D’abord, il faut bien comprendre ce que la PIPL englobe sous ce terme. L’article 28 est assez clair : cela inclut les données biométriques, religieuses, de santé, financières, et surtout, celles concernant les mineurs de moins de 14 ans. Mais attention, la clarté s’arrête là. La loi ajoute un critère flou : toute information dont la divulgation ou l’utilisation illicite pourrait porter atteinte à la dignité ou aux intérêts légitimes de la personne. C’est ce que j’appelle la clause « parapluie ». Par exemple, les données de localisation précises d’un salarié ne sont pas listées explicitement comme « sensibles », mais si vous les croisez avec ses habitudes de vie et son contrat de travail, vous construisez un profil qui bascule dans la catégorie sensible. Je me souviens d’un client, une société logistique, qui utilisait des GPS pour optimiser les tournées. Tout à fait légal, pensaient-ils. Mais lorsqu’ils ont commencé à utiliser ces données pour évaluer la performance individuelle des chauffeurs et justifier des sanctions disciplinaires, le syndicat local a hurlé. Et ils avaient raison de le faire.
Cette zone grise est un piège classique pour les investisseurs étrangers. On a tendance à minimiser l’importance d’une donnée qui semble anodine. Prenons le cas des données de santé. Une simple application de suivi de condition physique dans une usine, qui enregistre la fréquence cardiaque des ouvriers pour prévenir les malaises, collecte techniquement des données de santé. Selon la PIPL, cela nécessite un consentement séparé et explicite, et non une clause noyée dans le contrat de travail. Un de mes contacts, un responsable RH français, m’a confié qu’il ne comprenait pas pourquoi son application de bien-être au travail causait tant de problèmes. Il fallait lui expliquer que, en Chine, la santé de l’individu est considérée comme un attribut quasi sacré, et que tous les employeurs ne sont pas légitimes à la connaître, même avec de bonnes intentions. Le risque n’est pas seulement juridique, il est réputationnel : un scandale sur ce sujet peut détruire une marque employeur en une nuit.
La difficulté réside aussi dans le terme « nécessaire ». La loi stipule que le traitement de données sensibles doit être strictement nécessaire pour atteindre un but précis. Mais qui détermine cette nécessité ? Le régulateur, le CACW (Administration du Cyberespace de Chine), a une interprétation très stricte. Une entreprise qui veut faire une analyse de marché ne peut pas collecter les numéros de carte d’identité des clients pour « faciliter le traitement ». C’est excessif. Nous conseillons toujours à nos clients d’utiliser la technique de la « minimisation des données ». Ne collectez que ce qui est absolument indispensable et documentez précisément les raisons de cette collecte. Dans un dossier de due diligence, nous avons découvert qu’une filiale avait copié l’intégralité de la base clients du siège pour un simple test logiciel. C’était une violation massive. Heureusement, nous l’avons détectée avant que l’inspection n’ait lieu. Il faut être extrêmement rigoureux sur le flux de données, c’est un travail de bénédictin, mais c’est non négociable.
### 第二：单独同意程序繁复 **Consentement Spécifique et Procédures**Le deuxième pilier, et peut-être le plus mal compris, est l’exigence de « consentement séparé » (单独同意). Contrairement au RGPD européen qui parle de « consentement explicite », la version chinoise va plus loin dans la procédure. Vous ne pouvez pas avoir une case à cocher générale. Pour chaque type de donnée sensible, il faut une action positive, isolée, de l’utilisateur. Concrètement, si vous collectez à la fois des données de santé et des données de géolocalisation pour une application, vous devez demander deux fois, avec des fenêtres pop-up distinctes, des textes explicatifs différents. J’ai vu des applications de livraison de repas qui se sont fait épingler pour ça : elles regroupaient le consentement pour la localisation et pour le paiement dans une seule page. C’est interdit. La sanction est immédiate.
Pour les investisseurs qui regardent les startups tech chinoises, ce point est crucial. Un produit qui n’a pas une architecture de consentement conforme dès la conception est une bombe à retardement. J’ai un ami qui a investi dans une application de fitness très populaire. L’application était géniale, mais son avocat n’avait pas prévu ce niveau de granularité dans les consentements. Quand ils ont voulu lever une série B, le due diligence a mis en lumière ce manquement. L’investisseur principal, un fonds américain, a exigé une refonte totale du module de consentement avant de signer le chèque. Cela a coûté six mois de retard et des centaines de milliers de yuans en frais juridiques et techniques. C’est exactement le genre de friction que je vois souvent. Les équipes produit pensent « expérience utilisateur », mais oublient que la loi impose une friction positive pour ces données-là.
