PIPL e GDPR: la legge cinese sulla privacy si applica al vostro sito?

Online si trovano soprattutto due risposte: «la PIPL vale per tutti» oppure «solo se siete in Cina». Il testo della legge cinese sta nel mezzo, e la differenza pesa se state per aggiungere pagine in cinese e un modulo di contatto.

Vediamo che cosa dice la legge, che cosa resta aperto e quali domande portare a un consulente locale. Questa pagina fa parte della nostra guida alle norme per un sito web in Cina.

La PIPL si applica se non avete uffici né server in Cina?

Sì, può applicarsi. Il criterio non è dove vi trovate. L’articolo 3 estende la PIPL ai trattamenti svolti fuori dalla Cina sulle informazioni di persone che si trovano in Cina, in questi casi:¹

• La finalità è fornire prodotti o servizi a persone in Cina.
• Il trattamento analizza o valuta il comportamento di persone in Cina.
• Altri casi previsti da leggi o regolamenti amministrativi.

L’hosting non compare nell’elenco. Chinafy afferma che un sito ospitato fuori dalla Cina è coperto se raccoglie contatti di utenti cinesi.²⁰

Esiste anche un caso giudiziario. In una vicenda pubblicata nel 2024, il Tribunale di Internet di Guangzhou si è pronunciato contro un gruppo alberghiero francese per i dati di prenotazione di un ospite.³⁶

Hunton descrive la convenuta come registrata in Francia, con il sito ospitato fuori dalla Cina, e soggetta alla PIPL perché raccoglieva informazioni da persone in Cina.³

Essere conformi al GDPR basta?

No. Aiuta, ma non sostituisce un’analisi sulla PIPL. Agenda Digitale scriveva nel 2021 che le aziende già adeguate al GDPR partono avvantaggiate,³⁰ e informativa e registri possono essere un buon punto di partenza. Le differenze però toccano proprio un sito con un modulo:

Tema	Nel GDPR	Nella PIPL
Legittimo interesse	Base giuridica prevista dall’articolo 6, par. 1, lett. f 33	Assente dall’articolo 13 1
Ambito extraterritoriale	Le Linee guida EDPB 3/2018 chiedono di verificare l’intenzione di offrire, secondo Cybersecurity360 29	La formulazione potrebbe applicarsi anche senza una reale intenzione, secondo lo stesso articolo 29
Cookie	Linee guida dettagliate del Garante (2021) 32	Nessuna regola espressa trovata (vedi sotto)
Trasferimenti	Il consenso è raramente una base valida, secondo Agenda Digitale 30	Informativa e consenso separato (articolo 39), con una sfumatura delle Q&A della CAC 118

I commentatori italiani non concordano nemmeno sulla somiglianza di fondo. Agenda Digitale definisce il meccanismo territoriale «pressoché identico» a quello del GDPR,³⁰ mentre gli autori di Deloitte Legal su Cybersecurity360 vedono una possibile portata più ampia.²⁹ Sul rappresentante, Carlo Impalà su NT+ Diritto parla di un’evidente influenza del GDPR.³¹

Questi commenti sono del periodo 2021-2023: precedono la decisione di Guangzhou e le regole del 2026. Il GDPR continua comunque a valere per voi: la PIPL, se si applica, si aggiunge e non lo sostituisce.

Che cosa significa fornire servizi a persone in Cina?

In ciò che abbiamo potuto trovare, nessuna fonte ufficiale ha fissato il confine. Sidley scriveva a maggio 2023, prima che uscisse la decisione di Guangzhou, che la piena portata di questa giurisdizione «remains untested», cioè non è ancora stata messa alla prova.¹¹

Mayer Brown segnalava nel 2021 una differenza testuale rispetto al GDPR: la PIPL parla di «fornire» e non di «offrire», quindi potrebbe colpire anche un sito non rivolto alla Cina.⁸

Prighter, che vende servizi di rappresentanza, afferma che le autorità cinesi non hanno pubblicato indicazioni, e prende quindi a prestito i segnali delle linee guida europee sul GDPR.¹⁰ Ecco dove si collocano i pareri pubblicati:

