Cadre légal et délais impératifs
Le premier réflexe pour tout responsable conformité est de comprendre que la loi chinoise sur la sécurité des données, promulguée en septembre 2021, ne définit pas un délai unique. Elle s’articule avec les mesures de gestion de la sécurité des données et surtout avec le PIPL. Pour une entreprise étrangère, cette superposition de textes crée un maquis réglementaire où l’erreur d’interprétation peut coûter cher. En pratique, le délai le plus critique reste celui de 72 heures pour notifier l’autorité de régulation (le CAC et le ministère de la Sécurité publique, selon la nature des données). Ce délai court à partir du moment où l’entreprise a connaissance de l’incident, pas à partir de sa détection technique. Cette nuance est cruciale : la « connaissance » implique une évaluation préliminaire de l’impact, ce qui demande une procédure interne de qualification des incidents extrêmement rodée.
Je me souviens d’un client allemand spécialisé dans l’équipement médical qui avait subi une intrusion dans son système de facturation. Leur équipe IT locale a mis deux jours à réaliser qu’il s’agissait d’une exfiltration de données clients, et non d’un simple bug. À ce moment-là, ils ont paniqué et ont voulu envoyer une notification immédiate, sans avoir fait l’analyse d’impact. Je leur ai conseillé de prendre un temps de respiration. La loi impose de notifier dans les 72 heures, mais elle exige aussi que la notification contienne une description précise de l’incident, les catégories de données concernées, et les mesures d’urgence prises. Une notification hâtive et incomplète peut être considérée comme une obstruction à l’enquête. Nous avons donc formalisé une évaluation éclair en 48 heures, puis envoyé la notification à la 70ème heure. Cette approche, bien que stressante, a démontré une bonne foi exemplaire et une rigueur professionnelle qui ont été appréciées par l’inspecteur local.
Il faut aussi savoir que la notification aux utilisateurs individuels est distincte de la notification aux autorités. Le PIPL impose une communication aux personnes concernées « immédiatement » – un terme volontairement vague qui contraste avec le délai précis de 72 heures. Dans notre pratique, nous recommandons une double notification : un premier message d’alerte générique dès que le risque est confirmé (même sans tous les détails), puis une communication plus détaillée dans les 7 jours ouvrés. Cette stratégie permet de satisfaire l’exigence d’immédiateté sans compromettre la qualité de l’information. Les autorités chinoises, lors de conférences récentes, ont insisté sur le fait que le délai de 72 heures n’est pas un objectif à atteindre mais un plafond absolu, et qu’une notification plus rapide est toujours mieux perçue. La difficulté réside dans la coordination avec les équipes juridiques internationales qui, elles, sont souvent habituées au RGPD européen avec des délais similaires mais des attentes différentes en termes de contenu.
Enfin, il est essentiel de souligner que la Loi sur la sécurité des données introduit la notion de « classification des données » comme préalable à la notification. Si vous ne savez pas quelles données sont « importantes » ou « nationales », vous serez incapable de déterminer si vous devez notifier sous 72 heures ou sous 24 heures (dans les cas extrêmes de données d’infrastructures critiques). Mon expérience auprès des sociétés de négoce et de logistique montre que beaucoup sous-estiment la portée de la loi sur les données non personnelles. Un simple fichier Excel contenant des volumes de trafic portuaire peut être classé comme « donnée importante » dans certaines provinces. La notification tardive, même de quelques heures, entraîne des amendes pouvant atteindre 5% du chiffre d’affaires annuel pour l’entité. Je conseille toujours à mes clients de créer un registre des catégories de données et de leurs niveaux de sensibilité, et de faire valider ce registre par un cabinet externe comme le nôtre, car il constitue votre principale défense en cas de litige.
Procédure interne de mise en alerte
La mise en place d’une procédure interne efficace est un défi quotidien, surtout dans les filiales d’entreprises étrangères où la chaîne de décision est longue. Le délai de 72 heures paraît généreux, mais il inclut souvent des validations internes qui prennent à elles seules trois jours. J’ai vu des cas où le directeur juridique basé à Singapour voulait tout relire avant l’envoi, ce qui retardait la notification. Pour éviter ce piège, j’ai instauré avec plusieurs de mes clients une règle simple : la notification initiale ne doit pas contenir d’analyse de responsabilité, mais uniquement les faits objectifs. Cela permet de la faire signer par le responsable local de la sécurité des données, sans passer par le niveau mondial. Il faut éduquer les maisons mères sur le fait que le droit chinois est impératif et que la validation hiérarchique ne peut pas primer sur la loi.