La mise en œuvre technique est également un casse-tête. Il ne suffit pas d’avoir un écran de consentement. Il faut conserver une trace horodatée et infalsifiable de ce consentement. Dans une affaire récente, une banque étrangère a été mise en cause car elle ne pouvait pas prouver qu’un client avait bien consenti à la transmission de ses données de crédit à une agence de notation. Ils avaient un enregistrement, mais il était trop vague. La banque a dû payer une amende administrative et, plus embarrassant, a dû interrompre son service pendant une semaine pour mettre à jour son système. Pour les professionnels de l’investissement, ce niveau de détail doit être vérifié lors des audits annuels. Ne vous contentez pas de lire le manuel de conformité, demandez à voir les logs de consentement. Si on vous répond que c’est « trop technique » ou « confidentiel », méfiez-vous.
Un autre aspect à ne pas négliger est le retrait du consentement. La loi chinoise est très généreuse : le citoyen peut retirer son consentement à tout moment, et le process doit être aussi simple que pour le donner. Beaucoup de plateformes cachent ce bouton de retrait au fin fond de leurs paramètres, ce qui est illégal. Pour un investisseur, cela pose la question de la pérennité du modèle économique. Si une entreprise construit son business model sur la revente de données agrégées et que soudain 30% des utilisateurs retirent leur consentement, le modèle s’effondre. C’est un risque d’affaires, pas seulement un risque de conformité. Il faut intégrer cela dans vos modèles de valorisation. Comme je le dis souvent à mes clients, en Chine, la donnée est un actif, mais c’est un actif dont le propriétaire, le citoyen, peut vous le retirer à tout moment. C’est une épée de Damoclès que beaucoup d’analystes financiers ignorent.
### 第三：风险评估必须留痕 **Évaluation d’Impact et Traçabilité**Le troisième point concerne l’obligation de réaliser une « Évaluation d’Impact sur la Protection des Informations Personnelles » (PIPIA, en anglais). Avant de traiter des données sensibles à grande échelle, l’entreprise doit mener une auto-évaluation relative à la légalité, la légitimité et la nécessité du traitement, aux risques pour les droits des individus, et à la sécurité des mesures de protection. C’est un document qui doit être préparé, signé par le responsable de la protection des données, et conservé pendant au moins trois ans. Ce n’est pas un simple formulaire à remplir. C’est un analyse fouillée, un dossier de référence qui peut être demandé par le régulateur à tout moment.
Ce que je remarque souvent dans mon travail, c’est que cette évaluation est faite une fois, puis oubliée. Or, la loi exige qu’elle soit mise à jour en cas de changement significatif. Par exemple, si vous changez de sous-traitant cloud, ou si vous ajoutez un nouveau champ de données à collecter, vous devez refaire l’exercice. Un client, une société de services financiers, a continué à utiliser un centre de données à Hong Kong pour ses clients de Shenzhen pendant deux ans sans mise à jour de son évaluation. Leur justification était que « le contrat était toujours en cours ». C’est une erreur. La localisation du serveur est un facteur crucial dans la PIPL. En 2024, le régulateur a fait une inspection surprise et a immédiatement condamné l’entreprise pour non-respect des procédures d’évaluation. Ce n’est pas le montant de l’amende qui était dramatique — environ 2 millions de RMB — mais la suspension temporaire de l’activité qui a désorganisé toute leur chaîne opérationnelle.
Pour vous, investisseurs, cette exigence de traçabilité est une opportunité. Lors d’une due diligence, demandez à voir ces évaluations d’impact. Une entreprise qui a des dossiers bien tenus, avec des analyses de risques détaillées et des plans de remédiation, est une entreprise qui a probablement une culture de conformité. À l’inverse, si les documents sont vagues, génériques, ou pire, quasiment vides, c’est un signal d’alarme majeur. J’ai vu un dossier où l’évaluation consistait en une page Word avec trois lignes de texte. C’était une insulte à l’intelligence du régulateur. L’entreprise a été lourdement sanctionnée non pas pour le traitement en lui-même, mais pour l’absence de rigueur dans la documentation. La leçon est simple : dans la Chine moderne, la bureaucratie est un outil de conformité. Il faut jouer le jeu.
