Трансграничная передача данных: данные заказов и CRM по китайскому праву

Если ваш интернет-магазин или CRM-система в Китае синхронизируют данные с зарубежным офисом, вы работаете в режиме трансграничной передачи данных. С 22.03.2024 действует «Положение о содействии и регулировании трансграничного потока данных» (Указ Киберпространственного управления КНР № 16), которое установило три пути легализации, пороги в 10 тыс. и 1 млн человек и штрафы по PIPL до 50 млн юаней или 5 % годового оборота.

Quick Facts

Что считается «выездом» данных за границу

Прямой ответ: передачей за границу считается не только отправка файла, но и сам факт доступа зарубежного сотрудника к данным, физически хранящимся в Китае. Это ключевое правило для настройки china data export ecommerce crm-инфраструктуры.

Согласно официальному определению, «предоставление данных за границу» охватывает как прямую передачу, так и ситуацию, когда данные не покидают территорию КНР, но зарубежная сторона может к ним удалённо обращаться и обрабатывать их (Положение о содействии и регулировании трансграничного потока данных). Для владельца магазина это означает, что удалённый доступ зарубежного менеджера к китайской CRM юридически равен экспорту данных.

Практический вывод: прежде чем выбирать путь легализации, составьте карту потоков. Типичные сценарии — синхронизация заказов с зарубежной ERP, доступ головного офиса к китайской CRM, резервное копирование за рубежом и аналитика на зарубежных серверах. Каждый из них нужно классифицировать отдельно.

Какие данные заказов и CRM подпадают под регулирование

Прямой ответ: под режим попадают персональные данные (PI) и «важные данные»; чисто деловая информация без персональных данных выведена из-под процедур.

К персональным данным в контексте электронной коммерции относятся имя, телефон, адрес доставки, история заказов, платёжные идентификаторы и переписка с клиентами. К «важным данным» — данные, определённые отраслевыми каталогами; при этом действует правило: если компетентный орган не уведомил вас и не опубликовал данные как «важные», их не нужно декларировать как таковые (Положение № 16, ст. 2).

Шесть освобождений: когда процедуры можно пропустить

Прямой ответ: Положение № 16 предусматривает шесть сценариев, при которых передача данных не требует ни оценки безопасности, ни стандартного контракта, ни сертификации.

1. Деловые данные без PI и «важных данных» — международная торговля, логистика, маркетинг (ст. 3).
2. Возврат данных, собранных за рубежом — если данные были собраны за границей, обработаны в Китае и снова передаются наружу без добавления китайских PI (ст. 4).
3. Необходимость для исполнения договора — трансграничная торговля, доставка, платежи, бронирование авиабилетов и отелей, визовые и экзаменационные услуги (ст. 5, п. 1).
4. Малый объём — менее 100 тыс. человек (нечувствительные PI) с начала текущего года (ст. 5, п. 4).
5. Кадровое управление — данные сотрудников, необходимые по трудовым правилам и коллективному договору (ст. 5, п. 2).
6. Чрезвычайные ситуации — защита жизни, здоровья и имущества людей (ст. 5, п. 3).

Важно: освобождение от процедур не отменяет обязанность информировать субъектов и получать отдельное согласие по ст. 39 PIPL (Положение № 16, ст. 10). Это различие между «процедурным освобождением» и «обязанностью согласия» часто упускают.

Три пути легализации: как выбрать правильный

Прямой ответ: выбор зависит от объёма и чувствительности данных, а также от того, является ли ваша компания критической информационной инфраструктурой (CII).

Обратите внимание на разницу в базах отсчёта: в Положении № 16 пороги считаются с начала текущего года, а в Методике стандартного контракта — с начала предыдущего года (Методика, ст. 4). При планировании china data export ecommerce crm-потоков используйте более консервативный расчёт.

Также запрещено «дробить» объёмы, чтобы уйти от оценки безопасности (Методика, ст. 4, п. 2).

Пошаговый фреймворк: от аудита до регистрации

Прямой ответ: практический путь состоит из семи шагов — от инвентаризации данных до мониторинга изменений.

