La loi sur la protection des informations personnelles (PIPL) régit les informations identifiables ; la loi sur la sécurité des données (DSL) couvre le traitement et la classification des données. Le fait qu'une donnée constitue une information personnelle dépend de sa capacité à identifier une personne, directement ou indirectement. La dé-identification est une mesure de protection, mais elle ne soustrait pas automatiquement les données au champ d'application de la PIPL, alors que les informations correctement anonymisées sont traitées différemment. La Chine ne reconnaît pas non plus de fondement d'« intérêt légitime ». Le traitement doit reposer sur un fondement légal, tel que le consentement, la nécessité contractuelle, la gestion des ressources humaines ou des motifs d'intérêt public spécifiés.

Le champ d'application et le flux des données comptent autant que les qualifications formelles. La PIPL peut s'appliquer en dehors de la Chine continentale lorsque le traitement concerne des personnes situées en Chine ou analyse leur comportement. Les transferts et l'accès à distance depuis l'étranger à des données stockées en Chine peuvent constituer une fourniture sortante. Les entreprises doivent cartographier les entités, les systèmes, les lieux d'accès et les finalités, puis vérifier les exigences en matière d'information, de consentement, d'évaluation et de réglementation.