Clasificación de datos IoT
Lo primero que deben entender es que no todos los datos generados por sus dispositivos IoT son iguales. La ley china clasifica los datos en tres categorías: datos personales, datos importantes y datos de interés nacional. Los sensores en una línea de producción pueden generar datos que, a simple vista, parecen inofensivos, pero si esos datos incluyen información sobre los trabajadores, como horarios o ubicación, ¡ya estamos hablando de datos personales!
Recuerdo el caso de una empresa alemana de automoción que instaló sensores de rendimiento en los uniformes de sus empleados. Estos dispositivos medían desde la temperatura corporal hasta los movimientos repetitivos. A simple vista, parecía un sistema de salud ocupacional, pero cuando el CAC revisó el caso, determinó que estaban recolectando datos biométricos sin consentimiento explícito. La multa fue de 2 millones de RMB, y tuvieron que rediseñar todo el sistema.
Para evitar estos problemas, recomiendo realizar una auditoría de datos exhaustiva desde el primer día. Identifiquen qué datos recopilan, cómo se transmiten, dónde se almacenan y quién tiene acceso a ellos. En Jiaxi, utilizamos una matriz de clasificación que nos ayuda a determinar si un dato necesita medidas de protección adicionales. No es complicado, pero requiere tiempo y, sobre todo, honestidad con ustedes mismos sobre lo que realmente están midiendo.
Un aspecto que muchos pasan por alto es la transmisión de datos a través de fronteras. Si sus dispositivos IoT están conectados a una plataforma en la nube ubicada en Singapur o Estados Unidos, están sujetos a las restricciones de transferencia transfronteriza de datos. La PIPL exige que para transferir datos personales al extranjero, se debe obtener el consentimiento del individuo, realizar una evaluación de impacto y, en muchos casos, firmar un contrato estándar con el receptor.
Localización de servidores
Aquí viene el punto que más dolor de cabeza causa: la localización de servidores. La Ley de Seguridad de Datos establece que los datos importantes generados en China deben almacenarse dentro del territorio nacional. ¿Qué son datos importantes? Pues depende del sector. Para el sector financiero, prácticamente todo; para manufactura, los datos de producción que podrían considerarse secretos comerciales o que afecten la seguridad nacional.
Les cuento el caso de una empresa japonesa de electrónica que tenía todos sus datos de IoT almacenados en servidores en Tokio. Cuando el gobierno chino empezó a exigir la localización, la empresa entró en pánico. Tuvieron que migrar todo a servidores en China en tiempo récord, lo que les costó más de 500,000 RMB y tres meses de trabajo ininterrumpido. El mayor desafío no fue técnico, sino legal, porque durante la migración, los datos estuvieron "en tránsito" y cualquier interrupción podía ser considerada una violación.
Mi recomendación es que, desde el diseño inicial del sistema IoT, consideren la opción de tener servidores locales. No necesariamente tienen que ser físicos; pueden usar servicios en la nube de proveedores chinos como Alibaba Cloud, Huawei Cloud o Tencent Cloud. Estos proveedores ya cumplen con los requisitos de localización y, además, ofrecen servicios de seguridad adaptados a la normativa china.
Un detalle importante: no basta con tener el servidor en China. La ubicación física importa. Algunas provincias chinas tienen requisitos adicionales, especialmente aquellas con zonas francas o áreas de desarrollo tecnológico. Por ejemplo, en la provincia de Guangdong, cerca de Hong Kong, hay regulaciones específicas para datos que puedan estar relacionados con finanzas internacionales. Siempre verifiquen con un asesor local antes de tomar decisiones.
Además, deben considerar que la localización no solo aplica al almacenamiento, sino también al procesamiento. Si sus dispositivos IoT realizan algún tipo de análisis de datos en tiempo real, ese procesamiento debe ocurrir dentro de China. Esto puede requerir cambios en la arquitectura del sistema, pero es mejor hacerlo ahora que enfrentar sanciones después.
