← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem

Proteção de dados na China: PIPL, DSL e as mudanças de 2025–2026

Guia da PIPL, da Lei de Segurança de Dados e das regras de transferência internacional da China, com as novidades de 2025–2026 e a nova Lei de Cibersegurança.

2026-10-14

O regime de dados da China se apoia em três leis: a Lei de Cibersegurança (CSL, de 2017), a Lei de Segurança de Dados (DSL, de setembro de 2021) e a Lei de Proteção de Informações Pessoais (PIPL, de novembro de 2021), equivalente chinesa da LGPD. Em 2025 e 2026, os reguladores detalharam as regras e endureceram as punições.

Os três pilares

CSL: segurança de redes e infraestrutura crítica; revisada, vigora desde 1º/1/2026.
DSL: classificação de dados, "dados importantes" e "dados centrais".
PIPL: consentimento, direitos do titular e transferência internacional. Multas de até 50 milhões de yuans ou 5% do faturamento anual em casos graves.

Transferência internacional

A PIPL prevê três vias: avaliação de segurança da CAC (Administração do Ciberespaço), contrato-padrão registrado ou certificação. As regras de março de 2024 definiram limites:

Situação (operador comum, por ano)	Exigência
Dados importantes ou operador de infraestrutura crítica	Avaliação de segurança
Mais de 1 milhão de pessoas, ou dados sensíveis de mais de 10 mil	Avaliação de segurança
100 mil a 1 milhão, ou dados sensíveis de menos de 10 mil	Contrato-padrão ou certificação
Menos de 100 mil (dados não sensíveis)	Isento

Também estão isentos dados necessários para executar contrato com o titular e para gestão de RH. Zonas de livre comércio podem publicar "listas negativas" com regras mais leves.

O que mudou em 2025–2026

Regulamento de Segurança de Dados de Rede (1º/1/2025): alcança estrangeiros que oferecem produtos a pessoas na China; exige responsável por segurança de dados para quem trata dados importantes ou de mais de 10 milhões de pessoas.
Auditorias obrigatórias (1º/5/2025): quem trata dados de mais de 10 milhões de pessoas deve auditar a conformidade a cada dois anos; acima de 1 milhão, é preciso nomear encarregado e registrá-lo na CAC provincial.
Certificação (1º/1/2026): CAC e SAMR finalizaram a terceira via de transferência.
CSL revisada (1º/1/2026): multa máxima para infrações gerais sobe de 100 mil para 500 mil yuans; casos graves chegam a 10 milhões; pessoas físicas, até 1 milhão. A punição não depende mais de "consequências graves", e o alcance extraterritorial abrange qualquer atividade no exterior que ameace a cibersegurança chinesa.

Penalidades por artigo

Segundo o escritório Bird & Bird, a CSL revisada eleva as multas do Artigo 61 (obrigações gerais) para 50 mil a 500 mil yuans; do Artigo 65 (certificação, testes e avaliação de risco) para 100 mil a 1 milhão; e do Artigo 69 (informação ilegal) para 500 mil a 2 milhões. Em casos graves, pode haver suspensão das atividades ou cassação de licenças. A lei também passou a prever atenuação ou isenção de pena para quem coopera ou comete infração leve pela primeira vez, e ganhou um artigo sobre ética e monitoramento de riscos de inteligência artificial.

Duas normas técnicas completam o quadro: a GB/T 45574-2025, sobre dados pessoais sensíveis (desde 1º/11/2025), e a GB/T 46068-2025, sobre tratamento transfronteiriço (desde 1º/3/2026). São recomendadas, mas, segundo o Arnold & Porter, servem de referência na fiscalização.

O caso Dior

Em 2025, a polícia de Xangai puniu a subsidiária local da Dior com base na PIPL após investigar um vazamento. Segundo o escritório CMS, dados de clientes foram enviados à matriz francesa sem nenhuma das três vias legais, sem consentimento específico e sem criptografia adequada. O valor da multa não foi divulgado.

Checklist para empresas

Contar quantos titulares têm dados enviados ao exterior por ano, separando dados sensíveis.
Escolher a via correta e manter registros atualizados.
Obter consentimento específico para a transferência.
Agendar auditorias e nomear encarregado quando aplicável.
Preparar a resposta a incidentes: a China agora exige comunicação em horas.

Para empresas brasileiras com operação ou clientes na China, a lógica lembra a da LGPD, mas com limites numéricos objetivos, mais papel do Estado e multas que agora pesam mais.