Qu’est-ce qu’un transfert de données transfrontalier ?
Les marques étrangères qui entrent sur le marché chinois génèrent chaque jour d’énormes volumes de données : profils clients sur Tmall Global et JD Worldwide, prospects issus des campagnes Xiaohongshu et Douyin, dossiers du personnel local, et indicateurs opérationnels envoyés à une direction régionale à l’étranger. Dès que ces données quittent la Chine continentale, elles relèvent de l’un des régimes d’exportation de données les plus stricts au monde. En vertu de la loi sur la protection des informations personnelles (PIPL) et de la loi sur la sécurité des données (DSL), le transfert transfrontalier de données est une activité régulée, et la non-conformité entraîne des sanctions sévères. Ce guide explique, en termes clairs, ce que les entreprises étrangères doivent faire en 2026 pour déplacer des données hors de Chine légalement.
Les trois voies légales
La Chine n’interdit pas l’exportation des données ; elle la canalise par trois mécanismes approuvés, précisés par les dispositions de 2024 sur la promotion et la régulation des flux de données transfrontaliers et pleinement en vigueur jusqu’en 2026.
- Évaluation de sécurité du CAC. Requise pour les transferts de grande ampleur ou sensibles, par exemple lorsqu’une société traite les informations personnelles de plus d’un million de personnes, transfère des données importantes ou exploite une infrastructure d’information critique. L’Administration du cyberespace de Chine (CAC) examine le transfert sur des bases de sécurité et d’intérêt public.
- Contrat type. Une société peut adopter le contrat type modèle du CAC, le signer avec le destinataire étranger et le déposer auprès du CAC. Cette voie convient aux volumes modérés situés sous le seuil de l’évaluation de sécurité.
- Certification. Les transferts peuvent être validés par une certification de protection des informations personnelles délivrée par un organisme professionnel désigné par le CAC, souvent utilisée au sein des groupes multinationaux.
Seuils de 2026 à connaître
- Les transferts impliquant un million de personnes ou plus exigent une évaluation de sécurité du CAC.
- Les transferts de 100 000 à un million de personnes peuvent utiliser la voie du contrat type.
- Tout transfert d’informations personnelles sensibles concernant plus de 10 000 personnes nécessite au moins le contrat type, et souvent une évaluation.
- Les données importantes, telles que définies par les autorités sectorielles, declenchent toujours l’évaluation de sécurité.
- Les transferts de faible volume et nécessaires, comme les données RH internes ou les données limitées d’exécution de e-commerce transfrontalier, peuvent relever de scénarios simplifiés ou exemptés au titre des dispositions de 2024.
Étapes pour atteindre la conformité
- Cartographier les flux de données. Recenser les données collectées par votre WFOE, leur lieu de stockage et qui, hors Chine, y accède.
- Classer les données. Identifier les informations personnelles, les informations personnelles sensibles et toute donnée importante.
- Choisir la voie. Faire correspondre volume et sensibilité à l’évaluation, au contrat type ou à la certification.
- Préparer les documents. Réaliser une analyse d’impact sur la protection des données, rédiger le contrat type ou la demande d’évaluation, et adopter une politique de confidentialité conforme à la Chine.
- Déposer et mettre en œuvre. Soumettre les dépôts au CAC et appliquer des garanties techniques telles que chiffrement, contrôle d’accès et journaux d’audit.
Sanctions en cas de non-conformité
Les violations peuvent entraîner des avertissements, des ordres de rectification, la confiscation des gains illicites, des amendes allant jusqu’à cinquante millions de yuan ou 5 % du chiffre d’affaires de l’année précédente, ainsi que la responsabilité personnelle des dirigeants responsables. La atteinte à la réputation et la suspension des opérations de données sont également des conséquences fréquentes.
Conseils pratiques pour les marques étrangères
- Traitez l’exportation de données comme un enjeu de conformité de niveau direction dès le début de l’entrée sur le marché.
- Localisez le stockage des données autant que possible ; conserver les données clients chinoises sur des serveurs du territoire réduit le volume exporté.
- Établissez un inventaire des données avant de lancer des campagnes transfrontalières sur Tmall, JD, RED ou Douyin.
- Faites appel tôt à un conseiller qualifié en confidentialité en Chine, car la procédure de dépôt exige beaucoup de documents.
FAQ
Ma WFOE doit-elle déposer si nous envoyons seulement des rapports mensuels par courriel à la direction ?
Si ces rapports contiennent des informations personnelles de clients ou d’employés chinois au-dessus des seuils d’exemption, oui. Les statistiques agrégées et anonymisées sont généralement hors champ, mais les enregistrements identifiables non.
Que sont exactement les données importantes ?
Les données importantes sont des données dont la falsification, la fuite ou l’usage abusif pourraient nuire à la sécurité nationale, à la santé publique ou aux intérêts économiques. Les autorités sectorielles publient des catalogues ; en cas de doute, optez pour la prudence.
Combien de temps dure une évaluation de sécurité du CAC ?
Les examens prennent généralement plusieurs mois. Un calendrier d’entrée sur le marché doit budgéter ce délai plutôt que de le traiter comme une formalité.
Pouvons-nous tout stocker sur un cloud mondial hors de Chine ?
Pas pour les données régulées. Les informations personnelles chinoises et les données importantes exigent généralement un stockage sur le territoire ou un mécanisme d’exportation conforme avant tout traitement à l’étranger.
Que se passe-t-il si nous transférons sans conformité ?
Les autorités peuvent ordonner l’arrêt, prononcer des amendes et tenir les dirigeants responsables. Les flux de données non conformes mettent aussi en péril les licences et les opérations sur plateformes en Chine de façon plus large.