Защита данных и конфиденциальность в китайской электронной коммерции 2026: PIPL, трансграничная передача и чек-лист продавца

Ключевые факты 2026 года

Защита данных в китайской электронной коммерции в 2026 году стала бумажной работой. Закон о защите персональной информации (PIPL) действует с 01.11.2021, а в 2025–2026 годах заработали подзаконные акты — от правил сетевой безопасности до запрета SMS без согласия. Для продавцов на JD, Pinduoduo и Temu это штрафы до 50 млн юаней или 5 % оборота и доказательства согласия по первому требованию — по данным CAC.

Сфера действия PIPL и штрафы

Согласно PIPL, обработка персональных данных жителей Китая подпадает под закон и для зарубежных операторов, предлагающих товары или услуги лицам в Китае либо анализирующих их поведение источник. Обязанности: минимальный сбор, отдельное согласие на чувствительные данные, права на доступ и удаление.

За серьёзные нарушения — до 50 млн юаней или 5 % оборота, вплоть до приостановки. По данным Управления киберпространства Китая (CAC), ориентир — дело Didi: штраф 8,026 млрд юаней в июле 2022 года за 64,709 млрд незаконно обработанных записей с июня 2015 года источник. Двое топ-менеджеров заплатили по 1 млн юаней.

Как JD, Pinduoduo и Temu работают с данными

Согласно политике конфиденциальности Pinduoduo (версия 4.1.1, обновлена 30.06.2025), данные об устройствах включают Android ID, OAID/IDFA, MAC-адрес и датчики; IMEI — только до версии 6.63.0 источник. Политика JD: данные хранятся в Китае, передача за рубеж — с отдельным согласием и договором источник. Temu работает через региональные юрлица — Whaleco Inc. (США), Whaleco Technology Limited (Ирландия), Elementary Innovation Pte. Ltd. (Сингапур) — с облачным хранением и трансграничным обменом источник.

По сообщениям СМИ, расследование CNN 2023 года утверждало, что приложение Pinduoduo эксплуатировало около 50 уязвимостей Android, затрагивая 750 млн пользователей в месяц; санкций не последовало. По сообщениям СМИ, южнокорейский PIPC в мае 2025 года оштрафовал Temu на 1,369 млрд вон (около 7 млн юаней) за трансграничные нарушения источник.

Трансграничная передача данных: три маршрута и пороги

По данным CAC (разъяснения от 30.01.2026), вывоз персональных данных идёт по трём маршрутам: оценка безопасности, стандартный договор с регистрацией у регуляторов или сертификация (с 2026 года) источник. Пороги — нарастающим итогом с 01.01: менее 100 тыс. — маршрут не требуется, но уведомление, отдельное согласие и оценка воздействия обязательны; 100 тыс. – 1 млн или менее 10 тыс. чувствительных — стандартный договор или сертификация; свыше 1 млн или 10 тыс. чувствительных — оценка безопасности.

По данным агентства Синьхуа, оценка занимает в среднем менее 30 рабочих дней при лимите 45; результат действует три года, продление — за 60 рабочих дней до конца срока.

Обязанности продавца: согласие, маркетинг и cookie

Продавцы обязаны ограничить сбор минимумом — имя, телефон, адрес, платёжные данные для исполнения заказа; публиковать уведомления-списки с категориями, целями, сроками хранения и получателями; хранить записи о транзакциях три года по Закону об электронной коммерции; заключать договоры с подрядчиками.

Маркетинг — главная зона риска. Согласно пересмотренным Правилам оказания услуг коротких сообщений (с 01.05.2026), коммерческие SMS требуют явного согласия, доказательства хранятся не менее шести месяцев; без них отправка незаконна источник. По данным опроса Шанхайского общества защиты прав потребителей (по сообщениям СМИ), 76 % потребителей получают спам регулярно. Cookie раскрываются, у персонализации — простой механизм отказа.

Что изменилось в 2026 году

По данным CAC, 2026 год — время, когда заработала инфраструктура PIPL. Правила управления безопасностью сетевых данных (с 01.01.2025) ввели уведомления-списки и ежегодные отчёты платформ источник. Меры по комплаенс-аудиту (с 01.05.2025) — аудит раз в два года при 10 млн+ человек, ответственный за защиту данных — с 1 млн+ источник. Пересмотренный Закон о кибербезопасности (с 01.01.2026) добавил положение об ИИ и повышенные штрафы источник. Контент, созданный ИИ, маркируется с 01.09.2025 источник. В сентябре 2025 года CAC опубликовал десять типовых дел источник, Шанхай оштрафовал отель за избыточный вывоз данных источник.

