PIPL для электронной коммерции: сбор данных и согласие на маркетинг в Китае

Закон о защите персональных данных КНР (Personal Information Protection Law, PIPL), вступивший в силу 01.11.2021, требует от интернет-магазинов собирать данные в минимальном объёме, получать явное согласие и предлагать отказ от персонализированного маркетинга. Штрафы достигают 50 млн юаней или 5 % годового оборота, а за нарушение правил рассылок — до 30 000 юаней.

Quick Facts

Что такое PIPL и на кого она распространяется

PIPL — это основной закон КНР о персональных данных, принятый 20.08.2021 и вступивший в силу 01.11.2021; он состоит из 8 глав и 74 статей. Закон распространяется на любую обработку персональных данных физических лиц на территории Китая, включая иностранные интернет-магазины, продающие китайским потребителям.

Для электронной коммерции это означает, что каждый шаг — регистрация покупателя, оформление заказа, рассылка промоакций, работа с логистикой — подпадает под требования закона. Полный текст закона опубликован Управлением по киберпространству КНР (Cyberspace Administration of China, CAC) в официальном источнике Полный текст закона о защите персональных данных КНР.

Как правило, вам потребуется оценить, какие данные вы собираете, на каком основании и как получаете согласие — до запуска магазина, а не после первых вопросов регулятора.

Какие данные можно собирать: принцип минимальной необходимости

Статья 6 PIPL устанавливает принцип минимальной необходимости: сбор данных ограничивается наименьшим объёмом, достаточным для достижения цели обработки, а избыточный сбор запрещён. На практике это значит, что для доставки заказа нужны имя, адрес и телефон, но не список контактов из телефона покупателя.

Регулятор закрепил конкретные признаки нарушения. Согласно Методике определения незаконного сбора персональных данных приложениями, к нарушениям принципа необходимости относятся шесть ситуаций, например отказ в обслуживании, если пользователь не дал согласие на необязательные разрешения, или запрос нескольких разрешений одновременно. К нарушениям порядка сбора относятся девять ситуаций, включая сбор данных до получения согласия, предустановленное согласие (галочка по умолчанию) и продолжение сбора после отказа.

Для интернет-магазина это означает простой тест: для каждой категории данных задайте вопрос «что случится с заказом, если мы эти данные не соберём?» Если ответ «ничего», сбор, скорее всего, избыточен.

Как должно выглядеть согласие: добровольно, явно, отдельно

Согласие по PIPL должно быть добровольным и явно выраженным при полном информировании человека (статья 14). Закон прямо запрещает отказывать в продукте или услуге только потому, что человек не дал согласие на обработку данных, не являющихся необходимыми для этой услуги.

Отдельное (обособленное) согласие требуется в трёх ключевых для e-commerce сценариях:

К чувствительным данным закон относит биометрию, религиозные убеждения, особые статусы, медицинскую и финансовую информацию, геолокацию, а также любые данные несовершеннолетних до 14 лет. Полный перечень — в законе PIPL, статьи 28–32.

Пользователь имеет право в любой момент отозвать согласие, и оператор обязан предоставить удобный способ отзыва; отзыв не влияет на законность обработки, выполненной до отзыва (статья 15). Методика определения нарушений прямо называет отсутствие способа отзыва признаком незаконного сбора — см. Методику определения нарушений при сборе данных.

Маркетинговые рассылки: правила и штрафы

Помимо PIPL, маркетинг в электронной коммерции Китая регулируется Правилами контроля за сетевой торговлей (Постановление № 37 Государственного управления по регулированию рынка). Статья 16 этих правил устанавливает четыре требования к коммерческим сообщениям:

1. Не отправлять коммерческую информацию без согласия или запроса получателя.
2. Указывать подлинную личность и контактные данные отправителя.
3. Предоставлять заметный, простой и бесплатный способ отказа.
4. После отказа немедленно прекратить рассылку и не возобновлять её под другим именем.

За нарушение этих требований предусмотрено исправление в установленный срок и штраф от 5 000 до 30 000 юаней (статья 51 правил, применяемая через отсылку к статье 16). Это небольшой штраф по меркам PIPL, но он легко проверяем и часто становится первым сигналом для регулятора.

Отдельно PIPL регулирует персонализированную рекламу. Статья 24 запрещает необоснованно разные условия сделок (например, разные цены) на основе автоматизированных решений — это прямой ответ на практику «дискриминации по данным» (так называемый «большой данных убивает знакомых»). Та же статья требует одновременно с персонализированными рекомендациями предоставлять вариант без персонализации или удобный способ отказа. Пользователь также вправе потребовать объяснения и отказаться от решений, принятых исключительно автоматически.

Права покупателей и сроки ответа

PIPL наделяет пользователей правами на доступ, исправление, удаление данных и закрытие аккаунта. Методика определения нарушений устанавливает жёсткий ориентир: если оператор обещает срок обработки таких запросов, он не должен превышать 15 рабочих дней; если срок не обещан — предельный срок также 15 рабочих дней.

