Perchè la data compliance in Cina è diversa
La Cybersecurity Law (CSL) revisionata, entrata in vigore il 1° gennaio 2026, affronta il rapido sviluppo delle tecnologie digitali e le nuove sfide in materia di cybersecurity, rafforza il sistema di governance della sicurezza informatica e tutela l’economia digitale e il cyberspazio. La Data Security Law (DSL), in vigore dal 2021, classifica e suddivide i dati in categorie in base alla loro sensibilità e introduce controlli di sicurezza nazionale e norme sui trasferimenti transfrontalieri. La Personal Information Protection Law (PIPL), anch’essa in vigore dal 2021, costituisce la normativa organica cinese in materia di dati personali. Le tre normative si sovrappongono: una singola attività di trattamento può far sorgere contemporaneamente obblighi ai sensi di tutte e tre, e questo è il primo aspetto che sorprende le società provenienti da sistemi disciplinati da un’unica normativa.
La Personal Information Protection Law condivide alcuni concetti con il General Data Protection Regulation (GDPR) — basi giuridiche del trattamento, diritti degli interessati e notifica delle violazioni dei dati — ma se ne discosta sotto aspetti rilevanti. In alcuni casi, i requisiti relativi al consenso previsti dalla PIPL sono più rigorosi e richiedono un “consenso separato” per i dati sensibili, i trasferimenti transfrontalieri e altre specifiche situazioni. La PIPL prevede inoltre un’applicazione extraterritoriale al trattamento, effettuato all’estero, dei dati dei residenti della RPC. A ciò si aggiungono obblighi di localizzazione dei dati e valutazioni di sicurezza preventive rispetto al trasferimento, che non hanno un equivalente diretto nel GDPR. Considerare la PIPL semplicemente come il “GDPR cinese” è uno degli errori più comuni e costosi.
L’attività di controllo è condivisa tra diverse autorità con competenze sovrapposte — la Cyberspace Administration of China (CAC) in qualità di autorità principale, insieme al MIIT e al Ministry of Public Security — mentre le autorità di settore prevedono ulteriori regole per i servizi finanziari, il settore sanitario e gli operatori di infrastrutture critiche dell’informazione. L’attività di enforcement comporta conseguenze concrete: il noto caso DiDi si è concluso con una sanzione superiore a 8 miliardi di RMB e con sanzioni personali nei confronti degli alti dirigenti. Per una società straniera, ciò significa che la compliance non consiste in un singolo adempimento, ma richiede un’attività continuativa nei confronti di più autorità.
Cybersecurity Law e Data Security Law in Cina
La Cybersecurity Law cinese (CSL) si applica praticamente a ogni società che gestisce una rete in Cina, vale a dire, nella pratica, alla quasi totalità delle imprese. Essa impone obblighi di base in materia di sicurezza delle reti, la classificazione dei sistemi informatici prevista dal Multi-Level Protection Scheme (MLPS) e requisiti molto più rigorosi per gli operatori di infrastrutture critiche dell’informazione, i cui acquisti possono essere sottoposti a una verifica di sicurezza nazionale.
La Data Security Law (DSL) si affianca alla CSL e introduce un sistema di classificazione dei dati — dati generali, importanti e core data — con obblighi progressivamente più rigorosi per ciascun livello, oltre a una verifica di sicurezza nazionale per le attività relative ai dati che incidono sulla sicurezza nazionale. Insieme alla PIPL, queste normative comportano che la conformità in materia di cybersecurity e la protezione dei dati in Cina non costituiscano ambiti separati: uno stesso sistema può essere contemporaneamente soggetto agli obblighi MLPS previsti dalla CSL, agli obblighi di classificazione e gestione dei dati previsti dalla DSL e alle norme in materia di informazioni personali previste dalla PIPL. Per le imprese a investimento straniero, la conseguenza pratica è che l’infrastruttura IT, la gestione dei dati e le prassi in materia di privacy devono essere progettate fin dall’inizio tenendo conto di questo quadro normativo integrato in materia di protezione dei dati: adeguare un sistema alla normativa soltanto dopo la sua realizzazione risulta molto più costoso.
Conformità alla PIPL: obblighi principali
La conformità alla PIPL si basa su una serie di obblighi che possono apparire familiari a chi conosce il GDPR, ma che differiscono nei dettagli operativi che determinano l’effettiva conformità di una società.