1. Инвентаризация. Составьте карту всех потоков china data export ecommerce crm: какие поля, куда, кому, как часто.
2. Классификация. Разделите данные на деловые, PI и чувствительные PI; проверьте, не уведомлён ли орган о «важных данных».
3. Проверка освобождений. Сопоставьте каждый поток с шестью сценариями освобождения (ст. 3–5).
4. Подсчёт объёмов. Определите количество субъектов с начала года и сравните с порогами 10 тыс. / 100 тыс. / 1 млн.
5. Выбор пути. Оценка безопасности, стандартный контракт или сертификация — по таблице выше.
6. Подготовка документов. Для контракта — оценка воздействия на защиту PI (PIA) по шести пунктам (Методика, ст. 5); для оценки — анализ рисков.
7. Регистрация и мониторинг. Подайте контракт в провинциальное Киберпространственное управление в течение 10 рабочих дней; отслеживайте изменения целей, категорий и зарубежного законодательства — они требуют переоценки (Методика, ст. 8).

Зоны свободной торговли и негативные списки

Прямой ответ: зоны свободной торговли могут устанавливать негативные списки; данные вне списка передаются без трёх процедур.

Положение № 16 разрешает провинциальным комитетам по кибербезопасности утверждать негативные списки с последующей регистрацией в Киберпространственном управлении и Национальном управлении по данным (ст. 6). Для компаний, рассматривающих размещение в Шанхайской или Хайнаньской зонах, это может существенно упростить china data export ecommerce crm-операции. Конкретные списки различаются по зонам и требуют проверки на месте.

На что обратить внимание

Прямой ответ: основные риски — неправильная классификация, нарушение сроков и недооценка обязанности согласия.

1. Смешение баз отсчёта. Пороги в Положении № 16 и Методике контракта считаются по-разному (текущий vs предыдущий год). При пограничных объёмах консультируйтесь с местными юристами.
2. Нарушение сроков регистрации. Пропуск 10 рабочих дней для контракта влечёт риск беседы с регулятором и требования об исправлении (Методика, ст. 11).
3. Игнорирование отдельного согласия. Даже при освобождении от процедур требуется информирование и отдельное согласие по ст. 39 PIPL (PIPL, ст. 38–43).
4. Штрафы. Базовый штраф — до 1 млн юаней; при отягчающих обстоятельствах — до 50 млн юаней или 5 % оборота, плюс личная ответственность руководителей (PIPL, ст. 66).
5. Жалобы третьих лиц. Любая организация или гражданин может сообщить о нарушении в провинциальное Киберпространственное управление (Методика, ст. 10).

Часто задаваемые вопросы

Q: Нужно ли проходить оценку безопасности, если я передаю за границу менее 100 тыс. клиентов в год?

A: Как правило, нет. Согласно Положению № 16, не-CII-оператор, передающий с начала текущего года менее 100 тыс. нечувствительных PI, освобождён от всех трёх процедур (ст. 5, п. 4). Однако обязанность информировать клиентов и получать отдельное согласие по ст. 39 PIPL сохраняется. Также убедитесь, что данные не содержат чувствительной информации и не признаны «важными».

Q: Что считается чувствительными персональными данными в контексте заказов?

A: К чувствительным PI относятся биометрия, данные о здоровье, финансовые счета, местоположение и данные несовершеннолетних. В e-commerce это чаще всего платёжные реквизиты и паспортные данные иностранных клиентов. Порог для обязательной оценки безопасности — 10 тыс. человек чувствительных PI с начала года (ст. 7). При меньших объёмах применим стандартный контракт или сертификация.

Q: Можно ли разбить передачу данных на несколько контрактов, чтобы избежать оценки безопасности?

A: Нет, прямо запрещено. Методика стандартного контракта запрещает «дробление» объёмов с целью обойти обязательную оценку безопасности (ст. 4, п. 2). Регулятор оценивает совокупный объём переданных субъектов. Попытка обхода может быть расценена как нарушение и повлечь административную ответственность по PIPL.

Q: Сколько времени занимает процедура оценки безопасности?

A: Киберпространственное управление решает вопрос о приёме заявки в течение 7 рабочих дней, а завершает оценку — в течение 45 рабочих дней с момента выдачи письменного уведомления о приёме (Методика оценки). Для сложных случаев срок может быть продлён с уведомлением заявителя. Планируйте запуск трансграничных потоков с запасом не менее 2–3 месяцев.

Q: Действует ли освобождение для данных, собранных за рубежом?

