Confronto con i sistemi occidentali e tutela dei cittadini stranieri
Introduzione
La competizione tra Cina e Occidente non riguarda più soltanto commercio, industria, infrastrutture e potenza militare. Uno dei terreni decisivi è diventato il controllo dei dati: informazioni personali, comunicazioni, spostamenti, immagini biometriche, relazioni professionali, preferenze politiche, attività economiche e comportamenti digitali.
La Repubblica Popolare Cinese ha adottato negli ultimi anni una legislazione sulla protezione dei dati che, almeno formalmente, contiene principi simili a quelli presenti nel Regolamento generale europeo sulla protezione dei dati, il GDPR. Tuttavia, il sistema cinese presenta una differenza strutturale: la protezione dell’individuo opera principalmente nei rapporti con le imprese e con gli operatori commerciali, mentre diventa molto più debole quando entrano in gioco lo Stato, la sicurezza nazionale, la pubblica sicurezza o l’intelligence.
In Europa, invece, la protezione dei dati è configurata come un diritto fondamentale della persona, soggetto al controllo di autorità indipendenti e dei tribunali. Negli Stati Uniti il sistema è più frammentato e offre tutele particolarmente deboli ai cittadini stranieri sottoposti a sorveglianza esterna.
La vera distinzione, quindi, non è tra un Occidente perfettamente rispettoso della privacy e una Cina priva di leggi. La distinzione riguarda:
- l’indipendenza delle autorità di controllo;
- la possibilità di contestare l’accesso governativo;
- la trasparenza degli ordini rivolti alle imprese;
- la proporzionalità della sorveglianza;
- l’effettività dei ricorsi;
- la tutela riconosciuta agli stranieri.
Il sistema cinese della raccolta dati
Il quadro normativo cinese si fonda principalmente su quattro pilastri:
- Cybersecurity Law;
- National Intelligence Law;
- Data Security Law;
- Personal Information Protection Law, conosciuta come PIPL.
La PIPL, entrata in vigore il 1° novembre 2021, stabilisce formalmente che i dati personali delle persone fisiche sono protetti dalla legge. Introduce principi come consenso, limitazione delle finalità, minimizzazione dei dati, trasparenza, sicurezza e diritti di accesso, correzione e cancellazione.
Sotto questo profilo, la Cina possiede effettivamente una normativa sulla privacy. Non è quindi corretto descriverla come un ordinamento totalmente privo di regole.
Il problema nasce dal rapporto tra questa normativa e le leggi sulla sicurezza nazionale.
L’obbligo di collaborazione con l’intelligence
La National Intelligence Law impone alle organizzazioni e agli individui presenti in Cina di sostenere, assistere e cooperare con le attività di intelligence statale quando richiesto.
Secondo la valutazione aggiornata del governo britannico, tale obbligo riguarda anche le aziende straniere che operano in Cina e può comprendere l’accesso a dati, strutture o personale. La normativa non stabilisce limiti sufficientemente precisi alla portata delle richieste e non prevede un meccanismo formale e indipendente attraverso il quale l’impresa possa contestarle.
Ciò significa che una società cinese, oppure un’impresa straniera con una presenza operativa in Cina, può essere sottoposta a obblighi di cooperazione che prevalgono sulle garanzie contrattuali offerte ai clienti.
Le autorità britanniche per la sicurezza evidenziano inoltre che questa capacità coercitiva può incidere sui dati e sulle attività di società cinesi anche quando le informazioni sono conservate fuori dalla Cina continentale.
Sicurezza nazionale come categoria estesa
Nel sistema cinese, espressioni come “sicurezza nazionale”, “interesse nazionale”, “sicurezza dei dati”, “ordine pubblico” e “interessi dello sviluppo” hanno una portata molto ampia.
I dati possono essere classificati come:
- dati ordinari;
- dati importanti;
- dati fondamentali o “core data”;
- dati connessi alla sicurezza nazionale;
- dati rilevanti per l’economia o per l’interesse pubblico.
