Éclaircissement de la loi sur les données personnelles en Chine (entrée en vigueur le 1er novembre 2021, par Cristelle Albaric, Avocat-Associé & Responsable du département International de Simon & Associés

Ce qu’il faut retenir :

Un peu plus de 3 ans après l’adoption en France de la LOI n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles, le Comité Permanent de l’Assemblée Populaire de Chine (Parlement chinois) a adopté le 20 août 2021 la loi sur la protection de la vie privée en ligne  (2021年8月20日第十三届全国人民代表大会常务委员会第三十次会议通过), qui vise notamment à restreindre les collectes parfois abusives de données personnelles effectuées par les géants du numérique (« 中华人民共和国个人信息保护法 ») (la « Loi »). 

Elle entre en vigueur le 1er novembre 2021. 

Pour mémoire : 

Les entreprises du numérique sont particulièrement dynamiques en Chine où une législation jusque-là relativement laxiste sur les données, et l'absence de concurrents étrangers, ont permis à des géants locaux d'émerger. Le secteur a ainsi pu collecter des quantités de données personnelles sur les Chinois (habitudes pour les trajets, les repas, types d'achats, paiements...), via la multitude d'applications qu'ils utilisent au quotidien.

Pour approfondir :

La Loi arrive en réaction à la recrudescence ces dernières années des escroqueries sur internet, mais surtout à l'inquiétude croissante des consommateurs chinois face aux fuites de données ou au recours aux algorithmes. En vertu de la Loi, les entreprises publiques et privées devront minimiser leur collecte d'informations personnelles des citoyens et obtenir leur consentement préalable. Le texte vise notamment à renforcer le contrôle des transferts de données à l'étranger et définit quels types d'informations à risque relèvent de la sécurité nationale. La Loi définit une classification des données en fonction de leur degré d'importance et du "risque" qu'elles représentent pour "la sécurité nationale". Le texte place les entreprises devant leur responsabilité pour prévenir toute fuite de données, jugées comme sensibles. Toute entité récoltant des informations se doit d'être irréprochable en matière de cybersécurité. Elles devront "créer un système complet de la protection des données personnelles ; publier régulièrement le rapport sur les données collectées ; accepter les contrôles des autorités compétentes et du public général", conformément à l’article 58 de la Loi. Parmi les autres dispositions, la Loi indique que les informations personnelles des citoyens chinois ne pourront pas être transférées vers des pays aux normes inférieures à la Chine dans ce domaine. En cas de non-respect des nouvelles règles, les compagnies s'exposent à des amendes pouvant atteindre 50 millions de yuans (environ 6,6 millions d'euros) ou même 5% de leur chiffre d'affaires annuel mondial (Article 66 de la Loi). Pour mémoire, avec le RGPD (Règlement Général sur la Protection des Données), le montant des sanctions pécuniaires peut s'élever jusqu'à 20 millions d'euros ou dans le cas d'une entreprise jusqu'à 4 % du chiffre d'affaires annuel mondial. Pour les infractions les plus graves, les autorités pourront priver les entreprises de leur licence commerciale, voire les contraindre à fermer définitivement. La Loi fait partie d'un ensemble de textes récemment publiés qui visent à davantage encadrer l'économie numérique en Chine pour les prochaines décennies. 

Le texte en chinois de la Loi: 

http://www.npc.gov.cn/npc/c30834/202108/a8c4e3672c74491a80b53a172bb753fe.shtml