La nuova legge cinese sul trattamento dei dati: una porta spalancata verso l’Europa?

Dopo una lunga “gestazione”, è stata finalmente approvata la “Personal Information Protection Law” (PIPL), la nuova legge cinese in materia di protezione dei dati personali, in vigore dal 1° novembre 2021.

L’ordinamento cinese, con una scelta fondamentale in un’economia globalizzata, ha deciso di seguire le tracce dell’Unione europea, andando a ricalcare molte delle disposizioni presenti nel GDPR.

Innanzi tutto, l’ambito di applicazione della nuova normativa, che abbraccia tre casistiche principali: a) le attività di trattamento svolte nel territorio cinese; b) la fornitura di prodotti o servizi ai cittadini cinesi oppure l’analisi dei loro comportamenti; c) tutti gli altri casi previsti dalle leggi speciali nazionali.

Nel caso in cui un soggetto stabilito fuori dal territorio cinese tratti dati personali che rientrano nel perimetro del PIPL, allora, ai sensi dell’articolo 53, sarà tenuto ad avere uno stabilimento in Cina o a designare un rappresentante, segnalando il ​​nome e le informazioni di contatto di quest’ultimo all’autorità competente. Così come il GDPR, l’art. 72 PIPL specifica che la nuova legge non trova applicazione ai trattamenti dei dati personali effettuati da persone fisiche per ragioni personali o domestiche.

Allo stesso modo, la PIPL segue la bipartizione tra titolare e responsabile, individuando le figure relative sullo schema tracciato dal Regolamento europeo: il titolare, quindi, è colui che decide finalità e mezzi del trattamento, il responsabile, invece, è colui che agisce, all’interno di un modello assimilabile ad un rapporto di mandato, seguendo le istruzioni del titolare.

Forti analogie si rinvengono anche nelle informazioni – assimilabili a quelle elencate dall’art. 13 GDPR – che devono essere fornite al soggetto interessato al momento della raccolta dei dati.

Simili sono i riferimenti ai dati relativi a credenze religiose e stato di salute, mentre, all’interno della categoria, al contrario di quanto avviene nel modello giuridico europeo, ricadono anche i dati di natura finanziaria e, in generale, sullo stato patrimoniale di un soggetto. Con una previsione rilevante, considerando le polemiche recenti che avevano interessato il governo cinese, sono ritenuti dati sensibili anche le informazioni di natura biometrica. Inoltre, anche i dati relativi ai minori di anni quattordici sono tutelati in forma rafforzata, come le informazioni sulla geolocalizzazione dei soggetti interessati.

Una sotto-categoria piuttosto ampia di dati sensibili è quella che concerne le informazioni che possono causare, in caso di divulgazione illecita, danno alla dignità delle persone, alla sicurezza nazionale o alla proprietà: una definizione forse eccessivamente vasta, che rispecchia un rapporto ancora sbilanciato tra individui e potere politico.

Infine, le diverse basi giuridiche che legittimano il trattamento dei dati rispecchiano, talvolta molto fedelmente, quelle enumerate dal GDPR. Innanzi tutto, il consenso che, in maniera identica a quanto accade in Europa, deve essere libero, specifico e revocabile, così come sancito dall’art. 14 PIPL. Tale consenso – e si tratta di un’ulteriore analogia con quanto disciplinato dal GDPR – non è necessario qualora i dati siano necessari per la conclusione o l’esecuzione di un contratto oppure per adempiere ad un obbligo previsto dalla normativa. Similitudini possono essere ritrovate nella fattispecie che legittima il trattamento dei dati in caso di emergenza sanitaria pubblica o per proteggere la vita, la salute o la proprietà di una persona fisica, sempre nell’ipotesi di emergenza sanitaria.

Un caso a sé, che non è dato rinvenire nella legislazione comunitaria, è quello che interessa il trattamento per motivi di cronaca, per motivi di natura politica, o comunque per uno scopo di interesse pubblico. Infine, come clausola generale, è sancita la liceità nel trattamento dei dati laddove previsto espressamente dalla legislazione nazionale.

Di là dall’analisi delle singole disposizioni, è sicuramente importante che l’ordinamento cinese abbia optato per un rinforzamento delle garanzie offerte ai propri cittadini, imitando molte delle previsioni – anche in relazione, ad esempio, ai diritti riconosciuti ai soggetti interessati – già previste dal GDPR. In questo modo, si apre la strada anche ad una possibile decisione di adeguatezza da parte della Commissione nei confronti della Cina, che potrebbe semplificare sensibilmente il traffico transfrontaliero dei dati.

Una traduzione in inglese del testo approvato è disponibile qui.

Giovanni Maria Riccio