Для интернет-магазина это означает, что кнопки «удалить мои данные» и «закрыть аккаунт» должны быть реально работающими, а процесс обработки запросов — документированным. Отсутствие работающего механизма удаления — типовое основание для претензий регулятора.

Несовершеннолетние покупатели: отдельный режим

Данные детей до 14 лет закон относит к чувствительным (статья 28), а их обработка требует согласия родителей или опекунов и специального набора правил обработки (статья 31). Регламент защиты несовершеннолетних в сети (Постановление Госсовета № 766) добавляет операционные требования:

Если ваш магазин продаёт детские товары, это не означает автоматически, что вы обрабатываете данные детей: режим включается, когда вы целенаправленно собираете данные самих детей (например, детские профили, размеры, фото). Тем не менее, как правило, вам потребуется отдельная политика для таких случаев и механизм проверки возраста.

Штрафы и риски: на что обратить внимание

На что обратить внимание

PIPL предусматривает две ступени ответственности. За обычные нарушения — исправление, предупреждение, конфискация дохода; при отказе исправить — штраф до 1 млн юаней, а для ответственных лиц — от 10 000 до 100 000 юаней. За серьёзные нарушения — штраф до 50 млн юаней или до 5 % годового оборота, возможна приостановка бизнеса или отзыв лицензии, а ответственные лица рискуют штрафом от 100 000 до 1 000 000 юаней и запретом занимать должности. Все суммы — из статьи 66 PIPL.

Ключевые риски для интернет-магазина:

1. Избыточный сбор. Запрос данных, не нужных для заказа, — самый частый тип нарушений по Методике определения нарушений.
2. Предустановленное согласие. Галочка «согласен» по умолчанию прямо названа нарушением.
3. Передача без отдельного согласия. Отправка данных логисту или платёжному провайдеру без обособленного согласия — нарушение статьи 23.
4. Персонализация без опции отказа. Рекомендации без возможности отключить — нарушение статьи 24.
5. Рассылки после отказа. Продолжение промо-рассылок или возобновление под другим именем — нарушение статьи 16 правил сетевой торговли со штрафом 5 000–30 000 юаней.
6. Коллективные иски. При ущемлении интересов многих лиц прокуратура и потребительские организации вправе подать в суд (статья 70 PIPL) — см. закон PIPL.
7. Отсылка из закона о e-commerce. Закон об электронной торговле КНР в статье 79 отсылает к специальным законам о данных — то есть нарушения PIPL наказываются именно по PIPL.

Отдельно отметим обязанности операторов, обрабатывающих большие объёмы данных: назначение ответственного за защиту данных (статья 52), регулярный аудит соответствия (статья 54) и оценку воздействия перед высокорисковой обработкой с хранением отчётов три года (статья 55). Конкретные пороги объёма в открытых официальных документах не установлены, поэтому оценку необходимости этих мер стоит проводить с местными юристами.

Чек-лист запуска: 7 шагов к соответствию

1. Составьте карту данных. Перечислите все категории персональных данных, которые собирает магазин, точку сбора и цель. Сверьте каждую категорию с принципом минимальной необходимости (статья 6 PIPL).
2. Разделите согласия. Отделите согласие на необходимые данные (заказ, доставка) от согласий на маркетинг, передачу третьим лицам и чувствительные данные. Каждое — отдельным действием пользователя, без предустановленных галочек.
3. Настройте механизмы отзыва и отказа. Кнопка отзыва согласия, отписка от рассылок и переключатель персонализации должны быть заметными, простыми и бесплатными.
4. Внедрите процесс обработки запросов. Определите ответственных и уложитесь в лимит 15 рабочих дней на исправление, удаление и закрытие аккаунта.
5. Проверьте поток к третьим лицам. Для каждого получателя данных (логистика, платежи, облачный хостинг) подготовьте отдельное согласие и описание получателя по статье 23.
6. Определите режим несовершеннолетних. Если возможен сбор данных детей до 14 лет — внедрите согласие опекунов, отдельные правила и, при применимости, ежегодный аудит.
7. Назначьте ответственного и документируйте. Определите сотрудника, отвечающего за защиту данных, и ведите записи об обработке; при высокорисковых операциях проводите оценку воздействия заранее.

Часто задаваемые вопросы

Q: Распространяется ли PIPL на иностранный интернет-магазин, продающий в Китай?

A: Да. Закон применяется к обработке персональных данных физических лиц на территории Китая, включая маркетинг и продажи иностранными операторами. Практически это значит, что магазин с китайскими покупателями должен соблюдать принципы минимального сбора, явного согласия и права на удаление независимо от места регистрации компании.

Q: Можно ли собирать телефон для доставки и одновременно для рассылок?