- A differenza del GDPR, la PIPL non considera il “legittimo interesse” una base giuridica generale: la maggior parte dei trattamenti effettuati dalle società private si basa sul consenso, il che rende ancora più importante ottenerlo correttamente. Il consenso deve inoltre essere informato: prima di raccogliere informazioni personali, una società deve fornire un’informativa chiara che indichi chi tratta i dati, per quale finalità, con quali modalità, per quanto tempo vengono conservati e come gli interessati possono esercitare i propri diritti. Per le informazioni personali sensibili, i trasferimenti transfrontalieri e diverse altre situazioni, la PIPL richiede un “consenso separato”, ossia un consenso distinto, specifico ed espresso, e non un’accettazione cumulativa di una generica informativa sulla privacy. Nella pratica, questo requisito del consenso separato è più rigoroso rispetto al GDPR e rappresenta una frequente criticità in materia di compliance.
- Le informazioni personali sensibili — dati biometrici, conti finanziari, dati relativi alla salute, convinzioni religiose, dati sulla localizzazione e qualsiasi dato relativo a minori di 14 anni — comportano obblighi aggiuntivi, tra cui una giustificazione documentata della necessità del trattamento e, in molti casi, una valutazione sulla protezione dei dati (la valutazione d’impatto sulla protezione delle informazioni personali richiesta dalla PIPL per i trattamenti a rischio più elevato). Gli interessati hanno il diritto di accedere ai propri dati, rettificarli, cancellarli e trasferirli, nonché di revocare il consenso, e la società deve essere concretamente in grado di garantire l’esercizio di tali diritti.
- La PIPL richiede inoltre ai soggetti che trattano grandi quantità di informazioni personali di nominare un Personal Information Protection Officer (PIPO), ossia un soggetto appositamente designato e responsabile, che non ha un equivalente diretto nel GDPR. Il rispetto di tali requisiti normativi non consiste in un’attività documentale una tantum, ma richiede di integrare concretamente nell’attività svolta in Cina procedure per la raccolta del consenso, processi di valutazione e sistemi per rispondere alle richieste degli interessati.
Trasferimento transfrontaliero dei dati in Cina
Il trasferimento transfrontaliero dei dati rappresenta l’aspetto operativamente più complesso della conformità in materia di dati in Cina. Il trasferimento di informazioni personali al di fuori del Paese richiede uno dei tre meccanismi giuridici previsti dalla PIPL: una valutazione di sicurezza della CAC, il deposito dello Standard Contract cinese (SCC) oppure una certificazione relativa alla protezione delle informazioni personali. Il meccanismo applicabile dipende principalmente dal volume e dalla tipologia dei dati.
A seguito delle norme sui trasferimenti transfrontalieri dei dati del marzo 2024, che hanno reso meno restrittivo il precedente regime, le soglie risultano più chiare. La valutazione di sicurezza della CAC — il meccanismo più rigoroso — è obbligatoria per il trasferimento di “dati importanti”, per qualsiasi operatore di infrastrutture critiche dell’informazione oppure per il trasferimento, nell’arco di un anno, di informazioni personali non sensibili relative a più di un milione di persone o di informazioni personali sensibili relative a più di 10.000 persone. Al di sotto di tali soglie, si applicano generalmente lo Standard Contract o la procedura di certificazione, mentre i trasferimenti di informazioni personali non sensibili relative a meno di 100.000 persone — insieme ad alcune specifiche fattispecie, come la gestione transfrontaliera delle risorse umane e l’esecuzione dei contratti — sono esenti da tutti e tre i meccanismi.
Nella pratica, la valutazione di sicurezza rappresenta il caso più complesso: richiede una dettagliata mappatura dei dati, può richiedere mesi e il suo esito positivo è tutt’altro che garantito. Per i flussi di dati tra UE e Cina, i due regimi si sovrappongono: un trasferimento può richiedere sia un meccanismo di trasferimento previsto dal GDPR sul versante dell’UE da cui provengono i dati, sia un meccanismo previsto dalla PIPL sul versante cinese. La procedura di certificazione, definita nelle misure entrate in vigore nel 2026, sta diventando sempre più interessante per i trasferimenti infragruppo all’interno delle multinazionali. Le conseguenze di eventuali errori sono concrete: i trasferimenti transfrontalieri non autorizzati costituiscono una priorità nell’attività di enforcement e un’esportazione di dati non autorizzata può comportare il blocco operativo del flusso di dati dal quale dipende l’attività dell’impresa.
Localizzazione dei dati e requisiti di sicurezza
Due requisiti colgono spesso impreparate le società straniere quando configurano la propria infrastruttura IT in Cina: la localizzazione dei dati e il Multi-Level Protection Scheme.