A: Да. Если данные были собраны за границей, обработаны в Китае и затем передаются обратно за рубеж без добавления китайских PI или «важных данных», процедуры не требуются (ст. 4). Это важно для глобальных CRM-платформ, где китайский офис обрабатывает международные заказы. Однако при добавлении китайских клиентов в тот же поток освобождение не применяется.

Q: Нужно ли отдельное согласие клиента, если передача данных освобождена от процедур?

A: Да, нужно. Освобождение касается только административных процедур (оценка, контракт, сертификация), но не отменяет обязанности по ст. 39 PIPL: информировать субъекта о зарубежном получателе, целях и способах обработки и получать отдельное согласие (Положение № 16, ст. 10). Включите эти пункты в политику конфиденциальности и форму оформления заказа.

Q: Что делать при изменении целей обработки или зарубежного получателя?

A: Требуется переоценка воздействия на защиту PI (PIA), дополнение или перезаключение стандартного контракта и повторная регистрация (Методика, ст. 8). Изменения целей, категорий, чувствительности, способов обработки, места хранения или зарубежного законодательства — все они являются триггерами. Ведите реестр изменений и планируйте ежегодный пересмотр.

Q: Какой срок действия у оценки безопасности и как её продлить?

A: Оценка действительна 3 года (по Положению № 16, вместо прежних 2 лет). За 60 рабочих дней до истечения срока можно подать заявку на продление ещё на 3 года (ст. 9). Если срок пропущен, потребуется новая полная оценка. Установите внутреннее напоминание минимум за 90 дней до истечения.

Q: Помогает ли регистрация в зоне свободной торговли?

A: Да, потенциально. Зоны свободной торговли могут утверждать негативные списки данных; передача данных вне списка освобождается от трёх процедур (ст. 6). Списки различаются по зонам и утверждаются провинциальными комитетами с регистрацией на национальном уровне. Перед выбором локации проверьте актуальный список конкретной зоны.

Q: Какие штрафы грозят за незаконную передачу данных?

A: По ст. 66 PIPL базовый штраф — до 1 млн юаней для компании и 10–100 тыс. юаней для ответственных лиц. При отягчающих обстоятельствах — до 50 млн юаней или 5 % годового оборота, штраф 100 тыс.–1 млн юаней для руководителей и запрет на занимать должность (PIPL, ст. 66). Также возможно привлечение к ответственности по Закону о кибербезопасности и Закону о безопасности данных.

Заключение

1. Сначала карта потоков, потом выбор пути. Для china data export ecommerce crm-операций инвентаризация данных и классификация — обязательный первый шаг.
2. Пороги — ваш главный ориентир. Менее 100 тыс. человек — освобождение; 100 тыс.–1 млн — стандартный контракт; свыше 1 млн или от 10 тыс. чувствительных — оценка безопасности.
3. Освобождение от процедур не отменяет согласие. Обязанность информировать и получать отдельное согласие по PIPL действует всегда.
4. Следите за сроками и изменениями. 10 рабочих дней на регистрацию контракта, 3 года действия оценки, переоценка при любых изменениях.

Чтобы получить персональную оценку пути лицензирования вашей электронной коммерции в Китае, напишите консультационной команде CnBusinessHub по адресу consult@CnBusinessHub.com и запишитесь на консультацию.

Подготовлено консультационной командой CnBusinessHub, советники по выходу на рынок Китая с 2019 года — более 1 500 иностранных предприятий в 16+ городах.

Обновлено: 2026-10-11 | Следующий обзор: апрель 2027

Источники

1. Положение о содействии и регулировании трансграничного потока данных (Указ Киберпространственного управления КНР № 16)
2. Пресс-релиз Киберпространственного управления КНР о публикации Положения № 16
3. Экспертный комментарий Киберпространственного управления КНР к Положению № 16
4. Экспертный комментарий Киберпространственного управления КНР о порогах трансграничного потока
5. Методика оценки безопасности данных при трансграничной передаче (Указ № 11), вопросы и ответы
6. Методика стандартного контракта на передачу персональных данных за границу (Указ № 13)
7. Экспертный комментарий Киберпространственного управления КНР к Методике стандартного контракта
8. Закон КНР о защите персональных данных (PIPL), ст. 38–43

Читайте также

• Соответствие требованиям по защите данных и трансграничная передача (экспортный сценарий)
• Защита данных и конфиденциальность в китайской электронной коммерции 2026: PIPL, трансграничная передача и чек-лист продавца
• PIPL для WFOE в Китае 2026 — требования к защите данных