Un chef de produit à Berlin propose une mise à jour des fonctionnalités. Une équipe de croissance à Londres mène une campagne via une agence de Shanghai. Un fournisseur SaaS de Singapour stocke discrètement les transcriptions du support client qui incluent les noms, numéros de téléphone et fragments d'identification des utilisateurs de Chengdu. Aucune de ces équipes ne se considère comme opérant en Chine. Tous sont, aux fins de la loi sur la protection des informations personnelles, des processeurs d'informations personnelles chinoises – et tous entrent dans le champ d'application.
Trois ans après l'entrée en vigueur de la loi sur la protection des informations personnelles, le cadre réglementaire s'est suffisamment stabilisé pour que « nous attendons de voir comment cela évolue » ne soit plus une position défendable. L'Administration chinoise du cyberespace a publié des mesures de mise en œuvre, les a révisées et clarifié les seuils. Les entreprises étrangères disposent désormais de suffisamment de signaux pour établir une base de conformité viable. Cet article décrit à quoi ressemble cette base de référence dans la pratique.
Le déclencheur extraterritorial que la plupart des équipes sous-estiment
PIPL s’applique au traitement en Chine et, de manière cruciale, au traitement en dehors de la Chine qui cible des individus en Chine dans le but de fournir des produits ou des services, ou d’analyser leur comportement. La rédaction est large et intentionnelle. Une application grand public disponible en mandarin sur une boutique d'applications mondiale, un site Web B2C qui expédie vers des adresses continentales, un pipeline d'analyse qui segmente les utilisateurs par ville chinoise : chacun est un déclencheur plausible.
La conséquence pratique est que la portée est rarement un oui ou un non clair. Il s’agit de savoir quelles gammes de produits, quelles cohortes d’utilisateurs et quels ensembles de données sont à la portée de la loi. La première tâche de conformité n’est donc pas de rédiger une déclaration de confidentialité. Il s'agit de données cartographiques : identifiant où les informations personnelles chinoises entrent dans vos systèmes, où elles sont stockées, qui les touche et où elles sortent. Jusqu'à ce que cette carte existe, chaque contrôle en aval n'est qu'une conjecture.
Consentement : une base légale, pas une case à cocher
Le PIPL est souvent décrit comme un régime fondé sur le consentement, et dans les conseils d'administration étrangers, cela se traduit par « ajouter une case à cocher ». Cela sous-estime l’obligation. PIPL reconnaît plusieurs bases juridiques – nécessité contractuelle, obligation légale, gestion des ressources humaines, intérêt public et autres – mais le consentement reste la bête de somme et la loi fixe des normes élevées pour ce qui compte.
Le consentement en vertu du PIPL doit être éclairé, volontaire et explicite. Lorsque le traitement implique des informations personnelles sensibles (comptes financiers, santé, données biométriques, informations personnelles de mineurs de moins de 14 ans, localisation et catégories similaires) ou un transfert transfrontalier, un consentement séparé est requis. « Séparé » signifie exactement cela : un acte d'accord distinct et spécifique, et non un paragraphe enfoui dans une acceptation de conditions générales.
Une architecture de consentement viable pour les entreprises étrangères comprend généralement :
- Un avis à plusieurs niveaux qui indique, en chinois simple, l'identité du processeur, les catégories d'informations personnelles, les finalités, la période de conservation et les droits de l'utilisateur.
- Bascules granulaires pour les catégories de traitement sensibles et pour le marketing, séparées du consentement du service principal.
- Un flux de consentement transfrontalier distinct qui nomme le destinataire étranger, la juridiction de destination et le but du transfert.
- Un mécanisme de retrait aussi simple à utiliser que le flux de consentement d'origine, sans schémas sombres.
- Un journal d'audit qui enregistre, par utilisateur, ce qui a été consenti, quand et par rapport à quelle version de l'avis.
Le dernier point compte plus que ce que les équipes attendent. Les régulateurs et les contreparties demandent de plus en plus des preuves, et non des affirmations.
Virement transfrontalier : trois itinéraires, une décision
Le transfert d’informations personnelles chinoises à l’étranger est le domaine dans lequel les entreprises étrangères découvrent le plus souvent que leur architecture existante n’est pas conforme. PIPL propose trois mécanismes principaux, affinés par les mesures ultérieures du CAC :- Évaluation de la sécurité CAC. Obligatoire pour les opérateurs d'infrastructures d'informations critiques, pour les processeurs traitant des informations personnelles au-delà des seuils de volume prescrits et pour les transferts de « données importantes ». Il s’agit d’un examen mené par le gouvernement et non d’une autocertification.
- Clauses contractuelles types (CSC chinoises). Un modèle de contrat entre l'exportateur chinois et le destinataire étranger, déposé auprès du CAC provincial, accompagné d'une évaluation d'impact sur la protection des renseignements personnels. Convient aux transferts de volumes moyens inférieurs aux seuils d'évaluation.
- Certification de protection des informations personnelles. Délivrée par des organismes accrédités par le CAC. En pratique, cette voie est particulièrement utile pour les transferts intra-groupe au sein des multinationales.