Un autre aspect souvent négligé est la nécessité de tester cette procédure par des exercices de simulation. Il ne suffit pas de rédiger un plan de réponse aux incidents ; il faut le répéter. Dans notre cabinet, nous proposons des « simulations de fuite » pour nos clients. Lors d’un exercice avec un fabricant de composants électroniques basé à Suzhou, nous avons découvert que leur service RH avait conservé une base de données d’anciens employés avec des copies de pièces d’identité. Lors de la simulation, l’équipe a cru que ces données n’étaient pas soumises à notification car elles étaient « historiques ». C’est une erreur grave : toute donnée personnelle, même obsolète, entre dans le champ de la notification si elle a été exfiltrée. Cet exercice nous a permis de corriger leur registre et d’établir un seuil de déclenchement plus bas. La règle que nous appliquons désormais est : en cas de doute, on notifie. Le risque de sur-notification est bien moindre que le risque de sous-notification.
La coordination entre les équipes techniques et juridiques est également un point de friction majeur. Les équipes techniques veulent souvent attendre d’avoir sécurisé le système avant de notifier, par crainte d’une exploitation pendant l’enquête. Mais la loi exige une notification même si l’incident n’est pas totalement endigué. La solution pratique est de définir un « pack de notification » pré-validé : un modèle de texte avec des champs à remplir (date, heure, nature des données, mesures prises). Ce pack doit être stocké sur un serveur distinct, accessible même en cas de compromission du système principal. Lors de la récente cyberattaque d’un fournisseur de solutions cloud basé à Shanghai, notre client a pu envoyer sa notification aux autorités en moins de quatre heures grâce à ce pack, tandis qu’un de ses concurrents a attendu 60 heures en essayant de reconstruire leur base de données. La différence de traitement entre les deux situations fut flagrante lors des inspections ultérieures.
Je ne saurais trop insister sur l’importance de former non seulement le personnel IT, mais aussi les administrateurs et le personnel d’accueil. Une fuite de données peut être découverte par un stagiaire qui remarque une anomalie dans un fichier partagé. Si cette personne ne sait pas à qui s’adresser, le délai de notification commencera à courir plus tard, et l’entreprise sera tenue responsable de la non-notification dans les délais. Nous avons mis en place des formations trimestrielles chez nos clients, avec des quiz pratiques sur la « connaissance de l’incident ». La jurisprudence commence à se développer sur ce point, et les tribunaux administratifs considèrent que la « connaissance » peut être établie si un employé a signalé une anomalie dans un système, même sans confirmation officielle. C’est un changement de paradigme : la diligence raisonnable est devenue une obligation de vigilance active, pas une simple réaction à un signal d’alarme.
Sanctions et jurisprudence récente
Les sanctions prévues par la loi sur la sécurité des données sont dissuasives, mais c’est leur application concrète qui doit alarmer les investisseurs. Pour les entreprises non qualifiées d’« opérateurs d’infrastructures critiques », l’amende peut atteindre 10 millions de RMB ou 5% du chiffre d’affaires annuel. Mais ce que l’on observe sur le terrain, c’est que les autorités utilisent une gradation des peines : avertissement, amendes administratives, suspension d’activité, et même interdiction de certains dirigeants d’exercer. Dans le cas d’une entreprise de e-commerce que nous suivons, le directeur général a été personnellement convoqué pour expliquer un retard de notification de 12 heures. Bien que l’amende finale fût modérée (500 000 RMB), le coût réputationnel et le temps passé à répondre aux enquêteurs ont été immenses. La leçon est que l’administration a les moyens de vous paralyser bien au-delà de la sanction monétaire.