Чек-лист соответствия для международных продавцов 2026

Чек-лист, составленный по данным CAC, PIPL и Правил управления безопасностью сетевых данных:

1. Составьте карту потоков данных: заказы, поддержка, маркетинговые списки.
2. Проверьте, распространяется ли на вас экстерриториальное действие PIPL.
3. Опубликуйте политику конфиденциальности в форме списка со сроками хранения.
4. Исправьте согласия: без предустановленных галочек; храните доказательства шесть месяцев.
5. Выберите маршрут вывоза по накопленному объёму.
6. Подпишите договоры об обработке данных с получателями.
7. Добавьте уведомление о cookie и отказ от персонализации.
8. Планируйте аудиты при 1 млн+ человек; назначьте ответственного.
9. Маркируйте контент, созданный ИИ; держите план реагирования на инциденты.

Заключение

Соответствие в 2026 году — работа со списками: пороги передачи, согласия с доказательствами, уведомления-списки и маркировка ИИ. Штрафы реальны: по данным CAC, решение по Didi тому подтверждение. Команда CNBusinessHub помогает продавцам выстроить карту потоков, политики и передачу данных для JD, Pinduoduo и Temu. Сайт: https://cnbusinesshub.com, почта: consult@cnbusinesshub.com.

Часто задаваемые вопросы

Вопрос: Действует ли PIPL для иностранных продавцов?

Ответ: Да. По статье 3 PIPL распространяется на зарубежных операторов, которые предлагают товары или услуги лицам в Китае либо анализируют их поведение. CNBusinessHub проверит, попадает ли ваша компания под закон.

Вопрос: Каковы максимальные штрафы по PIPL?

Ответ: За серьёзные нарушения — до 50 млн юаней или 5 % оборота за прошлый год; рекорд — штраф Didi в 8,026 млрд юаней.

Вопрос: Какой маршрут вывоза данных мне нужен?

Ответ: Накопленный объём с 01.01: менее 100 тыс. — маршрут не требуется; 100 тыс. – 1 млн — стандартный договор или сертификация; свыше 1 млн или 10 тыс. чувствительных — оценка безопасности.

Вопрос: Освобождение «менее 100 тыс.» означает отсутствие обязанностей?

Ответ: Нет. Уведомление, отдельное согласие и оценка воздействия остаются; освобождение снимает только три маршрута.

Вопрос: Какие данные можно собирать у китайских потребителей?

Ответ: Только для исполнения заказа: имя, телефон, адрес, платёжные данные. Чувствительные данные и данные детей до 14 лет — с дополнительным согласием.

Вопрос: Что изменилось для SMS-маркетинга с 01.05.2026?

Ответ: Коммерческие сообщения требуют явного согласия и хранения доказательств не менее шести месяцев; без доказательств отправка незаконна.

Вопрос: Как долго хранить записи о транзакциях?

Ответ: Три года с момента завершения сделки по Закону об электронной коммерции.

Вопрос: Чем отличаются JD, Pinduoduo и Temu по работе с данными?

Ответ: JD хранит данные в Китае и требует отдельного согласия на передачу; Pinduoduo раскрывает идентификаторы устройств; Temu использует облако с региональными юрлицами. CNBusinessHub сравнивает условия.

Вопрос: Нужна ли политика конфиденциальности в Китае?

Ответ: Да. По Правилам управления безопасностью сетевых данных политика перечисляет категории, цели, сроки хранения и получателей. CNBusinessHub готовит такие документы.

Вопрос: Влияют ли правила об ИИ на мой магазин?

Ответ: Да. Изображения и трансляции, созданные ИИ, маркируются с 01.09.2025; данные для обучения должны иметь законный источник.

Вопрос: Когда малые операторы получат послабления?

Ответ: С 01.09.2026 операторы с менее чем 100 тыс. человек переходят на упрощённые меры.

Вопрос: С чего начать подготовку к 2026 году?

Ответ: Составьте карту потоков данных, исправьте согласия и выберите маршрут вывоза. Команда CNBusinessHub строит программы соответствия для продавцов — пишите: consult@cnbusinesshub.com.