Il vostro sito	Parere pubblicato	Stato
Nessuna versione cinese, qualche ordine occasionale dalla Cina	Un e-commerce globale «may be caught», può rientrarvi, perché un cliente è in Cina, secondo Mayer Brown 8	Aperto: lettura del 2021, nessun testo ufficiale trovato su questo caso
Lingua cinese, pagamento in RMB o consegna in Cina	Segnali di offerta di servizi, secondo Prighter 10	Presi in prestito dalle linee guida UE, non un criterio cinese
Pubblicità comportamentale o cookie di tracciamento su persone in Cina	Un segnale di «analisi», secondo Prighter 10	Morrison Foerster considera l’analisi comportamentale una base distinta di applicazione 7
Pagine cinesi con solo un modulo di richiesta, nessuna vendita online	Non trattato in nulla di ciò che abbiamo letto	Aperto: chiedete a un consulente locale

L’ultima riga è la configurazione probabile di molte aziende di servizi straniere, ed è la meno documentata.

Sul fronte italiano, Cybersecurity360 immagina un e-commerce alimentare con sede in Italia, con sito multilingue accessibile dalla Cina e consegna anche ad acquirenti cinesi: secondo gli autori dovrebbe conformarsi alla PIPL. Se invece la fornitura è involontaria o fortuita, a loro avviso il trattamento non dovrebbe rientrarvi, come per il GDPR.²⁹

Una pagina cinese scritta per conquistare clienti cinesi sembra vicina alla finalità descritta dall’articolo 3. È una nostra lettura, non una decisione. Organizzarsi come se la legge si applicasse è la scelta prudente.

1. 1Le vostre pagine cercano clienti che si trovano in Cina?
2. 2Raccogliete loro informazioni personali o ne tracciate il comportamento?
3. 3La raccolta è legata a un servizio per loro?
4. 4Tre sìOrganizzatevi come se la PIPL si applicasse.
5. 5Dubbio su unaChiedete a un consulente locale.

Una piccola impresa ha un regime più leggero?

Non datelo per scontato, anche se siete una PMI. La PIPL in sé non prevede soglie dimensionali, come notava Morrison Foerster nel 2021.⁷ Esistono nuove regole per i piccoli titolari del trattamento, ma potrebbero non essere scritte per voi.

La Cina ha pubblicato misure semplificate per i titolari che trattano dati di meno di 100.000 persone, in vigore dal 1° settembre 2026.⁹²²

L’articolo 2 le applica ai piccoli titolari «nel territorio della Repubblica popolare cinese» (traduzione nostra).⁹

Né il testo, né le Q&A della Cyberspace Administration of China (CAC, l’autorità cinese del cyberspazio), né le note di CMS e China Briefing dicono che una società straniera senza presenza in Cina possa usare queste regole.^9232425 I due moduli allegati non sono stati letti.

Contano invece se gestite una piccola controllata cinese. Le Disposizioni prevedono queste semplificazioni:⁹

Tema	Misura semplificata
Informativa (artt. 4 e 6)	Contenuto minimo ridotto. Può bastare pubblicare le regole, se i dati sono necessari e non vengono condivisi
Consenso (art. 7)	Potete trattare ciò che le persone forniscono liberamente, pienamente informate, per ottenere il vostro servizio, secondo le regole pubblicate
Dati all’estero (art. 10)	Nessuna valutazione, contratto tipo o certificazione nei casi elencati, come una reale necessità contrattuale
Audit (art. 13)	Almeno ogni cinque anni, con un’autovalutazione allegata conservata per cinque anni
Violazioni lievi (art. 18)	Nessuna sanzione se corrette tempestivamente e senza danni

I dati sensibili richiedono comunque un consenso separato, e per i minori di 14 anni valgono regole proprie.⁹ L’articolo 10 mantiene gli obblighi di informativa e di consenso separato per i dati inviati all’estero.⁹

Che cosa deve fare un sito che rientra nella PIPL?

