El día 1 de noviembre de 2021 entró en vigor la Ley de Protección de la Información Personal de la República Popular de China (PIPL), que fue adoptada en la Trigésima Sesión del Comité Permanente del 13º Congreso Nacional del Pueblo de la República Popular de China celebrada el 20 de agosto 2021.
Si tienen curiosidad por el texto legal, pueden consultarlo haciendo clic aquí (para traducir el texto desde el enlace, hacer clic en el botón derecho del ratón e ir a «Traducir a español»).
Dicha ley, junto a la Ley de Ciberseguridad, adoptada el 7 de noviembre de 2016 y en vigor desde el 1 de junio de 2017, y la Ley de Seguridad de Datos, adoptada el 10 de junio de 2021 y en vigor desde el 1 de septiembre de 2021, proporcionan a China un nivel de protección de datos similar al de la Unión Europea, aunque con enfoques propios en temas de soberanía, seguridad nacional y control estatal.
Si comparamos la PIPL con el RGPD, vemos que guarda ciertas similitudes, por ejemplo, en materia de derechos de los interesados, donde las diferencias son mínimas. Igualmente, ambas prevén la figura de un Delegado de Protección de Datos (responsable de protección de información personal en la PIPL), regulan la relación con los encargados de tratamiento (manipuladores de información personal en la PIPL), y enfatizan principios como la minimización de datos y la transparencia. Sin embargo, la PIPL permite a los familiares cercanos ejercer derechos sobre datos de fallecidos (ausente en RGPD), y presenta diferencias en la especificidad del lenguaje, con un enfoque más estricto en la soberanía digital y menos énfasis en evaluaciones de impacto detalladas, aunque requiere auditorías periódicas para tratamientos a gran escala.
La diferencia mayor se encuentra en las transferencias internacionales, donde la PIPL prioriza evaluaciones de seguridad nacional.
La norma se aplica a cualquier empresa extranjera que opere en China o trate datos personales de residentes chinos, incluso si los servidores están fuera del país, con extraterritorialidad similar al RGPD pero con mayor énfasis en la protección contra amenazas a la seguridad nacional.
Transferencias internacionales de datos personales
Según los artículos 38 y siguientes de la PIPL, si un responsable del tratamiento necesita proporcionar información personal fuera de la República Popular China debido a necesidades comerciales, deberá cumplir una de las siguientes condiciones:
- Superar la evaluación de seguridad organizada por el departamento de información de la red nacional (Administración del Ciberespacio de China).
- Obtener una certificación de protección de la información personal a través de instituciones profesionales, permitiendo transferencias libres dentro del ámbito certificado.
- Celebrar un contrato con el destinatario de la información personal en el extranjero de acuerdo con el contrato estándar formulado por el departamento de información de la red nacional.
- Otras condiciones estipuladas por leyes, reglamentos administrativos o el departamento de información de la red nacional.
Además, el responsable del tratamiento deberá obtener el consentimiento separado e informado del interesado, debiendo informarle acerca de la identidad y contacto del receptor extranjero, el propósito del tratamiento, el método de tratamiento, el tipo de información personal, y los métodos y procedimientos para el ejercicio de los derechos previstos en la ley.
Para transferir información almacenada en la República Popular de China, los extranjeros interesados, las agencias judiciales y policiales deberán dirigirse a la autoridad declarada competente de acuerdo con las leyes pertinentes y los tratados y acuerdos internacionales celebrados o a los que se haya adherido la República Popular de China.
Cuando organizaciones e individuos extranjeros se involucren en actividades de tratamiento de datos personales que infrinjan los derechos e intereses de los ciudadanos de la República Popular de China, o pongan en peligro la seguridad nacional y los intereses públicos de la República Popular de China, el departamento de información de la red nacional (Administración del Ciberespacio de China) puede restringir o prohibir el tratamiento, incluyendo listas negras o bloqueos.
El incumplimiento de la norma en esta materia se sanciona con multas de hasta 50 millones de yuanes (aproximadamente 7 millones de dólares) o 5 % de los ingresos anuales del año anterior en China, confiscación de ganancias ilegales, suspensión de actividades o revocación de licencias comerciales.
Los artículos 38 y siguientes de la PIPL reflejan un enfoque equilibrado entre la protección de datos y los intereses nacionales, similar al RGPD (con mecanismos como cláusulas contractuales estándar o certificaciones) pero con énfasis en la soberanía digital.
Conclusión
En China, la protección de datos personales tiene sus particularidades respecto a la Unión Europea. Hay que entender que hablamos de culturas y mentalidades diferentes. Por ejemplo, en la Unión Europea no aceptamos de buen grado la vigilancia masiva en espacios públicos por las autoridades, mientras que en China se aceptan ampliamente, pues el individuo tiende a priorizar el Estado y el colectivo, en contraste con la Unión Europea, donde los ciudadanos privilegian la individualidad y la autonomía personal.
