As contribuições devem chegar à CAC até 7 de setembro de 2026. Os comentários podem ser enviados por e-mail para shujuju@cac.gov.cn ou por carta ao Departamento de Gestão de Dados de Rede da CAC, no endereço 15 Fucheng Road, distrito de Haidian, Pequim, CEP 100048. No envio postal, o envelope deve identificar a consulta pública correspondente.

Como se trata de um projeto submetido a consulta, suas exigências devem ser entendidas como obrigações propostas, e não como deveres definitivos de conformidade. O artigo 50 não indica uma data de entrada em vigor.

Quem seria considerado um grande operador de informações pessoais?

O texto propõe uma avaliação ampla, que não depende apenas de um limite numérico. Entre os fatores estão:

• Tratar informações pessoais de mais de 10 milhões de pessoas físicas;
• Oferecer serviços on-line importantes que envolvam o tratamento de informações pessoais ou operar várias linhas de negócios relevantes; e
• Produzir efeitos significativos sobre a segurança nacional, o funcionamento econômico, a estabilidade social, a saúde pública ou a segurança.

Organizações que tratem dados de mais de 10 milhões de pessoas, assim como aquelas que concluam, em uma autoavaliação, que atendem aos critérios mais amplos, teriam de solicitar o reconhecimento por meio da CAC em nível provincial. A CAC nacional, em conjunto com outras autoridades competentes, definiria e divulgaria a lista. Os órgãos públicos também poderiam exigir que uma organização aparentemente enquadrada apresentasse o pedido, caso ela não o fizesse por iniciativa própria.

Isso significa que plataformas influentes poderiam ser alcançadas mesmo quando o número de usuários, isoladamente, não for suficiente para resolver a questão.

Possíveis restrições a organizações e pessoas estrangeiras

A CAC nacional poderia divulgar uma lista de organizações ou indivíduos estrangeiros cujas atividades de tratamento de informações pessoais violem os direitos de cidadãos chineses ou ameacem a segurança nacional ou o interesse público da China. Os integrantes dessa lista poderiam sofrer restrições ou proibições para receber informações pessoais provenientes do país.

A medida cria uma possível consequência de conformidade também para o destinatário estrangeiro — e não apenas para a plataforma chinesa que transfere os dados. Com isso, a avaliação de risco de fluxos internacionais de dados passaria a ser mais ampla do que uma análise convencional de privacidade.

Regras para tratamento e consentimento

Os operadores abrangidos teriam de tratar informações pessoais de acordo com os princípios da legalidade, adequação, necessidade e boa-fé. A coleta deveria se limitar ao que fosse necessário para o produto ou serviço relevante, sem excessos.

Quando o consentimento fosse a base legal utilizada, seria necessário obter consentimento separado para atividades consideradas mais sensíveis, como:

• Fornecer informações a outro operador de informações pessoais;
• Fornecer informações para fora da China;
• Tornar as informações públicas; e
• Tratar informações pessoais sensíveis.

Mudanças na finalidade, no método ou nas categorias de tratamento exigiriam um novo consentimento. O projeto também prevê uma forma conveniente para que as pessoas possam retirar sua autorização.

O tratamento de dados de menores de 14 anos dependeria do consentimento de um dos pais ou de outro responsável, com um mecanismo acessível para conceder ou retirar essa autorização.

Armazenamento doméstico e controles sobre data centers

As informações pessoais coletadas ou geradas por operações na China teriam de ser armazenadas dentro do país. O data center escolhido deveria estar localizado na China e cumprir as políticas e normas nacionais aplicáveis. Além disso, o representante legal ou controlador efetivo da entidade responsável pela administração do data center teria de ser cidadão chinês.

A proposta também atribui responsabilidades aos operadores de data centers. Eles teriam de manter controles internos e planos de resposta a incidentes, identificar e corrigir vulnerabilidades de segurança, notificar a plataforma e as autoridades quando necessário e colaborar na resposta a vazamentos.

Para empresas que usam provedores externos de infraestrutura, a escolha do data center, os contratos e a supervisão operacional deixariam de ser apenas decisões técnicas ou de compras e passariam a ocupar posição central no programa de conformidade.

