Entendendo a Lei de Proteção de Informações Pessoais da China

A Lei de Proteção de Informações Pessoais da China (PIPL), que entrou em vigor em 1º de novembro de 2021, é uma das regulamentações de privacidade de dados mais importantes fora da Europa. Para sites globais, especialmente aqueles com visitantes chineses ou operações na China, a PIPL cria obrigações de consentimento que existem de forma independente — e às vezes em conflito — com os requisitos do GDPR.

A PIPL rege o tratamento de informações pessoais de indivíduos na China. Seu escopo territorial é amplo: aplica-se a qualquer organização que trate informações pessoais de pessoas localizadas na China, independentemente de onde a organização esteja sediada. Se o seu site é acessível a usuários chineses e você coleta qualquer dado pessoal deles, a PIPL é relevante para você.

PIPL vs. GDPR: Diferenças-Chave que Importam

Embora a PIPL seja frequentemente chamada de "o GDPR da China", essa comparação obscurece diferenças importantes que afetam como você implementa o consentimento:

• Consentimento como base legal primária: O GDPR oferece seis bases legais para o tratamento, incluindo interesse legítimo. A PIPL é mais centrada no consentimento. Embora reconheça outras bases legais (necessidade contratual, obrigação legal, interesse público), o escopo do interesse legítimo é muito mais restrito, e o consentimento é o padrão esperado para a maior parte do tratamento de dados em contextos comerciais.
• Consentimento separado para dados sensíveis: A PIPL exige consentimento separado e explícito para o tratamento de informações pessoais sensíveis, que incluem dados biométricos, informações financeiras, rastreamento de localização e dados de menores de 14 anos. O rastreamento comportamental baseado em cookies pode se enquadrar nessa categoria.
• Obrigatoriedade de localização de dados: Operadores de infraestrutura crítica de informação e organizações que tratam informações pessoais acima de um limiar de volume definido pela Cyberspace Administration of China (CAC) devem armazenar dados dentro da China. Isso afeta onde seus dados de analytics e cookies podem ser tratados.
• Restrições à transferência transfronteiriça: Transferir informações pessoais para fora da China exige um de três mecanismos: aprovação em uma avaliação de segurança da CAC, obtenção de certificação de um organismo reconhecido ou celebração de cláusulas contratuais padrão publicadas pela CAC. Isso é mais restritivo do que os mecanismos de transferência do GDPR.
• Direitos individuais com características chinesas: A PIPL concede aos titulares de dados direitos semelhantes aos do GDPR (acesso, retificação, exclusão, portabilidade), mas acrescenta o direito de recusar decisões automatizadas e o direito de solicitar explicações sobre as regras de tratamento automatizado.

O que a PIPL Significa para Cookies e Rastreamento

A PIPL não menciona especificamente "cookies" da mesma forma que a Diretiva de ePrivacy da UE. No entanto, a definição ampla de informação pessoal na lei — qualquer informação relacionada a uma pessoa natural identificada ou identificável — abrange a maior parte do rastreamento baseado em cookies:

• Cookies de analytics que rastreiam o comportamento do usuário entre páginas coletam informações pessoais segundo a definição da PIPL, mesmo que o usuário não esteja autenticado.
• Cookies de publicidade e pixels de rastreamento entre sites claramente se enquadram no escopo, pois constroem perfis vinculados a identificadores de dispositivo.
• Cookies de sessão para funcionalidades básicas (carrinhos de compra, estado de login) são geralmente permitidos com base na necessidade contratual, de forma semelhante ao GDPR.
• Cookies de terceiros que compartilham dados com partes externas acionam requisitos adicionais da PIPL em torno de divulgação a terceiros e, potencialmente, regras de transferência transfronteiriça.

Aplicação da PIPL: Consequências Reais

Diferentemente de algumas leis de privacidade que existem principalmente no papel, a aplicação da PIPL tem sido ativa e crescente. A Cyberspace Administration of China, juntamente com o Ministério de Segurança Pública e outras agências, tomou medidas concretas:

• Principais lojas de aplicativos na China removeram apps por coleta excessiva de dados e falha em obter o consentimento adequado. Centenas de aplicativos foram retirados em operações de fiscalização.
• Empresas foram multadas por coletar informações pessoais além do necessário para a finalidade declarada.
• A CAC emitiu advertências públicas a empresas cujas políticas de privacidade não descreviam adequadamente as atividades de tratamento de dados.
• Em casos graves, a PIPL permite multas de até 50 milhões de RMB (aproximadamente 7 milhões de USD) ou 5% da receita do ano anterior, além da possível suspensão das operações comerciais.

Para empresas internacionais, o risco é tanto regulatório quanto comercial. A não conformidade pode levar à remoção de apps das lojas de aplicativos chinesas, ao bloqueio de serviços e a danos reputacionais em um mercado com mais de um bilhão de usuários de internet.

