Consultazione: scadenza e modalità per inviare osservazioni

Le osservazioni devono arrivare alla CAC entro il 7 settembre 2026. È possibile inviarle:

• via email all’indirizzo shujuju@cac.gov.cn;
• per posta al Network Data Management Bureau della CAC, 15 Fucheng Road, distretto di Haidian, Pechino 100048.

Nel caso dell’invio postale, la busta deve indicare chiaramente il riferimento alla consultazione.

Trattandosi di una bozza, le organizzazioni devono considerare gli obblighi descritti come proposte ancora modificabili, non come requisiti già applicabili.

Chi rientrerebbe nella definizione di grande gestore?

Il testo non si basa soltanto su una soglia numerica, ma propone una valutazione complessiva. Tra gli elementi da considerare figurano il fatto che un’organizzazione:

• tratti dati personali relativi a più di 10 milioni di persone fisiche;
• fornisca servizi online importanti che comportano il trattamento di dati personali o gestisca più linee di attività rilevanti;
• abbia un impatto significativo sulla sicurezza nazionale, sul funzionamento dell’economia, sulla stabilità sociale, sulla salute pubblica o sulla sicurezza.

Le organizzazioni che trattano i dati di oltre 10 milioni di persone, così come quelle che ritengono di soddisfare i criteri più ampi, dovrebbero presentare domanda di designazione attraverso la CAC a livello provinciale. La CAC nazionale, insieme alle altre autorità competenti, stabilirebbe poi l’elenco e lo renderebbe pubblico. Le autorità potrebbero inoltre imporre la procedura a un’organizzazione che sembri rientrare nell’ambito delle regole ma non abbia presentato domanda.

La conseguenza pratica è che la proposta potrebbe includere alcune piattaforme influenti anche quando il solo numero di utenti non è sufficiente a stabilire con certezza se siano soggette alle nuove disposizioni.

Possibili restrizioni per soggetti stranieri

La CAC nazionale potrebbe inserire in un elenco pubblico organizzazioni o persone straniere le cui attività di trattamento violino i diritti dei cittadini cinesi in materia di dati personali oppure mettano a rischio la sicurezza nazionale o l’interesse pubblico della Cina.

I soggetti inseriti nell’elenco potrebbero essere sottoposti a limitazioni o divieti nel ricevere dati personali dalla Cina.

La norma prospettata estenderebbe quindi il rischio di conformità anche al destinatario estero dei dati, e non soltanto alla piattaforma cinese che li trasferisce. La valutazione dei trasferimenti internazionali dovrebbe così tenere conto non solo dei consueti profili di privacy, ma anche di possibili conseguenze legate alla sicurezza nazionale e all’interesse pubblico.

Trattamento dei dati e requisiti sul consenso

I grandi gestori dovrebbero trattare i dati personali secondo i principi di legalità, correttezza, necessità e buona fede. La raccolta dovrebbe limitarsi alle informazioni necessarie per il prodotto o il servizio interessato, senza acquisire dati in modo eccedente.

Quando il consenso costituisce la base giuridica del trattamento, la bozza richiederebbe un consenso separato per diverse attività a maggiore rischio, tra cui:

• fornire le informazioni a un altro gestore di dati personali;
• trasferire le informazioni fuori dalla Cina;
• rendere pubbliche le informazioni;
• trattare dati personali sensibili.

Ogni modifica alla finalità, alle modalità o alle categorie di dati trattati richiederebbe un nuovo consenso. Il testo prevede inoltre un meccanismo agevole per consentire agli interessati di ritirare il consenso.

Per i minori di 14 anni, il trattamento richiederebbe il consenso di un genitore o di un altro tutore, attraverso una procedura accessibile sia per concedere sia per revocare tale autorizzazione.

Archiviazione in Cina e requisiti per i data center

I dati personali raccolti o generati attraverso attività svolte in Cina dovrebbero essere conservati all’interno del Paese. Il data center dovrebbe trovarsi in Cina e rispettare le politiche e gli standard nazionali applicabili. Inoltre, il rappresentante legale o il controllore effettivo dell’ente che gestisce il data center dovrebbe essere un cittadino cinese.

La proposta attribuirebbe responsabilità anche agli operatori dei data center. Questi ultimi dovrebbero:

• mantenere controlli interni e piani di risposta agli incidenti;
• individuare e correggere le vulnerabilità di sicurezza;
• informare la piattaforma e le autorità quando richiesto;
• collaborare alla gestione delle violazioni dei dati.

Per le aziende che utilizzano infrastrutture esterne, la scelta del data center, i contratti con i fornitori e la loro supervisione operativa diventerebbero quindi aspetti centrali del programma di conformità, e non semplici decisioni tecniche o di approvvigionamento.

