Abstract: In Europa è la base giuridica di marketing, sicurezza informatica e flussi infragruppo. In Cina non c’è. Ecco come le imprese europee devono ripensare il trattamento dei dati quando entra in gioco la PIPL.
Per un’impresa europea il legittimo interesse è quasi invisibile, tanto è diffuso. È la base giuridica che regge una lunga serie di attività quotidiane: il marketing verso i clienti, la prevenzione delle frodi, la sicurezza delle reti, il passaggio di dati tra società dello stesso gruppo. Lo stesso GDPR le cita come esempi, e la Corte di giustizia ha confermato che anche un interesse puramente commerciale può essere legittimo, se supera il bilanciamento con i diritti delle persone.
Quando l’impresa lavora in Cina, questo strumento sparisce. La PIPL, la legge cinese sulla protezione delle informazioni personali, prevede sette basi giuridiche contro le sei del GDPR, ma tra queste il legittimo interesse non c’è. Nessuna attività può poggiare su una valutazione di bilanciamento fatta dall’impresa stessa.
Sei basi contro sette
A prima vista i due elenchi si somigliano: consenso, contratto, obblighi di legge, situazioni di emergenza. La PIPL aggiunge basi che il GDPR non conosce nella stessa forma, come la gestione delle risorse umane secondo regolamenti di lavoro legittimi o il trattamento di informazioni rese pubbliche dall’interessato, entro limiti ragionevoli. Ma manca proprio la base più flessibile del sistema europeo. Ciò che in Europa si giustifica con un bilanciamento, in Cina va ricondotto a un’altra base oppure al consenso.
Come si sostituisce, attività per attività
Nella pratica le soluzioni più comuni sono queste:
- Sicurezza informatica. Si può fondare in buona parte sugli obblighi di legge: la legge cinese sulla cybersicurezza impone misure tecniche di protezione e la conservazione dei log di rete per almeno sei mesi. La base copre però solo ciò che la legge richiede; un monitoraggio più ampio va giustificato diversamente.
- Prevenzione delle frodi. In alcuni settori, come quello finanziario, esistono obblighi specifici. Negli altri casi si può usare il contratto, se il controllo è davvero necessario per fornire il servizio; altrimenti serve il consenso.
- Richiede il consenso. Lo conferma anche la legge cinese sulla pubblicità, che vieta di inviare pubblicità per via elettronica senza il consenso o la richiesta del destinatario.
- Analisi e statistiche. Richiedono il consenso, salvo lavorare su dati anonimizzati. Attenzione: i dati solo pseudonimizzati restano informazioni personali.
- Flussi nel gruppo. Possono poggiare sul contratto o sulla gestione del personale quando sono necessari a quelle finalità. Se però un’altra società del gruppo usa i dati per scopi propri, si applicano le regole sulla comunicazione a un altro titolare, con informativa specifica e consenso separato.
Il caso più delicato: i referenti dei clienti
Chi vende a imprese conosce bene il problema. L’addetto acquisti, il responsabile tecnico, il titolare del distributore: in Europa i loro dati si trattano di norma sulla base del legittimo interesse, perché il contratto è concluso tra le due imprese e non con la persona.
In Cina questa strada non c’è. Alcuni operatori estendono la base contrattuale anche ai referenti, ma è un’interpretazione diffusa, non pacifica. Un’altra via sono i contatti professionali che il referente stesso ha reso pubblici, per esempio sul sito della sua azienda, sempre entro limiti ragionevoli e per finalità coerenti. L’approccio prudente combina le strade: informare il referente al primo contatto, gestire il rapporto sulla base del contratto e raccogliere il consenso per le comunicazioni commerciali e per il trasferimento dei dati in Italia, quando non è coperto da un’esenzione.
Il rischio doppio
L’errore tipico non è ignorare la PIPL, ma applicarle la logica europea: trattare i dati dei clienti cinesi “come si fa in Italia”, con un’informativa tradotta e una valutazione di legittimo interesse in archivio. In quel caso l’impresa è in regola con una legge e fuori regola con l’altra.
Per questo, prima di avviare attività commerciali in Cina, conviene rifare la mappa dei trattamenti guardandola dal lato cinese: per ogni attività basata sul legittimo interesse, quale base la sostituisce, e dove serve un consenso, anche separato.
Approfondisci
Il tema è sviluppato nei capitoli 6 e 17 di GDPR vs PIPL – Privacy, AI e flussi di dati tra Europa e Cina: guida pratica per le imprese, che confronta le due leggi tema per tema e le applica a nove situazioni d’impresa.