Geo‑segmentação de Visitantes Chineses

Se o seu site atende a um público global que inclui usuários chineses, você precisa de uma estratégia de consentimento geo‑segmentada. Isso significa detectar quando um visitante está localizado na China e apresentar mecanismos de consentimento que atendam aos requisitos da PIPL:

• Detecção baseada em IP: Use geolocalização por IP para identificar visitantes da China continental. Essa é a mesma abordagem usada para geo‑segmentação de visitantes do EEE sob o GDPR.
• Sinais baseados em idioma: Se o idioma do navegador do usuário estiver definido como chinês (zh-CN ou zh-TW), isso pode servir como sinal secundário, embora não deva ser o único determinante.
• Conteúdo do banner de consentimento: O aviso de consentimento exibido a usuários chineses deve estar em chinês simplificado, declarar claramente as finalidades da coleta de dados, identificar o controlador de dados e fornecer um mecanismo real para recusar o tratamento não essencial.
• Consentimento separado para tratamento sensível: Se você usa cookies para perfil comportamental ou rastreamento de localização, os usuários chineses devem ver um prompt de consentimento separado e mais granular para essas categorias.

Como Tratar GDPR e PIPL com um Único CMP

A maioria dos sites globais precisa cumprir vários regimes de privacidade simultaneamente. O desafio é apresentar a experiência de consentimento correta ao usuário certo sem manter sistemas separados. Veja como funciona uma abordagem unificada:

Detecção de Região como Fundamento

O CMP deve primeiro determinar a localização do visitante. Com base nisso, aplica as regras de consentimento apropriadas:

• Visitantes do EEE/Reino Unido: Banner de consentimento TCF 2.3 com Consent Mode V2, modelo de opt‑in, todos os requisitos do GDPR.
• Visitantes chineses: Aviso de consentimento compatível com a PIPL em chinês simplificado, opt‑in para tratamento não essencial, divulgação clara de transferências transfronteiriças se os dados saírem da China.
• Visitantes dos EUA: Regras específicas por estado (CCPA/CPRA para a Califórnia, leis estaduais para Colorado, Connecticut, Virgínia etc.), normalmente modelos de opt‑out.
• Outras regiões: Comportamento padrão com base na tolerância ao risco do publisher e nas leis locais aplicáveis.

Considerações sobre Armazenamento de Consentimento

Os requisitos de localização de dados da PIPL significam que os registros de consentimento de usuários chineses podem precisar ser armazenados em servidores dentro da China se seus volumes de tratamento de dados excederem os limiares da CAC. Para a maioria dos sites internacionais com tráfego chinês incidental, é improvável que esse limiar seja atingido, mas sites de alto tráfego que tenham a China como alvo devem consultar assessoria jurídica local.

Documentação de Transferências Transfronteiriças

Quando um usuário chinês consente com cookies que enviam dados para servidores fora da China (o que é o caso de praticamente todas as plataformas ocidentais de analytics e publicidade), o CMP deve documentar esse consentimento como parte da justificativa para a transferência transfronteiriça. O aviso de consentimento deve mencionar explicitamente que os dados serão transferidos internacionalmente.

Passos Práticos para Conformidade Global

Aqui está um plano de ação priorizado para sites que precisam tratar a PIPL em conjunto com o GDPR:

• Audite seu tráfego chinês: Verifique suas ferramentas de analytics para entender qual porcentagem de seus visitantes vem da China. Se for insignificante, seu risco é menor, mas não é zero.
• Mapeie seus cookies para as categorias da PIPL: Determine quais cookies tratam informações pessoais segundo a definição da PIPL e se algum envolve informações pessoais sensíveis.
• Implemente consentimento geo‑segmentado: Use um CMP capaz de apresentar experiências de consentimento diferentes com base na localização do visitante, com idioma e base legal apropriados para cada região.
• Atualize sua política de privacidade: Adicione uma seção que trate especificamente dos direitos sob a PIPL e de suas práticas de tratamento de dados para usuários chineses.
• Revise as transferências transfronteiriças: Documente como as informações pessoais de usuários chineses são transferidas e tratadas internacionalmente e garanta que você tenha um mecanismo de transferência válido.

Nota importante: A conformidade com a PIPL para sites que têm a China como alvo pode ser complexa, e as orientações regulatórias ainda estão evoluindo. Este artigo fornece uma visão geral, mas organizações com operações ou bases de usuários significativas na China devem buscar aconselhamento jurídico específico para sua situação.

FlexyConsent oferece experiências de consentimento geo‑segmentadas com regras específicas por região, permitindo que você trate GDPR, PIPL, CCPA e outras leis de privacidade a partir de uma única plataforma. O plano gratuito inclui geodetecção e configuração de consentimento para múltiplas regiões.