ICP e legislação15 min de leituraFatos verificados em 1 de novembro de 2026

A lei de privacidade da China se aplica ao seu site?

Pode se aplicar, mesmo sem escritório ou servidor na China, e estar em dia com a LGPD não resolve a questão.

Hugo Debrabandere, Fundador, Index in Chinaconferido com 30 fontes

ICP e legislação

A lei de privacidade da China pode alcançar um site fora da China? Sim, pode

A resposta curta

Pode se aplicar. A PIPL alcança tratamentos feitos fora da China quando o objetivo é fornecer produtos ou serviços a pessoas na China ou analisar o comportamento delas. Não ter escritório nem servidor lá não encerra o assunto. Comentaristas apontam que sites feitos para compradores chineses provavelmente entram no alcance, mas não encontramos nenhum teste oficial.

A PIPL entrou em vigor em 1º de novembro de 2021, e o artigo 3 cita duas situações, mais uma cláusula geral, que alcançam tratamentos feitos fora da China.
Segundo a Hunton, um tribunal chinês considerou sujeito à PIPL um grupo hoteleiro registrado na França, com site hospedado no exterior, em caso publicado em 2024.
Esse tribunal concedeu RMB 20.000 e decidiu que marcar uma caixa em uma política de privacidade geral não é consentimento separado.
Regras simplificadas para quem trata dados de menos de 100.000 pessoas entraram em vigor em 1º de setembro de 2026, e o artigo 2 as direciona a quem está dentro da China.
Casos graves podem levar a multas de até RMB 50 milhões ou 5% do faturamento do ano anterior, pelo artigo 66.

Resumir com

ChatGPT

Claude

Perplexity

Quem já passou pela adequação à LGPD costuma achar que a parte de privacidade está resolvida. Na China, a questão depende de outra lei, e a maioria das respostas online diz ou que “a PIPL vale para todo mundo” ou que “só vale se você estiver na China”.

O texto da lei fica entre esses dois extremos, e essa nuance pesa se você está prestes a publicar páginas em chinês com um formulário de contato.

Veja o que a lei diz, o que segue em aberto e quais perguntas levar a um consultor local. Este texto faz parte do nosso guia sobre as regras para ter um site na China.

A PIPL se aplica sem escritório nem servidor na China?

Sim, pode se aplicar. A sua localização não é o critério. O artigo 3 aplica a PIPL ao tratamento, feito fora da China, de informações de pessoas na China nestes casos:¹

O objetivo é fornecer produtos ou serviços a pessoas na China.
O tratamento analisa ou avalia o comportamento de pessoas na China.
Outros casos definidos em lei ou regulamento administrativo.

A hospedagem não aparece nessa lista. A Chinafy afirma que um site hospedado fora da China está coberto se coletar leads de usuários chineses.²⁰

Há também um exemplo judicial. Em caso publicado em 2024, o Tribunal da Internet de Guangzhou decidiu contra um grupo hoteleiro francês por causa dos dados de reserva de um hóspede.³⁶

A Hunton descreve a ré como registrada na França, com site hospedado fora da China, e sujeita à PIPL por ter coletado informações de pessoas na China.³

PIPL e LGPD: o que muda para quem já está adequado?

Bastante, e o raciocínio de uma não se transfere automaticamente para a outra. As duas alcançam quem está fora do país, mas diferem em pontos que afetam um site:

Ponto	PIPL	LGPD
Alcance fora do país	Fornecer produtos ou serviços a pessoas na China, ou analisar o comportamento delas (art. 3) ¹	Oferta ou fornecimento de bens ou serviços, ou tratamento de dados de indivíduos no Brasil, ou dados coletados no Brasil (art. 3º) ²⁹
Legítimo interesse	Não consta no art. 13 ¹	Previsto no art. 7º, IX ²⁹
Representante local	Art. 53 exige do responsável estrangeiro coberto pelo art. 3 um escritório ou representante na China ¹	Sem equivalente ao art. 27 do GDPR, segundo a Barbieri Advogados ³⁰
Encarregado	Art. 52, acima de um volume definido pela CAC ¹	Art. 41 manda o controlador indicar um, e o § 3º permite à autoridade prever dispensas ²⁹
Multa máxima	RMB 50 milhões ou 5% do faturamento do ano anterior (art. 66) ¹	2% do faturamento no Brasil no último exercício, limitada a R$ 50 milhões por infração (art. 52, II) ²⁹

A CAC, citada ao longo deste guia, é a Administração do Ciberespaço da China, o órgão que regula o tema.

