La Ley de Protección de la Información Personal de la República Popular China (en chino: 《中华人民共和国个人信息保护法》; abreviada: Ley de Protección de la Información Personal, en inglés: Personal Information Protection Law of the People's Republic of China, abreviatura en inglés: PIPL) es una ley de la República Popular China. Fue aprobada el 20 de agosto de 2021 en la trigésima sesión del Comité Permanente de la XIII Asamblea Popular Nacional y entró en vigor el 1 de noviembre de 2021. La ley establece la protección de los derechos e intereses relativos a la información personal, regula las actividades de tratamiento de información personal y promueve el uso razonable de dicha información. También aborda la transferencia de datos personales fuera de China. En su elaboración legislativa, la «Ley de Protección de la Información Personal» tomó como referencia el Reglamento General de Protección de Datos de la Unión Europea.
Historia El 20 de diciembre de 2018, la Comisión de Asuntos Legislativos del Comité Permanente de la Asamblea Popular Nacional anunció que la Ley de Protección de la Información Personal se incluiría en el plan legislativo del propio Comité Permanente.
El 17 de agosto de 2021, en la trigésima reunión del Comité Permanente de la XIII Asamblea Popular Nacional, se examinó por tercera vez el proyecto de la Ley de Protección de la Información Personal.
Disposiciones La Ley de Protección de la Información Personal consta de 8 capítulos y 73 artículos, que abarcan las normas de tratamiento de datos, el uso de datos por parte de las autoridades públicas, las transferencias transfronterizas, los derechos de las personas, las obligaciones de los responsables del tratamiento, los órganos de supervisión, la responsabilidad legal y otras disposiciones complementarias.
Ámbito de aplicación En general, la PIPL se aplica a todas las organizaciones y entidades que llevan a cabo actividades de tratamiento de información personal en el territorio de la República Popular China.
Jurisdicción extraterritorial
Temas clave La privacidad, el control y el consentimiento de las personas son temas constantes a lo largo de toda la ley, que recoge una serie de principios clave, entre ellos:
Información personal : Define la información sensible, incluyendo la información personal. Base jurídica: toda recogida de datos debe apoyarse en una base legal. Consentimiento: A diferencia del RGPD, el consentimiento es necesario para todo tipo de actividad de tratamiento de datos, especialmente cuando se transfieren datos personales al extranjero. Datos sensibles: La Ley de Protección de Datos Personales estipula que ciertos tipos de información personal son sensibles y proporciona una lista abierta de ejemplos, que incluye datos biométricos, creencias religiosas, identidades específicas, información médica y sanitaria, cuentas financieras, paradero e información personal de menores de catorce años. Protección infantil: Toda la información personal de menores de 14 años se considera información sensible. Se estipula que los responsables del tratamiento de datos personales deben obtener el consentimiento de los padres o tutores del menor antes de tratar dicha información y deben establecer normas específicas para el tratamiento de datos personales. Derechos individuales: La Ley de Protección de Datos Personales otorga a los individuos varios derechos clave sobre su información. Obligaciones de los encargados del tratamiento de datos personales: Las leyes de protección de datos personales estipulan diversas obligaciones para todas las partes en relación con la recopilación, transferencia y tratamiento de datos personales. Uso gubernamental de la información personal: Las leyes de protección de datos personales estipulan cuándo y cómo las agencias gubernamentales recopilan y procesan datos personales. Transferencias fuera de China: Existen restricciones específicas para la transferencia de datos personales fuera de China. Responsabilidad legal: La normativa estipula sanciones por violaciones de la Ley de Protección de Datos Personales.
