China propone nuevas reglas de privacidad para las grandes plataformas de datos

La Administración del Ciberespacio de China (CAC, por sus siglas en inglés) ha abierto una consulta pública sobre un proyecto de 50 artículos titulado Disposiciones sobre la protección de la información personal por parte de grandes gestores de información personal. Publicado el 7 de agosto de 2026, el texto fusiona dos propuestas anteriores de la CAC y todavía no es una norma en vigor.

El proyecto está dirigido a las organizaciones que procesan información personal a una escala muy grande o cuyas actividades pueden tener efectos relevantes sobre la seguridad nacional, la economía, la sociedad, la salud pública o la seguridad en China. Su impacto práctico iría más allá de la recopilación cotidiana de datos: las entidades incluidas tendrían que afrontar nuevas exigencias de registro, almacenamiento, transferencias internacionales, notificación y supervisión independiente.

Plazo y vías para presentar comentarios

Los comentarios deben llegar a la CAC antes del 7 de septiembre de 2026. Pueden enviarse por correo electrónico a shujuju@cac.gov.cn o por correo postal a la Oficina de Gestión de Datos de la CAC, en el número 15 de la calle Fucheng, distrito de Haidian, Pekín, código postal 100048. En el sobre debe indicarse que se trata de la consulta correspondiente.

Al tratarse de un proyecto sometido a consulta pública, sus disposiciones deben entenderse como obligaciones propuestas, no como deberes definitivos de cumplimiento. El artículo 50 deja en blanco la fecha de entrada en vigor.

¿Qué organizaciones serían consideradas grandes gestoras?

El proyecto plantea una evaluación integral, en lugar de depender únicamente de un límite numérico. Entre los factores relevantes figuran los siguientes:

• Procesar información personal de más de 10 millones de personas físicas;
• Prestar servicios importantes en línea que impliquen el tratamiento de información personal u operar varias líneas de negocio relacionadas; y
• Tener un efecto significativo en la seguridad nacional, la actividad económica, la estabilidad social, la salud pública o la seguridad.

Las organizaciones que procesen información de más de 10 millones de personas, así como aquellas que consideren que cumplen los criterios más amplios, tendrían que solicitar su designación a través de la CAC de nivel provincial. La CAC nacional, junto con otras autoridades competentes, decidiría la lista y la haría pública. Además, las autoridades podrían exigir a una entidad que parezca cumplir los requisitos, pero no haya presentado una solicitud, que complete el procedimiento.

Esto significa que algunas plataformas de gran influencia podrían quedar incluidas aunque su número de usuarios, por sí solo, no resuelva la cuestión.

Posibles restricciones para organizaciones y personas extranjeras

El proyecto permitiría al regulador nacional del ciberespacio publicar una lista de organizaciones o personas extranjeras cuyas actividades de tratamiento vulneren los derechos de los ciudadanos chinos sobre su información personal o pongan en peligro la seguridad nacional o el interés público de China. Las entidades incluidas podrían sufrir restricciones o prohibiciones para recibir información personal desde China.

La disposición introduce una posible consecuencia de cumplimiento para los receptores extranjeros, no solo para la plataforma china que transfiera los datos. También amplía el análisis de riesgos de los flujos internacionales de información más allá de una revisión convencional de privacidad.

Tratamiento de datos y consentimiento

Las entidades sujetas al proyecto tendrían que tratar la información personal conforme a los principios de legalidad, adecuación, necesidad y buena fe. La recopilación debería limitarse a la información necesaria para el producto o servicio correspondiente y no podría ser excesiva.

Cuando el consentimiento sea la base jurídica, el texto exigiría un consentimiento separado para varias actividades de mayor riesgo, entre ellas:

• Facilitar información a otro gestor de información personal;
• Proporcionarla fuera de China;
• Hacerla pública; y
• Tratar información personal sensible.

Cualquier cambio en la finalidad, el método o las categorías del tratamiento exigiría obtener nuevamente el consentimiento. El proyecto también reclama un mecanismo sencillo para que las personas puedan retirarlo.

El tratamiento de datos de menores de 14 años requeriría el consentimiento de uno de sus progenitores u otro tutor, mediante un sistema accesible tanto para concederlo como para retirarlo.

Almacenamiento nacional y controles sobre los centros de datos

La información personal recopilada o generada mediante operaciones en China tendría que almacenarse dentro del país. El centro de datos debería estar ubicado en China y cumplir las políticas y normas nacionales aplicables. Además, el representante legal o controlador efectivo de la entidad gestora del centro tendría que ser ciudadano chino.

