diversas categorias de informações pessoais
•   Usar medidas de segurança técnicas: criptografia, desidentificação, controle de acesso
•   Realizar treinamentos regulares de conscientização sobre privacidade de dados com a equipe.
•   Realizar autoinspeção obrigatória de conformidade; entidades que processam dados de mais de 10 milhões de pessoas são obrigadas a cumprir as Medidas de Auditoria de Conformidade PIPL, que entraram em vigor a partir de 1º de maio de 2025, e devem ser inspecionadas pelo menos uma vez a cada dois anos
•   Preparar e executar planos para incidentes de violação de dados, se houver.

Os indivíduos detêm os seguintes direitos em relação aos responsáveis pelo tratamento de dados:

•   Podem ser informados, ter acesso, obter cópias, ter os seus dados pessoais corrigidos, ou tê-los eliminados ou transferidos
•   Indivíduos podem limitar ou bloquear o processamento
•   Solicitar a justificativa para as operações de processamento

A gestão de PIPL relativo a transferências de dados transfronteiriças para terceiros países por empresas estrangeiras fora da China apresenta aspectos relacionados a penalidades financeiras ou conformidade regulatória. Desde 1º de janeiro de 2026, existem 3 vias formais; as empresas devem escolher uma.

Artigo 66 da PIPL determina requisitos financeiros para violações específicas, com valores máximos de RMB 50 milhões (~$6,9 milhões) ou 5% da receita global anual.
A aplicação das medidas de fiscalização mudou de uma abordagem seletiva. Uma campanha conjunta CAC-MIIT-MPS lançada em abril de 2026 nomeou publicamente 33 aplicativos não conformes e sinalizou um movimento em direção à fiscalização rotineira.