La classificazione può comportare obblighi di localizzazione, controlli sulle esportazioni, verifiche di sicurezza e limitazioni alla trasmissione all’estero.
Il risultato è un sistema nel quale lo Stato non considera il dato solamente come un attributo personale dell’individuo, ma anche come una risorsa strategica sottoposta alla sovranità nazionale.
Come vengono raccolti i dati
La raccolta cinese non dipende da un unico archivio centrale. Si sviluppa attraverso un ecosistema composto da amministrazioni pubbliche, aziende tecnologiche, operatori telefonici, banche, piattaforme digitali, sistemi di pagamento, infrastrutture di videosorveglianza e applicazioni mobili.
Identificazione digitale
La registrazione dei servizi telefonici e digitali è frequentemente collegata all’identità reale. Questo riduce la possibilità di separare l’attività online dalla persona fisica.
Nel 2025 è stato introdotto anche un nuovo sistema nazionale di identità digitale collegato alla verifica del volto. Le autorità lo hanno presentato come uno strumento per proteggere i cittadini e ridurre la circolazione incontrollata dei documenti personali tra piattaforme private. I critici hanno invece osservato che la centralizzazione potrebbe rendere più semplice associare attività, identità e comportamenti online sotto il controllo dello Stato.
Videosorveglianza e riconoscimento facciale
Telecamere ad alta definizione, sistemi biometrici e strumenti di analisi automatizzata possono essere impiegati per:
- sicurezza urbana;
- identificazione di persone ricercate;
- controllo degli accessi;
- trasporti;
- sorveglianza di luoghi pubblici;
- gestione delle manifestazioni;
- controllo delle frontiere.
La Cina ha introdotto limiti legali ad alcuni impieghi privati del riconoscimento facciale. Tuttavia, gli studi giuridici evidenziano un modello asimmetrico: le restrizioni possono risultare meno efficaci quando la tecnologia è installata dalle autorità o giustificata dalla pubblica sicurezza.
Applicazioni e piattaforme commerciali
Le applicazioni cinesi possono raccogliere:
- identificativi del dispositivo;
- indirizzo IP;
- geolocalizzazione;
- contatti;
- cronologia delle interazioni;
- dati biometrici;
- abitudini di consumo;
- contenuti pubblicati;
- messaggi e metadati;
- informazioni finanziarie;
- modelli comportamentali.
L’introduzione della PIPL ha aumentato la presenza di richieste di consenso nelle applicazioni cinesi, ma ricerche empiriche hanno rilevato che numerosi servizi continuano a integrare sistemi di tracciamento e che, in diversi casi, il rifiuto del consenso impedisce concretamente l’utilizzo dell’applicazione.
Dati aziendali e industriali
Il rischio non riguarda esclusivamente i consumatori. Un’impresa straniera attiva in Cina può esporre:
- dati dei dipendenti;
- comunicazioni interne;
- proprietà intellettuale;
- informazioni sui clienti;
- strutture societarie;
- dati finanziari;
- progetti di ricerca;
- informazioni sulle catene di approvvigionamento;
- rapporti con istituzioni pubbliche.
La distinzione tra dato personale, dato industriale e dato strategico può diventare incerta quando le autorità ritengono che l’informazione abbia rilevanza per la sicurezza o lo sviluppo nazionale.
Gli stranieri sono tutelati dalla legge cinese?
Gli stranieri che si trovano in Cina
Formalmente, la PIPL tutela le “persone fisiche” e non soltanto i cittadini cinesi. Di conseguenza, uno straniero che si trovi nella Repubblica Popolare può beneficiare delle regole della PIPL nei confronti di un’impresa, di un albergo, di una piattaforma digitale, di un datore di lavoro o di un altro soggetto che tratti i suoi dati.