Gli obblighi di localizzazione dei dati si applicano in modo più diretto agli operatori di infrastrutture critiche dell’informazione (CIIO), che devono conservare le informazioni personali e i dati importanti raccolti e generati in Cina su server fisicamente situati nella Cina continentale; il trasferimento di tali dati all’estero richiede il superamento di una valutazione di sicurezza. Il Multi-Level Protection Scheme (MLPS 2.0) è un sistema obbligatorio di classificazione della cybersecurity previsto dalla Cybersecurity Law: i sistemi di rete vengono classificati in base alla loro importanza e al potenziale impatto (generalmente, per la maggior parte dei sistemi aziendali, dai livelli 2 a 4) e ciascun livello comporta specifici requisiti tecnici e gestionali, compreso il deposito presso le autorità di pubblica sicurezza. Le società straniere spesso trascurano gli obblighi MLPS quando implementano i propri sistemi in Cina, per poi scoprirne l’esistenza durante un audit o nell’ambito di un’operazione societaria. Alla base di entrambi si trova il sistema di classificazione dei dati previsto dalla DSL — dati generali, dati importanti e core data — che determina il livello di rigore con cui ciascun insieme di dati deve essere gestito. Progettare fin dall’inizio l’infrastruttura e la gestione dei dati tenendo conto di tali requisiti è molto meno costoso rispetto a intervenire successivamente per adeguarsi.
Enforcement e risposta alle autorità di regolamentazione in Cina
L’attività di enforcement in materia di dati in Cina è condivisa tra diverse autorità con competenze sovrapposte. La Cyberspace Administration of China (CAC) è la principale autorità di regolamentazione in materia di dati e cybersecurity; il Ministry of Industry and Information Technology (MIIT) vigila sul settore delle telecomunicazioni e su numerosi obblighi relativi alle applicazioni; il Ministry of Public Security (MPS) è responsabile dell’attività di polizia in materia di cybersecurity e del sistema MLPS. A questi si aggiungono ulteriori livelli di regolamentazione da parte delle autorità di settore.
L’attività di enforcement si è intensificata e le sanzioni sono significative: il caso DiDi, conclusosi con una sanzione superiore a 8 miliardi di RMB e con sanzioni personali nei confronti degli alti dirigenti, ha segnato un importante precedente. Quando si verifica un’indagine o una violazione dei dati, la risposta deve essere tempestiva e rispettare specifiche procedure: la PIPL e la CSL prevedono obblighi di notifica delle violazioni alle autorità e, in determinati casi, agli interessati coinvolti, mentre uno specifico regime di segnalazione degli incidenti di cybersecurity stabilisce tempistiche che variano in funzione della gravità dell’incidente. Il modo in cui una società gestisce la notifica, i rapporti con le autorità e le misure correttive nei primi giorni spesso determina se l’incidente rimarrà una questione gestibile oppure darà luogo a responsabilità molto più rilevanti. Disporre di avvocati locali in grado di gestire direttamente i rapporti con le autorità può fare la differenza tra una risposta controllata e una situazione in progressivo aggravamento.
Il nostro ruolo come studio legale specializzato in cybersecurity e conformità in materia di dati in Cina
In qualità di team di avvocati specializzati in cybersecurity con una presenza permanente in Cina, forniamo servizi di compliance in materia di dati alle imprese straniere che devono rispettare contemporaneamente la PIPL, la CSL e la DSL. I nostri avvocati abilitati in Cina gestiscono localmente le relative attività, rispondendo alle richieste delle società in materia di sicurezza dei dati e protezione delle informazioni personali, svolgendo analisi relative all’MLPS e alla classificazione dei dati, predisponendo informative e policy sulla privacy e fornendo assistenza nella preparazione e nel deposito dei meccanismi per il trasferimento transfrontaliero dei dati.
Un avvocato specializzato in protezione dei dati del nostro team in Cina gestisce inoltre i rapporti con le autorità di regolamentazione, rispondendo alle richieste della CAC e delle altre autorità, gestendo le notifiche delle violazioni dei dati e rappresentando il cliente nell’ambito delle indagini. Al contempo, la nostra rete europea e asiatica assicura che il programma adottato in Cina sia coordinato con gli obblighi derivanti dal GDPR e con gli altri obblighi applicabili alla società, in modo che i flussi di dati tra UE e Cina siano gestiti in maniera coerente da entrambe le parti.
Poiché la compliance in materia di dati raramente costituisce un ambito isolato, lo stesso team si avvale delle competenze delle nostre practice in materia societaria, giuslavoristica e contrattuale — dalle clausole relative ai dati contenute in un contratto di fornitura, alla gestione dei dati dei lavoratori nell’ambito delle risorse umane, fino alle attività di due diligence nelle operazioni societarie — affinché la società possa beneficiare di un unico programma coordinato, anziché ricevere consulenze separate da studi legali differenti.
