Cumplimiento de la Ley de Protección de la Información Personal de China (PIPL)

¿Qué es la PIPL?

La Ley de Protección de la Información Personal de la República Popular China (Personal Information Protection Law, PIPL) es la ley integral de China sobre información personal. Establece las normas sobre cómo las organizaciones, a las que la ley llama “responsables del tratamiento de información personal”, recogen, almacenan, usan, comparten y suprimen información sobre personas identificadas o identificables. Muchas de sus ideas le resultarán familiares por el RGPD, pero algunas de sus normas sobre el consentimiento son más estrictas.

Los principios clave de la PIPL incluyen:

• El tratamiento necesita una base jurídica, y para la mayor parte del marketing y el seguimiento esa base es el consentimiento de la persona, que debe ser voluntario, explícito y plenamente informado.
• Antes del tratamiento, se debe informar a las personas de quién trata su información, con qué finalidades, cómo, durante cuánto tiempo y cómo ejercer sus derechos.
• Se requiere un consentimiento separado para tratar información personal sensible, compartir información con otro responsable del tratamiento, hacerla pública y transferirla fuera de China.
• La información sobre menores de 14 años se considera sensible y requiere el consentimiento de uno de los padres o de un tutor.
• Las personas pueden retirar su consentimiento en cualquier momento, y deben disponer de una forma cómoda de hacerlo.
• Las personas tienen derecho a acceder a su información, copiarla, rectificarla y suprimirla.

¿Qué ocurre si no cumplo la PIPL?

La aplicación de la PIPL corresponde a la Administración del Ciberespacio de China (CAC), que coordina la aplicación junto con otros departamentos gubernamentales en sus respectivos ámbitos. Las posibles consecuencias incluyen:

• Órdenes de corrección y advertencias: órdenes de corregir la infracción, decomiso de las ganancias ilícitas y suspensión de las apps o servicios que traten información de forma ilícita.
• Multas: hasta 1 millón de RMB por negarse a corregir una infracción. En infracciones graves, hasta 50 millones de RMB o el 5 % de la facturación del año anterior.
• Responsabilidad personal: los directivos responsables pueden recibir multas de entre 100.000 y 1 millón de RMB y ser inhabilitados para cargos de alta dirección durante un tiempo.
• Restricciones a la actividad: suspensión de la actividad empresarial y revocación de las licencias comerciales en los casos graves.
• Registros de crédito: las infracciones se inscriben en los registros de crédito y pueden hacerse públicas.

Las personas también pueden presentar reclamaciones civiles por los daños causados por un tratamiento ilícito.

Cómo cumplir la PIPL

Para una tienda Shopify que vende a clientes en China, la parte más visible de la PIPL es el consentimiento. Las herramientas de analítica, publicidad y otras herramientas de seguimiento que recogen información personal no deben ejecutarse hasta que el visitante lo haya aceptado de forma explícita, y un visitante que lo rechace debe poder seguir usando la tienda, salvo que la información sea realmente necesaria para prestar el servicio. Su aviso de privacidad debe describir el tratamiento en un lenguaje claro, y los visitantes necesitan una forma cómoda de retirar su consentimiento más adelante.

Las transferencias transfronterizas merecen especial atención, porque la mayoría de las tiendas envían información de clientes fuera de China a sus proveedores de plataforma, pagos y marketing. La PIPL exige un mecanismo de transferencia, como el contrato tipo de la CAC, salvo que se aplique una exención. Las normas de la CAC de 2024 eximen algunas transferencias, por ejemplo las necesarias para ejecutar un contrato con el cliente, como una compra transfronteriza, pero aun así se debe informar a las personas sobre el destinatario en el extranjero y obtener su consentimiento separado. También debe estar preparado para responder a las solicitudes de las personas para acceder a su información, rectificarla o suprimirla.

Una plataforma de gestión del consentimiento (CMP) como Pandectes GDPR Compliance le ayuda con la parte de todo esto que ocurre en su tienda online. Muestra un banner de cookies y bloquea las cookies no esenciales hasta que el visitante dé su consentimiento, detecta y clasifica automáticamente las cookies de su tienda y genera una declaración de cookies para su política. Conserva registros del consentimiento como prueba, le ayuda a gestionar las solicitudes de los interesados y le permite configurar el banner por región mediante geolocalización, para que los visitantes de China vean un banner adaptado a la PIPL.

Los mecanismos de transferencia, los representantes en China y las normas sectoriales van más allá de lo que puede cubrir una herramienta de consentimiento, así que revise su configuración con un asesor legal cuando proceda.