Mon conseil pratique est souvent le suivant : ne sous-traitez pas entièrement cette rédaction à un cabinet d’avocats. Bien sûr, ils doivent vous aider, mais les équipes internes doivent fournir les données techniques, les flux de données, les mesures de sécurité. Ils doivent co-signer le document. C’est un engagement de la direction. Dans un de mes dossiers, nous avons impliqué le directeur informatique et le responsable RH dans la rédaction. Cela a créé un dialogue sain entre les départements. Ils ont découvert des doublons dans la collecte de données que personne n’avait remarqués. Cette évaluation n’était pas une corvée réglementaire, c’était un outil d’optimisation des coûts. C’est la manière positive de voir les choses. Alors n’hésitez pas à pousser vos participations à aller au-delà de la simple conformité, à utiliser cette obligation pour mieux comprendre leur propre système d’information.
### 第四：跨境传输双重难 **Transferts Transfrontaliers et Double Contrainte**Ah, le transfert transfrontalier ! C’est LE sujet épineux pour les multinationales. L’article 38 de la PIPL impose des conditions strictes avant de sortir des données personnelles hors de Chine. Pour les données sensibles, le niveau d’exigence est encore plus élevé. Il y a trois voies légales : passer le test de sécurité organisé par le CACW, obtenir la certification d’un organisme agréé, ou signer les Clauses Contractuelles Types (SCC) avec le destinataire à l’étranger. Mais attention, pour le volume de données sensibles, les SCC ne suffisent souvent pas. Si vous traitez les données de plus d’un million de personnes, vous devez passer par le test de sécurité. C’est long, coûteux, et le résultat n’est jamais garanti.
Je me souviens d’une discussion houleuse avec une maison-mère allemande. Ils voulaient centraliser le traitement de la paie de leurs employés chinois en Europe pour « simplifier les processus ». Ils n’arrivaient pas à comprendre que, pour eux, c’était une simple donnée RH, mais pour la Chine, c’était des données sensibles (revenus, identité, informations de contact de 500 personnes, ce qui est juste en dessous du seuil des SCC). Nous avons passé des semaines à élaborer une solution hybride : garder les données brutes en Chine, et n’envoyer que des données pseudonymisées et agrégées pour les reporting consolidés. Le directeur général trouvait cela « du gaspillage », mais c’était la seule solution légale. Finalement, après cette mise en place, le groupe allemand a réalisé que cela réduisait aussi leur exposition aux incidents de sécurité internes. C’est une autre approche.
Le deuxième point sur les transferts concerne les données des employés. Un point souvent négligé est l’importation de données vers la Chine. Si votre organisation chinoise reçoit des données personnelles de l’étranger (par exemple, un fichier du service RH européen listant les expatriés en mission en Chine), cette importation est également soumise à des règles de protéger les données de ces individus. La loi chinoise est asymétrique : elle est très tatillonne à l’export, mais elle ignore totalement l’import. C’est un piège pour les entreprises étrangères qui pensent que le PIPL ne s’applique qu’aux données chinoises. Si vous traitez des données sur un employé européen en Chine, ce traitement est soumis au PIPL. C’est une source de conflit avec le RGPD, car les deux régimes exigent des niveaux de protection différents. La solution repose souvent sur des accords de binding corporate rules (BCR), mais peu de groupes les ont encore adaptés à la Chine.
Dans la pratique, je constate une nette évolution vers la « souveraineté des données ». Le régulateur chinois préfère clairement que les données restent en Chine. Ainsi, pour les investisseurs, le message est clair : lors de la structuration d’une acquisition ou d’une JV, il faut évaluer la localisation des data centers et la réversibilité des contrats. Ne laissez pas la question des transferts pour la fin de la négociation. Identifiez dès le départ le volume de données sensibles, leur flux, et la faisabilité de les conserver sur le sol chinois. Cette décision structurante influencera vos coûts d’exploitation de manière significative. Un mauvais choix ici peut vous obliger à construire des systèmes parallèles, un cauchemar organisationnel.
