Как назначить представителя в Китае по PIPL: пошаговое руководство для бизнеса

Назначение представителя – обязанность

Иностранные компании, обрабатывающие персональные данные физических лиц, находящихся в Китае, обязаны назначить официального представителя или создать агентство на территории материкового Китая. Этот представитель отвечает перед регулятором за выполнение требований PIPL и взаимодействие по вопросам обработки данных. Контактные данные представителя необходимо передать Cyberspace Administration of China (CAC), а также указать в политике приватности или приложении к ней — это не только хорошая практика, но и логически вытекающее требование из принципов транспарентности и актуальности данных.

Важно: при замене представителя его контактные данные должны быть своевременно обновлены как в документах для регулятора, так и в политике конфиденциальности.

Хотя требование напоминает статью 27 GDPR, китайское законодательство не предусматривает исключений для компаний, которые обрабатывают данные нерегулярно или с низким риском. Более того, в контексте статьи 53 PIPL ключевым критерием является не гражданство или регистрация компании, а фактическое место её деятельности по обработке данных — даже если оно за пределами Китая.

Кто такой представитель по PIPL и в чём его реальная роль?

Закон PIPL упоминает представителя иностранных компаний всего трижды — дважды в статье 53 и один раз в статье 64. При этом его функции, ответственность и квалификационные требования прямо не определены.

В статье 64 указано, что китайские регуляторы могут провести официальную беседу (conduct a talk) с представителем в случае выявления серьёзных рисков в обработке персональных данных. Однако что именно подразумевается под этим разговором, закон не уточняет. Тем не менее, ясно одно: в случае проблем именно представитель будет привлечён к диалогу с регулятором.

➡️ Поэтому назначать такого представителя “для галочки” — рискованная стратегия. Это должно быть уполномоченное лицо, знакомое с внутренними процессами компании, бизнес-контекстом и базовыми положениями китайского законодательства в области защиты данных.

Представитель и трансграничная передача данных

Если вы подпадаете под экстерриториальное действие PIPL (статья 3), то вопрос трансграничной передачи персональных данных в Китай рано или поздно неизбежно встанет.

В таких случаях заявка на сертификацию (один из механизмов трансграничной передачи) может быть подана через представителя (designated representative, как указано в статье 53 PIPL), назначенного в соответствии с законом.

При этом важно различать два совершенно разных типа представителей.

🔹 “Генеральный” представитель компании в Китае (general representative, нередко используется для регистрации компании и ведения бизнеса в целом) — действует от имени компании в общем правовом поле (налоги, контракты и т.п.).

🔹 Представитель по PIPL (PIPL representative или designated personal information protection representative) — действует исключительно в рамках закона о персональных данных, взаимодействует с CAC и может подавать документы на сертификацию трансграничной передачи.

Эти роли не взаимозаменяемы: general representative не может выступать от имени компании по вопросам, регулируемым PIPL. Только PIPL representative, назначенный по статье 53, обладает такими полномочиями.

Хорошая новость — необязательно нанимать представителя в штат. Закон допускает передачу полномочий внешним юридическим консультантам или специализированным агентствам, работающим на рынке материкового Китая. Это особенно удобно для небольших и средних компаний, не имеющих собственного офиса в стране.