Сайт использует файлы cookies. Используя сайт, вы предоставляете согласие на использование файлов Cookies

Хорошо

Согласие на обработку файлов cookies

1. Настоящее согласие на обработку файлов cookies (далее по тексту – Согласие) выражает согласие пользователя информационно-телекоммуникационной сети «Интернет» (далее по тексту – Пользователь) на автоматизированную обработку персональных данных, собираемых с помощью метрических программ на сайте, расположенном по адресу https://rclaw.org/ (далее по тексту – Сайт), ООО "РКЮЦ" (ОГРН: 1247700793801, ИНН: 9729391165, адрес: 119192, г. Москва, ул. Мосфильмовская, д. 74Б, оф. 401; тел: +7 (495) 357-03-73; e-mail: info@rclaw.org) (далее по тексту – Оператор).

2. Согласие распространяется на технические файлы cookies, позволяющие определять аппаратное и программное устройство Пользователя, а также аналитические файлы cookies, позволяющие отслеживать действия Пользователя на Сайте. Аналитические файлы cookies собираются с помощью сервисов: Яндекс.Метрика.

3. Данные, собираемые с помощью метрических программ, используются Оператором с целью улучшения работы Сайта, в частности сохранения настроек Пользователя, исправления ошибок и т.д., что позволяет обеспечить более удобное оставление заявок на Сайте.

4. Пользователь разрешает Исполнителю производить автоматизированную обработку данных, собираемых с помощью метрических программ, в следующих формах: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, блокирование, удаление, уничтожение.

5. Согласие действует с даты его предоставления до момента достижения цели обработки персональных данных. Пользователь вправе отозвать Согласие на обработку персональных данных, письменно уведомив об этом Оператора.

Закон о защите личной информации (PIPL) в КНР: что нужно знать российскому бизнесу

1 ноября 2021 года в Китае вступил в силу Закон о защите личной информации (Personal Information Protection Law — PIPL). Это первый всеобъемлющий закон Китая в сфере защиты персональных данных, который многие эксперты сравнивают с европейским GDPR. Но в отличие от GDPR, у PIPL есть важная особенность: он применяется ко всем компаниям, которые собирают и обрабатывают персональные данные граждан Китая, независимо от того, где зарегистрирован сам бизнес.

Для российских компаний, работающих с китайскими клиентами, поставщиками или партнёрами, это означает: если вы обрабатываете данные китайских граждан — вы обязаны соблюдать PIPL. Иначе штрафы могут достигать 50 миллионов юаней или 5% годового оборота. В этой статье разбираем ключевые требования PIPL, порядок трансграничной передачи данных и практические шаги для соблюдения закона.

Что такое PIPL и чем он отличается от GDPR

PIPL — это закон, который регулирует обработку персональных данных на территории Китая. Он устанавливает правила сбора, хранения, использования и передачи данных, а также определяет права субъектов данных и обязанности их обработчиков.

Ключевые отличия от GDPR:

Экстерриториальное действие. PIPL применяется к компаниям за пределами Китая, если они обрабатывают данные китайских граждан. Это означает, что российская компания с китайскими клиентами должна соблюдать требования закона, даже если у неё нет офиса в КНР.
Обязательное согласие. В отличие от GDPR, PIPL не содержит понятия «законный интерес» как основания для обработки данных без согласия. Согласие должно быть явным, информированным и свободным — его нельзя «протащить» через мелкий шрифт в пользовательском соглашении.
Оценка воздействия. PIPL требует проведения оценки воздействия на защиту персональных данных в ряде случаев: при обработке чувствительных данных, автоматизированном принятии решений, передаче данных третьим лицам или за рубеж.

Какие компании обязаны соблюдать PIPL

PIPL применяется ко всем организациям, которые обрабатывают персональные данные граждан Китая, независимо от места регистрации бизнеса.

Критерии, при которых PIPL обязателен:

Вы собираете данные через сайт или мобильное приложение, доступное в Китае
У вас есть офис или представительство в Китае
Вы работаете с китайскими поставщиками или клиентами и получаете их персональные данные
Вы передаёте данные китайских граждан за пределы КНР

По опыту работы, российские компании чаще всего попадают под PIPL через сайты с китайской аудиторией или через HR-данные сотрудников в китайских подразделениях. В 2026 году правительство Китая объявило о серии специализированных проверок в сфере защиты персональных данных, охватывающих приложения, интернет-рекламу, образование, транспорт, здравоохранение и финансовые услуги.