### 第五：安全措施有硬性要求 **Mesures de Sécurité Révolutionnaires**Un des scénarios les plus fréquents que je rencontre est l’usage du cloud. Beaucoup d’entreprises utilisent des services de cloud public comme Alibaba Cloud ou AWS. La loi exige une diligence raisonnable du sous-traitant. Vous devez signer un contrat de traitement des données qui respecte les stipulations précises de la PIPL. Mon expérience en cabinet me dit que beaucoup se contentent de signer les conditions générales du fournisseur de cloud, qui ne sont pas toujours conformes à la loi chinoise. Récemment, une entreprise clientèle dans le secteur e-commerce a subi une fuite de données via une mauvaise configuration d’un bucket de stockage cloud. La cause principale ? Le responsable technique avait modifié la politique de sécurité sans consulter le délégué à la protection des données (DPO). La sanction a été sévère non pas parce qu’ils ont fui, mais parce que les protocoles de contrôle d’accès n’étaient pas configurés comme l’exige la norme. C’est un détail technique, mais la dimension juridique est énorme.
Pour les investisseurs, cela signifie qu’il faut considérer la sécurité comme un investissement, pas comme un coût. Une entreprise qui n’a pas les moyens d’investir dans un SOC (Security Operations Center) ou dans des audits de sécurité réguliers est une cible facile. Dans le cadre d’un financement, j’ai vu des fonds exiger une assurance cyber-responsabilité comme condition de financement. C’est une tendance intelligente car cela oblige l’entreprise à passer par un audit externe pour fixer la prime. Ces audits externes sont souvent plus lucides que les auto-déclarations. Ils vous donnent une note concrète sur la maturité de la sécurité. Cette note est un indicateur de la qualité de la gestion. Un score faible n’est pas forcément rédhibitoire, mais il doit déclencher un plan d’action immédiat.
Un autre point souvent oublié : la formation des employés. La loi impose une formation régulière sur la confidentialité. J’ai vu des entreprises former leurs commerciaux à la vente, mais jamais à la gestion des données clients. Résultat : des fichiers Excel contenant des identifiants et des adresses circulaient par email non crypté. C’est un cas d’école. Dans le cadre de nos services de conseil chez Jiaxi, nous proposons systématiquement une session de formation pour le personnel traitant des données sensibles. C’est souvent un moment révélateur. Les employés découvrent qu’ils sont personnellement responsables en cas de violation de leurs obligations. La loi chinoise permet de poursuivre pénalement les responsables fautifs. Cette responsabilité personnelle est un puissant moteur de conformité, bien plus que l’amende de l’entreprise.
### 第六：主导监管执法协动 **Actions Réglementaires et Cyber Sécurité**Le paysage réglementaire chinois est marqué par des actions coordonnées entre plusieurs organes. Le CACW est le régulateur principal, mais il peut déléguer ou s’appuyer sur le ministère de l’Industrie et des Technologies de l’Information (MIIT), le ministère de la Sécurité Publique (MPS) et d’autres autorités sectorielles. Pour les données financières, la Banque Populaire de Chine (PBoC) a son propre régulateur. Cette situation crée une multiplicité de contrôles. Un investisseur doit comprendre que la conformité n’est pas une affaire de « one-shot », c’est une relation continue avec les autorités. En cas de violation, le régulateur peut imposer des amendes atteignant 50 millions de RMB ou 5% du chiffre d’affaires annuel, des sanctions pour les dirigeants (suspension de toutes fonctions), et même la suspension des activités de traitement des données.
Je vais vous donner un exemple concret. L’année dernière, le secteur de l’immobilier a été une cible de choix. Une grande plateforme de gestion immobilière détenait des données sensibles sur les locataires, notamment leurs données fiscales et leurs fiches de paie pour les dossiers de location. Ils étaient extrêmement fiers de leur conformité formelle. Mais lors d’une inspection, le régulateur a découvert que les accès aux bases de données n’étaient pas journalisés de manière inviolable. Un employé avait consulté le dossier d’une célébrité sans raison professionnelle, pendant des heures. Le régulateur a vu ceci comme un manquement aux obligations de sécurité organisationnelle. L’entreprise a été condamnée et son DPO a reçu une amende personnelle de 100 000 RMB. Ce n’est pas une somme énorme pour un individu, mais cela démontre la responsabilité personnelle accrue. Cela a fait passer un message fort dans tout le secteur.