Para os fins deste guia, “responsável” é quem decide sobre o tratamento na PIPL, papel próximo ao do controlador na LGPD. É uma aproximação nossa, não uma equivalência legal.

O que conta como fornecer serviços a pessoas na China?

Em tudo o que conseguimos encontrar, nenhum órgão oficial traçou essa linha. A Sidley escreveu em maio de 2023, antes de sair a decisão de Guangzhou, que o alcance pleno dessa jurisdição “remains untested”, ou seja, ainda não havia sido testado.¹¹

A Mayer Brown apontou em 2021 uma diferença de texto em relação ao GDPR: a PIPL fala em “providing” (fornecer), e não em “offering” (oferecer), então pode atingir um site que não mira a China.⁸ A LGPD, por sua vez, usa as duas palavras no art. 3º, II: “oferta ou o fornecimento”.²⁹

A Prighter, que vende serviços de representante, diz que as autoridades chinesas não publicaram orientação, por isso toma emprestados sinais da orientação europeia sobre o GDPR.¹⁰ Eis o estado das opiniões publicadas:

Seu site	Opinião publicada	Situação
Sem versão em chinês, um pedido ocasional da China	Um e-commerce global “may be caught” (pode ser atingido) porque um cliente está na China, segundo a Mayer Brown ⁸	Em aberto: leitura de 2021, e não encontramos texto oficial sobre esse caso
Idioma chinês, pagamento em RMB ou entrega na China	Sinais de oferta de serviços, segundo a Prighter ¹⁰	Emprestado da orientação europeia, não é um teste chinês
Anúncios comportamentais ou rastreamento por cookies de pessoas na China	Um sinal de “análise”, segundo a Prighter ¹⁰	A Morrison Foerster trata a análise comportamental como base separada de alcance ⁷
Páginas em chinês só com formulário de consulta, sem venda online	Não abordado em nada do que lemos	Em aberto: pergunte a um consultor local

A última linha é o cenário provável de muitas empresas estrangeiras de serviços, e é a menos documentada.

Uma página em chinês escrita para conquistar clientes chineses parece próxima do objetivo descrito no artigo 3. Essa é a nossa leitura, não uma decisão. Planejar como se a lei valesse para você é a escolha prudente.

Fig. 1Três perguntas para situar o seu site

1Suas páginas buscam clientes localizados na China?
2Você coleta informações pessoais deles ou rastreia o comportamento deles?
3A coleta está ligada a atendê-los?
4Três sinsPlaneje como se a PIPL se aplicasse.
5Dúvida em uma delasPergunte a um consultor local.

Empresa pequena tem um regime mais leve?

Não conte com isso. A PIPL em si não fixa porte mínimo, como observou a Morrison Foerster em 2021.⁷ Existem regras novas para pequenos responsáveis, mas elas podem não ter sido escritas para você.

A China publicou medidas simplificadas para quem trata dados de menos de 100.000 pessoas, em vigor desde 1º de setembro de 2026.⁹²²

O artigo 2 as aplica a pequenos responsáveis “dentro da República Popular da China” (tradução nossa).⁹

Nada no texto, no Q&A da CAC ou nas notas da CMS e da China Briefing diz que uma empresa estrangeira sem presença na China pode usar essas regras.⁹²³²⁴²⁵ Não lemos os dois formulários anexos.

Elas importam, sim, se você tem uma pequena subsidiária chinesa. As Disposições trazem estas simplificações:⁹

Tema	Medida simplificada
Aviso de privacidade (arts. 4 e 6)	Conteúdo mínimo mais curto. Publicar as regras pode bastar se os dados forem necessários e não forem compartilhados
Consentimento (art. 7)	Você pode tratar o que as pessoas fornecem livremente, bem informadas, para obter o seu serviço, conforme as regras publicadas
Transferência internacional (art. 10)	Sem avaliação, contrato padrão ou certificação nos casos listados, como uma real necessidade contratual
Auditorias (art. 13)	Ao menos a cada cinco anos, com um autodiagnóstico anexo guardado por cinco anos
Infrações leves (art. 18)	Sem penalidade se corrigidas prontamente e sem dano

Dados sensíveis continuam exigindo consentimento separado, e menores de 14 anos têm regras próprias.⁹ O artigo 10 mantém os deveres de aviso e de consentimento separado para dados enviados ao exterior.⁹

O que um site alcançado pela lei precisa fazer?