Definiciones La Ley de Protección de la Información Personal define varios conceptos, entre ellos:
Información personal: cualquier tipo de información, registrada por medios electrónicos u otros, relacionada con una persona física identificada o identificable, excluida la información que haya sido sometida a un proceso de anonimización. Información personal sensible: La información personal sensible es aquella que, una vez filtrada o utilizada ilegalmente, puede atentar contra la dignidad personal de una persona o poner en peligro su seguridad personal o patrimonial. Esto incluye información como datos biométricos, creencias religiosas, identidades específicas, información médica y sanitaria, cuentas financieras y paradero, así como información personal de menores de catorce años. Individuo: La persona cuyos datos personales se recopilan y procesan. Procesador de información personal: se refiere a una organización o individuo que decide de forma independiente el propósito y el método de procesamiento de información personal en sus actividades de procesamiento. Fideicomisario: Entidad externa a la que un procesador de información personal confía el tratamiento de dicha información; esencialmente, se trata de un tercero. Tratamiento de datos personales: El tratamiento de datos personales incluye la recopilación, el almacenamiento, el uso, el procesamiento, la transmisión, la cesión, la divulgación y la supresión de datos personales. La toma de decisiones automatizada se refiere a la actividad de analizar y evaluar automáticamente los hábitos de comportamiento, intereses o situación económica, de salud y crediticia de un individuo mediante programas informáticos, y luego tomar decisiones en consecuencia. La desidentificación se refiere al proceso mediante el cual se procesa la información personal de manera que no pueda identificar a una persona física específica sin información adicional. Anonimización: proceso por el que la información personal se trata de modo que no pueda identificarse a ninguna persona concreta y que no pueda revertirse.
Derechos de las personas De acuerdo con la Ley de Protección de la Información Personal, las personas disponen de varios derechos específicos sobre sus datos, entre ellos:
Comprender y decidir : Las personas pueden negarse y restringir cómo se procesan sus datos. Acceso y copia : Las personas tienen derecho a acceder y copiar su información personal de los procesadores de información personal. Corrección o Complemento : Las personas que consideren que su información personal es inexacta o incompleta tienen derecho a solicitar al responsable del tratamiento de datos personales que la corrija o la complemente. Derecho al olvido : Las personas tienen derecho a solicitar que los encargados del tratamiento de datos personales eliminen su información personal y derecho a retirar su consentimiento a la política de privacidad. Derecho a la información: la persona puede exigir al responsable que le explique las normas y políticas aplicables al tratamiento de sus datos personales. Portabilidad de los datos: la persona tiene derecho a solicitar la transferencia de su información personal a otro responsable que ella misma designe.
Toma de decisiones automatizada La ley establece normas concretas para el uso de decisiones totalmente automatizadas. Los individuos tienen el derecho de negarse a ellas, por ejemplo desactivando recomendaciones de producto. Además, impone que los responsables garanticen “la transparencia del proceso decisorio y la equidad e imparcialidad del resultado”, y prohíbe que a través de esas decisiones se aplique un trato desigual injustificado en condiciones de transacción como el precio. Cuando una compañía use métodos de decisión automatizada para entregar bienes o servicios, también debe ofrecer al individuo la opción de no basarse en sus características personales o un medio sencillo para rechazar esa lógica. En los casos en los que la decisión automatizada tenga un efecto importante sobre los derechos o intereses del individuo, éste podrá exigir al responsable una explicación o rechazar que la decisión se tome únicamente mediante automatización.
Reconocimiento facial La PIPL regula específicamente el uso del reconocimiento facial en espacios públicos. Indica que la instalación de equipos de recopilación de imágenes o de reconocimiento de identidad en lugares públicos debe realizarse «cuando sea requerido para la seguridad pública» y se deben instalar señales claras. Las imágenes recogidas —y cualquier dato de identidad personal— sólo podrán usarse para salvaguardar la seguridad pública; no podrá emplearse para otros fines sin consentimiento independiente de cada persona.
Obligaciones de los responsables del tratamiento Los responsables del tratamiento de información personal tienen atribuidas obligaciones específicas, entre ellas: formular estructuras internas de gestión y reglas operativas; aplicar una gestión categorizada de datos personales; adoptar medidas técnicas de seguridad como cifrado o desidentificación; establecer límites operativos razonables para el tratamiento; y formar regularmente a sus empleados en materia de seguridad. Asimismo, todos los responsables «deben realizar auditorías periódicas de su manejo de información personal y su cumplimiento de la normativa». Además, en ciertos casos, deben nombrar oficiales de protección de información personal, responsables de supervisar las actividades de manejo de datos y de las medidas de protección adoptadas. También tienen la obligación de someterse a evaluaciones de impacto cuando manejan datos sensibles, aplican decisiones automatizadas o transfieren datos al extranjero.
Véase también Reglamento General de Protección de Datos de la UE (RGPD)
Referencias
China Categoría:Derecho en 2021 Datos China