La jurisprudence récente de 2023 et 2024 montre une tendance inquiétante : les tribunaux administratifs commencent à exiger la preuve par l’entreprise de ses efforts de prévention. Ainsi, une société qui n’a pas de plan de réponse validé par un cabinet externe est présumée en faute, même si elle a respecté le délai. D’ailleurs, j’ai récemment pris connaissance d’une affaire dans la province du Zhejiang où l’autorité a publié le rapport d’enquête public, soulignant que l’entreprise n’avait pas désigné de « responsable de la sécurité des données » (DSO) – un poste obligatoire depuis le PIPL. Cette absence a été traitée comme une circonstance aggravante, doublant la peine. Pour des entreprises étrangères, la désignation d’un DSO local, résidant en Chine, est parfois vue comme une perte de contrôle. Pourtant, nous conseillons de nommer un directeur administratif senior, même sans expert IT, mais avec un mandat clair et un accès direct au conseil d’administration.
Il est aussi essentiel de comprendre que la notification aux autorités n’empêche pas les actions en justice civiles de la part des personnes dont les données ont été compromises. Le délai de notification s’inscrit dans une obligation de diligence générale, et un retard peut être utilisé comme preuve de négligence dans une action collective. J’ai vu un cas où des clients français (via leur filiale) ont été poursuivis par un groupe d’employés dont les données de salaire avaient fuité. Les avocats des plaignants ont insisté sur le fait que l’entreprise avait attendu 72 heures au lieu de 48 heures pour les informer individuellement, bien que la loi ne fixe pas de délai précis pour les individus. Cela montre que la pratique commerciale et les attentes des parties prenantes vont souvent au-delà des exigences légales. Le tribunal n’a pas retenu cet argument, mais l’effet négatif sur les salariés était durable. Nous recommandons donc d’adopter une attitude proactive : notifier les individus plus tôt que les autorités, dès que la première analyse d’impact est disponible, même sommaire.
Enfin, la coordination avec les autorités de protection des données personnelles (CAC) est devenue plus sophistiquée, avec des bureaux locaux qui interprètent souvent les textes de manière différente. Un jour, un client basé à Pékin et un autre à Shenzhen ont vécu des incidents similaires. L’un a été félicité pour sa rapidité en notifiant à la 20ème heure, l’autre a été blâmé pour avoir notifié à la 30ème heure, car son rapport ne contenait pas une évaluation précise de l’impact transfrontalier. Le bureau de Shenzhen, plus strict sur les transferts de données hors de Chine, a estimé que l’entreprise aurait dû signaler immédiatement la possibilité que des données de citoyens chinois soient consultées depuis l’étranger. Ce qui montre qu’il ne faut pas se fier à une interprétation nationale uniforme. Il est indispensable d’avoir un conseil local qui connaît les priorités de chaque CAC provincial, sinon vous prenez le risque d’une mauvaise appréciation du délai.
Articulation avec les exigences du PIPL
Le PIPL (loi sur la protection des informations personnelles) et la Loi sur la sécurité des données (DSL) sont deux textes complémentaires dans le domaine de la fuite de données. Alors que la DSL se concentre sur la sécurité nationale et la classification des données, le PIPL impose des règles plus strictes pour les données personnelles, notamment une notification individuelle « immédiate » et une notification aux autorités « sous 72 heures » – un délai que la pratique évalue souvent à 60 heures pour être sûr de respecter toutes les formalités. Cette superposition crée un système à deux vitesses : une fuite de données purement personnelles (ex. : registre des clients) est soumise au PIPL, tandis qu’une fuite touchant des données non personnelles mais relatives aux infrastructures (ex. : plans de transport) est du ressort de la DSL. Dans la vraie vie, une fuite ne se limite jamais à un seul type de données. Par exemple, une attaque de ransomware sur un système de gestion de la chaîne d’approvisionnement expose à la fois des données personnelles (coordonnées des conducteurs) et des données commerciales sensibles (itinéraires, horaires).