Evaluación de seguridad
No puedo enfatizar lo suficiente la importancia de la evaluación de seguridad de sus dispositivos IoT. La Ley de Seguridad de Datos exige que las empresas realicen evaluaciones periódicas para identificar vulnerabilidades. Esto no es solo un requisito legal, sino una buena práctica de negocio. He visto casos donde dispositivos IoT infectados con malware han permitido a atacantes acceder a toda la red corporativa.
En 2023, trabajé con una empresa estadounidense de logística que tenía sensores IoT en sus almacenes. Durante una evaluación de seguridad, descubrimos que muchos de estos sensores tenían contraseñas por defecto que nunca se cambiaron. Literalmente, cualquiera con acceso a la red podía tomar el control. Implementamos un programa de actualización de firmware y cambio de credenciales que resolvió el problema, pero el proceso fue doloroso porque implicó detener operaciones durante dos días.
La evaluación debe cubrir tanto el hardware como el software. Los fabricantes de dispositivos IoT a menudo lanzan actualizaciones de seguridad, pero muchas empresas no las instalan por miedo a interrumpir la producción. Esto es un error grave. Las vulnerabilidades no parcheadas son la principal causa de incidentes de seguridad en dispositivos IoT según un estudio de la Academia China de Ciencias de la Información.
Además, la evaluación debe incluir un análisis de riesgos de terceros. Si su dispositivo IoT utiliza componentes de software de código abierto o servicios de terceros, deben verificar que esos componentes también cumplan con las regulaciones chinas. Esto es especialmente relevante para empresas extranjeras que utilizan plataformas globales como AWS IoT o Azure IoT, que pueden no estar adaptadas a los requisitos locales.
Un consejo práctico: documenten todo el proceso de evaluación. En caso de una inspección, tener registros detallados de las evaluaciones realizadas puede ser la diferencia entre una advertencia y una multa severa. En Jiaxi, siempre recomendamos a nuestros clientes mantener un "registro de salud" de sus dispositivos IoT, actualizado trimestralmente.
Finalmente, consideren la posibilidad de contratar a un evaluador de seguridad certificado en China. La certificación CBSC (China Basic Security Certification) es un buen punto de partida, aunque dependiendo del sector, pueden necesitar certificaciones más específicas como la de seguridad de datos financieros o de salud.
Consentimiento de usuarios
Uno de los aspectos más delicados de la regulación de IoT es el consentimiento de los usuarios. La PIPL china es extremadamente estricta en este punto. No basta con incluir una cláusula en los términos y condiciones que nadie lee. El consentimiento debe ser explícito, informado y revocable. Esto significa que los usuarios deben saber exactamente qué datos se recopilan, para qué se usarán y durante cuánto tiempo se almacenarán.
Les pongo un ejemplo: una empresa francesa de retail instaló sensores de movimiento en sus tiendas para analizar el flujo de clientes. Los sensores no capturaban imágenes, solo datos anónimos de movimiento. Sin embargo, el CAC consideró que estos datos podrían usarse para inferir comportamientos personales, por lo que exigieron consentimiento explícito. La solución fue instalar pantallas en la entrada de la tienda informando sobre el uso de sensores y ofreciendo un código QR para que los clientes dieran su consentimiento o optaran por no participar.
El desafío con el consentimiento en IoT es que muchos dispositivos operan en segundo plano sin interacción directa con el usuario. Para solucionarlo, la ley china permite el consentimiento implícito en ciertos casos, siempre que se haya informado claramente al usuario y se le haya dado la oportunidad de rechazar. Sin embargo, esta excepción no aplica para datos sensibles como biométricos o de ubicación.
En la práctica, recomiendo implementar un sistema de "consentimiento por capas". Primero, una notificación general al inicio de la interacción con el dispositivo IoT. Segundo, una opción para que el usuario pueda ver los detalles de los datos recopilados. Tercero, un mecanismo sencillo para revocar el consentimiento en cualquier momento. No hagan esto complicado; cuanto más fácil sea para el usuario, menos problemas tendrán.