Требования к сбору и обработке персональных данных

PIPL устанавливает строгие правила сбора и обработки персональных данных. Основные требования:

1. Информированное согласие. Компания должна чётко объяснить пользователю, какие данные собираются, для каких целей и как они будут использоваться. Каждая цель сбора данных требует отдельного согласия. Согласие должно быть легко отозвать в любой момент.

2. Минимизация данных. Компания может собирать только те данные, которые минимально необходимы для заявленной цели обработки.

3. Уведомление об утечках. В случае утечки персональных данных компания обязана немедленно уведомить регулирующие органы. В отличие от GDPR, PIPL не устанавливает конкретного срока для уведомления, но требует незамедлительной реакции.

4. Назначение ответственного за защиту данных. Крупные компании, обрабатывающие значительные объёмы данных, обязаны назначить ответственное лицо и сообщить его контактные данные регулирующим органам.

5. Проведение регулярных аудитов. PIPL требует регулярных проверок соответствия требованиям защиты данных. Для компаний, обрабатывающих данные более 10 миллионов человек, аудит должен проводиться не реже одного раза в два года.

По опыту работы с клиентами, самое сложное для российских компаний — организовать процесс получения и учёта согласий на китайском языке в соответствии с требованиями местных регуляторов. Для оценки правовых рисков до внедрения таких процессов имеет смысл провести юридический аудит и получить консультацию по китайскому законодательству.

Обработка конфиденциальной личной информации

Конфиденциальная личная информация в Китае — это личная информация, которая в случае ее утечки или незаконного использования может нанести вред личности: биометрические данные, генетическая информация, медицинские записи, финансовые данные, а также информация о несовершеннолетних.
Особые требования для конфиденциальной личной информации:

Требуется отдельное, явное согласие субъекта данных
Компания должна подробно объяснить, почему сбор этих данных необходим и какие могут быть последствия для пользователя
Требуется проведение оценки воздействия на защиту данных
Передача конфиденциальной личной информации за рубеж подлежит более строгому контролю

В 2026 году Управление по вопросам киберпространства Китая выпустило разъяснения по аудиту обработки персональных данных несовершеннолетних. Любой обработчик данных, который потенциально может обрабатывать данные лиц младше 18 лет, обязан проводить ежегодный аудит, независимо от того, проверяет ли он возраст пользователей.

Трансграничная передача данных: три основных механизма

Передача персональных данных за пределы Китая — один из самых сложных аспектов PIPL. Закон устанавливает три легальных механизма для экспорта данных.

Механизм 1. Оценка безопасности CAC

Обязательна для:

Операторов критической информационной инфраструктуры
Компаний, передающих данные более 1 миллиона человек
Компаний, передающих чувствительные данные более 10 000 человек

Порядок: подача заявки в Управление по вопросам киберпространства Китая (CAC). Решение принимается в течение 20 рабочих дней, с возможностью продления в сложных случаях. Заявление на продление подаётся минимум за 60 рабочих дней до истечения срока действия текущей оценки. Проводятся онлайн- и офлайн-проверки документов.

Механизм 2. Стандартный договор

Подходит для компаний, не достигающих пороговых значений для обязательной оценки CAC. Требует подписания договора с получателем данных за рубежом и уведомления локального отделения CAC. Важное ограничение: зарубежный получатель должен подписать договор, что не всегда возможно (например, если это госорган или крупный клиент).

Механизм 3. Сертификация защиты персональных данных

С 1 января 2026 года действуют новые «Меры по сертификации трансграничной передачи персональных данных». Этот механизм подходит для внутригрупповых трансферов, когда данные передаются между несколькими офисами или подразделениями одной компании.

Требования для сертификации:

Компания не является оператором критической информационной инфраструктуры
Объём данных: более 100 000, но менее 1 миллиона человек (или менее 10 000 по чувствительным данным)
Передаваемые данные не содержат «важных данных»

Негативный список Шанхая: упрощение для отдельных отраслей

С мая 2026 года Шанхай распространил действие системы «негативного списка» на весь город. Негативный список определяет, какие типы данных требуют специальных процедур для трансграничной передачи.