Deve dire alle persone che cosa fa, avere una base giuridica e rispettare i loro diritti. Queste sono le regole che toccano un tipico sito di marketing:

Obbligo	Fonte	Sul vostro sito
Informativa prima della raccolta	PIPL art. 17 1	Chi siete, contatto, finalità, modalità, tipi di dati, conservazione, come esercitare i diritti
Base giuridica	Art. 13 1	Consenso, o necessità per un contratto con quella persona, tra le altre
Consenso valido	Artt. 14-16 1	Informato ed esplicito, facile da revocare, nuovo consenso se cambia la finalità, nessun rifiuto del servizio per dati non necessari
Solo ciò che serve	Regolamento cinese sulla sicurezza dei dati di rete, art. 22 2	Nessun campo del modulo oltre quanto serve al servizio
Condivisione con un’altra società	Art. 23 1	Indicare il destinatario, ottenere un consenso separato
Dati sensibili	Artt. 28-31 1	Consenso separato, e consenso dei genitori sotto i 14 anni
Richieste delle persone	Artt. 45, 47 e 50 1	Una procedura funzionante per accedere ai dati, copiarli e cancellarli

Una differenza sorprende chi viene dal GDPR. L’articolo 13 non prevede il legittimo interesse,¹ che invece compare nell’articolo 6 del GDPR.³³ Una prassi fondata su quella base non si trasferisce alle pagine cinesi.

Che cosa significa per il vostro modulo contatti

Il modulo di contatto è di solito il principale punto di raccolta. Ecco un’impostazione prudente da rivedere con il vostro consulente.

1. Riducete i campi. Tenete ciò che serve per rispondere alla richiesta.
2. Mettete l’informativa accanto al modulo. Collegate le regole prima del pulsante di invio.
3. Separate il marketing. Proponete newsletter e ricontatti come scelta facoltativa, non preselezionata.
4. Trattate a parte i partner. Se un distributore riceverà il contatto, indicatelo e chiedete un consenso separato.
5. Conservate una traccia. Nelle richieste di risarcimento la colpa è presunta, secondo l’articolo 69: è bene poter dimostrare ciò che avete fatto.¹
6. Prevedete la cancellazione. Dite per quanto tempo conservate un contatto e come chiederne la rimozione.

Rispondere a una richiesta di preventivo può rientrare nella base contrattuale dell’articolo 13. Il marketing non ne discende: il tribunale di Guangzhou ha affermato che il marketing senza consenso non è necessario per eseguire un contratto.⁴

Anche gli strumenti per i moduli e i CRM vanno controllati. Un fornitore che lavora per voi rientra nel trattamento affidato a terzi, che richiede un accordo e una supervisione.¹

Il lato tecnico è trattato nella nostra guida a moduli e reCAPTCHA in Cina.

Serve un banner cookie per i visitatori cinesi?

Non abbiamo trovato una regola che lo dica espressamente, e le fonti non concordano. La stessa FlexyConsent nota che la PIPL non menziona i cookie in modo specifico.¹⁴

Fonte	Posizione
Morrison Foerster, agosto 2023	Banner poco diffusi e non espressamente richiesti dalla PIPL, «at least not yet», almeno per ora 12
FlexyConsent, giugno 2026 (vende strumenti di consenso)	I siti dovrebbero mostrare un consenso geolocalizzato ai visitatori in Cina 14
CookieChimp, senza data (vende strumenti di consenso)	Opt-in obbligatorio, cookie non essenziali disattivati per impostazione predefinita 13

Le affermazioni dei fornitori hanno un interesse commerciale e citano poco o nulla oltre alla legge. Resta il fatto che tracciare persone in Cina può chiamare in causa la parte dell’articolo 3 sull’analisi del comportamento.¹

In Italia il quadro è molto più preciso. Le Linee guida del Garante del 10 giugno 2021 vietano di installare cookie non tecnici al primo accesso senza consenso ed escludono il legittimo interesse come giustificazione.³² Nessuna fonte letta dice se un banner impostato così basti per la PIPL, né il contrario.

Verifica gratuita

Il vostro sito è visibile su Baidu?