Una tendencia que estoy viendo es el uso de tecnologías como la privacidad diferencial y el aprendizaje federado para minimizar la recolección de datos personales. Estas técnicas permiten analizar patrones sin acceder a datos individuales, lo que reduce la necesidad de consentimiento explícito. Empresas como Apple ya usan esto en sus dispositivos, y cada vez más empresas en China están adoptando estas prácticas.
Por último, no olviden que el consentimiento debe ser revocable. Si un usuario decide retirar su consentimiento, deben eliminar sus datos en un plazo razonable. He visto casos donde empresas no tenían un sistema para gestionar estas solicitudes y terminaron acumulando datos de personas que ya no querían participar, lo que es una violación directa de la PIPL.
Registro ante autoridades
Otro paso obligatorio que muchas empresas extranjeras pasan por alto es el registro de sus sistemas IoT ante las autoridades chinas. Dependiendo del sector y del tipo de datos, es posible que deban registrarse en la Oficina de Seguridad de Datos local, en el Ministerio de Industria e Información (MIIT) o incluso en la Comisión Nacional de Desarrollo y Reforma (NDRC).
Les cuento una experiencia personal: hace dos años, una empresa coreana de semiconductores instaló un sistema IoT para monitorear la temperatura y humedad en sus salas limpias. Pensaron que era un sistema interno sin necesidad de registro. Error. Cuando el CAC hizo una inspección de rutina, descubrieron que el sistema estaba clasificado como "infraestructura crítica de información" porque las salas limpias eran esenciales para la producción de chips. La empresa tuvo que pagar una multa de 1.5 millones de RMB y registrarse retroactivamente, lo que implicó auditorías exhaustivas.
El proceso de registro varía según la región. En Beijing, el proceso puede tomar hasta 60 días hábiles, mientras que en Shanghai es más rápido, alrededor de 30 días. En Jiaxi, hemos desarrollado una checklist para ayudar a nuestros clientes a preparar la documentación necesaria, que incluye: descripción técnica del sistema, evaluación de impacto de datos, plan de seguridad, y certificados de cumplimiento de los fabricantes de los dispositivos.
Un detalle que muchos no saben: el registro no es un evento único. Deben actualizarlo cada vez que haya cambios significativos en el sistema, como la incorporación de nuevos tipos de sensores, cambios en los protocolos de comunicación, o modificaciones en el almacenamiento de datos. Esto puede ser tedioso, pero es necesario para mantenerse en cumplimiento.
Además del registro inicial, algunas autoridades exigen informes periódicos. Por ejemplo, el MIIT puede solicitar un informe trimestral sobre el estado de seguridad de los dispositivos IoT. No cumplir con estos informes se considera una infracción independiente, con multas que pueden llegar a los 500,000 RMB por cada informe omitido.
Mi consejo es que, antes de implementar cualquier sistema IoT, consulten con un asesor legal especializado en regulación tecnológica china. No es un gasto, es una inversión. La cantidad de tiempo y dinero que he visto perder a empresas por no hacer este paso inicial es asombrosa.
Finalmente, tengan en cuenta que el registro puede implicar la revisión del sistema por parte de técnicos del gobierno. Esto puede ser incómodo para empresas que consideran sus sistemas como secretos comerciales, pero es parte del proceso. En mi experiencia, las autoridades son razonables si demuestran transparencia y buena fe.
Gestión de proveedores
No podemos olvidar que los dispositivos IoT no existen en el vacío. La cadena de suministro de IoT es compleja e involucra a fabricantes de hardware, desarrolladores de software, proveedores de nube, y empresas de logística. Cada uno de estos eslabones debe cumplir con las regulaciones chinas, y la responsabilidad última recae en la empresa que opera el sistema.