Precisa dizer às pessoas o que faz, ter uma base legal e respeitar os direitos delas. Estas são as regras que tocam um site institucional típico:

Dever	Fonte	No seu site
Aviso antes da coleta	PIPL art. 17 ¹	Quem você é, contato, finalidade, método, tipos de dados, retenção, como exercer direitos
Base legal	Art. 13 ¹	Consentimento, ou necessidade para um contrato com a pessoa, entre outras
Consentimento válido	Arts. 14 a 16 ¹	Informado e explícito, fácil de retirar, novo consentimento se a finalidade mudar, sem recusar serviço por dados de que você não precisa
Só o necessário	Regulamento de 2024, art. 22 ²	Nenhum campo extra no formulário além do que o serviço pede
Compartilhar com outra empresa	Art. 23 ¹	Nomear o destinatário e obter consentimento separado
Dados sensíveis	Arts. 28 a 31 ¹	Consentimento separado, e dos pais para menores de 14 anos
Pedidos das pessoas	Arts. 45, 47 e 50 ¹	Um caminho que funcione para acessar, copiar e excluir

Uma diferença surpreende quem vem da LGPD. O artigo 13 da PIPL não tem a base de legítimo interesse,¹ prevista no art. 7º, IX, da lei brasileira,²⁹ então o hábito construído em cima dela não se transfere.

O que isso significa para o seu formulário de leads

O formulário de contato costuma ser o principal ponto de coleta. Esta é uma configuração prudente para revisar com o seu consultor.

Corte campos. Mantenha o necessário para responder à consulta.
Coloque o aviso junto ao formulário. Inclua o link para as regras antes do botão de envio.
Separe o marketing. Ofereça newsletters e follow-ups como opção à parte, desmarcada.
Trate parceiros à parte. Se um distribuidor vai receber o lead, nomeie-o e peça consentimento separado.
Guarde um registro. A culpa é presumida em pedidos de indenização pelo artigo 69, então convém ter como provar.¹
Planeje a exclusão. Diga por quanto tempo guarda um lead e como pedir a remoção.

Responder a um pedido de orçamento pode se encaixar na base contratual do artigo 13. O marketing não vem junto: o tribunal de Guangzhou disse que marketing sem consentimento não é necessário para executar um contrato.⁴

Ferramentas de formulário e CRMs também precisam de verificação. Um fornecedor que trabalha para você entra no tratamento confiado a terceiro, que pede um contrato e supervisão.¹

Nosso guia sobre reCAPTCHA e formulários na China cobre o lado técnico.

Não encontramos nenhuma regra que diga isso expressamente, e as fontes divergem. A própria FlexyConsent observa que a PIPL não menciona cookies de forma específica.¹⁴

Fonte	Posição
Morrison Foerster, agosto de 2023	Banners não são comuns nem expressamente exigidos pela PIPL, “at least not yet” (pelo menos por enquanto) ¹²
FlexyConsent, junho de 2026 (vende ferramentas de consentimento)	Sites devem mostrar consentimento geodirecionado a visitantes na China ¹⁴
CookieChimp, sem data (vende ferramentas de consentimento)	Opt-in obrigatório, cookies não essenciais desligados por padrão ¹³

As afirmações dos fornecedores têm interesse comercial e citam pouco ou nada além da lei. Ainda assim, rastrear pessoas na China pode esbarrar na parte do artigo 3 sobre analisar comportamento.¹

Verificação gratuita

Seu site aparece no Baidu?

Informe seu site. Verificamos o Baidu, o acesso a partir da China e a configuração do site, e enviamos o relatório por e-mail.

A política de privacidade precisa estar em chinês?

A lei não diz isso, mas nós escreveríamos em chinês. O artigo 17 exige linguagem clara e compreensível e não cita um idioma específico.¹

Fornecedores como a FlexyConsent recomendam avisos em chinês simplificado.¹⁴

Não é evidente que quem lê sua página em chinês e recebe um aviso só em português ou inglês tenha sido informado. A tradução também obriga você a dizer com exatidão o que faz.

O Regulamento de 2024 acrescenta que as regras de tratamento devem ficar reunidas e fáceis de encontrar.²

Você precisa de um representante na China?