En tant que conseil, je passe beaucoup de temps à préparer mes clients à ces inspections. Il ne faut pas paniquer. La régulation chinoise, bien que stricte, est souvent procédurale. Ils apprécient que vous coopériez rapidement et que vous ayez des dossiers en ordre. Une attitude défensive ou résistante est contre-productive. Je leur conseille de désigner un interlocuteur unique, souvent le DPO, qui sait répondre aux questions techniques et juridiques de manière claire. La communication est cruciale. Un client m’a dit un jour : « Maître Liu, ils sont venus avec une liste de 30 points à vérifier. Nous n’avions que 28. » Et bien, les deux points manquants étaient malheureusement des points sur la gestion des droits des personnes concernées (accès, rectification). Ils ont eu un délai pour corriger, ce qui était bien. La coopération l’emporte toujours sur l’adversité.
La dernière évolution est l’utilisation de l’IA par le régulateur pour analyser les flux de données. Ils développent des outils de « e-discovery » pour scanner les serveurs à la recherche de données non autorisées. Les petites entreprises qui pensent passer sous les radars se trompent. La technologie de surveillance est très avancée. Un investisseur doit donc considérer la conformité PIPL comme un avantage concurrentiel, pas seulement une obligation. Les entreprises conformes sont mieux préparées pour nouer des partenariats internationaux, surtout avec des groupes européens sensibles au RGPD. Il y a une vraie convergence des niveaux de protection exigés. Cela facilite les échanges internationaux de données, à condition d’avoir les bons mécanismes.
### 第七：公共安全与例外边界 **Exceptions et Intérêts Publics**Il est temps de parler des exceptions, car il y en a. La loi prévoit des cas où le consentement n’est pas nécessaire et où les traitements de données sensibles peuvent être effectués sans passer par toutes les longues procédures que j’ai décrites. Ces exceptions incluent la sauvegarde de la vie ou des biens d’une personne (par exemple, une urgence médicale où l’on transmet des données cardiovasculaires à un hôpital), les traitements pour raisons de santé publique ou de sécurité publique, et le traitement dans le cadre d’une enquête judiciaire ou de la sécurité d’un État.
Cependant, pour un investisseur, cette liste d’exceptions est dangereuse car elle introduit une incertitude juridique. La notion de « bien public » est interprétée largement en Chine. On a vu des cas où des données de géolocalisation ont été demandées par le gouvernement pour la gestion des épidémies. En tant qu’entreprise privée, vous n’avez pas le choix : vous devez vous soumettre. Mais comment tracer la limite entre une demande légitime et un abus ? Mon conseil est de consulter un avocat spécialisé immédiatement lorsqu’une autorité publique fait une telle demande. Il existe des procédures pour vérifier la légalité de la demande, mais une entreprise qui s’exécute directement peut devenir complice d’une violation si la demande n’était pas fondée. C’est un équilibre précaire.
Un autre cas d’exception concerne la recherche scientifique et statistique. La loi permet le traitement de données sensibles à des fins de recherche historique ou statistique, à condition que les données soient anonymisées. Mais attention, l’anonymisation doit être irréversible. Il existe des techniques de dé-anonymisation qui peuvent réidentifier un individu à partir d’un ensemble de données agrégées. Le régulateur chinois a clairement indiqué que l’anonymisation imparfaite est considérée comme un traitement de données personnelles. Dans un projet d’étude de marché pour un client, nous avons voulu utiliser des données de clients désensibilisées (où l’on supprime les noms et numéros de téléphone). L’avocat a refusé car la combinaison du code postal, de la date de naissance et du sexe pouvait identifier un individu dans 90% des cas. C’est le genre de expertise technique que peu d’équipes internes possèdent.