Transferências internacionais continuariam possíveis, mas sob restrições

A exigência de armazenamento doméstico não eliminaria automaticamente todas as transferências para o exterior. O projeto admite o fornecimento internacional quando houver necessidade real para os negócios, desde que a organização siga os mecanismos chineses aplicáveis à exportação de dados e obtenha o consentimento separado exigido.

Na prática, os grandes operadores teriam de distinguir entre armazenar dados na China e fornecê-los a um destinatário estrangeiro. O armazenamento doméstico seria a regra de base; o envio ao exterior acionaria controles jurídicos e procedimentais adicionais.

Mais responsabilidade interna e prestação de contas

O projeto prevê uma estrutura formal de conformidade, incluindo um responsável pela proteção de informações pessoais escolhido entre os integrantes da alta administração. Relatos sobre a proposta também descrevem requisitos para essa função, como cidadania chinesa, ausência de residência permanente ou autorização de residência de longo prazo em outro país, conhecimento profissional em proteção de informações pessoais e experiência relevante.

Outras medidas de governança propostas incluem:

• Estruturas diretas de conformidade e responsabilidades claramente definidas;
• Avaliações regulares de impacto sobre a proteção de informações pessoais;
• Auditorias periódicas de conformidade;
• Monitoramento das atividades de tratamento e das vulnerabilidades de segurança;
• Procedimentos para identificar e corrigir riscos;
• Canais eficazes para reclamações e para o exercício dos direitos individuais; e
• Um relatório público anual de responsabilidade social sobre a proteção de informações pessoais.

O texto também enfatiza salvaguardas específicas para menores, incluindo processos práticos para consentimento e retirada da autorização pelos responsáveis.

Comitês independentes seriam uma mudança estrutural

Cada operador abrangido teria de criar um comitê de supervisão da proteção de informações pessoais para acompanhar de forma independente suas práticas de tratamento de dados.

O comitê proposto deveria:

• Ter um número ímpar de integrantes;
• Contar com pelo menos sete membros;
• Ter tamanho proporcional ao negócio e à base de usuários da organização;
• Incluir pelo menos dois terços de membros externos; e
• Ser presidido por um integrante externo com capacidade avançada de auditoria de conformidade em proteção de informações pessoais.

Os membros externos teriam de ser independentes, respeitados e experientes em trabalhos de conformidade relacionados ao tema. Em geral, cada um ficaria limitado a atuar simultaneamente em no máximo três grandes operadores.

Entre as atribuições do comitê estariam supervisionar a conformidade e questões relevantes de proteção de informações pessoais, revisar políticas e operações de alto risco, emitir opiniões ou recomendações e reforçar a prestação de contas por meio de mecanismos de relatórios e supervisão. O operador também teria de fornecer recursos suficientes para o funcionamento do órgão.

A exigência vai além da nomeação de um encarregado de privacidade. Ela criaria uma camada separada de fiscalização, dominada por integrantes externos, e daria à governança de dados um espaço formal na estrutura de responsabilização da organização.

O que as empresas potencialmente abrangidas devem fazer

A providência imediata é avaliar se a organização pode atender ao limite de escala ou aos critérios mais amplos de importância e impacto e, em seguida, preparar eventuais comentários antes do prazo de 7 de setembro. Empresas que possam entrar no escopo também deveriam mapear:

1. O número e as categorias de pessoas cujas informações são tratadas;
2. Seus principais serviços, linhas de negócio e possível impacto de interesse público;
3. Onde as informações pessoais chinesas são armazenadas e quem controla os data centers relevantes;
4. Os fluxos de consentimento para dados sensíveis, divulgações, publicação e exportações;
5. Os mecanismos de transferência internacional e os destinatários estrangeiros;
6. A responsabilidade da alta administração e os arranjos de auditoria; e
7. A independência, a composição e os recursos necessários para um comitê de supervisão.

A proposta ainda pode ser alterada. Sua direção, porém, é clara: a China estuda um sistema que trataria os maiores e mais influentes operadores de dados como organizações sujeitas a controles operacionais reforçados, infraestrutura doméstica, responsabilidade em nível executivo e supervisão externa de privacidade.