L’évaluation d’impact sur la protection des données (PIA) est devenue un préalable obligatoire pour toute entreprise qui traite des volumes importants de données. Dans mon expérience, les entreprises étrangères ont tendance à négliger cette étape, car leurs maisons mères possèdent déjà des PIA pour le RGPD. Or, le contenu d’un PIA chinois est différent : il doit inclure une analyse de l’intérêt national et de la sécurité publique, ce qui est rare dans les évaluations européennes. Lors d’un audit chez un client japonais spécialisé dans la robotique, nous avons découvert que leur PIA ne mentionnait pas le risque de fuite de données techniques liées à la fabrication (des données classées « importantes »). Sans ce document, une notification de fuite aurait été vue comme une admission de non-conformité. Il ne faut pas considérer le PIA comme un exercice administratif, mais comme un bouclier juridique : en cas de fuite, un PIA complet et à jour prouve que vous avez fait preuve de diligence, ce qui peut réduire les sanctions.
Le consentement des utilisateurs est un autre aspect où le délai de notification interfère. En vertu du PIPL, lorsque la fuite concerne des données personnelles, l’entreprise doit informer les personnes concernées « immédiatement » et leur donner la possibilité de prendre des mesures protectives (ex. : changer de mot de passe). Mais que faire si l’identité des utilisateurs n’est pas connue ? Par exemple, lors d’une fuite de cookies de tracking, vous ne pouvez pas contacter chaque individu. Ici, la solution pragmatique est de publier un avis public sur votre site internet, ce qui est considéré comme une notification. J’ai dû conseiller à une société de jeux vidéo, dont la base de joueurs était majoritairement chinoise, de publier un message dans leur client de jeu, car l’envoi d’emails était insuffisant – un grand nombre de comptes avaient des adresses jetables. L’autorité a accepté cette forme de notification, mais a exigé que le message reste visible pendant 72 heures. Ce détail peut sembler anodin, mais il faut l’avoir prévu dans sa procédure pour ne pas retarder la notification formelle aux autorités.
Un aspect très pragmatique que j’ai appris à gérer est la coexistence de différents responsables : le délégué à la protection des données (DPO) désigné pour le RGPD, et le responsable de la sécurité des données (DSO) exigé par le PIPL. En général, une entreprise étrangère nomme deux personnes différentes, car les compétences requises divergent. Mais cette dualité crée des frictions lors d’une fuite : le DPO européen veut tout documenter selon les procédures RGPD, tandis que le DSO chinois veut privilégier la vitesse. Mon conseil est de désigner un « chef de crise » unique, souvent le DSO local, avec autorité sur le DPO pendant l’incident. Cela permet d’éviter les débats internes qui consomment un temps précieux. J’ai vu une entreprise nordique perdre 36 heures dans des discussions entre ses avocats parisiens et son service cyber à Shanghai, en se demandant quel cadre légal était le plus strict. La réponse est toujours la même : le plus strict est celui qui doit s’appliquer, et en Chine, le délai est impératif, alors que le RGPD, bien que similaire, laisse une petite souplesse pour les groupes d’entreprises.
Transferts transfrontaliers et urgences
Les fuites de données impliquant des transferts transfrontaliers sont particulièrement délicates, car elles touchent à deux volets : la notification de la fuite elle-même, et la certification de la licéité du transfert initial. Si un employé envoie par erreur une base de données clients à un serveur situé en Allemagne sans passer par le mécanisme de transfert sécurisé, cela constitue une infraction distincte, même s’il n’y a pas eu de piratage malveillant. Dans ce cas, le délai de notification ne commence pas à courir du moment de la découverte de l’erreur, mais du moment où l’entreprise aurait raisonnablement pu s’en apercevoir – un standard qui dépend de la qualité de vos systèmes de surveillance. Dans notre pratique avec des maisons de commerce internationales, nous avons constaté que les erreurs de transfert sont plus fréquentes que les cyberattaques. Les collaborateurs utilisent souvent leur messagerie personnelle ou des services cloud non autorisés, et la détection est aléatoire.