Pour le secteur de la santé, les exceptions sont souvent utilisées pour les essais cliniques. Les multinationales pharmaceutiques doivent parfois traiter des données génétiques (considérées comme ultra-sensibles). La loi exige une autorisation supplémentaire, un consentement "génétique" spécifique. Dans la pratique, cela signifie qu’il faut passer par un comité d’éthique et souvent par une autorisation du ministère de la Santé. L’exception pour la recherche ne vous exempte pas de ces autorisations spécifiques. J’ai vu des entreprises américaines bloquer leurs essais cliniques pendant des mois car elles n’avaient pas identifié cette double exigence. La prévalence de ces règles sectorielles est un piège. Vous devez cartographier non seulement la PIPL, mais aussi les réglementations sectorielles (finances, santé, éducation). C’est un jeu de piste administratif où il est facile de se perdre.
### 总结与展望：合规是竞争力Pour résumer, le traitement des informations personnelles sensibles selon la PIPL est un exercice d’équilibriste entre innovation et protection, entre expansion et prudence. La loi n’est pas une barrière à l’activité, mais un cadre sophistiqué qui, une fois maîtrisé, peut devenir un réel avantage compétitif. Elle protège la réputation de l’entreprise, renforce la confiance des clients et des partenaires étrangers. Dans mon expérience de plus de dix ans à aider des sociétés étrangères, je constate que celles qui ont intégré la conformité dès le départ ont évité des crises industrielles et ont développé une relation de confiance solide avec les autorités locales. La conformité est un investissement dans la pérennité, pas une charge fiscale.
Je voudrais aussi souligner que nous ne sommes qu’au début. Le régulateur chinois continue d’affiner les réglementations, notamment avec les nouvelles règles sur l’IA générative et la bio-sécurité. Les investisseurs doivent rester agiles et informés. Lors de prochaines échéances, nous verrons probablement une harmonisation plus poussée avec le cadre international, sous l’impulsion des entreprises multinationales qui exigent des règles stables. La Chine est en train de construire un écosystème de données mature, et ceux qui sauront s’y adapter bénéficieront d’un marché immense avec des règles du jeu claires. C’est une perspective à long terme très positive.
Enfin, je souhaite revenir sur l’importance de la diligence raisonnable. Ne vous fiez jamais aux discours marketing sur la conformité. Tirez les preuves, au sens propre comme au figuré. Dans un dossier récent de fusion-acquisition, nous avons passé trois jours à auditer les consentements électroniques de l’entreprise cible. Nous avons découvert que 10% des consentements étaient invalides car l’interface de collecte ne permettait pas de garantir une « compréhension adéquate » du texte. C’était une condition suspensive de la transaction. Nous avons finalement exigé une remédiation avant de fixer le prix, ce qui a fait baisser la valorisation de 5%. C’est une situation gagnant-gagnant : la cible a amélioré ses process et l’acquéreur a payé un prix plus juste.
Pour conclure, je dirai que le PIPL est un miroir de la philosophie sociale chinoise sur la collecte des données. Si vous comprenez cela, vous naviguerez avec succès dans ce labyrinthe. Ce n’est jamais une question de punition, mais de mise en conformité de fond. En tant que professionnel de l’investissement, votre curiosité pour les aspects opérationnels de la loi vous distinguera de vos concurrents et fera de vous un investisseur plus avisé. Merci pour votre attention et n’hésitez pas à me contacter chez Jiaxi pour échanger sur ces sujets.
Nous, chez **Compliance/6059.html">Jiaxi Fiscal et Comptabilité**, avons développé une cellule de veille réglementaire dédiée à la transformation numérique des entreprises. Sur le thème du traitement des informations sensibles, nos perspectives sont axées sur la mise en place de cartographies de flux de données dynamiques. Nous pensons que l’avenir appartient aux entreprises qui utiliseront des outils de « Privacy by Design » intégrés dès la phase de R&D de leurs produits. Nous proposons des audits blancs (mock audits) pour tester votre niveau de préparation face aux regulations, et nous collaborons avec des experts techniques pour chiffrer vos bases de données et automatiser les journaux de consentement. Notre vision est simple : transformer la contrainte réglementaire en un gage de sérieux qui vous distinguera lors des négociations avec les partenaires bancaires et les investisseurs étrangers. L’objectif n’est pas de simplement « éviter l’amende », mais de créer une architecture de données saine qui sécurise les opérations en Chine pour les dix prochaines années. Nous sommes convaincus que la conformité est un pilier de la croissance durable, et nous sommes là pour vous accompagner techniquement et stratégiquement à chaque étape.