Trasferimenti transfrontalieri ancora possibili, ma più vincolati

L’obbligo di archiviazione nazionale non eliminerebbe automaticamente ogni trasferimento all’estero. La bozza ammette la comunicazione oltreconfine quando sia realmente necessaria per l’attività aziendale, ma richiede il rispetto dei meccanismi cinesi applicabili all’esportazione dei dati e l’acquisizione del consenso separato previsto.

Le grandi organizzazioni dovrebbero dunque distinguere tra due operazioni diverse:

1. conservare i dati personali in Cina, che costituirebbe il requisito di base;
2. fornire quei dati a un destinatario estero, operazione soggetta a ulteriori garanzie legali e procedurali.

Più responsabilità ai vertici e nuovi obblighi di reporting

La bozza richiederebbe una struttura più formale per la conformità in materia di privacy, inclusa la nomina di un responsabile della protezione dei dati personali scelto tra i membri dell’alta dirigenza. Le informazioni disponibili sul testo indicano inoltre requisiti per il ruolo, tra cui la cittadinanza cinese, l’assenza di un permesso di soggiorno permanente o di lunga durata in un Paese straniero, competenze professionali nella protezione dei dati personali ed esperienza pertinente.

Tra le altre misure di governance proposte figurano:

• strutture di conformità dirette e responsabilità chiaramente attribuite;
• valutazioni periodiche d’impatto sulla protezione dei dati personali;
• audit periodici di conformità;
• monitoraggio delle attività di trattamento e delle vulnerabilità di sicurezza;
• procedure per identificare e correggere i rischi;
• canali efficaci per i reclami e per l’esercizio dei diritti degli interessati;
• una relazione annuale pubblica sulla responsabilità sociale in materia di protezione dei dati personali.

Il testo dedica inoltre particolare attenzione alla protezione dei minori, con procedure pratiche per il consenso dei genitori e per la sua revoca.

Il comitato indipendente di supervisione

La novità organizzativa più significativa sarebbe l’obbligo, per ogni grande gestore interessato, di istituire un comitato di supervisione della protezione dei dati personali. L’organismo dovrebbe controllare in modo indipendente le pratiche di trattamento dell’organizzazione.

Il comitato dovrebbe:

• avere un numero dispari di componenti;
• includere almeno sette membri;
• essere dimensionato in proporzione alle attività e alla base utenti dell’organizzazione;
• comprendere almeno due terzi di membri esterni;
• essere presieduto da un membro esterno con elevate competenze nell’audit di conformità sulla protezione dei dati personali.

I membri esterni dovrebbero essere indipendenti, affidabili e dotati di esperienza nel settore della conformità. In linea generale, non potrebbero prestare servizio contemporaneamente per più di tre grandi gestori.

Al comitato spetterebbe il compito di supervisionare la conformità e le questioni rilevanti relative alla protezione dei dati personali, esaminare le politiche interne e i trattamenti ad alto rischio, formulare pareri o raccomandazioni e rafforzare i meccanismi di responsabilità attraverso relazioni e procedure di controllo. L’organizzazione dovrebbe inoltre fornirgli risorse sufficienti per operare.

Non si tratterebbe quindi soltanto di nominare un responsabile privacy. La proposta introdurrebbe un ulteriore livello di supervisione, con una presenza maggioritaria di esperti esterni, attribuendo alla governance dei dati un ruolo formale nella struttura di responsabilità aziendale.

Cosa dovrebbero fare ora le organizzazioni potenzialmente interessate

La prima misura consiste nel verificare se l’organizzazione possa superare la soglia dei 10 milioni di persone oppure soddisfare i criteri più ampi legati all’importanza dei servizi e al loro impatto. Le aziende potenzialmente coinvolte dovrebbero inoltre preparare eventuali osservazioni entro il 7 settembre e mappare:

1. il numero e le categorie delle persone cui si riferiscono i dati trattati;
2. i principali servizi, le linee di business e il possibile impatto sull’interesse pubblico;
3. il luogo in cui sono conservati i dati personali cinesi e il soggetto che controlla i relativi data center;
4. i flussi di consenso per dati sensibili, comunicazioni, pubblicazione e trasferimenti all’estero;
5. i meccanismi di trasferimento transfrontaliero e i destinatari stranieri;
6. le responsabilità del senior management e gli assetti di audit;
7. l’indipendenza, la composizione e le risorse necessarie per il comitato di supervisione.

La bozza potrebbe ancora cambiare prima dell’eventuale adozione. La direzione, tuttavia, è chiara: la Cina sta valutando un sistema che tratterebbe i gestori di dati più grandi e strategicamente rilevanti come organizzazioni soggette a controlli operativi rafforzati, infrastrutture nazionali, responsabilità ai massimi livelli e supervisione esterna della privacy.