Inserite il vostro sito. Verifichiamo Baidu, l'accesso dalla Cina e la configurazione del sito, poi vi inviamo il report via email.

Il vostro sitoVerifica il mio sito

L’informativa privacy deve essere in cinese?

La legge non lo impone, ma noi la scriveremmo in cinese. L’articolo 17 chiede un linguaggio chiaro e comprensibile e non indica una lingua specifica.¹

Fornitori come FlexyConsent raccomandano informative in cinese semplificato.¹⁴

Chi legge la vostra pagina cinese e trova un’informativa solo in italiano o in inglese non è detto che sia stato davvero informato. La traduzione obbliga inoltre a dichiarare con esattezza ciò che fate.

Il regolamento cinese del 2024 sulla sicurezza dei dati di rete aggiunge che le regole di trattamento devono essere raccolte in un unico punto e facili da trovare.²

Serve un rappresentante in Cina?

Se rientrate nel secondo comma dell’articolo 3, il testo dice di sì. L’articolo 53 impone al titolare straniero di istituire un ufficio o nominare un rappresentante in Cina, e di comunicarne i recapiti.¹

Lo stesso regolamento cinese precisa il destinatario: l’ufficio per il cyberspazio a livello di città in cui si trovano l’ufficio o il rappresentante.²

K&L Gates ritiene che l’obbligo valga indipendentemente dal volume dei dati, e scriveva a gennaio 2022 che non c’era «no clear guidance», cioè nessuna indicazione chiara, su come nominarlo.¹⁵

Abbiamo cercato e non abbiamo trovato alcuna procedura pubblicata da allora. Non abbiamo nemmeno potuto verificare che cosa accada se non lo si ha.

È la prima domanda da porre a un consulente locale.

Inviare un contatto alla sede centrale è un trasferimento transfrontaliero?

Dipende da chi lo ha raccolto. Il caso più chiaro è una società in Cina che invia dati all’estero. Quello meno chiaro è il vostro sito straniero che raccoglie direttamente.

Flusso	Lettura
Controllata o agente cinese invia i contatti alla vostra sede	Un trasferimento: condizioni dell’art. 38, più informativa e consenso separato ai sensi dell’art. 39 1, anche se le Q&A della CAC eliminano il consenso, non l’informativa, quando si applica un’altra base dell’art. 13 18
Un visitatore in Cina invia un modulo al vostro sito straniero	Controverso: vedi sotto
Passate quel contatto a partner all’estero per il marketing	La condotta contestata nel caso di Guangzhou 4

La sfumatura conta se leggete fonti italiane del 2021: Agenda Digitale scriveva allora che per i trasferimenti il consenso è «sempre obbligatorio».³⁰

Sulla raccolta diretta, Withers scriveva nel 2023 che la questione è controversa. Preferisce la tesi secondo cui non si tratta di un trasferimento in uscita, e riporta la tesi opposta.¹⁶ CMS segnalava questa posizione dei professionisti nel 2022, insieme a una bozza sulla certificazione che sembrava implicare il contrario.¹⁷

Un documento successivo della CAC va nell’altra direzione. AllBright riferisce che la seconda edizione della sua guida alla valutazione, nel 2024, ha aggiunto i trattamenti dell’articolo 3, comma 2, all’elenco delle esportazioni di dati.²⁷

Questo non risolve il vostro caso. AllBright afferma che la guida non dà una risposta chiara quando non è coinvolta alcuna altra parte cinese.²⁷ Deheng osserva che manca allora un titolare nazionale che possa effettuare una registrazione.²⁸ Abbiamo letto questi commenti, non la guida né la sua terza edizione successiva.

La sintesi di Hunton delle Q&A della CAC del 24 luglio 2026 non affronta la raccolta diretta, e non abbiamo letto le Q&A stesse.¹⁸

Tratta però il consenso separato: deve essere specifico, non può essere accorpato e può arrivare tramite pop-up, documento firmato o risposta via e-mail o SMS.¹⁸

Paul Weiss riporta la stessa logica del tribunale: una casella su un’informativa generale non basta.⁵

Se un partner cinese raccoglie i vostri contatti, consultate vendere senza essere in Cina e operare senza una società cinese.