A: Нет, цели нужно разделять. Телефон для доставки — необходимый минимум по статье 6 PIPL. Рассылки требуют отдельного согласия, а по статье 16 правил сетевой торговли нельзя отправлять коммерческую информацию без согласия; нарушение карается штрафом от 5 000 до 30 000 юаней.

Q: Что считается чувствительными данными в e-commerce?

A: По статье 28 PIPL это биометрия, религиозные убеждения, особые статусы, медицинская информация, финансовые счета, геолокация и любые данные детей до 14 лет. Для интернет-магазина это, например, данные о здоровье при продаже БАДов или номера карт при приёме платежей — требуется отдельное согласие по статье 29.

Q: Нужна ли отдельная галочка для передачи данных логистической компании?

A: Да. Статья 23 PIPL требует сообщить получателю название, контакты, цель, способ и категории данных и получить отдельное согласие. Простое упоминание в общей политике не считается; отсутствие такого механизма прямо названо нарушением в Методике определения незаконного сбора данных.

Q: Как быстро нужно отвечать на запрос об удалении данных?

A: Не более 15 рабочих дней. Если оператор публично обещал срок — он не должен превышать 15 рабочих дней; если обещания нет — предельный срок также 15 рабочих дней. Это установлено Методикой определения нарушений при сборе персональных данных приложениями.

Q: Можно ли показывать разные цены разным покупателям на основе алгоритмов?

A: Нет. Статья 24 PIPL запрещает необоснованно разные условия сделок при автоматизированных решениях. Одновременно закон требует предоставлять вариант без персонализации или простой способ отказа от персонализированных рекомендаций — без этого сама персонализация становится нарушением.

Q: Что делать, если покупатель отозвал согласие на маркетинг?

A: Немедленно прекратить рассылки. По статье 15 PIPL отзыв согласия не влияет на законность прошлой обработки, но дальнейшая обработка на её основе невозможна. По статье 16 правил сетевой торговли после отказа нельзя возобновить рассылку и под другим именем — это отдельное нарушение.

Q: Обязательно ли согласие родителей для покупателей до 14 лет?

A: Да. Данные детей до 14 лет — чувствительные по статье 28 PIPL, а их обработка требует согласия родителя или опекуна и отдельного набора правил по статье 31. Регламент защиты несовершеннолетних дополнительно требует ежегодного аудита соответствия для операторов, обрабатывающих такие данные.

Q: Какой максимальный штраф по PIPL?

A: До 50 млн юаней или до 5 % годового оборота за серьёзные нарушения (статья 66). Дополнительно возможны приостановка бизнеса, отзыв лицензии, личный штраф ответственным лицам от 100 000 до 1 000 000 юаней и запрет занимать должности. За обычные нарушения — до 1 млн юаней.

Q: Может ли потребительская организация подать в суд за нарушение PIPL?

A: Да. Статья 70 PIPL разрешает прокуратуре и организациям, защищающим права потребителей, подавать иски в интересах многих лиц. Для интернет-магазина это означает, что массовая жалоба покупателей может перерасти в судебный процесс без участия каждого покупателя отдельно.

Заключение

1. PIPL требует минимального сбора данных и явного, раздельного согласия — предустановленные галочки и сбор «на всякий случай» прямо запрещены.
2. Маркетинг регулируется двумя слоями: PIPL (персонализация, отдельное согласие) и правилами сетевой торговли (сам порядок рассылок со штрафом 5 000–30 000 юаней).
3. Сроки ответа на запросы покупателей жёсткие — 15 рабочих дней; данные детей до 14 лет требуют согласия опекунов.
4. Штрафы достигают 50 млн юаней или 5 % оборота, а коллективные иски добавляют риск судебных разбирательств.

Чтобы получить персональную оценку пути лицензирования вашей электронной коммерции в Китае, напишите консультационной команде CnBusinessHub по адресу consult@CnBusinessHub.com и запишитесь на консультацию.

Подготовлено консультационной командой CnBusinessHub, советники по выходу на рынок Китая с 2019 года — более 1 500 иностранных предприятий в 16+ городах.

Обновлено: 2026-10-11 | Следующий обзор: апрель 2027

Источники

1. Полный текст закона о защите персональных данных КНР — Управление по киберпространству КНР
2. Методика определения незаконного сбора персональных данных приложениями — Управление по киберпространству КНР
3. Регламент защиты несовершеннолетних в сети (Постановление Госсовета № 766) — Управление по киберпространству КНР
4. Правила контроля за сетевой торговлей (Постановление № 37 Государственного управления по регулированию рынка) — Министерство юстиции КНР
5. Закон об электронной торговле КНР — Национальная база законов и нормативных актов

Читайте также

• Комплаенс PIPL для социальной коммерции в Китае 2026
• Защита данных на Tmall в 2026 году: PIPL, CSL и трансграничная передача