Può quindi esistere, almeno sulla carta, un diritto a:
- conoscere le finalità del trattamento;
- chiedere l’accesso ai dati;
- correggere informazioni inesatte;
- richiedere la cancellazione in determinate circostanze;
- revocare il consenso;
- opporsi ad alcuni trattamenti automatizzati.
La nazionalità, da sola, non esclude automaticamente la persona dalla protezione.
Gli stranieri che si trovano fuori dalla Cina
La portata extraterritoriale della PIPL è costruita principalmente per proteggere le persone che si trovano all’interno della Cina quando un soggetto estero offre loro beni o servizi oppure ne analizza il comportamento.
Questo significa che la PIPL non costituisce una carta universale dei diritti alla privacy per tutti gli stranieri i cui dati siano raccolti nel mondo da una società cinese. La sua applicazione extraterritoriale è collegata soprattutto alla posizione dell’interessato in Cina e al rapporto tra il trattamento e il mercato cinese.
Un cittadino italiano che utilizza in Italia un’applicazione cinese può essere protetto dal GDPR europeo, perché si trova nell’Unione e il servizio gli viene offerto sul mercato europeo. La sua tutela non deriva necessariamente dalla PIPL, ma dalla normativa europea applicabile al fornitore straniero.
Il vero problema: l’accesso statale
Il punto più critico riguarda i trattamenti per intelligence, sicurezza nazionale e pubblica sicurezza.
Anche quando la PIPL riconosce formalmente diritti a uno straniero, questi può incontrare grandi difficoltà nel sapere:
- se i dati siano stati richiesti da un’autorità;
- quale amministrazione li abbia ottenuti;
- per quale finalità concreta;
- per quanto tempo saranno conservati;
- se siano stati collegati ad altri archivi;
- se siano stati utilizzati per profilazione;
- come contestare l’ordine;
- quale giudice indipendente possa valutarne la proporzionalità.
Lo studio commissionato dall’European Data Protection Board sull’accesso governativo ai dati nei paesi terzi rileva che le autorità cinesi possono accedere anche a informazioni trasferite in Cina per finalità commerciali.
Pertanto, la formulazione più precisa è la seguente:
Gli stranieri non sono totalmente esclusi dalla normativa cinese sulla protezione dei dati, ma non dispongono di garanzie effettive, trasparenti e indipendenti comparabili a quelle europee quando la raccolta o l’accesso vengono giustificati dalla sicurezza nazionale o dall’intelligence.
Confronto con l’Unione Europea
Il GDPR protegge la persona, non la cittadinanza
Il GDPR non tutela soltanto i cittadini europei. Tutela le persone fisiche quando il trattamento rientra nel suo ambito territoriale.
Si applica:
- alle attività di un’organizzazione stabilita nell’Unione;
- indipendentemente dal luogo materiale in cui avviene il trattamento;
- alle imprese non europee che offrono beni o servizi a persone presenti nell’Unione;
- alle imprese che monitorano il comportamento di persone presenti nell’Unione.
Pertanto, anche un cittadino cinese, americano, russo o africano che si trovi nell’UE può essere protetto dal GDPR. La normativa europea è collegata soprattutto al territorio e al trattamento, non al passaporto dell’interessato.
Diritti riconosciuti
Il sistema europeo riconosce, tra gli altri:
- diritto all’informazione;
- diritto di accesso;
- diritto di rettifica;
- diritto alla cancellazione;
- diritto alla limitazione del trattamento;
- diritto alla portabilità;
- diritto di opposizione;
- limiti alle decisioni esclusivamente automatizzate;
- diritto di presentare reclamo;
- diritto di ricorrere davanti a un tribunale;
- diritto al risarcimento in caso di danno.
Ogni interessato può presentare reclamo a un’autorità di controllo, in particolare nello Stato della residenza abituale, del luogo di lavoro o della presunta violazione.
La differenza decisiva rispetto alla Cina è l’esistenza di autorità formalmente indipendenti dal governo e di un sistema giudiziario sovranazionale nel quale le decisioni possono essere contestate.
