Voldoen aan de Chinese Personal Information Protection Law (PIPL)
Pandectes GDPR Compliance helpt Shopify-winkels te voldoen aan de eisen van de PIPL door toestemming te vragen vóór niet-essentiële cookies, cookies te scannen en in te delen en toestemmingen bij te houden.
Gratis starten
De #1 app voor cookietoestemming op Shopify, vertrouwd door 185k winkels
Wat is de PIPL?
De Personal Information Protection Law of the People’s Republic of China (PIPL) is de uitgebreide Chinese wet over persoonsgegevens. De wet bepaalt hoe organisaties, die in de wet “verwerkers van persoonsgegevens” heten, informatie over geïdentificeerde of identificeerbare personen verzamelen, opslaan, gebruiken, delen en verwijderen. Veel ideeën zullen bekend voorkomen uit de AVG, maar sommige toestemmingsregels zijn strenger.
De belangrijkste beginselen van de PIPL:
- Voor verwerking is een rechtsgrond nodig, en voor de meeste marketing en tracking is die rechtsgrond de toestemming van de betrokkene. Die toestemming moet vrijwillig, uitdrukkelijk en volledig geïnformeerd zijn.
- Mensen moeten vóór de verwerking te horen krijgen wie hun gegevens verwerkt, voor welke doelen, hoe, hoe lang en hoe ze hun rechten kunnen uitoefenen.
- Afzonderlijke toestemming is nodig voor het verwerken van gevoelige persoonsgegevens, het delen van gegevens met een andere verwerker, het openbaar maken ervan en het doorgeven ervan buiten China.
- Gegevens over kinderen jonger dan 14 jaar gelden als gevoelig en vereisen toestemming van een ouder of voogd.
- Mensen kunnen hun toestemming op elk moment intrekken en moeten daarvoor een eenvoudige mogelijkheid krijgen.
- Mensen hebben het recht op inzage in, een kopie van, correctie en verwijdering van hun gegevens.
Voor wie geldt de PIPL?
De PIPL geldt voor de verwerking van persoonsgegevens binnen China. De wet geldt ook voor verwerking buiten China als het doel is om producten of diensten aan te bieden aan mensen in China, of om hun gedrag te analyseren of te beoordelen. Een buitenlandse webwinkel die aan klanten in China verkoopt, kan dus onder de wet vallen, en zulke verwerkers moeten een vertegenwoordiger aanstellen of een kantoor in China openen.
Wat gebeurt er als ik me niet aan de PIPL houd?
De PIPL wordt gehandhaafd door de Cyberspace Administration of China (CAC), die de handhaving coördineert, samen met andere overheidsdiensten binnen hun eigen terrein. Mogelijke gevolgen:
- Herstelbevelen en waarschuwingen: bevelen om de overtreding te herstellen, verbeurdverklaring van onrechtmatige winsten en opschorting van apps of diensten die gegevens onrechtmatig verwerken.
- Boetes: tot RMB 1 miljoen bij weigering om een overtreding te herstellen. Bij ernstige overtredingen tot RMB 50 miljoen of 5% van de omzet van het voorgaande jaar.
- Persoonlijke aansprakelijkheid: verantwoordelijke managers kunnen een boete krijgen van RMB 100.000 tot RMB 1 miljoen en tijdelijk worden uitgesloten van leidinggevende functies.
- Beperkingen voor het bedrijf: in ernstige gevallen opschorting van de bedrijfsactiviteiten en intrekking van bedrijfsvergunningen.
- Kredietregistratie: overtredingen worden opgenomen in kredietregisters en kunnen openbaar worden gemaakt.
Mensen kunnen ook een civiele procedure starten voor schade door onrechtmatige verwerking.
Wanneer ging de PIPL in?
De PIPL werd op 20 augustus 2021 aangenomen en trad op 1 november 2021 in werking. De CAC heeft sindsdien aanvullende regels uitgevaardigd, waaronder regels uit 2024 die sommige eisen voor grensoverschrijdende doorgifte versoepelen.
Aan de PIPL voldoen
Voor een Shopify-winkel die aan klanten in China verkoopt, is toestemming het meest zichtbare onderdeel van de PIPL. Analyse-, advertentie- en andere trackingtools die persoonsgegevens verzamelen, mogen pas draaien als de bezoeker uitdrukkelijk heeft ingestemd, en een bezoeker die weigert, moet de winkel nog steeds kunnen gebruiken, tenzij de gegevens echt nodig zijn om de dienst te leveren. Je privacyverklaring moet je verwerking in duidelijke taal beschrijven, en bezoekers moeten hun toestemming later eenvoudig kunnen intrekken.
Grensoverschrijdende doorgifte verdient extra aandacht, omdat de meeste winkels klantgegevens buiten China versturen naar hun platform-, betaal- en marketingaanbieders. De PIPL vereist een doorgiftemechanisme, zoals het standaardcontract van de CAC, tenzij er een uitzondering geldt. De regels van de CAC uit 2024 stellen sommige doorgiften vrij, bijvoorbeeld doorgiften die nodig zijn om een overeenkomst met de klant uit te voeren, zoals een grensoverschrijdende aankoop, maar mensen moeten nog steeds worden geïnformeerd over de ontvanger in het buitenland en afzonderlijk toestemming geven. Zorg er daarnaast voor dat je klaar bent om verzoeken van mensen om inzage, correctie of verwijdering van hun gegevens te beantwoorden.
Een Consent Management Platform (CMP) zoals Pandectes GDPR Compliance helpt bij de onderdelen die in je webwinkel plaatsvinden. Het toont een cookiebanner en blokkeert niet-essentiële cookies tot de bezoeker toestemming geeft, scant en deelt de cookies in je winkel automatisch in, en maakt een cookieverklaring voor je beleid. Het bewaart toestemmingslogs als bewijs van toestemming, helpt je verzoeken van betrokkenen af te handelen en laat je de bannerinstellingen per regio instellen met geolocatie, zodat bezoekers uit China een banner zien die past bij de PIPL.
Doorgiftemechanismen, vertegenwoordigers in China en sectorregels gaan verder dan wat een toestemmingstool kan afdekken, dus bekijk je instellingen waar nodig samen met een jurist.