Trabajé con una empresa sueca que fabricaba dispositivos médicos IoT. Sus sensores eran producidos en Taiwán, el software venía de la India, y la plataforma de datos estaba en AWS Estados Unidos. Cuando intentaron registrar el sistema en China, descubrieron que el fabricante "中国·加喜财税“és no tenía la certificación requerida por el MIIT. El proceso de registro se retrasó seis meses mientras buscaban un proveedor alternativo certificado en China.
Para evitar estos problemas, recomiendo auditar a todos los proveedores involucrados en su ecosistema IoT desde el principio. Verifiquen que tengan las certificaciones necesarias, como la CCC (China Compulsory Certification) para hardware, o la certificación de seguridad de datos para software. Además, asegúrense de que los contratos con proveedores incluyan cláusulas de cumplimiento regulatorio chino.
Un aspecto que a menudo se pasa por alto es la gestión de riesgos geopolíticos. Dada la tensión comercial entre China y algunos países, es posible que ciertos proveedores extranjeros enfrenten restricciones para operar en China. En 2022, por ejemplo, varios proveedores de semiconductores estadounidenses tuvieron que suspender sus operaciones en China debido a sanciones, lo que afectó a empresas que dependían de sus chips para dispositivos IoT.
Mi recomendación es diversificar proveedores, especialmente para componentes críticos. Tener un proveedor principal y uno alternativo en China puede salvarles de problemas inesperados. Además, consideren la posibilidad de fabricar localmente los dispositivos IoT. Aunque puede ser más caro inicialmente, reduce los riesgos regulatorios y logísticos a largo plazo.
En términos de contratos, incluyan cláusulas que obliguen a los proveedores a notificar cualquier cambio en su estatus regulatorio. Por ejemplo, si un proveedor pierde una certificación, deben saberlo de inmediato para poder tomar medidas. El costo de no hacerlo puede ser catastrófico, como en el caso de una empresa británica que perdió su licencia para operar en China porque usaba un proveedor de software de Taiwán que no renovó su certificación.
Finalmente, mantengan una comunicación abierta con sus proveedores. Muchas veces, los problemas regulatorios se pueden resolver si se detectan a tiempo. He visto casos donde un simple cambio de firmware o una actualización de software resolvieron problemas de cumplimiento sin necesidad de reemplazar el hardware.
Capacitación del personal
Por último, pero no menos importante, está la capacitación del personal. La mejor regulación del mundo no sirve si los empleados no la conocen o no la aplican. He visitado empresas con sistemas IoT perfectamente diseñados desde el punto de vista técnico, pero con empleados que compartían contraseñas en post-its pegados a los monitores o que conectaban dispositivos personales a la red corporativa sin supervisión.
En 2023, una empresa holandesa de alimentos tuvo un incidente grave: un empleado conectó un termómetro inteligente personal a la red IoT de la fábrica para monitorear la temperatura de su café. Ese dispositivo, sin los controles de seguridad adecuados, se convirtió en un punto de entrada para un ataque de ransomware que paralizó la producción durante tres días. La pérdida fue de más de 10 millones de RMB en productos perecederos que tuvieron que desecharse.
La capacitación debe ser continua y adaptada a los diferentes roles dentro de la empresa. Los ingenieros necesitan formación técnica sobre cómo configurar y mantener los dispositivos de forma segura. Los gerentes necesitan entender las implicaciones legales y regulatorias. Y los empleados de a pie necesitan saber qué prácticas evitar, como conectar dispositivos no autorizados o compartir credenciales.
Un programa efectivo de capacitación debe incluir: sesiones iniciales para nuevos empleados, actualizaciones periódicas cuando cambien las regulaciones, y simulacros de incidentes para practicar la respuesta ante violaciones de seguridad. En Jiaxi, ofrecemos talleres personalizados para empresas extranjeras, con ejemplos específicos de su sector y región.
Además, es crucial establecer una cultura de seguridad donde los empleados se sientan cómodos reportando problemas sin miedo a represalias. Muchas veces, los incidentes de seguridad se ocultan por miedo a ser culpados, lo que empeora la situación. Un sistema de reporte anónimo puede ayudar a detectar problemas tempranamente.
