15 pontos que você precisa saber sobre a lei de proteção de informações pessoais da China

avatar

Pode ser uma das legislações de proteção de informações pessoais mais rígidas do mundo.

A primeira Lei de Proteção de Informações Pessoais (“PIPL”) da China foi promulgada em 21 de agosto de 2021 e estará em vigor desde 1º de novembro de 2021.

A lei tem 74 artigos no total. Os 15 pontos-chave da lei que mais vale a pena observar são os seguintes.

1. O PIPA da China se aplica a empresas estrangeiras?

Contanto que você lide com as informações pessoais de pessoas físicas na China, você precisa estar em conformidade com o PIPA. (Artigo 3)

A lei também se aplica a atividades fora da China que lidem com informações pessoais de pessoas físicas que estejam na China em qualquer uma das seguintes circunstâncias

(1) as atividades são para fornecer produtos ou serviços para pessoas físicas na China.

(2) as atividades são para analisar e avaliar o comportamento de pessoas físicas na China.

(3) outras circunstâncias especificadas por outras leis e regulamentos administrativos chineses.

2. As informações pessoais na China podem ser transferidas para fora da China?

Sim, desde que os dois pré-requisitos a seguir sejam atendidos.

Em primeiro lugar, a transferência foi aprovada pelas autoridades reguladoras chinesas. (Artigo 38)

Em segundo lugar, o processador das informações pessoais obteve o consentimento separado dessa pessoa para esse fim. (Artigo 39)

3. As informações pessoais coletadas e geradas na China podem ser armazenadas fora da China?

Em princípio, não. (Artigo 40)

Em primeiro lugar, os operadores de infraestrutura de informação crítica só podem armazenar informações pessoais na China.

Em segundo lugar, se um processador de informações pessoais lida com informações pessoais até a quantidade especificada pelas autoridades regulatórias, ele só pode armazenar informações pessoais na China.

4. As entidades estrangeiras serão punidas por violar o PIPA da China?

Sim.

As autoridades reguladoras chinesas podem incluí-los na lista de informações pessoais restritas ou proibidas e restringir ou proibir que outros indivíduos forneçam informações pessoais a eles. (Artigo 42)

5. Os órgãos judiciais estrangeiros e as agências de aplicação da lei podem solicitar acesso às informações pessoais armazenadas na China?

Os órgãos judiciais estrangeiros só podem obter essas informações pessoais por meio de assistência judiciária. (Artigo 41)

O processador de informações pessoais não deve fornecer essas informações pessoais a órgãos judiciais ou policiais estrangeiros sem a aprovação das autoridades chinesas competentes.

6. Como a China resolve conflitos com regras de proteção de informações pessoais estrangeiras?

Se qualquer país ou região tomar proibições discriminatórias, restrições ou outras medidas semelhantes contra a China na proteção de informações pessoais, a China poderá tomar medidas recíprocas contra esse país ou região de acordo com a situação real. (Artigo 43)

7. Que tipo de informação o PIPA da China regulamenta?

Informações pessoais. Se as informações puderem ser identificadas como relacionadas a uma pessoa física específica, trata-se de informações pessoais. (Artigo 4)

8. Que tipo de atividades o PIPA da China regulamenta?

O tratamento de informações pessoais inclui coleta, restauração, uso, processo, transmissão, fornecimento, divulgação e exclusão de informações pessoais. (Artigo 4)

9. Em que circunstâncias as informações pessoais podem ser processadas?

O processador de informações pessoais pode processar informações pessoais em dois casos: quando o consentimento do indivíduo em questão foi obtido; ou onde o consentimento do indivíduo não é necessário para o processamento das informações.

Casos em que o consentimento individual não é necessário incluem:

(1) O processador de informações pessoais celebra um contrato com uma pessoa física e a coleta de informações pessoais é necessária para a execução de um contrato;

(2) Uma empresa coleta as informações de funcionários necessárias para a gestão de recursos humanos.

(3) As informações pessoais são coletadas para responder a uma emergência de saúde.

(4) Informações pessoais são coletadas para cobertura da imprensa para o interesse público.

(5) Informações pessoais que foram tornadas públicas (limitadas a um propósito específico).

10. Como um processador de informações pessoais obtém o consentimento de um indivíduo?

Antes de lidar com informações pessoais, o processador de informações pessoais deve informar ao indivíduo as seguintes informações de forma fiel, precisa e completa, de maneira proeminente e em linguagem clara e compreensível:

(1) A identidade do processador de informações pessoais.

(2) Como as informações pessoais serão processadas.

(3) Como o indivíduo exercerá seus direitos em relação às informações pessoais.

11. Quais são os direitos de um indivíduo em relação às suas informações pessoais?

Os indivíduos têm o direito de saber e decidir sobre o tratamento de suas informações pessoais. (Artigo 44)

Para ser específico,

(1) Os indivíduos têm o direito de inspecionar e copiar suas informações pessoais da pessoa que manipula suas informações pessoais; (Artigo 45)

(2) Os indivíduos têm o direito de solicitar ao processador de informações pessoais para corrigir ou complementar suas informações pessoais se considerarem as informações imprecisas ou incompletas; (Artigo 46)

(3) Os indivíduos têm o direito de retirar seu consentimento a qualquer momento (Artigo 15)

(4) Os indivíduos têm o direito de solicitar ao processador de informações pessoais que explique e esclareça as regras de tratamento de suas informações pessoais. (Artigo 48)

12. Como os órgãos estaduais lidam com as informações pessoais?

Órgãos do Estado podem lidar com informações pessoais para fins de cumprimento de seus deveres legais, mas devem fazê-lo de acordo com a autoridade e os procedimentos legais. (Artigo 34)

Os órgãos do Estado devem informar os indivíduos sobre o manuseio de suas informações pessoais. No entanto, os órgãos estaduais não podem informar os indivíduos se a lei estabelecer que tal tratamento deve ser mantido em sigilo. (Artigo 35, Artigo 18)

13. Os processadores de informações pessoais podem coletar informações pessoais em locais públicos?

Sim, podem, desde que sejam cumpridos os seguintes requisitos (Artigo 26):

(1) a cobrança é necessária para a segurança pública;

(2) a cobrança está em conformidade com as disposições legais relevantes;

(3) a coleção estabelece um lembrete proeminente.

14. Um processador de informações pessoais pode usar informações pessoais para tomar decisões de negócios?

Sim, mas devem garantir a transparência da decisão e a justiça e imparcialidade dos resultados. (Artigo 24)

Para ser específico:

(1) Os processadores de informações pessoais não devem oferecer condições de negociação personalizadas a indivíduos, como discriminação de preço.

(2) Os indivíduos podem recusar o envio de informações personalizadas e o marketing comercial de processadores de informações pessoais para eles.

(3) Indivíduos podem recusar decisões automatizadas feitas por processadores de informações pessoais para eles.

15. quem é a autoridade reguladora para proteção de informações pessoais na China?