Vendre votre marque en Chine via Tmall Global, JD Worldwide, Xiaohongshu ou Douyin vous connecte à des centaines de millions de consommateurs. Mais dès que vous collectez le nom, le numéro de téléphone, l’adresse de livraison ou le comportement de navigation d’un client chinois, vous relevez de la PIPL (loi sur la protection des informations personnelles) — le texte de confidentialité chinois comparable au GDPR. Pour les marques étrangères qui préparent une entrée sur le marché chinois en 2026, la conformité des données n’est plus une tâche technique reléguée, c’est une condition d’accès au marché. Ce guide explique ce que les marques e-commerce étrangères doivent savoir sur la PIPL, le transfert de données transfrontalier et la base technique MLPS 2.0 — et comment structurer la conformité avant le lancement.
Pourquoi la conformité des données est une question d’entrée sur le marché
Beaucoup de fondateurs traitent la loi sur la confidentialité comme un correctif a posteriori. En Chine, c’est une condition préalable. Les autorités attendent une base légale claire, une politique de confidentialité en chinois et un mécanisme de transfert transfrontalier défini avant que vous n’amplifiiez le trafic payant. Une lacune de conformité peut geler votre boutique, bloquer un règlement sur la plateforme ou déclencher une amende dépassant votre budget marketing. La bonne approche consiste à concevoir les flux de données lors de la création de la structure, et non après vos 10 000 premières commandes.
Les essentiels de la PIPL que toute marque étrangère doit connaître
Ce qui compte comme information personnelle
La PIPL protège les « informations personnelles » — toute donnée relative à une personne physique identifiée ou identifiable. Cela inclut le nom, le numéro de pièce d’identité, le téléphone, l’adresse, l’historique de commandes, les identifiants d’appareil, les données de localisation et les cookies de suivi comportemental. Les « informations personnelles sensibles » (biométrie, convictions religieuses, santé, comptes financiers) suivent des règles plus strictes.
Consentement et règle du « consentement distinct »
Le traitement requiert en principe un consentement éclairé. Certaines activités à risque élevé — transférer des données à l’étranger, traiter des informations sensibles ou profiler pour des décisions automatisées — exigent un « consentement distinct » obtenu par un acte affirmé et clair, non enfoui dans une case à cocher des conditions. Votre notice de confidentialité en chinois doit être facile à trouver, rédigée en chinois simple, et précise sur l’objet, la portée et les destinataires étrangers.
Les voies de transfert de données transfrontalier en 2026
Transférer hors du continent chinois des informations personnelles collectées en Chine déclenche les règles de sortie de la PIPL. Il existe trois principales voies légales.
Évaluation de sécurité de la CAC
Les transferts à grande échelle ou sensibles, ou les données de plateformes clés, exigent en général une évaluation de sécurité déposée auprès de la CAC (Administration cybernétique de Chine). C’est la voie la plus lourde, adaptée aux opérateurs à fort volume.
Contrat standard (SCC) et dépôt
La plupart des marques étrangères utilisent le mécanisme du contrat standard : signer le contrat prescrit par la CAC avec le destinataire étranger, réaliser une PIPIA (étude d’impact sur la protection des informations personnelles) et déposer les deux auprès de la CAC locale. Cette voie convient à l’e-commerce transfrontalier de volume moyen.
Certification
Les transferts au sein d’un groupe d’entreprises, ou vers des sous-traitants accrédités, peuvent s’appuyer sur une certification reconnue par la CAC. Utile pour les sociétés mondiales qui déplacent des données entre entités liées.
MLPS 2.0 — la base technique de sécurité
Au-delà des papiers de confidentialité, tout système traitant des données d’utilisateurs chinois doit satisfaire au MLPS 2.0 (schéma de protection multi-niveaux). Vous classez votre système par niveau d’impact, déposez auprès du bureau de la sécurité publique, déployez les contrôles requis et passez une évaluation. Même un simple back-office de boutique, un CRM ou un tableau de bord analytique peut relever des obligations MLPS. Prévoyez-le dans votre budget informatique.
Cookies, suivi et données marketing
Les pixels, les balises de reciblage et les SDK d’analyse collectent tous des informations personnelles. Avant d’exécuter des pixels publicitaires Xiaohongshu ou Douyin alimentant un tableau de bord mondial, confirmez une base légale et une voie de transfert. Beaucoup de marques acheminent les données de campagne Chine via une salle blanche de données locale ou un entrepôt hébergé en Chine pour réduire l’exposition transfrontalière.
Checklist de conformité pratique 2026
1. Désignez un responsable de la protection des informations ou un contact local.
2. Publiez une politique de confidentialité et un avis sur les cookies en chinois.
3. Cartographiez chaque flux de données : ce que vous collectez, où il est stocké, qui y accède.
4. Choisissez une voie de transfert (le dépôt de contrat standard est le choix courant) et réalisez une PIPIA.
5. Enregistrez les systèmes sous MLPS 2.0 et appliquez les contrôles de base.
6. Conservez les registres de consentement et d’étude d’impact pour contrôle.
Faut-il une entité en Chine pour respecter la PIPL ?
Pas toujours. Une société étrangère sans filiale locale peut encore être un « responsable de traitement des informations personnelles » et doit se conformer. Toutefois, créer une WFOE (entreprise à capitaux étrangers) vous donne un représentant légal local, un compte bancaire continental et un siège social enregistré que les autorités peuvent joindre — ce qui simplifie nettement les dépôts et les règlements sur plateforme.
Puis-je stocker les données clients Chine dans mon CRM mondial ?
Uniquement via une voie de transfert conforme. Si votre CRM mondial se trouve hors de Chine, vous avez besoin d’un dépôt SCC (ou d’une autre voie) plus un consentement distinct. Beaucoup de marques déploient une instance CRM locale en Chine ou une zone de données sous douane pour éviter des transferts transfrontaliers continus.
Quelles sont les sanctions en cas de non-conformité ?
La PIPL permet des amendes allant jusqu’à 5 % du chiffre d’affaires de l’année précédente, ou 50 millions de RMB (le plus élevé), ainsi qu’un possible arrêt du service et la responsabilité personnelle des dirigeants responsables. Les autorités peuvent aussi ordonner à une plateforme de retirer un marchand non conforme.
L’e-commerce transfrontalier change-t-il les règles ?
Les modèles sous douane (1210) et direct (9610) changent l’endroit où les données naissent et qui les traite, mais la PIPL s’applique toujours aux informations personnelles des consommateurs chinois. Planifiez la conformité par canal, y compris les prestataires de données logistiques et douanières.
La conformité des données est le gardien silencieux de l’entrée sur le marché chinois. Les marques qui bâtissent des flux de données prêts pour la PIPL, choisissent la bonne voie de transfert et respectent MLPS 2.0 dès le jour un évitent des arrêts coûteux et gagnent la confiance des consommateurs. Hongshengze aide les marques étrangères à créer une WFOE, structurer des flux de données conformes et lancer sur Tmall Global, JD Worldwide, Xiaohongshu et Douyin en toute confiance.