La procédure de notification en cas de transfert transfrontalier accidentel comporte une spécificité : il faut non seulement notifier l’autorité de sécurité des données, mais aussi l’autorité de régulation des réseaux (CAC) si les données concernent des citoyens chinois. Dans un cas récent impliquant un logisticien américain, nous avons découvert qu’un sous-traitant indien avait copié des fichiers depuis un serveur à Ningbo. Le délai de 72 heures était déjà écoulé depuis la copie, car le système de journalisation n’avait pas été configuré pour alerter sur un téléchargement vers une IP étrangère. Nous avons dû expliquer aux autorités que la « connaissance » de l’incident n’était survenue que tardivement, et fournir des preuves techniques de cette analyse. L’acceptation de cette explication a été facilitée par le fait que nous avions mis en place ultérieurement un système de « double alerte » (alerte géographique + alerte volumétrique). C’est un investissement additionnel, mais amorti, tant les conséquences d’un non-respect du délai peuvent être graves.
Un problème récurrent que je rencontre est celui des entreprises multinationales qui ont leur siège social dans un pays ayant conclu un accord de libre-échange de données avec la Chine, mais dont les données transitent par des serveurs situés dans des pays tiers non autorisés. Par exemple, une société suisse utilisait un centre de données à Singapour pour traiter les données de ses clients chinois. Suite à une fuite via un fournisseur SaaS, le délai de notification était impossible à respecter, car l’entreprise devait d’abord faire évaluer par son siège si les données concernées étaient « personnelles » au sens chinois. Nous avons recadré le problème : le volume de données et le type de données indiquaient clairement qu’il s’agissait de données personnelles chinoises. Il fallait donc notifier immédiatement, sans attendre une analyse du siège. Heureusement, nous avons réussi à envoyer la notification dans les délais, mais cela a révélé une lacune structurelle majeure pour les groupes internationaux : ils manquent souvent d’une chaîne de décision décentralisée pour ce genre de situations.
Enfin, le problème des « fuites silencieuses » est particulièrement préoccupant. Il s’agit de fuites où l’attaquant accède aux données sans les dérober, par exemple en les affichant à l’écran ou en les imprimant. La loi considère qu’un « accès non autorisé » peut ne pas constituer une fuite si aucune copie n’est faite. Mais les autorités exigent que l’entreprise évalue la probabilité de reproduction des données. Dans un cas d’un employé mécontent qui a consulté des fichiers de recherche sur son ancien poste, nous avons dû choisir entre notifier ou ne pas notifier. Notre évaluation, validée par un expert technique, a démontré que l’affichage de ces fichiers sur un écran pendant 10 minutes ne permettait pas une capture fidèle à cause de la politique de filigrane dynamique. Nous avons décidé de ne pas notifier, mais de documenter minutieusement l’incident dans notre registre interne. L’autorité, lors d’un contrôle ultérieur, a apprécié cette transparence, car il est toujours plus simple de justifier une non-notification après coup, si l’analyse est rigoureuse, que de devoir expliquer une notification tardive.
Préparation et exercices de crise
La préparation est la pierre angulaire du respect des délais. Inutile de dire que les entreprises qui réussissent les tests de notification sont celles qui ont investi dans des exercices réguliers. Chez Jiaxi, nous recommandons au moins un exercice complet par semestre, avec des scénarios différents : ransomware, fuite interne, compromission d’un fournisseur. La valeur de ces exercices est de réduire le temps de réaction « du découvert à la notification ». Initialement, la plupart de nos clients mettent entre 30 et 40 heures pour se préparer, car ils cherchent trop d’informations avant d’agir. Après deux exercices, ce temps tombe à 8-10 heures. C’est une économie énorme en termes de risque réglementaire. Par ailleurs, l’entraînement aide à identifier les goulots d’étranglement humains : une personne clé en vacances, un fournisseur réseau indisponible, un traducteur manquant.
Un aspect souvent sous-estimé est la gestion de la communication avec les autorités pendant l’enquête. Suite à la notification initiale, le CAC peut envoyer une équipe sur place, ou demander des rapports complémentaires sous 24, 48 ou 72 heures. Il ne s’agit plus ici de délais légaux pour la notification, mais de délais imposés par l’autorité. Dans un cas récent avec un client exploitant une plateforme de billetterie, le CAC a exigé un rapport intermédiaire toutes les 12 heures pendant les trois jours suivant l’incident. Notre client a dû dédier une équipe à plein temps pour compiler les métriques de sécurité, ce qui a détourné des ressources de la remédiation. C’est là que la structure préparée devient cruciale : il faut avoir des tableaux de bord pré-remplis, des modèles de rapports, et une cellule de crise qui fonctionne 24/7. Les entreprises qui improvisent à ce stade brûlent souvent leurs équipes techniques et perdent en efficacité.
