Conformità alla Personal Information Protection Law (PIPL) cinese
Pandectes GDPR Compliance aiuta i negozi Shopify a rispettare i requisiti della PIPL raccogliendo il consenso prima dei cookie non essenziali, individuando e classificando i cookie e conservando i registri del consenso.
Inizia gratis
L'app di consenso ai cookie n. 1 per Shopify, scelta da 185k negozi
Cos’è la PIPL?
La Personal Information Protection Law della Repubblica Popolare Cinese (PIPL) è la legge organica cinese sui dati personali. Stabilisce le regole con cui le organizzazioni, che la legge chiama “personal information processor” (soggetti che trattano dati personali), raccolgono, conservano, usano, condividono e cancellano le informazioni su persone identificate o identificabili. Molti dei suoi concetti risulteranno familiari a chi conosce il GDPR, ma alcune delle sue regole sul consenso sono più rigorose.
I principi chiave della PIPL comprendono:
- Il trattamento richiede una base giuridica e, per la maggior parte delle attività di marketing e tracciamento, questa base è il consenso della persona, che deve essere libero, esplicito e pienamente informato.
- Prima del trattamento, le persone devono essere informate su chi tratta i loro dati, per quali finalità, con quali modalità, per quanto tempo e su come esercitare i propri diritti.
- È necessario un consenso separato per trattare dati personali sensibili, condividere dati con un altro soggetto che li tratta, renderli pubblici e trasferirli al di fuori della Cina.
- I dati relativi ai minori di 14 anni sono considerati sensibili e richiedono il consenso di un genitore o tutore.
- Le persone possono revocare il consenso in qualsiasi momento e devono disporre di un modo semplice per farlo.
- Le persone hanno il diritto di accedere ai propri dati, di ottenerne copia, di rettificarli e di cancellarli.
A chi si applica la PIPL?
La PIPL si applica al trattamento di dati personali in Cina. Si applica anche al trattamento al di fuori della Cina quando la finalità è fornire prodotti o servizi a persone che si trovano in Cina, oppure analizzarne o valutarne il comportamento. Un negozio online all’estero che vende a clienti in Cina può quindi rientrare nel suo ambito, e questi soggetti devono nominare un rappresentante o aprire un ufficio in Cina.
Cosa succede se non rispetto la PIPL?
La PIPL è applicata dalla Cyberspace Administration of China (CAC), che coordina l’applicazione insieme ad altri dipartimenti governativi, ciascuno nel proprio ambito. Le possibili conseguenze includono:
- Ordini correttivi e avvertimenti: ordini di porre rimedio alla violazione, confisca dei proventi illeciti e sospensione di app o servizi che trattano dati illecitamente.
- Multe: fino a 1 milione di RMB per il rifiuto di porre rimedio a una violazione. Per le violazioni gravi, fino a 50 milioni di RMB o al 5% del fatturato dell’anno precedente.
- Responsabilità personale: i dirigenti responsabili possono ricevere multe tra 100.000 e 1 milione di RMB ed essere esclusi da ruoli dirigenziali per un certo periodo.
- Restrizioni all’attività: sospensione delle attività commerciali e revoca delle licenze commerciali nei casi gravi.
- Registri di affidabilità creditizia: le violazioni vengono iscritte nei registri di affidabilità creditizia e possono essere rese pubbliche.
Le persone possono anche intentare azioni civili per il risarcimento dei danni causati da un trattamento illecito.
Quando è entrata in vigore la PIPL?
La PIPL è stata adottata il 20 agosto 2021 ed è entrata in vigore il 1° novembre 2021. Da allora la CAC ha emanato ulteriori norme, tra cui quelle del 2024 che allentano alcuni requisiti per i trasferimenti transfrontalieri.
Come rispettare la PIPL
Per un negozio Shopify che vende a clienti in Cina, l’aspetto più visibile della PIPL è il consenso. Gli strumenti di analisi, pubblicità e altri strumenti di tracciamento che raccolgono dati personali non dovrebbero attivarsi finché il visitatore non ha dato esplicitamente il proprio consenso, e un visitatore che rifiuta deve comunque poter usare il negozio, a meno che i dati non siano davvero necessari per fornire il servizio. L’informativa sulla privacy dovrebbe descrivere il trattamento con un linguaggio chiaro, e i visitatori devono avere un modo semplice per revocare il consenso in seguito.
Il trasferimento transfrontaliero richiede un’attenzione particolare, perché la maggior parte dei negozi invia i dati dei clienti al di fuori della Cina ai propri fornitori di piattaforma, pagamenti e marketing. La PIPL richiede un meccanismo di trasferimento, come il contratto standard della CAC, salvo che si applichi un’esenzione. Le norme della CAC del 2024 esentano alcuni trasferimenti, ad esempio quelli necessari per eseguire un contratto con il cliente come un acquisto transfrontaliero, ma le persone devono comunque essere informate sul destinatario estero e dare un consenso separato. Dovrebbe inoltre essere pronto a rispondere alle richieste delle persone di accedere ai propri dati, rettificarli o cancellarli.
Una piattaforma di gestione del consenso (CMP) come Pandectes GDPR Compliance La aiuta con la parte di questi obblighi che riguarda la vetrina del negozio. Mostra un banner dei cookie e blocca i cookie non essenziali finché il visitatore non dà il consenso, individua e classifica automaticamente i cookie del Suo negozio e genera una dichiarazione dei cookie per la Sua informativa. Conserva i registri del consenso come prova del consenso, La aiuta a gestire le richieste degli interessati e Le permette di configurare il banner per area geografica tramite geolocalizzazione, così i visitatori dalla Cina possono vedere un banner adatto alla PIPL.
I meccanismi di trasferimento, i rappresentanti in Cina e le norme di settore vanno oltre ciò che uno strumento per il consenso può coprire, quindi, se opportuno, verifichi la Sua configurazione con un consulente legale.