Lorsqu’une marque étrangère crée en Chine une WFOE (entreprise à capital étranger détenue à 100 %), un bureau de représentation ou une boutique transfrontalière, elle commence aussitôt à collecter des informations personnelles – celles de ses employés, clients, prospects et partenaires. La loi sur la protection des informations personnelles (PIPL) de Chine, conjuguée à la loi sur la cybersécurité (CSL) et à la loi sur la sécurité des données (DSL), forme l’un des régimes de données les plus stricts au monde. Le non-respect n’est pas un risque théorique : les autorités peuvent bloquer les flux de données transfrontaliers, ordonner l’arrêt de l’activité et infliger des amendes pouvant atteindre 5 % du chiffre d’affaires mondial de l’année précédente. Ce guide explique ce que les entreprises étrangères doivent réellement mettre en œuvre en 2026.
Pourquoi la conformité des données est essentielle lors de l’entrée sur le marché chinois
L’entrée sur le marché ne se résume plus à la création d’entité et à la fiscalité. Dès que vous traitez les données d’une personne en Chine, vous pénétrez un espace fortement régulé. Intégrer la conformité dès le début protège votre calendrier de lancement, la confiance de vos clients et votre capacité à déplacer des données opérationnelles au-delà des frontières.
Les trois textes : PIPL, CSL et DSL
La Chine réglemente les données par trois lois qui se chevauchent. La loi sur la cybersécurité (2017) a introduit les obligations de sécurité des réseaux et le concept d’infrastructure d’information critique (CII). La loi sur la sécurité des données (2021) classe les données par importance – elle distingue les « données importantes » et les « données centrales » – et restreint le transfert outre-frontière des ensembles de données sensibles. La loi sur la protection des informations personnelles (2021) est la loi dédiée à la vie privée en Chine, souvent comparée au RGPD de l’UE, et elle régit la manière dont tout organisme collecte, stocke et partage des informations personnelles. Pour une entreprise étrangère, ces trois lois s’appliquent dès lors que vous traitez des données en Chine ou que vous ciblez des individus en Chine depuis l’étranger.
Qui doit se conformer ? La portée extraterritoriale
Le PIPL s’applique non seulement aux entités établies en Chine, mais aussi aux responsables de traitement étrangers qui (a) fournissent des produits ou services à des individus en Chine, ou (b) analysent et évaluent le comportement d’individus en Chine. Un vendeur de commerce électronique étranger livrant des consommateurs chinois, ou un outil SaaS utilisé par une équipe en Chine, peut entrer dans le champ d’application sans entité locale. C’est pourquoi la planification de l’entrée sur le marché doit inclure un volet conformité des données dès le début.
Obligations centrales pour les entreprises étrangères
Au minimum, une entreprise étrangère conforme doit : (1) publier une politique de confidentialité en chinois décrivant les données collectées et la raison ; (2) obtenir un consentement valide avant de traiter des informations personnelles sensibles ; (3) tenir un inventaire des données et des registres de traitement ; (4) désigner un responsable de la protection des informations personnelles lorsque les volumes traités dépassent les seuils légaux ; (5) réaliser une analyse d’impact sur la protection des informations personnelles (PIPIA) pour les activités à risque élevé telles que le transfert transfrontalier ou le traitement à grande échelle ; et (6) respecter les droits des personnes (accès, rectification, suppression).
Transfert de données transfrontalier : trois voies légales
Le transfert d’informations personnelles hors de Chine déclenche les règles de sortie du PIPL. On dispose en général de trois options : (1) une évaluation de sécurité par l’autorité du cyberespace (CAC), obligatoire pour les données importantes, pour les responsables traitant les informations de plus d’un million de personnes, ou pour les données sensibles de plus de 10 000 individus ; (2) des clauses contractuelles types (SCC) déposées auprès de la CAC provinciale, adaptées aux transferts de volume modéré ; et (3) une certification par un organisme approuvé par la CAC. Depuis 2024, plusieurs zones de libre-échange ont publié des « listes négatives » – si vos données n’y figurent pas, le transfert est grandement simplifié. Le choix de la voie dépend du volume, de la sensibilité et du fait que vous exploitez une CII.
Cybersécurité : MLPS 2.0 et CII
Au-delà de la vie privée, les opérateurs de réseau doivent suivre le schéma de protection à niveaux multiples (MLPS 2.0). Les systèmes sont gradés (niveaux 1 à 5) selon leur importance ; la plupart des systèmes commerciaux se situent aux niveaux 2 à 3 et requièrent un enregistrement, un durcissement de la sécurité et un examen annuel. Les opérateurs d’infrastructure d’information critique font face à des obligations de stockage local et de transfert plus strictes. Les entreprises étrangères hébergeant en Chine des sites web, des applications ou des systèmes back-office doivent finaliser le gradage MLPS tôt pour éviter des retards de lancement.
Sanctions et application
Les violations peuvent entraîner des avertissements, la confiscation des revenus illicites et des ordres d’interruption d’activité. Les infractions graves entraînent des amendes allant jusqu’à 50 millions de renminbi ou 5 % du chiffre d’affaires de l’année précédente, ainsi que la responsabilité personnelle des cadres directement responsables. Les autorités coordonnent de plus en plus leurs actions entre administrations, et un transfert bloqué peut geler les opérations internationales.
Questions fréquentes
Une entreprise étrangère sans entité en Chine doit-elle se conformer ?
Oui. La portée extraterritoriale du PIPL couvre les responsables de traitement étrangers servant des individus en Chine ; vous devrez peut-être désigner un représentant local.
Quand l’évaluation de sécurité de la CAC est-elle requise ?
Lors du transfert de données importantes, du traitement des informations de plus d’un million de personnes, ou du traitement de données sensibles de plus de 10 000 individus. Les transferts plus petits peuvent utiliser les SCC ou la certification.
Avez-vous besoin d’un responsable local de la protection des données ?
Si le volume traité dépasse le seuil légal, ou si vous exploitez une CII, la désignation d’un responsable de la protection des informations personnelles (et d’un représentant local pour les responsables étrangers) est obligatoire.
Combien de temps dure une évaluation de la CAC ?
L’examen de la CAC est officiellement plafonné à 45 jours ouvrables, mais la préparation et l’examen provincial allongent généralement le calendrier à plusieurs mois. Planifiez tôt.
Puis-je tout stocker hors de Chine ?
Pas pour les informations personnelles et les données importantes collectées en Chine. Le stockage local et les mécanismes de transfert sont requis ; un stockage offshore généralisé constitue une violation courante.
Comment 泓盛澤 (Hongshengze) aide
泓盛澤 (Hongshengze) aide les marques internationales à entrer en Chine dans le respect des règles. Au-delà de la WFOE et de la création pour l’entrée sur le marché, nous cartographions vos flux de données, préparons les documents de confidentialité et coordonnons la voie de transfert transfrontalier appropriée avec des cabinets locaux qualifiés. Parlez-nous avant votre lancement.