Negli ultimi anni, la disciplina della data governance in Cina ha assunto una crescente rilevanza per le imprese multinazionali, chiamate ad operare all’interno di un quadro normativo complesso e in continua evoluzione. Con l’obiettivo di fornire chiarimenti interpretativi di carattere operativo, la Cyberspace Administration of China (la “CAC”) ha recentemente pubblicato una serie di FAQ in materia di trasferimenti transfrontalieri di dati personali (disponibili qui, in lingua cinese), con particolare riferimento ai meccanismi di trasferimento previsti dalla Personal Information Protection Law (“PIPL”): la procedura di security assessment, la stipulazione di contratti standard e i processi di certificazione. Pur non costituendo fonti normative vincolanti, tali FAQ rappresentano un utile strumento operativo per le imprese – sia cinesi che estere – che effettuano trattamenti di dati personali nel territorio della Repubblica Popolare Cinese. Il documento contribuisce a delineare un quadro più prevedibile, pur nel rispetto della rigorosa impostazione normativa cinese, introducendo elementi di semplificazione e opportunità per un approccio alla conformità più efficace ed efficiente. Tra i diversi chiarimenti offerti, particolare rilievo assumono quelli concernenti la definizione e la disciplina applicabile ai cosiddetti general data, nonché il trattamento dei dati importanti e le misure di semplificazione procedurale, con specifico riferimento alle Free Trade Zone (FTZ)[1]. Queste categorie si collocano infatti alla base delle valutazioni preliminari che le imprese devono effettuare per stabilire se, e in che misura, i meccanismi di trasferimento transfrontaliero debbano essere attivati. General data: quando i dati possono circolare liberamente Una delle novità di maggiore interesse concerne la possibilità per i cosiddetti general data – ovvero dati che non rientrano nella nozione di dati personali né in quella di dati importanti[2] – di essere trasferiti al di fuori del territorio cinese in assenza delle misure restrittive applicabili ad altre categorie di dati (quali i summenzionati meccanismi, come previsti dalla PIPL). Sebbene il quadro normativo cinese (inclusi la Cybersecurity Law, la Data Security Law e la PIPL) non definisca puntualmente la categoria dei general data, la prassi regolatoria – in particolare lo standard GB/T 43697-2024 – considera tali dati come residuali rispetto a quelli personali e importanti. Tale specificazione contribuirebbe ad eliminare le aree interpretative ambigue e consentirebbe agli operatori economici di valutare con maggiore certezza giuridica i rispettivi flussi informativi, facilitando l’identificazione di eventuali obblighi in materia di trasferimento. Il principio viene ulteriormente articolato nel contesto delle FTZ, dove la distinzione tra positive list e negative list introduce una gestione più mirata sulla disciplina sui flussi. In particolare: Questa impostazione si rifletterebbe, peraltro, direttamente sul principio di necessità, su cui si fonda la liceità del trasferimento transfrontaliero nel caso di dati personali. Il principio di necessità del trasferimento cross-border Proseguendo nel solco della distinzione tra categorie di dati, le FAQ confermano, infatti, che il trasferimento cross-border di dati personali è subordinato, ai sensi della PIPL, al principio di necessità del trattamento. Tale principio costituisce il presupposto sostanziale per attivare qualsiasi meccanismo previsto dalla normativa cinese. In questo contesto, il documento chiarisce che, sia nell’ambito del self-assessment sia del successivo security assessment condotto dalla CAC, occorrerà valutare i seguenti criteri: Tali criteri, che troverebbero fondamento negli articoli 6[3] e 19[4] della PIPL, imporrebbero una valutazione ex ante, strutturata e documentata, con l’obiettivo di dimostrare la proporzionalità del trattamento, lungo l’intero ciclo di vita del trattamento. Queste condizioni assumerebbero maggiore rilievo in caso di dati importanti: categoria che la CAC affronta separatamente e con maggiore rigore. Le FAQ dedicano, infatti, una specifica sezione ai dati importanti, la cui classificazione comporta necessariamente l’adozione del meccanismo del security assessment. Seppur le FAQ trattino anche i dati importanti, permane, allo stato, l’assenza di un elenco ufficiale, esaustivo e pubblicamente accessibile dei dati che rientrano in tale definizione. In assenza di tale elenco, le FAQ chiariscono che, qualora un titolare del trattamento dichiari proattivamente la tipologia di dati trattati e questi non vengano formalmente qualificati come dati