Consultazione: scadenza e modalità per inviare osservazioni

Le osservazioni devono arrivare alla CAC entro il 7 settembre 2026. È possibile inviarle:

• via email all’indirizzo shujuju@cac.gov.cn;
• per posta al Network Data Management Bureau della CAC, 15 Fucheng Road, distretto di Haidian, Pechino 100048.

Nel caso dell’invio postale, la busta deve indicare chiaramente il riferimento alla consultazione.

Trattandosi di una bozza, le organizzazioni devono considerare gli obblighi descritti come proposte ancora modificabili, non come requisiti già applicabili.

Chi rientrerebbe nella definizione di grande gestore?

Il testo non si basa soltanto su una soglia numerica, ma propone una valutazione complessiva. Tra gli elementi da considerare figurano il fatto che un’organizzazione:

• tratti dati personali relativi a più di 10 milioni di persone fisiche;
• fornisca servizi online importanti che comportano il trattamento di dati personali o gestisca più linee di attività rilevanti;
• abbia un impatto significativo sulla sicurezza nazionale, sul funzionamento dell’economia, sulla stabilità sociale, sulla salute pubblica o sulla sicurezza.

Le organizzazioni che trattano i dati di oltre 10 milioni di persone, così come quelle che ritengono di soddisfare i criteri più ampi, dovrebbero presentare domanda di designazione attraverso la CAC a livello provinciale. La CAC nazionale, insieme alle altre autorità competenti, stabilirebbe poi l’elenco e lo renderebbe pubblico. Le autorità potrebbero inoltre imporre la procedura a un’organizzazione che sembri rientrare nell’ambito delle regole ma non abbia presentato domanda.

La conseguenza pratica è che la proposta potrebbe includere alcune piattaforme influenti anche quando il solo numero di utenti non è sufficiente a stabilire con certezza se siano soggette alle nuove disposizioni.

Possibili restrizioni per soggetti stranieri

La CAC nazionale potrebbe inserire in un elenco pubblico organizzazioni o persone straniere le cui attività di trattamento violino i diritti dei cittadini cinesi in materia di dati personali oppure mettano a rischio la sicurezza nazionale o l’interesse pubblico della Cina.

I soggetti inseriti nell’elenco potrebbero essere sottoposti a limitazioni o divieti nel ricevere dati personali dalla Cina.

La norma prospettata estenderebbe quindi il rischio di conformità anche al destinatario estero dei dati, e non soltanto alla piattaforma cinese che li trasferisce. La valutazione dei trasferimenti internazionali dovrebbe così tenere conto non solo dei consueti profili di privacy, ma anche di possibili conseguenze legate alla sicurezza nazionale e all’interesse pubblico.

Trattamento dei dati e requisiti sul consenso

I grandi gestori dovrebbero trattare i dati personali secondo i principi di legalità, correttezza, necessità e buona fede. La raccolta dovrebbe limitarsi alle informazioni necessarie per il prodotto o il servizio interessato, senza acquisire dati in modo eccedente.

Quando il consenso costituisce la base giuridica del trattamento, la bozza richiederebbe un consenso separato per diverse attività a maggiore rischio, tra cui:

• fornire le informazioni a un altro gestore di dati personali;
• trasferire le informazioni fuori dalla Cina;
• rendere pubbliche le informazioni;
• trattare dati personali sensibili.

Ogni modifica alla finalità, alle modalità o alle categorie di dati trattati richiederebbe un nuovo consenso. Il testo prevede inoltre un meccanismo agevole per consentire agli interessati di ritirare il consenso.

Per i minori di 14 anni, il trattamento richiederebbe il consenso di un genitore o di un altro tutore, attraverso una procedura accessibile sia per concedere sia per revocare tale autorizzazione.

Archiviazione in Cina e requisiti per i data center

I dati personali raccolti o generati attraverso attività svolte in Cina dovrebbero essere conservati all’interno del Paese. Il data center dovrebbe trovarsi in Cina e rispettare le politiche e gli standard nazionali applicabili. Inoltre, il rappresentante legale o il controllore effettivo dell’ente che gestisce il data center dovrebbe essere un cittadino cinese.

La proposta attribuirebbe responsabilità anche agli operatori dei data center. Questi ultimi dovrebbero:

• mantenere controlli interni e piani di risposta agli incidenti;
• individuare e correggere le vulnerabilità di sicurezza;
• informare la piattaforma e le autorità quando richiesto;
• collaborare alla gestione delle violazioni dei dati.

Per le aziende che utilizzano infrastrutture esterne, la scelta del data center, i contratti con i fornitori e la loro supervisione operativa diventerebbero quindi aspetti centrali del programma di conformità, e non semplici decisioni tecniche o di approvvigionamento.