Les exercices doivent aussi inclure la dimension psychologique. Lors d’une fuite réelle, la tentation est grande de blâmer un sous-traitant ou de minimiser l’impact. Mais les autorités chinoises sont rompues à ces manœuvres et exigent des preuves. Nous avons observé que les directeurs généraux étrangers ont tendance à vouloir « protéger la face » et ne pas reconnaître l’ampleur réelle. Mon rôle, en tant que conseiller expérimenté, est de les ramener à la réalité des faits. La transparence totale dès la notification initiale est la meilleure stratégie, car elle établit une relation de confiance avec l’inspecteur. J’ai accompagné un client français dans la rédaction d’une notification qui admettait ouvertement que les mesures de protection existantes n’avaient pas été appliquées pour un système secondaire. Bien que cela ait conduit à une sanction plus élevée, cela a permis une résolution plus rapide du dossier et l’absence de surveillance renforcée. L’autorité a dit explicitement qu’elle préférait une auto-incrimination honnête à une défense fallacieuse.
Enfin, je veux souligner l’importance de la remédiation post-incident, qui influence la sévérité des sanctions. Les autorités exigent un plan de remédiation dans les 30 jours suivant la notification. Ce plan doit être chiffré, avec des dates précises. Nous conseillons de le soumettre avant la date limite, car cela montre une volonté proactive. J’ai vu une entreprise de services financiers qui a non seulement corrigé la faille, mais a aussi volontairement étendu la surveillance à tous ses partenaires. Cette avance a été largement saluée par le régulateur, qui a réduit l’amende de 30%. Dans la pratique, la remédiation est le seul élément qui dépend totalement de l’entreprise ; le délai de notification, lui, est incompressible. La stratégie judicieuse est donc d’investir plus d’énergie dans la correction que dans la justification. Cette philosophie est bien comprise par les dirigeants asiatiques, mais moins par les occidentaux, qui préfèrent souvent contester l’interprétation de la loi.
Documentation et preuves de conformité
Conserver des preuves tangibles de vos actions est aussi important que de respecter les délais. En cas d’audit ultérieur – et il y en aura presque certainement un au cours des 18 mois suivant l’incident – l’autorité demandera des journaux d’événements, des enregistrements de réunions, des versions annotées de la notification. Sans cette documentation, l’entreprise sera accusée de non-conformité même si le délai a été respecté. Il ne suffit pas d’envoyer l’email ; il faut prouver qu’il a été lu, et que les décisions internes ont été prises selon une procédure valide. Pour cela, nous créons un « coffre-fort d’incident » (électronique) à double authentification, où se trouvent tous les documents, horodatés par un tiers de confiance. Cet instrument est souvent laissé de côté par les multinationales qui se fient à leur système de messagerie.
Dans notre pratique, nous utilisons des outils de gestion de projet pour suivre chaque étape de la notification. Chaque salarié impliqué doit horodater ses actions. Si quelqu’un découvre l’incident à 14h00, il doit le documenter à 14h00, pas après. Ces traces sont cruciales car le délai de 72 heures peut être contesté. Dans un litige récent avec une entreprise de marketing, le régulateur a estimé que l’incident devait être « connu » à partir d’une alerte système à 8h00, même si l’opérateur humain ne l’a lue qu’à 15h00. L’entreprise n’a pas pu contester, car elle n’avait aucune preuve que l’alerte était silencieuse. Depuis, nous recommandons une identification systématique des alertes système dans la procédure de notification : chaque alerte doit avoir un accusé de réception. C’est un détail technique, mais qui détermine souvent la date de « connaissance » dans l’esprit de l’autorité.