El proyecto también asigna responsabilidades a los operadores de centros de datos. Estos tendrían que mantener controles internos y planes de respuesta a incidentes, detectar y corregir vulnerabilidades de seguridad, notificar a la plataforma y a las autoridades cuando fuera necesario, y colaborar en la respuesta ante filtraciones.

Para las empresas que utilizan proveedores externos de infraestructura, la selección del centro de datos, los contratos y la supervisión operativa pasarían a ser elementos centrales del programa de cumplimiento, y no simples decisiones técnicas o de compras.

Las transferencias internacionales seguirían siendo posibles, pero con límites

La obligación de almacenamiento nacional no eliminaría automáticamente todas las transferencias al extranjero. El proyecto contempla la posibilidad de facilitar datos fuera de China cuando exista una necesidad empresarial real, pero exige utilizar los mecanismos de exportación previstos por la normativa china y obtener el consentimiento separado correspondiente.

En la práctica, las grandes gestoras tendrían que diferenciar entre almacenar los datos en China y entregarlos a un receptor extranjero. El almacenamiento nacional sería la regla de partida; la entrega al exterior activaría controles jurídicos y procedimentales adicionales.

Más responsabilidad interna y obligaciones de información

El proyecto exigiría una estructura de cumplimiento más formal, incluido un responsable de protección de la información personal procedente de la alta dirección. Los informes sobre la propuesta describen, entre otras condiciones para ese cargo, la nacionalidad china, la ausencia de residencia permanente o permiso de residencia de larga duración en otro país, conocimientos profesionales sobre protección de la información personal y experiencia relevante.

Entre las demás medidas de gobernanza propuestas figuran:

• Estructuras directas de cumplimiento y responsabilidades claramente asignadas;
• Evaluaciones periódicas de impacto en la protección de la información personal;
• Auditorías periódicas de cumplimiento;
• Supervisión de las actividades de tratamiento y de las vulnerabilidades de seguridad;
• Procedimientos para identificar y corregir riesgos;
• Canales eficaces para presentar reclamaciones y ejercer los derechos individuales; y
• Un informe público anual sobre la responsabilidad social en materia de protección de la información personal.

El texto también destaca la necesidad de salvaguardas específicas para los menores, incluidos mecanismos prácticos de consentimiento y retirada por parte de padres o tutores.

Un comité independiente de supervisión sería el cambio estructural más relevante

Cada entidad incluida tendría que crear un comité de supervisión de la protección de la información personal para vigilar de forma independiente sus prácticas de tratamiento de datos.

El comité propuesto debería:

• Tener un número impar de integrantes;
• Contar con al menos siete miembros;
• Ajustar su tamaño a la actividad y a la base de usuarios de la organización;
• Incluir al menos dos tercios de miembros externos; y
• Estar presidido por un miembro externo con capacidad avanzada para auditar el cumplimiento en materia de protección de la información personal.

Los miembros externos tendrían que ser independientes, contar con buena reputación y experiencia en labores de cumplimiento relacionadas. Por regla general, no podrían formar parte simultáneamente de más de tres grandes gestoras.

El comité supervisaría el cumplimiento y los asuntos importantes de protección de la información personal, revisaría las políticas y los tratamientos de alto riesgo, emitiría opiniones o recomendaciones y reforzaría la rendición de cuentas mediante mecanismos de información y supervisión. La organización también tendría que proporcionarle recursos suficientes para desempeñar sus funciones.

No se trataría solo de nombrar a un responsable de privacidad. La propuesta crearía una segunda capa de control, dominada por miembros externos, y otorgaría a la gobernanza de la privacidad un lugar formal dentro de la estructura de responsabilidad de la organización.

Qué deberían hacer ahora las organizaciones potencialmente afectadas

La prioridad inmediata es evaluar si la organización podría cumplir el umbral de escala o los criterios más amplios de importancia e impacto, y preparar comentarios antes del 7 de septiembre. Las empresas que pudieran quedar incluidas también deberían elaborar un mapa de:

1. El número y las categorías de personas cuya información procesan;
2. Sus principales servicios, líneas de negocio y posible impacto en el interés público;
3. El lugar donde almacenan la información personal china y quién controla los centros de datos correspondientes;
4. Los flujos de consentimiento para datos sensibles, divulgaciones, publicaciones y exportaciones;
5. Los mecanismos de transferencia internacional y los receptores extranjeros;
6. Las responsabilidades de la alta dirección y los sistemas de auditoría; y
7. La independencia, composición y recursos necesarios para el comité de supervisión.

La propuesta aún puede cambiar. Sin embargo, su orientación es clara: China estudia un sistema que trataría a los gestores de datos más grandes y con mayor impacto como organizaciones sujetas a controles operativos reforzados, infraestructura nacional, responsabilidad al más alto nivel y supervisión externa de la privacidad.