Если данные не входят в негативный список, их можно передавать за границу без проверки безопасности, подписания стандартных договоров или получения дополнительной сертификации.

Отрасли, охваченные негативным списком Шанхая:

Финансы
Судоходство
Торговля и коммерция
Метеорология

Список включает 9 сценариев применения, 29 подкатегорий данных и 109 конкретных типов данных. Город уже собрал негативные списки из девяти других регионов Китая, охватывающие 22 отрасли, включая автомобилестроение, фармацевтику и гражданскую авиацию.

Упрощённый режим для малых компаний

В апреле 2026 года Управление по вопросам киберпространства Китая опубликовал проект правил упрощённой защиты персональных данных для малых компаний.

Кто qualifies: компании (включая предприятия с иностранными инвестициями), которые обрабатывают данные менее 100 000 человек.

Ключевые послабления:

Упрощённые требования к прозрачности и получению согласия
Более мягкий режим штрафов: без значительных санкций при первых незначительных нарушениях, если они исправлены своевременно
Снижение административной нагрузки

Однако малые компании по-прежнему обязаны соблюдать базовые требования PIPL. Правила пока находятся в стадии проекта (сбор общественных комментариев до 3 мая 2026 года).

Штрафы и ответственность за нарушение PIPL

Нарушение PIPL влечёт серьёзные финансовые и репутационные последствия:

Штрафы:

До 50 миллионов юаней (около 500 миллионов рублей)
Или 5% годового оборота компании за предыдущий финансовый год

Другие санкции:

Приостановка деятельности, связанной с обработкой данных
Конфискация незаконно полученных доходов
Личные штрафы для ответственных лиц (до 1 миллиона юаней)

По опыту работы, даже если вы уверены, что не подпадаете под PIPL, лучше провести аудит правовых рисков. Примеры штрафов крупных компаний показывают, что регуляторы активно следят за соблюдением закона, особенно после объявления серии специализированных проверок в 2026 году.

Как Российско-Китайский юридический центр помогает с PIPL

Соблюдение PIPL — сложный процесс, требующий глубокого понимания китайского законодательства и практики правоприменения. Компания Российско-Китайский юридический центр предлагает комплексное сопровождение по вопросам защиты персональных данных в КНР:

Аудит соответствия PIPL. Проверяем ваши процессы сбора, хранения и передачи персональных данных на соответствие требованиям китайского законодательства.
Разработка политик и согласий. Помогаем подготовить необходимые юридические документы, внутренние политики, формы согласий и уведомления для пользователей на китайском языке.
Настройка трансграничной передачи данных. Консультируем по выбору подходящего механизма экспорта данных, готовим необходимые документы.
Сопровождение проверок. Оказываем защиту интересов компании при проверках, представляем интересы при взаимодействии с регулирующими органами.
Обучение персонала. Проводим обучение для сотрудников, работающих с персональными данными, о требованиях PIPL и практических мерах по их соблюдению.

Если ваш бизнес работает с данными граждан Китая или планирует выход на китайский рынок — оставьте заявку на юридическую консультацию по законодательству Китая. Мы поможем выстроить устойчивую систему защиты персональных данных, соответствующую требованиям PIPL.

Вывод

PIPL — это не просто очередной регуляторный акт, а фундаментальное изменение правил работы с данными в Китае. Для российского бизнеса это означает: если вы обрабатываете данные китайских граждан, вы обязаны соблюдать требования закона, независимо от места регистрации вашей компании.

Ключевые выводы:

PIPL применяется экстерриториально — даже российская компания без офиса в Китае обязана соблюдать закон, если обрабатывает данные китайских граждан
Согласие на обработку данных должно быть явным, информированным и свободным — каждая цель сбора требует отдельного согласия
Трансграничная передача данных возможна только через один из трёх механизмов: оценка CAC, стандартный договор или сертификация
Штрафы за нарушение достигают 50 миллионов юаней или 5% годового оборота
Негативные списки и упрощённые режимы для малых компаний создают возможности для снижения нагрузки на бизнес

Компания Российско-Китайский юридический центр помогает предпринимателям разобраться в требованиях PIPL и выстроить систему защиты персональных данных, соответствующую китайскому законодательству.