Qual è il rischio reale per un’azienda straniera?

Le sanzioni massime sono severe, ma i casi che abbiamo letto riguardano società con un legame con la Cina. Ecco che cosa prevedono gli articoli 66 e 42:¹

Situazione	Conseguenza
Qualsiasi violazione	Ordine di adeguamento, avvertimento, confisca dei proventi illeciti, sospensione dell’app in violazione
Rifiuto di adeguarsi	Fino a RMB 1 milione, più da RMB 10.000 a 100.000 per i responsabili
Caso grave	Fino a RMB 50 milioni o al 5% del fatturato dell’anno precedente, possibile sospensione dell’attività, più da RMB 100.000 a 1 milione per i responsabili
Soggetto straniero che lede i diritti di cittadini cinesi	Inserimento in un elenco che limita la fornitura di dati a quel soggetto (art. 42)

Ed ecco che cosa è stato effettivamente riportato:

Caso	Chi	Esito
Tribunale di Internet di Guangzhou, pubblicato nel 2024	Gruppo alberghiero francese, con società collegata di Shanghai tra i convenuti	Scuse scritte, cancellazione, RMB 20.000 34
CAC di Shanghai, maggio 2025	Società di Shanghai collegata a un marchio del lusso	Sanzionata, importo non indicato da DLA Piper 19
CAC di Shanghai, casi del 2025	Multinazionale, indicata da DLA Piper tra le «domestic enterprises» (imprese nazionali) nei settori alberghiero e immobiliare	Multata per aver violato una decisione di valutazione sul trasferimento, importo non indicato 19
CAC di Shanghai, giugno 2026	Ctrip, con sede a Shanghai	RMB 10 milioni e ordine di adeguamento 19

Non abbiamo trovato alcuna sanzione della CAC contro una società straniera senza presenza in Cina. DLA Piper aggiunge che gli altri uffici provinciali non pubblicano i casi come fa Shanghai.¹⁹ L’assenza dalle nostre letture non è una prova di sicurezza, e non è un piano di conformità.

Il caso di Guangzhou nasce dall’azione di un solo cliente, quindi l’autorità non è l’unica via. L’articolo 70 consente inoltre a pubblici ministeri e organizzazioni designate di agire quando sono coinvolte molte persone.¹

Che cosa chiedere a un consulente locale

Portate al consulente queste domande e l’elenco dei dati raccolti dalle vostre pagine:

1. Le mie pagine cinesi rientrano nell’articolo 3, dati ciò che vendo e come lo vendo?
2. Mi serve un rappresentante ai sensi dell’articolo 53, e chi può ricoprire quel ruolo?
3. Il mio modulo comporta un trasferimento transfrontaliero o una raccolta diretta?
4. Quale base giuridica vale per una richiesta di contatto, e che cosa richiede il consenso?
5. Come devono essere l’informativa in cinese e la gestione dei cookie?

La nostra checklist per un sito web in Cina vi aiuta a raccogliere prima i fatti. Se vendete a persone in Cina, pensateci prima del lancio, non dopo.

Se dovete ricordare una sola cosa

Se le vostre pagine cercano clienti in Cina e ne raccolgono i dati, organizzatevi come se la PIPL si applicasse, ovunque si trovi il server. Il GDPR è una base, non una risposta.

Cominciate da ciò che dipende da voi: meno campi, un’informativa chiara in cinese e un consenso separato per il marketing.

Portate le questioni del rappresentante e dei trasferimenti a un consulente locale, perché le indicazioni pubblicate non le risolvono.

Come può aiutarvi Index in China

Traduciamo i siti in cinese semplificato con un revisore umano e lavoriamo per farli indicizzare dai motori di ricerca cinesi.

Non forniamo consulenza legale e vi diremo quando il vostro caso richiede un consulente locale. Scoprite che cosa facciamo oppure prenotate una chiamata di 30 minuti.

Prenota una chiamata di 30 minuti

Report mensile BaiduIndicizzato Bing ChinaIndicizzato SogouIndicizzato