Trasferimenti verso la Cina
La Cina non figura tra i paesi riconosciuti dalla Commissione europea come dotati di un livello generale di protezione adeguato ai sensi dell’articolo 45 del GDPR.
Questo non vieta automaticamente ogni trasferimento, ma obbliga le aziende europee a utilizzare strumenti come:
- clausole contrattuali standard;
- norme vincolanti d’impresa;
- valutazioni dell’impatto del trasferimento;
- misure tecniche supplementari;
- cifratura;
- pseudonimizzazione;
- limitazioni degli accessi.
La Commissione chiarisce che soltanto un paese coperto da una decisione di adeguatezza può ricevere dati con modalità comparabili a una trasmissione interna all’Unione, senza ulteriori garanzie.
Il problema è che una clausola contrattuale sottoscritta da una società non può impedire materialmente a uno Stato straniero di esercitare poteri coercitivi previsti dalla propria legislazione.
Il caso TikTok
Nel 2025 l’autorità irlandese per la protezione dei dati ha inflitto a TikTok una sanzione di 530 milioni di euro e ha disposto misure correttive in relazione al trasferimento e all’accesso dalla Cina ai dati degli utenti dello Spazio economico europeo.
Il caso dimostra due aspetti:
- il rischio di accesso dalla Cina ai dati europei è considerato concreto dalle autorità dell’UE;
- in Europa esiste un’autorità capace di indagare, sanzionare e ordinare modifiche a una grande piattaforma.
Non significa che il sistema europeo impedisca ogni abuso. Significa che esiste un apparato istituzionale esterno all’impresa e distinto dal potere esecutivo che può intervenire pubblicamente.
Confronto con gli Stati Uniti
Gli Stati Uniti non possiedono un unico regolamento federale generale equivalente al GDPR.
La protezione deriva da una combinazione di:
- leggi settoriali;
- norme statali;
- obblighi contrattuali;
- tutela dei consumatori;
- regole sanitarie e finanziarie;
- disposizioni costituzionali;
- normative sull’intelligence.
Per i consumatori statunitensi esistono tutele importanti, ma frammentate. Per i cittadini stranieri situati all’estero, invece, la protezione nei confronti della sorveglianza americana è decisamente inferiore.
La Section 702 del FISA
La Section 702 del Foreign Intelligence Surveillance Act permette alla comunità d’intelligence statunitense di acquisire, con l’assistenza obbligatoria dei fornitori di comunicazioni, dati relativi a persone non statunitensi ragionevolmente ritenute situate fuori dagli Stati Uniti.
Le persone statunitensi e chiunque si trovi fisicamente negli Stati Uniti non possono essere direttamente bersagliati sulla base della Section 702. Ma la disposizione è stata concepita proprio per consentire il targeting di stranieri all’estero senza il normale mandato individuale richiesto nelle indagini penali ordinarie.
Nel 2026 la disciplina è stata al centro di una complessa controversia politica e legislativa. Nonostante la scadenza formale di alcune autorizzazioni, certificazioni giudiziarie precedentemente approvate hanno consentito la continuazione temporanea di parte delle attività.
Gli stranieri non residenti negli Stati Uniti non godono generalmente dello stesso livello di protezione costituzionale riconosciuto ai cittadini americani o alle persone presenti sul territorio statunitense.
In questo senso, gli Stati Uniti presentano un problema reale e spesso sottovalutato: la privacy occidentale non garantisce automaticamente uguali diritti agli stranieri sottoposti a sorveglianza esterna.
