Etiquetas de integridad: Política oficial / Datos de aplicación y seguimiento / Perspectiva externa / Alternativa actual de gobernanza del FCM
La cuestión de política pública
La Ley de Protección de la Información Personal de China (Personal Information Protection Law, PIPL), adoptada por el Comité Permanente de la Asamblea Popular Nacional el 20 de agosto de 2021 y en vigor desde el 1 de noviembre de 2021, otorga a las personas derechos exigibles sobre cómo las empresas recaban y utilizan sus datos personales: consentimiento, limitación de finalidad y derechos a saber, a suprimir y a la portabilidad. Junto con la Ley de Ciberseguridad (2017) y la Ley de Seguridad de Datos (en vigor desde el 1 de septiembre de 2021), forma uno de los marcos de regulación de datos más estrictos del mundo para los actores comerciales. La cuestión de gobernanza es si los ciudadanos comunes gozan de una protección equivalente frente a la recogida excesiva de datos por parte de las agencias estatales, y si la aplicación es lo bastante transparente y coherente como para dar a la ley un significado predecible.
Lo que la política hace bien
La ley es genuinamente protectora del consumidor sobre el papel, y eso merece un reconocimiento justo. Su modelo basado en el consentimiento, su prohibición explícita de la recogida «excesiva» más allá del mínimo necesario, sus normas sobre información sensible (biometría, salud, datos financieros y de menores), su alcance extraterritorial sobre el tratamiento en el extranjero de los datos de los residentes de China, y sus vías para las transferencias transfronterizas de datos —evaluación de seguridad, contrato tipo, certificación— son equiparables a marcos comparables y en algunos aspectos los superan. Las Disposiciones de marzo de 2024 de la Administración del Ciberespacio de China (CAC) sobre la promoción y regulación de los flujos transfronterizos de datos también mostraron aprendizaje regulatorio: elevaron los umbrales de volumen (un millón de personas para la evaluación de seguridad obligatoria; de 100 000 a un millón para la vía del contrato tipo), eximieron los datos comerciales ordinarios y académicos que no contienen datos personales ni datos importantes, y otorgaron a las zonas de libre comercio discreción mediante lista negativa, aliviando el cumplimiento para las pequeñas y medianas empresas.
Lo que muestran los datos
La aplicación es real pero concentrada y opaca. El caso emblemático sigue siendo la sanción impuesta el 21 de julio de 2022 por la CAC a Didi Global: 8 026 millones de yuanes contra la empresa y 1 millón de yuanes a cada uno contra su presidente y su director general, tras constatarse 16 categorías de infracciones, incluida la recogida excesiva de datos de reconocimiento facial, contenidos del portapapeles, capturas de pantalla del álbum de fotos y números de identidad de conductores almacenados en texto plano. Desde entonces, los reguladores de aplicaciones han ordenado la retirada o rectificación de lotes de aplicaciones por violaciones de la privacidad —según análisis jurídicos, al parecer 106 aplicaciones en los días siguientes a la entrada en vigor de la ley—. Estos datos no constituyen una encuesta nacional representativa del cumplimiento empresarial y no deben utilizarse para afirmar una tasa nacional de infracciones; son evidencia de una aplicación selectiva y de alto perfil, no de una supervisión sistemática.
La asimetría estructural está escrita en la propia arquitectura. La PIPL dedica un capítulo específico al tratamiento por parte de los órganos estatales, pero la recogida estatal de datos opera a través de regímenes paralelos de seguridad nacional —revisión de ciberseguridad, revisión de seguridad de datos— cuyos alcances y resultados rara vez se publican. El límite de los «datos importantes» lo fijan las autoridades caso por caso, en lugar de mediante un catálogo publicado. No existe un registro público consolidado de decisiones de aplicación, por lo que los ciudadanos y las empresas no pueden ver fácilmente cómo se aplican las normas en la práctica.
El historial del FCM
Aún no se ha verificado ninguna posición contemporánea del Movimiento por una China Libre (FCM) sobre la Ley de Protección de la Información Personal de 2021 ni sobre la Ley de Seguridad de Datos de 2021. Las siguientes recomendaciones constituyen una propuesta de gobernanza actual y no están antedatadas.
La alternativa de gobernanza del FCM
Un sistema de gobernanza de datos de la Tercera República debería proteger a los ciudadanos frente a todos los recolectores excesivos de datos, públicos y privados. En concreto: (1) publicar una definición legal y un catálogo ilustrativo de los «datos importantes», con un proceso de consulta pública antes de las designaciones, en sustitución de las notificaciones administrativas caso por caso. (2) Exigir órdenes judiciales o una autorización independiente equivalente para el acceso estatal a la información personal, con estadísticas agregadas publicadas sobre solicitudes, aprobaciones y denegaciones. (3) Crear un registro público único de aplicación —consultable, anonimizado cuando sea necesario— que consigne cada sanción administrativa, su fundamento jurídico y la medida correctiva ordenada, actualizado trimestralmente por el regulador. (4) Establecer una comisión independiente de protección de datos con autoridad para investigar tanto a los gestores comerciales como a los estatales, que informe anualmente a la legislatura, con facultad para obligar a testificar. (5) Codificar la recogida según el mínimo necesario como un deber vinculante para las agencias estatales, con los mismos derechos de supresión y acceso que las personas tienen frente a las empresas.
Cómo medir el éxito
- Número y valor de las decisiones de aplicación publicadas por año, desglosados por sector y tipo de infracción.
- Proporción de evaluaciones de transferencias transfronterizas de datos completadas dentro de los plazos legales; motivos de denegación publicados.
- Quejas ciudadanas presentadas y resueltas, con tiempos de resolución publicados.
- Estadísticas agregadas sobre solicitudes estatales de acceso a datos (concedidas, denegadas, recurridas).
- Encuesta independiente sobre el conocimiento de los ciudadanos de sus derechos de supresión, acceso y portabilidad.
Fuentes
- Ley de Protección de la Información Personal (Personal Information Protection Law), adoptada el 20 de agosto de 2021 (texto oficial chino íntegro, APN):
http://www.npc.gov.cn/npc/c30834/202108/a8c4e3672c74491a80b53a172bb753fe.shtml
- Personal Information Protection Law (NPC English translation): http://en.npc.gov.cn.cdurl.cn/2021-12/29/c_694559.htm
- Disposiciones sobre la promoción y regulación de los flujos transfronterizos de datos, Orden n.º 16 de la CAC, 22 de marzo de 2024 (página del documento fuente):
https://www.cac.gov.cn/2024-03/22/c_1712776611775634.htm
- Full English translation of the Provisions: https://appinchina.co/government-documents/provisions-on-promoting-and-regulating-cross-border-data-flows/
- Decisión sancionadora de la CAC contra Didi Global, 21 de julio de 2022 (anuncio):
http://www.cac.gov.cn/2022-07/21/c_1660021534364976.htm
- Analysis of the Didi enforcement decision (Mayer Brown):
Secciones de gobernanza relacionadas: Historical Chinese Policy & Democratic Responses ; Policy Scorecard & Outcomes ; Third Republic Governance Blueprints ; Policy Papers & Governing Alternatives
Idiomas: English · 简体中文 · 繁體中文 · Français · Deutsch · Español