Se o segundo parágrafo do artigo 3 cobre o seu caso, o texto diz que sim. O artigo 53 exige que o responsável estrangeiro abra um escritório ou nomeie um representante na China e informe os contatos dele.¹

O Regulamento de 2024 especifica o destinatário: o órgão de ciberespaço de nível municipal do local onde está o escritório ou o representante.²

Aqui a LGPD não ajuda como referência: segundo a Barbieri Advogados, ela não reproduz o representante que o art. 27 do GDPR exige.³⁰

A K&L Gates lê o dever como aplicável independentemente do volume de dados, e disse em janeiro de 2022 que havia “no clear guidance” (nenhuma orientação clara) sobre como nomear um.¹⁵

Pesquisamos e não encontramos procedimento publicado desde então. Também não conseguimos verificar o que acontece se você não tiver um.

Esta é a primeira pergunta a fazer a um consultor local.

Enviar um lead à matriz é transferência internacional?

Depende de quem coletou. O caso mais claro é uma empresa na China passando dados para o exterior. O mais nebuloso é o seu site estrangeiro coletando diretamente.

Fluxo	Leitura
Subsidiária ou agente chinês envia leads à sua matriz	Uma transferência: condições do art. 38, mais aviso e consentimento separado do art. 39 ¹, embora o Q&A da CAC dispense o consentimento, não o aviso, quando outra base do art. 13 se aplica ¹⁸
Visitante na China envia um formulário ao seu site estrangeiro	Disputado: veja abaixo
Você repassa esse lead a parceiros no exterior para marketing	A conduta em discussão no caso de Guangzhou ⁴

Sobre a coleta direta, a Withers escreveu em 2023 que a questão é controversa. Ela prefere a visão de que isso não é uma transferência para o exterior e relata a visão oposta.¹⁶ A CMS registrou essa visão entre profissionais da área em 2022, e também uma minuta de certificação que parecia sugerir o contrário.¹⁷

Um documento posterior da CAC aponta para o outro lado. A AllBright relata que a segunda edição do guia de avaliação da CAC, em 2024, incluiu o tratamento do artigo 3(2) na lista de exportações de dados.²⁷

Isso não resolve o seu caso. A AllBright diz que o guia não dá resposta clara quando não há outra parte chinesa envolvida.²⁷ A Deheng aponta que, nesse cenário, não existe responsável dentro da China para fazer um registro.²⁸ Lemos esses comentários, não o guia nem sua terceira edição, mais recente.

O resumo da Hunton sobre o Q&A da CAC de 24 de julho de 2026 não trata da coleta direta, e não lemos o Q&A em si.¹⁸

Ele cobre, sim, o consentimento separado: precisa ser específico, não pode vir embutido e pode ser dado por pop-up, documento assinado ou resposta por e-mail ou mensagem de texto.¹⁸

A Paul Weiss relata a mesma lógica no tribunal: uma caixa de seleção em uma política geral não conta.⁵

Se um parceiro chinês reúne os seus leads, veja como vender para a China sem estar lá e como operar sem empresa chinesa.

Qual é o risco real para uma empresa estrangeira?

O teto é severo, mas os casos que lemos envolvem empresas com vínculo com a China. Veja o que preveem os artigos 66 e 42:¹

Situação	Consequência
Qualquer infração	Ordem de correção, advertência, confisco de ganhos ilegais, suspensão de um app infrator
Recusa em corrigir	Até RMB 1 milhão, mais RMB 10.000 a 100.000 para as pessoas responsáveis
Caso grave	Até RMB 50 milhões ou 5% do faturamento do ano anterior, possível suspensão das atividades, mais RMB 100.000 a 1 milhão para as pessoas responsáveis
Entidade estrangeira que prejudica direitos de cidadãos chineses	Inclusão em lista que restringe o fornecimento de dados a ela (art. 42)

E veja o que de fato foi relatado:

Caso	Quem	Resultado
Tribunal da Internet de Guangzhou, publicado em 2024	Grupo hoteleiro francês, com afiliada de Xangai como corré	Pedido de desculpas por escrito, exclusão de dados, RMB 20.000 ³⁴
CAC de Xangai, maio de 2025	Afiliada em Xangai de uma marca de luxo	Punida, valor não informado pela DLA Piper ¹⁹
CAC de Xangai, casos de 2025	Multinacional, listada pela DLA Piper entre “domestic enterprises” (empresas domésticas) dos setores de hotelaria e imóveis	Multada por descumprir uma decisão de avaliação de transferência, valor não informado ¹⁹
CAC de Xangai, junho de 2026	Ctrip, com sede em Xangai	RMB 10 milhões e ordem de correção ¹⁹

Não encontramos penalidade da CAC contra empresa estrangeira sem presença na China. A DLA Piper acrescenta que outros escritórios provinciais não publicam casos como Xangai faz.¹⁹ Não ter encontrado casos não prova que há segurança nem substitui um plano de conformidade.

