Entrada en vigor de la nueva Ley de Protección de Datos China
El pasado 1 de noviembre entró en vigor la nueva Ley de Protección de Datos de la República Popular China, publicada el 20 de agosto de este mismo año. Teniendo en cuenta el contenido de la ley, puede sin duda afirmarse que el gobierno chino ha pretendido aproximarse al nivel de protección de datos personales establecido en la Unión Europea (con el Reglamento General de Protección de Datos o RGPD), aunque sin llegar a alcanzarlo.
Muchos de los conceptos y metodologías de la nueva Ley de Protección de Datos china (que recibe el nombre de PIPL) se presentan muy parejos a los del RGPD. Un ejemplo de ello es el ámbito de aplicación territorial de la PIPL, que se aplicará no sólo a aquellos tratamientos de datos personales que se lleven a cabo dentro de China, sino también, en determinadas circunstancias, a otros tratamientos de datos personales relativos a personas físicas de China, aunque se lleven a cabo fuera de su territorio. Por ejemplo, cuando el tratamiento de los datos tenga como objetivo prestar productos o servicios a los ciudadanos chinos, o cuando se haga un seguimiento de personas dentro de China. Esto mismo ocurre en la aplicación del RGPD.
No obstante, existen algunas diferencias clave entre el sistema de protección de datos adoptado por el Gobierno chino y el de la UE. Esto lo vemos, por ejemplo, en el hecho de que no se incluye en el listado de bases de legitimación del tratamiento la satisfacción del interés legítimo del responsable del tratamiento de los datos, como sí se hace en el RGPD.
Otro elemento a destacar de la nueva PIPL es el hecho de que prevé una figura análoga al que, bajo el RGPD, recibe el nombre de Data Protection Officer o Delegado de Protección de Datos (DPO o DPD): “person in charge of personal information protection”. En su regulación, no obstante, existen muchas diferencias:
- En cuanto a las situaciones en que es obligatorio su nombramiento, la PIPL únicamente hace referencia a los casos en que un gran volumen de datos personales sean tratados, sin hacer referencia a otro criterio para determinar la obligatoriedad.
- En cuanto a las características y requisitos para adoptar este rol, la PIPL nada especifica, ni siquiera en relación al grado de formación con que se debe contar.
- Tampoco se detallan cuáles son las funciones de esta figura, más que el hecho de que se encargará de la “supervisión de las actividades de tratamiento de datos”.
- Una gran diferencia de esta nueva figura y el DPO es el hecho de que, a diferencia de lo que ocurre con el segundo, sí podrá ser responsable directo por daños que tengan lugar debido al ejercicio de sus funciones.
Sin duda, aunque se trate de una normativa que deberá ser desarrollada e interpretada, implica un gran paso hacia adelante por parte del gobierno chino de cara a la protección de los datos de sus ciudadanos, pudiendo incluso tener consecuencias para las transferencias internacionales de datos desde el Espacio Económico Europeo si llega a considerarse que, a partir de esta ley, China es un país con un nivel de protección equivalente al proporcionado por el RGPD.