No olviden que la capacitación debe incluir a los empleados locales y extranjeros. He visto casos donde ejecutivos expatriados no toman en serio las regulaciones chinas porque piensan que "en su país no es así". Esa actitud puede ser desastrosa. La ley china se aplica a todos por igual, independientemente de su nacionalidad o cargo.
Finalmente, consideren la certificación de empleados clave en seguridad de datos y regulación china. Existen programas de certificación ofrecidos por instituciones como la Universidad de Tsinghua o la Academia China de Tecnología de la Información que pueden ser muy valiosos. No solo mejoran la competencia del personal, sino que también demuestran a las autoridades que la empresa toma en serio el cumplimiento.
Conclusión
Regular dispositivos IoT en empresas de capital extranjero en China no es una tarea sencilla, pero tampoco imposible. Hemos recorrido los aspectos clave: clasificación de datos, localización de servidores, evaluación de seguridad, consentimiento de usuarios, registro ante autoridades, gestión de proveedores y capacitación del personal. Cada uno de estos puntos es un pilar que sostiene la operación legal y segura de sus sistemas IoT.
El propósito de este artículo ha sido proporcionarles una guía práctica basada en mi experiencia de más de una década en Jiaxi. La regulación china puede parecer abrumadora al principio, pero con la preparación adecuada, es completamente manejable. Lo importante es no tomar atajos. Cada vez que he visto a una empresa intentar ahorrar tiempo o dinero saltándose algún paso, el resultado ha sido peor que si hubiera cumplido desde el principio.
De cara al futuro, la tendencia es hacia una mayor regulación. El gobierno chino está cada vez más enfocado en la seguridad de datos y la soberanía digital. Las empresas que se anticipen a estos cambios y adapten sus sistemas proactivamente tendrán una ventaja competitiva. Por ejemplo, ya se está hablando de una nueva ley de inteligencia artificial que podría afectar a los dispositivos IoT con capacidades de IA, como los asistentes de voz o los sistemas de reconocimiento de imágenes.
Mi recomendación final es que inviertan en asesoría legal y técnica especializada desde el principio. El costo de hacerlo bien la primera vez es mucho menor que el costo de corregir errores después. Y no duden en contactarme si tienen preguntas específicas; en Jiaxi, estamos aquí para ayudar a las empresas extranjeras a navegar el complejo pero fascinante mercado chino.
Recuerden: en China, el cumplimiento regulatorio no es un obstáculo, sino una oportunidad para demostrar que son socios confiables y responsables. Los invito a verlo así.
## Perspectiva de Jiaxi Finanzas e Impuestos En Jiaxi Finanzas e Impuestos, entendemos que la regulación de dispositivos IoT en empresas de capital extranjero en China es un desafío multidimensional que requiere un enfoque integral. No se trata solo de cumplir con leyes como la PIPL o la Ley de Seguridad de Datos, sino de integrar estos requisitos en la estrategia operativa y de negocio de la empresa. Nuestra experiencia de más de 14 años nos ha enseñado que el éxito en este ámbito depende de tres factores clave: preparación anticipada, asesoría especializada y adaptación continua. Las empresas que planean desde el diseño inicial de sus sistemas IoT, considerando la localización de datos, la clasificación de información y los requisitos de consentimiento, son las que evitan costosos retrasos y sanciones. En Jiaxi, ofrecemos servicios completos que incluyen auditorías de cumplimiento, registro ante autoridades, capacitación del personal y gestión de relaciones con proveedores. Creemos que la regulación china, lejos de ser una barrera, es una oportunidad para que las empresas extranjeras demuestren su compromiso con la seguridad y la transparencia. A futuro, anticipamos que la regulación se volverá aún más específica, con requisitos sectoriales más detallados. Las empresas que ya estén en cumplimiento tendrán una ventaja significativa. En Jiaxi, estamos comprometidos a acompañar a nuestros clientes en este viaje, ofreciendo soluciones prácticas y personalizadas para cada caso.