O caso de Guangzhou nasceu da ação de um único cliente, então o regulador não é o único caminho. O artigo 70 também permite que promotores e organizações designadas processem quando muitas pessoas são afetadas.¹

Verdict

Não baseie o seu planejamento na multa máxima nem na falta de casos. Corrija o fluxo de consentimento que você controla e busque orientação para o resto.

O que perguntar a um consultor local

Leve estas perguntas, com uma lista do que as suas páginas coletam:

Minhas páginas em chinês se enquadram no artigo 3, considerando o que vendo e como vendo?
Preciso de um representante do artigo 53, e quem pode assumir esse papel?
Meu formulário conta como transferência internacional ou como coleta direta?
Qual base legal serve para uma consulta, e o que exige consentimento?
Como devem ser meu aviso de privacidade em chinês e o tratamento de cookies?

Nosso checklist para lançar um site na China ajuda a reunir os fatos antes. Se você vende para pessoas na China, pense nisso antes do lançamento, não depois.

Se você guardar uma coisa só

Se as suas páginas buscam clientes na China e coletam os dados deles, planeje como se a PIPL se aplicasse, onde quer que esteja o servidor.

Comece pelo que você controla: menos campos, um aviso claro em chinês e consentimento separado para marketing.

Leve as questões de representante e de transferência a um consultor local, porque a orientação publicada não as resolve.

Como a Index in China pode ajudar

Traduzimos sites para o chinês simplificado com revisão humana e trabalhamos para que eles sejam indexados pelos buscadores chineses.

Não damos consultoria jurídica, e avisamos quando o seu caso pede um consultor local. Veja o que fazemos ou agende uma reunião de 30 minutos.

Agendar uma chamada de 30 minutos

Perguntas frequentes

A PIPL se aplica a cidadãos chineses que moram fora da China?

Não pela redação do artigo 3, que fala de pessoas localizadas na China, e não de nacionalidade. Lido ao pé da letra, um cidadão chinês em São Paulo que preenche o seu formulário fica fora dessa cláusula, enquanto um engenheiro brasileiro em Xangai fica dentro. A LGPD continua valendo para esse visitante, então trate-o como qualquer outro.

A PIPL me obriga a guardar dados na China?

Não por padrão. O artigo 40 exige armazenamento local de operadores de infraestrutura crítica e de responsáveis acima de um volume definido pela CAC. A Chinafy, um fornecedor, fala em cerca de 1 milhão de pessoas sem citar norma,²⁰ e não encontramos texto da CAC que fixe esse número. O artigo trata de dados coletados e gerados dentro da China, então consulte um advogado se a sua operação for grande.

A PIPL cobre contatos profissionais em um formulário B2B?

Planeje como se cobrisse. O artigo 4 abrange informações registradas sobre qualquer pessoa identificável, e não encontramos nele exceção para e-mails corporativos ou cartões de visita. O artigo 13 permite, sim, o uso razoável de informações já tornadas públicas, mas essa base tem limites, então uma lista de contatos extraída da internet não está automaticamente segura.

Posso evitar a PIPL bloqueando visitantes da China?

Na nossa leitura, se você não coleta nada de pessoas na China, sobra pouco para a lei alcançar, mas você também abriu mão do mercado. Isso não resolve páginas feitas para compradores chineses. Se a China não é um alvo, não coletar esses dados é mais simples do que montar um programa de conformidade para eles.

A licença ICP cobre a PIPL?

Não. Elas respondem a perguntas diferentes. O ICP trata de quem pode operar um site em servidores da China continental, enquanto a PIPL trata do que você faz com os dados das pessoas, onde quer que o site esteja. Ter um não atende ao outro, e um site hospedado no Brasil sem ICP ainda pode estar sujeito à PIPL se atender ao artigo 3.

Também preciso de um encarregado de dados para a PIPL?

É um dever à parte. O artigo 52 exige um responsável pela proteção de informações pessoais acima de um volume definido pela CAC, enquanto o artigo 53 não fixa volume para o representante. Um aviso da CAC de julho de 2025 manda quem trata dados de 1 milhão de pessoas ou mais comunicar os dados desse responsável.²⁶ O aviso não menciona estrangeiros, então pergunte ao seu consultor.