> Любой международный бренд, продающий на Tmall, обязан соблюдать три закона: PIPL, CSL и DSL. Это означает отдельное согласие на обработку, локализацию данных в Китае и один из трёх механизмов трансграничной передачи — при штрафах до 50 млн юаней или 5% годового дохода.
Краткие факты
| Показатель | Значение |
|---|---|
| Дата вступления PIPL | 01.11.2021 |
| CSL 2026 (редакция) вступила | 01.01.2026 |
| Максимальный штраф PIPL | 50 млн ¥ или 5% выручки |
| Порог оценки безопасности CAC | От 1 млн человек |
| Порог исключения из оценки | До 100 000/год (не чувствительные) |
| Обновление правил Tmall Global | 01.05.2026 |
| Язык политики конфиденциальности | Китайский (обязательно) |
Какие законы регулируют защиту данных на Tmall
China PIPL data compliance Tmall требует навигации по трём взаимосвязанным законам:
| Закон | Дата вступления | Основной фокус |
|---|---|---|
| Закон о кибербезопасности (CSL) | 01.06.2017 (ред. 01.01.2026) | Сетевая безопасность, защита CII, локализация |
| Закон о безопасности данных (DSL) | 01.09.2021 | Классификация данных, защита важных данных |
| Закон о защите персональной информации (PIPL) | 01.11.2021 | Обработка персданных, права субъектов, трансграничные правила |
Редакция CSL 2026 повысила штрафы до 10 млн ¥, отменила предупреждения перед штрафами и расширила экстерриториальную юрисдикцию (Mayer Brown, декабрь 2025). Для электронной коммерции риски существенно выросли.
Согласие и сбор данных
Каждый магазин на Tmall, собирающий данные потребителей, становится оператором персональной информации по PIPL.
Явное согласие. Статьи 13-14 PIPL требуют добровольного, осознанного согласия. Галочка «согласен со всем» при оформлении заказа не удовлетворяет требование.
Отдельное согласие. PIPL требует самостоятельного разрешения для: передачи третьим лицам (ст. 23), публичного раскрытия (ст. 25), обработки чувствительных данных (ст. 29) и трансграничной передачи (ст. 39).
Чувствительные данные. Статья 28 определяет биометрию, религиозные убеждения, особый статус, медицинские записи, финансовые счета, геолокацию и данные несовершеннолетних до 14 лет. Обработка требует отдельного согласия.
Срок хранения. Статья 19 PIPL — минимально необходимый срок. Статья 47 — удаление при достижении цели или отзыве согласия. Исключение: Закон об электронной коммерции требует хранения транзакций не менее 3 лет.
Три механизма трансграничной передачи данных
Детали заказов и платёжные данные часто должны доходить до штаб-квартиры за пределами Китая:
| Механизм | Для кого | Дата вступления |
|---|---|---|
| Оценка безопасности CAC | Операторы CII, важные данные, от 1 млн человек | 01.09.2022 |
| Стандартные договорные условия (SCC) | Не-CII, до 1 млн человек | 01.06.2023 |
| Сертификация защиты PIPL (GB/T 46068-2025) | Не-CII, до 1 млн человек | 01.01.2026 |
Исключение: передачи для исполнения договора до 100 000 человек/год без чувствительных данных (CAC, март 2024). Но отдельное согласие по статье 39 всё равно обязательно.
Штрафы за нарушения
| Уровень | Штраф организации | Штраф ответственного лица |
|---|---|---|
| Общее | До 1 млн ¥ | 10 000–100 000 ¥ |
| Серьёзное | До 50 млн ¥ или 5% выручки | До 1 млн ¥ |
CSL 2026 добавляет штрафы 2-10 млн ¥ и отключение приложений (Reed Smith, октябрь 2025).
PIPL и GDPR: ключевые отличия
| Параметр | GDPR (ЕС) | PIPL (Китай) |
|---|---|---|
| Максимальный штраф | 4% выручки | 5% выручки |
| Трансграничная передача | SCC или adequacy | Отдельное согласие + один из 3 механизмов |
| Чувствительные данные | Определены широко | Конкретно: биометрия, финансы, геолокация, дети до 14 лет |
| Представительство иностранцев | Обязательно в ЕС | Обязательно в Китае (ст. 53 PIPL) |
Чек-лист соответствия
| Область | Действие |
|---|---|
| Представительство | Китайский юр. адрес или уполномоченный представитель (ст. 53) |
| Политика конфиденциальности | Китайскоязычная, по ст. 17-18 PIPL |
| Согласие | Пошаговое; отдельное для чувствительных данных и трансграничной передачи |
| Механизм передачи | Оценка безопасности, SCC или сертификация |
| Третьи стороны | Договоры с логистикой, платежами, сервисами |
| Хранение | Минимальный срок с автоматическим удалением |
| Права субъектов | Доступ, исправление, удаление, отзыв согласия |
| Реагирование на инциденты | План утечки с обязательной отчётностью |
Часто задаваемые вопросы
В: Что такое PIPL и как он влияет на бренды на Tmall?
О: PIPL (Закон КНР о защите персональной информации) — первое национальное законодательство Китая о защите данных, вступившее в силу 01.11.2021. Распространяется на все организации, обрабатывающие данные физических лиц в материковом Китае, включая иностранные бренды на Tmall. Требует явного согласия, минимизации данных, локализации и предоставляет права на доступ, исправление и удаление данных. Команда CnBusinessHub поможет пройти аудит PIPL и настроить передачу данных. Свяжитесь с нами: consult@cnbusinesshub.com или https://cnbusinesshub.com.