La documentation doit aussi couvrir les efforts de remédiation. L’autorité exigera la liste des mesures prises pour empêcher une récurrence. Il ne suffit pas de dire « nous avons corrigé la faille ». Il faut montrer les captures d’écran de l’application du correctif, les logs de fermeture de port, et les attestations de formation du personnel. Cette rigueur documentaire est un vrai investissement en temps. J’ai vu des entreprises perdre deux semaines à compiler ces informations après l’incident, alors qu’elles auraient pu les préparer en deux jours si elles avaient mis en place un système de gestion du changement structuré. Chez Jiaxi, nous proposons un modèle de « registre de remédiation » qui est rempli en continu, et non pas le jour où l’alerte est donnée. Cette approche proactive est difficile à implanter dans les cultures d’entreprise où tout est fait oralement, comme dans certaines sociétés françaises, mais elle est indispensable pour naviguer dans les contrôles.
Enfin, il est impératif de conserver la documentation non seulement en chinois, mais aussi en anglais lorsque l’entreprise est étrangère. Les autorités apprécient les rapports bilingues, car cela facilite leur travail d’analyse. Cependant, ils se méfient des versions françaises ou allemandes non traduites, qui peuvent être mal interprétées. Nous préparons une version chinoise « officielle » et une version anglaise « informative », mais la version chinoise fait foi en cas de divergence. Cette hiérarchie des langues est un piège classique : une maison mère exige une version anglaise signée par le président, puis l’autorité constate que la version chinoise n’a pas été signée par le même responsable. Il faut donc définir un processus de double signature, ce qui retarde souvent la notification. Mon conseil est de s’assurer que la signature du représentant légal en Chine (ou du DSO) suffit pour la version chinoise, et que la version anglaise est simplement une annexe non contractuelle.
Rôle des prestataires et conseils externes
Les entreprises étrangères ont souvent recours à des prestataires externes pour la gestion de leur cybersécurité en Chine. Ce choix peut être judicieux, mais il complique la chaîne de notification. Si votre SOC (Security Operations Center) est basé en Inde ou en Europe, la détection d’un incident peut être retardée de plusieurs heures en raison du décalage horaire ou d’une priorisation des alertes. Dans un cas vécu avec un client commercialisé dans le secteur pharmaceutique, le prestataire européen a mis 6 heures à transférer l’alerte vers l’équipe chinoise, réduisant considérablement la marge de manœuvre pour préparer une notification de qualité. Nous avons résolu ce problème en ajoutant un SLA spécifique pour les alertes impliquant des entités chinoises, avec un engagement de notification dans l’heure. Ce niveau de détail contractuel n’est pas standard et doit être négocié avec des experts locaux.
La question de la confidentialité des échanges avec les conseils externes est également centrale. Lorsque nous préparons un avis juridique ou une analyse d’impact, ces documents peuvent être exigés par les autorités. Il ne faut pas croire que le secret professionnel de l’avocat est absolu en Chine. Les autorités administratives ont le pouvoir d’exiger la production de tous les documents qui ont conduit à une décision de notification ou de non-notification. Si notre analyse contient des commentaires du genre « cette donnée n’est probablement pas importante », cela peut être mal interprété. Nous utilisons donc un langage prudent et nous séparons toujours les documents « internes » des documents « transmissibles ». Les autorités ne peuvent exiger que ces derniers. Cette distinction est subtile, mais essentielle pour protéger la stratégie juridique de l’entreprise. Il est donc recommandé d’avoir deux courants de conseil : un conseil « technique » qui peut être transmis, et un conseil « stratégique » qui doit rester confidentiel.
Un autre rôle important du conseil externe est de servir d’interface avec les autorités pendant l’incident. Dans mon expérience, il est préférable que les premiers échanges téléphoniques avec le CAC soient faits par un cabinet de conseil expérimenté, pour éviter que le dirigeant étranger ne fasse des déclarations maladroites. Nous avons un protocole : nous appelons d’abord pour informer officieusement, puis envoyons la notification formelle. Cette approche « informelle d’abord » est bien acceptée dans la culture administrative chinoise, car elle montre du respect et une intention de coopérer. Elle ne remplace pas la notification écrite, mais elle prépare le terrain. Par ailleurs, lors d’un incident récent chez un client logistique à Tianjin, un appel informel a permis à l’autorité de nous orienter vers le bon département, qui n’était pas celui que nous avions identifié initialement. Sans cet appel, la notification aurait pu être envoyée à la mauvaise entité et être considérée comme non envoyée.