Trasferimenti transfrontalieri ancora possibili, ma più vincolati

L’obbligo di archiviazione nazionale non eliminerebbe automaticamente ogni trasferimento all’estero. La bozza ammette la comunicazione oltreconfine quando sia realmente necessaria per l’attività aziendale, ma richiede il rispetto dei meccanismi cinesi applicabili all’esportazione dei dati e l’acquisizione del consenso separato previsto.

Le grandi organizzazioni dovrebbero dunque distinguere tra due operazioni diverse:

1. conservare i dati personali in Cina, che costituirebbe il requisito di base;
2. fornire quei dati a un destinatario estero, operazione soggetta a ulteriori garanzie legali e procedurali.

Più responsabilità ai vertici e nuovi obblighi di reporting

La bozza richiederebbe una struttura più formale per la conformità in materia di privacy, inclusa la nomina di un responsabile della protezione dei dati personali scelto tra i membri dell’alta dirigenza. Le informazioni disponibili sul testo indicano inoltre requisiti per il ruolo, tra cui la cittadinanza cinese, l’assenza di un permesso di soggiorno permanente o di lunga durata in un Paese straniero, competenze professionali nella protezione dei dati personali ed esperienza pertinente.

Tra le altre misure di governance proposte figurano:

• strutture di conformità dirette e responsabilità chiaramente attribuite;
• valutazioni periodiche d’impatto sulla protezione dei dati personali;
• audit periodici di conformità;
• monitoraggio delle attività di trattamento e delle vulnerabilità di sicurezza;
• procedure per identificare e correggere i rischi;
• canali efficaci per i reclami e per l’esercizio dei diritti degli interessati;
• una relazione annuale pubblica sulla responsabilità sociale in materia di protezione dei dati personali.

Il testo dedica inoltre particolare attenzione alla protezione dei minori, con procedure pratiche per il consenso dei genitori e per la sua revoca.

Il comitato indipendente di supervisione

La novità organizzativa più significativa sarebbe l’obbligo, per ogni grande gestore interessato, di istituire un comitato di supervisione della protezione dei dati personali. L’organismo dovrebbe controllare in modo indipendente le pratiche di trattamento dell’organizzazione.

Il comitato dovrebbe:

• avere un numero dispari di componenti;
• includere almeno sette membri;
• essere dimensionato in proporzione alle attività e alla base utenti dell’organizzazione;
• comprendere almeno due terzi di membri esterni;
• essere presieduto da un membro esterno con elevate competenze nell’audit di conformità sulla protezione dei dati personali.

I membri esterni dovrebbero essere indipendenti, affidabili e dotati di esperienza nel settore della conformità. In linea generale, non potrebbero prestare servizio contemporaneamente per più di tre grandi gestori.

Al comitato spetterebbe il compito di supervisionare la conformità e le questioni rilevanti relative alla protezione dei dati personali, esaminare le politiche interne e i trattamenti ad alto rischio, formulare pareri o raccomandazioni e rafforzare i meccanismi di responsabilità attraverso relazioni e procedure di controllo. L’organizzazione dovrebbe inoltre fornirgli risorse sufficienti per operare.

Non si tratterebbe quindi soltanto di nominare un responsabile privacy. La proposta introdurrebbe un ulteriore livello di supervisione, con una presenza maggioritaria di esperti esterni, attribuendo alla governance dei dati un ruolo formale nella struttura di responsabilità aziendale.

Cosa dovrebbero fare ora le organizzazioni potenzialmente interessate

La prima misura consiste nel verificare se l’organizzazione possa superare la soglia dei 10 milioni di persone oppure soddisfare i criteri più ampi legati all’importanza dei servizi e al loro impatto. Le aziende potenzialmente coinvolte dovrebbero inoltre preparare eventuali osservazioni entro il 7 settembre e mappare:

1. il numero e le categorie delle persone cui si riferiscono i dati trattati;
2. i principali servizi, le linee di business e il possibile impatto sull’interesse pubblico;
3. il luogo in cui sono conservati i dati personali cinesi e il soggetto che controlla i relativi data center;
4. i flussi di consenso per dati sensibili, comunicazioni, pubblicazione e trasferimenti all’estero;
5. i meccanismi di trasferimento transfrontaliero e i destinatari stranieri;
6. le responsabilità del senior management e gli assetti di audit;
7. l’indipendenza, la composizione e le risorse necessarie per il comitato di supervisione.

La bozza potrebbe ancora cambiare prima dell’eventuale adozione. La direzione, tuttavia, è chiara: la Cina sta valutando un sistema che tratterebbe i gestori di dati più grandi e strategicamente rilevanti come organizzazioni soggette a controlli operativi rafforzati, infrastrutture nazionali, responsabilità ai massimi livelli e supervisione esterna della privacy.