As contribuições devem chegar à CAC até 7 de setembro de 2026. Os comentários podem ser enviados por e-mail para shujuju@cac.gov.cn ou por carta ao Departamento de Gestão de Dados de Rede da CAC, no endereço 15 Fucheng Road, distrito de Haidian, Pequim, CEP 100048. No envio postal, o envelope deve identificar a consulta pública correspondente.

Como se trata de um projeto submetido a consulta, suas exigências devem ser entendidas como obrigações propostas, e não como deveres definitivos de conformidade. O artigo 50 não indica uma data de entrada em vigor.

Quem seria considerado um grande operador de informações pessoais?

O texto propõe uma avaliação ampla, que não depende apenas de um limite numérico. Entre os fatores estão:

• Tratar informações pessoais de mais de 10 milhões de pessoas físicas;
• Oferecer serviços on-line importantes que envolvam o tratamento de informações pessoais ou operar várias linhas de negócios relevantes; e
• Produzir efeitos significativos sobre a segurança nacional, o funcionamento econômico, a estabilidade social, a saúde pública ou a segurança.

Organizações que tratem dados de mais de 10 milhões de pessoas, assim como aquelas que concluam, em uma autoavaliação, que atendem aos critérios mais amplos, teriam de solicitar o reconhecimento por meio da CAC em nível provincial. A CAC nacional, em conjunto com outras autoridades competentes, definiria e divulgaria a lista. Os órgãos públicos também poderiam exigir que uma organização aparentemente enquadrada apresentasse o pedido, caso ela não o fizesse por iniciativa própria.

Isso significa que plataformas influentes poderiam ser alcançadas mesmo quando o número de usuários, isoladamente, não for suficiente para resolver a questão.

Possíveis restrições a organizações e pessoas estrangeiras

A CAC nacional poderia divulgar uma lista de organizações ou indivíduos estrangeiros cujas atividades de tratamento de informações pessoais violem os direitos de cidadãos chineses ou ameacem a segurança nacional ou o interesse público da China. Os integrantes dessa lista poderiam sofrer restrições ou proibições para receber informações pessoais provenientes do país.

A medida cria uma possível consequência de conformidade também para o destinatário estrangeiro — e não apenas para a plataforma chinesa que transfere os dados. Com isso, a avaliação de risco de fluxos internacionais de dados passaria a ser mais ampla do que uma análise convencional de privacidade.

Regras para tratamento e consentimento

Os operadores abrangidos teriam de tratar informações pessoais de acordo com os princípios da legalidade, adequação, necessidade e boa-fé. A coleta deveria se limitar ao que fosse necessário para o produto ou serviço relevante, sem excessos.

Quando o consentimento fosse a base legal utilizada, seria necessário obter consentimento separado para atividades consideradas mais sensíveis, como:

• Fornecer informações a outro operador de informações pessoais;
• Fornecer informações para fora da China;
• Tornar as informações públicas; e
• Tratar informações pessoais sensíveis.

Mudanças na finalidade, no método ou nas categorias de tratamento exigiriam um novo consentimento. O projeto também prevê uma forma conveniente para que as pessoas possam retirar sua autorização.

O tratamento de dados de menores de 14 anos dependeria do consentimento de um dos pais ou de outro responsável, com um mecanismo acessível para conceder ou retirar essa autorização.

Armazenamento doméstico e controles sobre data centers

As informações pessoais coletadas ou geradas por operações na China teriam de ser armazenadas dentro do país. O data center escolhido deveria estar localizado na China e cumprir as políticas e normas nacionais aplicáveis. Além disso, o representante legal ou controlador efetivo da entidade responsável pela administração do data center teria de ser cidadão chinês.

A proposta também atribui responsabilidades aos operadores de data centers. Eles teriam de manter controles internos e planos de resposta a incidentes, identificar e corrigir vulnerabilidades de segurança, notificar a plataforma e as autoridades quando necessário e colaborar na resposta a vazamentos.

Para empresas que usam provedores externos de infraestrutura, a escolha do data center, os contratos e a supervisão operacional deixariam de ser apenas decisões técnicas ou de compras e passariam a ocupar posição central no programa de conformidade.