Les assouplissements de 2024 ont introduit des exonérations pour certains transferts de faible volume, les transferts nécessaires à l'exécution d'un contrat avec le particulier (commerce électronique transfrontalier, réservations de voyages, demandes de visa) et les transferts RH nécessaires à la gestion transfrontalière de l'emploi. Ces exemptions sont réelles mais limitées. Ils dépendent du volume, de la nature de la nécessité contractuelle et de la question de savoir si des informations personnelles sensibles sont impliquées. Traiter une exemption comme une mesure permanente sans examen périodique est une erreur courante.
Quelle que soit la voie applicable, chaque transfert transfrontalier nécessite une évaluation d’impact sur la protection des informations personnelles – documentée, conservée pendant au moins trois ans et mise à jour lorsque le traitement change de manière substantielle.
La référence de conformité réaliste
Pour une entreprise étrangère de taille modérée traitant des données d’utilisateurs chinois, une base de référence défendable ressemble à peu près à ceci :
- Une cartographie des données couvrant tous les flux d'informations personnelles chinoises, actualisée au moins une fois par an.
- Un avis de confidentialité en chinois et une architecture de consentement qui distingue le consentement général, sensible et transfrontalier.
- Un représentant ou une entité désigné en Chine, si nécessaire, avec les coordonnées publiées.
- Un mécanisme de transfert transfrontalier choisi – évaluation, CSC ou certification – avec l'évaluation d'impact sous-jacente dans le dossier.
- Diligence des fournisseurs couvrant tout sous-traitant ultérieur touchant les données, y compris les fournisseurs de cloud et d'analyse.
- Une procédure de réponse aux incidents qui répond aux attentes de notification de PIPL aux régulateurs et aux personnes concernées.
- Formation interne des équipes produit, ingénierie et marketing sur ce qui déclenche une nouvelle analyse d'impact.
Rien de tout cela n’est exotique. Il s’agit, en gros, de la même discipline qu’un programme RGPD mature pratique déjà, avec des superpositions spécifiques à la Chine sur la granularité du consentement, les dépôts transfrontaliers et la langue.
Là où les équipes étrangères se trompent généralement
Trois modèles reviennent. Premièrement, en traitant PIPL comme un exercice de traduction d’une notification RGPD : les deux régimes se chevauchent mais divergent sur le consentement, sur les mécanismes transfrontaliers et sur le rôle de l’État. Deuxièmement, en supposant que, parce que les données sont hébergées en dehors de la Chine, la PIPL ne s’applique pas ; l’extraterritorialité est la règle et non l’exception. Troisièmement, laisser le dépôt transfrontalier jusqu’à ce qu’un régulateur ou une contrepartie commerciale chinoise le demande, après quoi le calendrier ne vous appartient plus.
Le parcours d’évaluation de sécurité du CAC en particulier n’est pas un processus qui récompense la préparation de dernière minute. Les dépôts auprès de la CSC sont plus rapides mais nécessitent néanmoins une évaluation d’impact correctement étayée.
Le respect de la confidentialité des données en Chine est, en fin de compte, une question de maturité opérationnelle plutôt que d’intelligence juridique. Les règles sont connaissables. Le coût de leur ignorance – mesures coercitives, transferts bloqués, accords commerciaux perdus avec des partenaires chinois qui posent désormais eux-mêmes les questions – est de plus en plus concret.
Pour les équipes étrangères qui ont besoin de conseils qualifiés par la RPC sur une structure de transfert, un flux de consentement ou un dépôt spécifique, le service Chinese Lawyer de Serene Jade vous met en relation avec des avocats admis au barreau du continent et de Hong Kong.
##FAQ
Avons-nous besoin d'une entité chinoise uniquement pour déposer des SCC ? Pas nécessairement. L’exportateur chinois visé par les SCC est toute personne qui détient les informations personnelles en Chine – il peut s’agir de votre filiale locale, d’un partenaire de coentreprise ou d’une plateforme chinoise par l’intermédiaire de laquelle vous opérez. Si vous n'êtes pas présent du tout, la question est de savoir si vous devez nommer un représentant désigné en vertu de l'article 53 du PIPL.L'envoi de données vers Hong Kong est-il considéré comme un transfert transfrontalier ? Oui. Aux fins du PIPL, Hong Kong est traité comme en dehors de la Chine continentale, de sorte que les transferts vers ce pays nécessitent l'un des trois mécanismes ou une exemption valide, au même titre que les transferts vers Londres ou Francfort.
Pouvons-nous nous prévaloir de l'exemption de nécessité contractuelle pour nos données clients SaaS ? Uniquement lorsque le transfert est véritablement nécessaire à l’exécution du contrat conclu par l’individu – par exemple pour exécuter une commande passée. Les transferts B2B SaaS de données d'utilisateur final, d'analyses et la plupart des cas d'utilisation marketing n'en relèvent pas et nécessitent des SCC, une certification ou une évaluation.