- La nueva ley entra en vigor el 1 de noviembre, apenas diez semanas después de su aprobación y sin un periodo transitorio largo.
- Tiene alcance extraterritorial: afecta a quien trate desde fuera datos de personas en China.
- Exige consentimiento y condiciones estrictas para transferir datos fuera del país.
El 20 de agosto de 2021 el Comité Permanente de la Asamblea Popular Nacional de China aprobó la Ley de Protección de la Información Personal, conocida por sus siglas en inglés como PIPL. Entrará en vigor el 1 de noviembre de 2021, sin el largo plazo de adaptación que muchos esperaban, y se suma a la Ley de Ciberseguridad y a la Ley de Seguridad de los Datos, que lo hace el 1 de septiembre.
Muchos analistas la comparan con el Reglamento General de Protección de Datos (RGPD) europeo: reconoce derechos a las personas, exige una base legal para tratar datos y prevé sanciones de hasta 50 millones de yuanes o el 5 % de la facturación del año anterior. Pero lo hace con un enfoque propio, en el que la seguridad nacional y el papel del Estado en la gestión de los datos pesan mucho. A diferencia de Europa, no existe una autoridad independiente de protección de datos: la aplicación recae sobre todo en organismos como la Administración del Ciberespacio.
Qué exige la ley
La PIPL parte de principios que resultarán familiares a quien conozca el RGPD: finalidad concreta, minimización de datos y transparencia. Exige consentimiento informado para tratar información personal en muchos supuestos, un consentimiento separado para los datos sensibles y la posibilidad de retirarlo en cualquier momento. Reconoce además derechos de acceso, corrección y supresión. Para los datos de menores de 14 años exige, además, el consentimiento de sus progenitores o tutores.
También obliga a realizar evaluaciones de impacto en los tratamientos de mayor riesgo, como los datos sensibles, las transferencias al extranjero o las decisiones automatizadas. Para las empresas supone documentar qué datos tratan, con qué fundamento y durante cuánto tiempo, y poder demostrarlo ante las autoridades chinas. Las sanciones pueden alcanzar también a las personas responsables dentro de la empresa.
Alcance fuera de China
La ley se aplica no solo al tratamiento dentro del país, sino también al que se realiza fuera cuando su finalidad es ofrecer productos o servicios a personas en China o analizar su comportamiento. Las entidades extranjeras en ese caso deberán, en términos generales, designar un representante o una entidad en territorio chino.
Las transferencias de datos al exterior estarán sujetas a condiciones: una evaluación de seguridad, una certificación o un contrato tipo, además del consentimiento específico de la persona. Para determinados operadores y volúmenes de datos puede exigirse incluso que la información se conserve en China. Además, las autoridades extranjeras no podrán acceder a datos almacenados en China sin la aprobación previa de las autoridades chinas. Faltan aún normas de desarrollo que concreten los detalles.
Qué conviene revisar
Las empresas europeas, y entre ellas muchas catalanas, que venden a clientes chinos, tienen filiales o empleados en el país, gestionan plataformas de comercio electrónico o dependen de proveedores allí deberían hacer un inventario de los datos personales que manejan y de dónde se almacenan, incluidos los datos de recursos humanos de los empleados en China que se envían a la sede europea. Los contratos con proveedores y filiales también merecen revisión. Conviene incluir en ellos cláusulas claras sobre quién responde de cada tratamiento.
Cumplir el RGPD ayuda, pero no basta: las bases legales, los plazos y las obligaciones de localización no coinciden. Un mismo tratamiento puede ser legal en Europa y exigir en China un consentimiento específico, una evaluación o una autorización adicional. Hasta que se conozcan las normas de desarrollo, lo prudente es tomar la fecha del 1 de noviembre como referencia y consultar con un asesor especializado. Conviene hacerlo antes de noviembre, cuando la ley ya sea exigible.
Cumplir en Europa no equivale a cumplir en China.
Este artículo es información general. No es asesoramiento jurídico, fiscal ni de inversión, y no tiene en cuenta las circunstancias particulares de nadie.
