No subas la información de los usuarios al extranjero sin más: la transferencia internacional tiene condiciones legales y umbrales de personas

Pasar a máquinas del extranjero la información de usuarios que están dentro del país se llama salida al extranjero; tener el servidor fuera es lo mismo. En general hay que pasar la evaluación de seguridad de la autoridad de ciberespacio, o hacer la certificación, o firmar el contrato modelo. Si el acumulado de ese año no llega a 100000 personas y no incluye información sensible, esas 3 vías quedan exentas. También hay que decirle al usuario quién recibe los datos fuera y para qué los va a usar, y pedirle el consentimiento aparte.

Costo

0 yuanes; lo más sencillo es dejar los datos de los usuarios dentro del país; si la salida al extranjero es imprescindible, recurrir al contrato modelo o a la certificación

Beneficio

Proporcionar información personal al extranjero requiere cumplir una de cuatro condiciones: superar la evaluación de seguridad organizada por la autoridad de ciberespacio, obtener la certificación de protección de datos personales de un organismo profesional, celebrar con el receptor extranjero el contrato modelo elaborado por dicha autoridad, o cumplir otras condiciones previstas por leyes y normas administrativas; y se debe informar al receptor extranjero del nombre, los datos de contacto, la finalidad y los métodos del tratamiento, las categorías de datos personales y el modo de ejercer los derechos, «y obtener el consentimiento separado de la persona»; los umbrales se escalonan por personas acumuladas: los procesadores de datos distintos de los operadores de infraestructuras críticas de información que «desde el 1 de enero (1) del año en curso hayan proporcionado al extranjero datos personales de menos de 100 000 personas (sin incluir información personal sensible)» quedan exentos de solicitar la evaluación, celebrar el contrato modelo y hacer la certificación; de 100 000 a menos de 1 000 000 de personas deben celebrar el contrato modelo o pasar la certificación; con 1 000 000 de personas o más, o información personal sensible de 10 000 personas o más, deben solicitar la evaluación de seguridad (todo el país, desde marzo de 2024)

Notas

Que el servidor esté en el extranjero no significa que «los datos no hayan salido»: si el usuario se registra dentro del país y tú envías su información a máquinas de fuera, eso es una transferencia internacional. Para casos como las compras transfronterizas, la mensajería internacional o la reserva de vuelos y hoteles —«celebrar o ejecutar un contrato en el que la persona es parte» cuando es imprescindible—, queda exenta de las tres vías. El cómputo de personas es «acumulado desde el 1 de enero (1) del año en curso», no cualquier periodo de doce meses

Fuentes · 3

1. 全国人大常委会 (2021). 个人信息保护法（第三十八、三十九、四十条）. spp.gov.cn/spp/fl/202108/t20210820_527244.shtml
2. 国家互联网信息办公室 (2024). 促进和规范数据跨境流动规定（网信办令第 16 号，第三、四、五、七、八条）. gov.cn/gongbao/2024/issue_11366/202405/conten…
3. 国家互联网信息办公室 (2022). 数据出境安全评估办法（网信办令第 11 号，第四条）. cac.gov.cn/2022-07/07/c_1658811536396503.htm