Tabella comparativa
| Elemento | Cina | Unione Europea | Stati Uniti |
|---|---|---|---|
| Legge generale sulla privacy | PIPL | GDPR | Nessuna legge federale generale equivalente |
| Protezione basata sulla cittadinanza | Prevalentemente territorio e trattamento | Territorio e attività del titolare | Varia secondo legge, status e territorio |
| Autorità indipendente specializzata | Controllo prevalentemente amministrativo e politico | Autorità nazionali indipendenti | Autorità e tribunali diversi, sistema frammentato |
| Ricorso individuale | Previsto formalmente in alcuni casi | Reclamo, tribunale e risarcimento | Variabile e spesso limitato per gli stranieri |
| Accesso per intelligence | Poteri ampi e obbligo di cooperazione | Consentito, ma soggetto a diritto nazionale, UE e controllo giudiziario | Ampio per stranieri all’estero tramite FISA |
| Possibilità per l’impresa di contestare l’ordine | Molto limitata e poco trasparente | Generalmente possibile | Possibile in alcuni procedimenti, spesso segreti |
| Trasparenza verso l’interessato | Limitata nelle attività di sicurezza | Obblighi elevati, salvo eccezioni previste dalla legge | Limitata nelle operazioni di intelligence |
| Tutela dello straniero sul territorio | Formalmente presente | Ampia in base al GDPR | Generalmente presente secondo le leggi applicabili |
| Tutela dello straniero all’estero | Limitata e non universale | Applicabile se il trattamento è collegato all’UE | Molto debole nei programmi di intelligence estera |
| Separazione tra governo e autorità di controllo | Debole | Più marcata e istituzionalizzata | Presente, ma con ampie eccezioni di sicurezza |
| Decisione UE di adeguatezza | Assente | Sistema interno | Quadro specifico e contestato per trasferimenti UE-USA |
Le differenze fondamentali
In Cina la privacy non limita pienamente lo Stato
La PIPL disciplina soprattutto il comportamento di aziende, piattaforme e operatori. Non costituisce un limite sovraordinato e facilmente azionabile contro l’apparato statale.
Quando un trattamento è collegato alla sicurezza nazionale, alla stabilità politica, alla pubblica sicurezza o all’intelligence, il margine di tutela dell’individuo si riduce sensibilmente.
Nell’UE la privacy è un diritto fondamentale
Il GDPR deriva da un sistema nel quale la protezione dei dati è riconosciuta come diritto fondamentale. Le interferenze possono esistere, ma devono avere una base legislativa, perseguire finalità legittime ed essere sottoposte ai principi di necessità e proporzionalità.
L’UE non è priva di sorveglianza. La differenza risiede soprattutto nella presenza di:
- autorità indipendenti;
- tribunali nazionali;
- Corte di giustizia dell’Unione europea;
- obblighi di motivazione;
- possibilità di annullamento degli atti;
- dibattito pubblico e parlamentare;
- responsabilità amministrativa e civile.
Negli Stati Uniti esiste una doppia protezione
Gli Stati Uniti offrono tutele costituzionali e legali significative ai propri cittadini e alle persone presenti sul loro territorio, ma riconoscono garanzie molto inferiori agli stranieri all’estero.
Il modello americano non coincide con quello cinese, perché esistono separazione dei poteri, controllo parlamentare, FISA Court, ispettori generali e possibilità di contestazione pubblica. Tuttavia, nella sorveglianza estera, il cittadino non americano resta in una posizione nettamente subordinata.
I cittadini europei sono davvero protetti dalle piattaforme cinesi?
Un cittadino europeo che utilizza un servizio cinese in Europa è formalmente protetto dal GDPR. La piattaforma deve rispettare le regole europee, fornire informazioni sul trattamento e assicurare basi giuridiche adeguate.
La protezione, tuttavia, incontra tre limiti pratici.
Difficoltà di controllo tecnico
L’utente non è normalmente in grado di verificare:
- quali dati siano effettivamente inviati;
- quali dipendenti possano accedervi;
- da quali paesi avvengano gli accessi;
- quali sistemi di profilazione siano utilizzati;
- se esistano copie o archivi secondari;
- se i dati siano collegati ad altre fonti.