В: Какие штрафы за нарушение PIPL?
О: Статья 66: серьёзные нарушения — до 50 млн ¥ или 5% выручки. Ответственные лица — до 1 млн ¥. Дополнительно: приостановка деятельности, отзыв лицензий, чёрный список, уголовная ответственность. Команда CnBusinessHub поможет пройти аудит PIPL и настроить передачу данных. Свяжитесь с нами: consult@cnbusinesshub.com или https://cnbusinesshub.com.
В: Какие три механизма трансграничной передачи?
О: (1) Оценка безопасности CAC — для CII или 1 млн+ человек; (2) Стандартные договорные условия — до 1 млн человек; (3) Сертификация по GB/T 46068-2025 с 01.03.2026. Команда CnBusinessHub поможет пройти аудит PIPL и настроить передачу данных. Свяжитесь с нами: consult@cnbusinesshub.com или https://cnbusinesshub.com.
В: Когда обязательна оценка CAC?
О: При классификации как оператор критической информационной инфраструктуры, обработке важных данных или передаче данных 1 млн+ человек за рубеж. Большинство продавцов Tmall используют SCC или сертификацию.
В: Чем PIPL отличается от GDPR?
О: Структурное сходство есть, но PIPL строже: отдельное согласие для трансграничной передачи, расширенное определение чувствительных данных, штраф 5% выручки против 4% у GDPR.
В: Как CSL 2026 влияет на электронную коммерцию?
О: Максимальные штрафы до 10 млн ¥, отмена предупреждений, расширенная экстерриториальная юрисдикция и отключение приложений. Риски несоответствия значительно выросли.
В: Какие данные можно передавать без оценки?
О: Передачи для исполнения договора до 100 000 человек/год без чувствительных данных. Отдельное согласие всё равно требуется.
В: Что такое отдельное согласие?
О: Явное самостоятельное разрешение для конкретных видов обработки. Обязательно при передаче третьим лицам, раскрытии, чувствительных данных и трансграничной передаче. Обычный чекбокс не подходит.
В: Какие требования Tmall к защите данных?
О: С 01.05.2026 Tmall Global требует подтверждения зарубежной деятельности. Политика конфиденциальности на китайском языке обязательна. Данные нельзя передавать за рубеж без отдельного согласия.
В: Сколько хранить данные клиентов?
О: Минимально необходимый срок (ст. 19 PIPL). Транзакции — не менее 3 лет. При удалении аккаунта — удалить или анонимизировать данные.
В: Нужен ли ответственный за данные в Китае?
О: Статья 53 PIPL требует китайское юрлицо или уполномоченного представителя. При больших объёмах — ответственный за защиту персональной информации.
В: Что считается чувствительными данными?
О: Статья 28: биометрия, религиозные убеждения, особый статус, медицинские записи, финансовые счета, геолокация, данные несовершеннолетних до 14 лет.
В: Как российскому бренду начать продажи на Tmall с соблюдением PIPL?
О: Аудит данных, китайский представитель, политика на китайском, механизм трансграничной передачи, пошаговое согласие. Команда CnBusinessHub помогает пройти весь процесс.
В: Что изменилось в Tmall Global с 01.05.2026?
О: Ужесточена проверка: подтверждение зарубежной деятельности через видео магазинов или продажи на зарубежных платформах. Порог входа вырос, конкурентная среда улучшилась.
Заключение
Защита данных на Tmall — обязательное требование для всех международных брендов. Ландшафт 2026 года — CSL, сертификация трансграничной передачи, обновление Tmall Global и обязательные аудиты — переходит от создания правил к активному исполнению. Бренды, относящиеся к приватности как к формальности, рискуют штрафами до 5% дохода. Команда CnBusinessHub помогает пройти аудит PIPL, выбрать механизм передачи и подготовить политику конфиденциальности. Свяжитесь с нами для начала работы. Команда CnBusinessHub поможет пройти аудит PIPL, выбрать механизм передачи и подготовить политику конфиденциальности. Свяжитесь с нами: consult@cnbusinesshub.com или https://cnbusinesshub.com.
---
Отказ от ответственности
Данная статья подготовлена командой CnBusinessHub исключительно в информационных и образовательных целях. Содержание не является инвестиционной рекомендацией, бизнес-консультацией или юридическим заключением. Данные взяты из открытых источников; мы не гарантируем полноту и актуальность. Законы могут изменяться — уточняйте перед действиями.
© 2026 CnBusinessHub. Все права защищены.
Источники
- https://openstd.samr.gov.cn/
- https://www.alibabagroup.com/
- https://www.customs.gov.cn/
- https://www.nmpa [source.gov.cn/](https://www.nmpa source.gov.cn/)
- https://www.tmall.com/
Disclaimer
This article is written by the CnBusinessHub team for informational and educational purposes only.
The content of this article does not constitute any form of investment advice, business advice, or legal opinion. Readers should exercise their own judgment regarding the applicability of the information and should consult qualified professionals before making any business decisions.
The data and information cited in this article are sourced from public channels. While we strive for accuracy, we do not guarantee the completeness or timeliness of the information. Policies and regulations may change at any time; please verify the latest information before taking action.
© 2026 CnBusinessHub. All rights reserved.
