O que é a China PIPL (Personal Information Protection Law)?

A Lei de Proteção de Informações Pessoais (PIPL) da China é uma das principais fontes de lei sobre proteção de dados pessoais; uma das três leis básicas sobre assuntos relacionados a dados na China, juntamente com a Lei de Cibersegurança e a Lei de Segurança de Dados. A PIPL entrou em vigor em 1º de novembro de 2021. Para empresas SaaS e desenvolvedores de software com usuários chineses, a conformidade com a PIPL é um requisito, e os procedimentos de fiscalização tornaram-se mais rigorosos.

A PIPL tem uma dimensão extraterritorial muito forte. As disposições se aplicam a qualquer organização que processe informações pessoais relativas a indivíduos na China. Isso inclui empresas sem presença física na China; suas atividades envolvem o fornecimento de produtos ou serviços a usuários chineses ou a análise de seus padrões de comportamento.

A base legal para o processamento de informações pessoais sob a PIPL é o consentimento, a necessidade contratual, o dever estatutário e o interesse público (sendo o consentimento de longe o mais comum). Considerar as práticas de tratamento de dados pessoais pode ser um foco para as empresas.

Obrigações do processador:

•   Prepare os planos e procedimentos de gestão de dados dentro da empresa.
•   Diferenciar medidas de proteção para várias categorias de informações pessoais
•   Utilizar medidas técnicas de segurança: criptografia, desidentificação, controle de acesso
•   Realizar treinamentos regulares de conscientização sobre privacidade de dados com a equipe
•   Realizar autoinspeção obrigatória de conformidade; entidades que processam dados de mais de 10 milhões de pessoas são obrigadas a cumprir as Medidas de Auditoria de Conformidade PIPL, que estão em vigor desde 1º de maio de 2025, e devem ser inspecionadas pelo menos uma vez a cada dois anos
•   Preparar e executar planos para incidentes de violação de dados, se houver.

Os indivíduos detêm os seguintes direitos contra os operadores de dados:

•   Podem ser informados, ter acesso, obter cópias, ter seus dados pessoais corrigidos, ou tê-los excluídos ou transferidos
•   Indivíduos podem limitar ou bloquear o processamento
•   Solicitar o raciocínio por trás das operações de processamento

A gestão de PIPL relacionado a transferências de dados transfronteiriças para terceiros países por empresas estrangeiras fora da China apresenta aspectos relacionados a penalidades financeiras ou conformidade regulatória. Desde 1º de janeiro de 2026, existem 3 vias formais; as empresas devem escolher uma.

Artigo 66 da PIPL determina requisitos financeiros para violações específicas, com valores máximos de 50 milhões de RMB (~US$6,9M) ou 5% da receita global anual.
A aplicação das medidas de fiscalização deixou de ser uma abordagem seletiva. Uma campanha conjunta CAC-MIIT-MPS lançada em abril de 2026 nomeou publicamente 33 aplicativos não conformes e sinalizou uma mudança em direção à fiscalização rotineira.