Conflitto tra ordinamenti
Un’impresa può promettere il rispetto del GDPR, ma contemporaneamente essere soggetta a obblighi coercitivi previsti dal diritto cinese.
L’azienda può quindi trovarsi tra:
- l’obbligo europeo di impedire accessi sproporzionati;
- l’obbligo cinese di cooperare con le autorità;
- il divieto di rivelare determinate richieste;
- l’impossibilità pratica di opporsi pubblicamente.
Difficoltà di esecuzione
Un’autorità europea può sanzionare una piattaforma presente sul mercato europeo, limitarne i trattamenti o vietare determinati trasferimenti. Risulta invece molto più difficile controllare direttamente un’autorità cinese o ottenere la cancellazione di dati già entrati in un sistema statale della Repubblica Popolare.
Valutazione conclusiva
La Cina dispone formalmente di una legislazione moderna sulla protezione dei dati. La PIPL non può essere liquidata come una legge inesistente o priva di qualsiasi contenuto. Essa riconosce diritti anche agli stranieri presenti in Cina e impone obblighi rilevanti alle imprese.
Tuttavia, la struttura del sistema politico e normativo cinese produce una debolezza fondamentale: la legge protegge l’individuo dagli operatori commerciali molto più di quanto protegga l’individuo dallo Stato.
Le norme sull’intelligence, sulla sicurezza nazionale e sulla sicurezza dei dati attribuiscono alle autorità poteri ampi, accompagnati da obblighi di cooperazione per imprese e individui. Le richieste possono essere opache, difficili da contestare e sottratte a un controllo giudiziario realmente indipendente.
Per i cittadini non cinesi occorre distinguere:
- gli stranieri presenti in Cina sono formalmente coperti dalla PIPL;
- gli stranieri fuori dalla Cina non godono automaticamente di una tutela universale prevista dalla legge cinese;
- gli europei possono invocare il GDPR contro le piattaforme che operano sul mercato europeo;
- il GDPR non può garantire pienamente il controllo sui dati una volta sottoposti ai poteri coercitivi di uno Stato straniero;
- davanti all’intelligence cinese, uno straniero non dispone di un’autorità indipendente o di un rimedio equivalente a quelli europei;
- anche gli Stati Uniti riconoscono tutele sensibilmente inferiori agli stranieri all’estero sottoposti alla sorveglianza FISA.
La conclusione più corretta non è dunque che “solo la Cina raccoglie dati” o che “gli occidentali non sorvegliano”. Tutti i grandi sistemi politici raccolgono informazioni per sicurezza, intelligence e applicazione della legge.
La differenza è nel limite imposto al potere.
Nell’Unione europea il principio dichiarato è che lo Stato debba giustificare l’interferenza e possa essere sanzionato o fermato da un’autorità indipendente. Negli Stati Uniti questa tutela è più forte per gli americani e molto più debole per gli stranieri all’estero. In Cina, invece, quando la protezione dei dati entra in conflitto con le esigenze del Partito-Stato e della sicurezza nazionale, è generalmente l’interesse statale a prevalere.
Sintesi finale
Cina: alta capacità di raccolta e integrazione dei dati, obbligo di cooperazione con l’intelligence, trasparenza ridotta, controllo indipendente debole.
Unione europea: raccolta pubblica e privata regolamentata, autorità indipendenti, diritti azionabili anche dagli stranieri presenti nell’UE, forti condizioni per i trasferimenti internazionali.
Stati Uniti: sistema commerciale frammentato, controlli istituzionali più sviluppati rispetto alla Cina, ma tutela molto debole per gli stranieri all’estero sottoposti a sorveglianza di intelligence.
Giudizio complessivo: il cittadino straniero non è completamente privo di diritti nel sistema cinese, ma davanti all’accesso governativo ai dati non dispone di garanzie effettive, indipendenti e verificabili paragonabili a quelle previste nell’Unione europea.
