了解中国个人信息保护法

中国个人信息保护法（PIPL）于2021年11月1日生效，是欧洲以外最重要的数据隐私法规之一。对于全球网站，特别是有中国访客或在中国开展业务的网站，PIPL创建了独立于GDPR要求的同意义务，有时甚至与GDPR要求相冲突。

PIPL管理中国境内个人的个人信息处理。其地域范围很广：它适用于任何处理位于中国的人的个人信息的组织，无论该组织本身位于何处。如果您的网站可以被中国用户访问，并且您从他们那里收集任何个人数据，PIPL就与您相关。

PIPL与GDPR：重要的关键差异

虽然PIPL经常被称为“中国的GDPR”，但这种比较掩盖了影响您实施同意方式的重要差异：

• 同意作为主要法律基础：GDPR提供六种处理的法律基础，包括合法利益。PIPL更以同意为中心。虽然它承认其他法律基础（合同必要性、法律义务、公共利益），但合法利益的范围要窄得多，同意是大多数商业数据处理的预期默认值。
• 敏感数据的单独同意：PIPL要求对处理敏感个人信息进行单独、明确的同意，包括生物识别数据、金融信息、位置跟踪和14岁以下未成年人的数据。基于Cookie的行为跟踪可能属于此类别。
• 强制数据本地化：关键信息基础设施运营者和处理个人信息超过中国国家互联网信息办公室（CAC）设定的数量阈值的组织必须在中国境内存储数据。这影响到您的分析和Cookie数据可以在哪里处理。
• 跨境传输限制：将个人信息传输到中国境外需要三种机制之一：通过CAC安全评估、获得认可机构的认证、或签订CAC发布的标准合同条款。这比GDPR的传输机制更为严格。
• 具有中国特色的个人权利：PIPL赋予数据主体类似于GDPR的权利（访问、更正、删除、可移植性），但增加了拒绝自动化决策的权利和要求解释自动化处理规则的权利。

PIPL对Cookie和跟踪意味着什么

PIPL没有像欧盟的ePrivacy指令那样专门提到“Cookie”。然而，该法律对个人信息的广泛定义——与已识别或可识别的自然人相关的任何信息——涵盖了大多数基于Cookie的跟踪：

• 分析Cookie跟踪用户跨页面的行为，根据PIPL的定义收集个人信息，即使用户未登录。
• 广告Cookie和跨站跟踪像素显然属于范围之内，因为它们构建与设备标识符绑定的配置文件。
• 会话Cookie用于基本功能（购物车、登录状态）通常在合同必要性基础上是允许的，类似于GDPR。
• 第三方Cookie与外部各方共享数据，触发关于第三方披露和潜在跨境传输规则的额外PIPL要求。

PIPL执法：真实后果

与一些主要存在于纸面上的隐私法不同，PIPL的执法一直非常活跃且不断升级。中国国家互联网信息办公室与公安部及其他机构一道采取了具体行动：

• 中国的主要应用商店因过度收集数据和未能获得适当同意而下架了应用程序。在执法活动中，数百个应用程序被移除。
• 公司因收集超出其声明目的所需的个人信息而被罚款。
• CAC对隐私政策未充分描述数据处理活动的公司发出了公开警告。
• 在严重情况下，PIPL允许最高5000万人民币（约700万美元）或上一年收入5%的罚款，以及可能暂停业务运营。

对于国际公司，风险既有监管方面的也有商业方面的。不合规可能导致应用从中国应用商店被删除、服务被封锁，以及在超过十亿互联网用户的市场中的声誉损害。

针对中国访客的地理定位

如果您的网站服务于包括中国用户在内的全球受众，您需要一个地理定位的同意策略。这意味着检测访客是否位于中国，并呈现满足PIPL要求的同意机制：

• 基于IP的检测：使用IP地理定位来识别来自中国大陆的访客。这与用于EEA访客GDPR地理定位的方法相同。
• 基于语言的信号：如果用户的浏览器语言设置为中文（zh-CN或zh-TW），这可以作为辅助信号，但不应是唯一的决定因素。
• 同意横幅内容：显示给中国用户的同意通知应为简体中文，清楚说明数据收集目的，标明数据控制者，并提供拒绝非必要处理的真正机制。
• 敏感处理的单独同意：如果您使用Cookie进行行为画像或位置跟踪，中国用户应看到针对这些类别的单独、更详细的同意提示。

用一个CMP管理GDPR和PIPL

大多数全球网站需要同时遵守多个隐私制度。挑战在于在不维护单独系统的情况下向正确的用户呈现正确的同意体验。统一的方法是这样工作的：

区域检测作为基础

CMP必须首先确定访客的位置。基于此，它应用适当的同意规则：

• EEA/UK访客：配合Consent Mode V2的TCF 2.3同意横幅，opt-in模式，所有GDPR要求。
• 中国访客：简体中文的PIPL合规同意通知，非必要处理的opt-in，如果数据离开中国则明确披露跨境传输。
• 美国访客：特定州的规则（加州的CCPA/CPRA，科罗拉多州、康涅狄格州、弗吉尼亚州等的州法律），通常为opt-out模式。
• 其他地区：基于发布者风险承受能力和适用当地法律的默认行为。

同意存储注意事项

PIPL的数据本地化要求意味着如果您的数据处理量超过CAC的阈值，中国用户的同意记录可能需要存储在中国境内的服务器上。对于大多数有零星中国流量的国际网站，该阈值不太可能达到，但针对中国的高流量网站应咨询当地法律顾问。

跨境传输文件

当中国用户同意将数据发送到中国境外服务器的Cookie时（这适用于几乎所有西方分析和广告平台），CMP应将该同意作为跨境传输理由的一部分进行记录。同意通知应明确提到数据将被国际传输。

全球合规的实际步骤

以下是需要在GDPR之外解决PIPL的网站的优先行动计划：

• 审查您的中国流量：检查您的分析数据，了解您的访客中有多少百分比来自中国。如果可以忽略不计，您的风险较低但不为零。
• 将您的Cookie映射到PIPL类别：确定哪些Cookie根据PIPL的定义处理个人信息，以及是否有涉及敏感个人信息的。
• 实施地理定位同意：使用可以根据访客位置提供不同同意体验的CMP，为每个地区提供适当的语言和法律基础。
• 更新您的隐私政策：添加专门针对PIPL权利和您对中国用户的数据处理做法的部分。
• 审查跨境传输：记录中国用户的个人信息是如何在国际间传输和处理的，并确保您有有效的传输机制。

重要提示：针对中国的网站的PIPL合规可能非常复杂，监管指南仍在不断发展。本文提供了一个大致概述，但在中国有重要业务或用户基础的组织应寻求针对自身情况的法律建议。

FlexyConsent支持配合特定区域规则的地理定位同意体验，让您可以从一个平台管理GDPR、PIPL、CCPA和其他隐私法律。免费计划包括地理检测和多区域同意配置。