importanti dall’Autorità competente, l’obbligo di attivazione del security assessment non troverà applicazione. Ciò evidenzia un potenziale margine di flessibilità per le imprese, che potranno modulare le proprie strategie di compliance in funzione del grado di rischio effettivo e della trasparenza nei confronti delle Autorità. Meccanismi di semplificazione e riduzione degli oneri per le multinazionali In coerenza con l’obiettivo di favorire la semplificazione e ridurre il carico amministrativo, le FAQ introducono diverse misure a beneficio delle imprese, in particolare per quelle appartenenti a gruppi multinazionali. Tra queste, si segnala la possibilità per la parent company di presentare un’unica istanza alla CAC per conto delle proprie controllate, sia ai fini del security assessment sia per la stipula dello standard contract, come previsto dalla PIPL. Tale opzione consentirebbe di razionalizzare la documentazione, standardizzare i processi interni e ridurre il rischio di disallineamenti. Tuttavia, le semplificazioni risultano applicabili solo qualora ricorrano i presupposti soggettivi previsti dalla PIPL. Laddove, ad esempio, una singola entità giuridica tratti un volume di dati inferiore alle soglie previste dalle disposizioni normative, il trasferimento potrebbe avvenire senza attivazione degli specifici meccanismi previsti dalla PIPL. Va tuttavia considerato che il consolidamento dei dati trattati da più filiali potrebbe condurre al superamento delle soglie applicabili, generando obblighi ulteriori non originariamente previsti. Infine, le FAQ prevedono che i gruppi che abbiano ottenuto la certificazione possano effettuare trasferimenti intra-gruppo tra diverse giurisdizioni senza necessità di sottoscrivere contratti standard separati per ciascuna entità destinataria. Ciò rappresenterebbe un ulteriore passo verso una compliance scalabile e coerente. In conclusione, le FAQ della CAC sembrerebbero inserirsi in un percorso di progressiva evoluzione del quadro normativo cinese in materia di protezione dei dati personali, volto a bilanciare il controllo sovrano sui dati strategici con l’esigenza di garantire la continuità operativa degli attori economici, anche stranieri. In un contesto globale segnato dalla frammentazione normativa e dalla coesistenza tra modelli regolatori differenti – si pensi al GDPR europeo o al recente AI Act – diventa imprescindibile per le imprese adottare un approccio alla compliance integrato, dinamico e fondato su solide basi documentali e organizzative. Pertanto, non si tratterà unicamente di adempiere a obblighi legali, ma di comprendere a fondo le logiche giuridico-culturali che guidano la regolamentazione locale. Solo così sarà possibile operare in modo conforme, efficace e competitivo in uno scenario globale sempre più interconnesso e data-driven. [1] Le Free Trade Zone (FTZ) cinesi sono aree geografiche delimitate all’interno del territorio cinese (ad es. Shanghai, Guangdong, Zhejiang, Tianjin, etc.), ognuna con caratteristiche mirate in base alla posizione geografica e alle priorità economiche locali, in cui vengono adottate politiche economiche e normative più semplificate e favorevoli rispetto al resto del Paese. L’obiettivo principale delle Autorità cinesi è quello di attrarre investimenti stranieri, promuovere il commercio internazionale e sperimentare riforme economiche che, se efficaci, verranno in seguito essere estese ad altre parti della Cina. [2] L’art. 19 delle Measures for Security Assessment of Data Exports (in cinese "数据出境安全评估办法"), pubblicate in data 7 luglio 2022 e in vigore dal 1° settembre 2022, specificano che per dati "importanti" ("重要数据") si intendono tutte quelle informazioni che, una volta manomesse, danneggiate, distrutte, trapelate o ottenute o utilizzate illegalmente, possono mettere in pericolo la sicurezza nazionale, il funzionamento economico, la stabilità sociale, la salute e la sicurezza pubblica, etc. [3] Articolo 6 della PIPL – Il trattamento dei dati personali deve avvenire per uno scopo definito e ragionevole e deve essere direttamente correlato a detto scopo, applicando una modalità che abbia il minor impatto sui diritti e le libertà degli interessati. La raccolta dei dati personali deve essere limitata allo stretto necessario rispetto alla realizzazione dello scopo del trattamento; non è ammessa una raccolta eccessiva di dati personali. [4] Articolo 19 della PIPL – Salvo quanto diversamente previsto da leggi e regolamenti amministrativi, il periodo di conservazione dei dati personali deve essere limitato al tempo strettamente necessario per il conseguimento delle finalità del trattamento.