Transferências internacionais continuariam possíveis, mas sob restrições

A exigência de armazenamento doméstico não eliminaria automaticamente todas as transferências para o exterior. O projeto admite o fornecimento internacional quando houver necessidade real para os negócios, desde que a organização siga os mecanismos chineses aplicáveis à exportação de dados e obtenha o consentimento separado exigido.

Na prática, os grandes operadores teriam de distinguir entre armazenar dados na China e fornecê-los a um destinatário estrangeiro. O armazenamento doméstico seria a regra de base; o envio ao exterior acionaria controles jurídicos e procedimentais adicionais.

Mais responsabilidade interna e prestação de contas

O projeto prevê uma estrutura formal de conformidade, incluindo um responsável pela proteção de informações pessoais escolhido entre os integrantes da alta administração. Relatos sobre a proposta também descrevem requisitos para essa função, como cidadania chinesa, ausência de residência permanente ou autorização de residência de longo prazo em outro país, conhecimento profissional em proteção de informações pessoais e experiência relevante.

Outras medidas de governança propostas incluem:

• Estruturas diretas de conformidade e responsabilidades claramente definidas;
• Avaliações regulares de impacto sobre a proteção de informações pessoais;
• Auditorias periódicas de conformidade;
• Monitoramento das atividades de tratamento e das vulnerabilidades de segurança;
• Procedimentos para identificar e corrigir riscos;
• Canais eficazes para reclamações e para o exercício dos direitos individuais; e
• Um relatório público anual de responsabilidade social sobre a proteção de informações pessoais.

O texto também enfatiza salvaguardas específicas para menores, incluindo processos práticos para consentimento e retirada da autorização pelos responsáveis.

Comitês independentes seriam uma mudança estrutural

Cada operador abrangido teria de criar um comitê de supervisão da proteção de informações pessoais para acompanhar de forma independente suas práticas de tratamento de dados.

O comitê proposto deveria:

• Ter um número ímpar de integrantes;
• Contar com pelo menos sete membros;
• Ter tamanho proporcional ao negócio e à base de usuários da organização;
• Incluir pelo menos dois terços de membros externos; e
• Ser presidido por um integrante externo com capacidade avançada de auditoria de conformidade em proteção de informações pessoais.

Os membros externos teriam de ser independentes, respeitados e experientes em trabalhos de conformidade relacionados ao tema. Em geral, cada um ficaria limitado a atuar simultaneamente em no máximo três grandes operadores.

Entre as atribuições do comitê estariam supervisionar a conformidade e questões relevantes de proteção de informações pessoais, revisar políticas e operações de alto risco, emitir opiniões ou recomendações e reforçar a prestação de contas por meio de mecanismos de relatórios e supervisão. O operador também teria de fornecer recursos suficientes para o funcionamento do órgão.

A exigência vai além da nomeação de um encarregado de privacidade. Ela criaria uma camada separada de fiscalização, dominada por integrantes externos, e daria à governança de dados um espaço formal na estrutura de responsabilização da organização.

O que as empresas potencialmente abrangidas devem fazer

A providência imediata é avaliar se a organização pode atender ao limite de escala ou aos critérios mais amplos de importância e impacto e, em seguida, preparar eventuais comentários antes do prazo de 7 de setembro. Empresas que possam entrar no escopo também deveriam mapear:

1. O número e as categorias de pessoas cujas informações são tratadas;
2. Seus principais serviços, linhas de negócio e possível impacto de interesse público;
3. Onde as informações pessoais chinesas são armazenadas e quem controla os data centers relevantes;
4. Os fluxos de consentimento para dados sensíveis, divulgações, publicação e exportações;
5. Os mecanismos de transferência internacional e os destinatários estrangeiros;
6. A responsabilidade da alta administração e os arranjos de auditoria; e
7. A independência, a composição e os recursos necessários para um comitê de supervisão.

A proposta ainda pode ser alterada. Sua direção, porém, é clara: a China estuda um sistema que trataria os maiores e mais influentes operadores de dados como organizações sujeitas a controles operacionais reforçados, infraestrutura doméstica, responsabilidade em nível executivo e supervisão externa de privacidade.