### Maître Liu vous parle : Les obligations des entreprises étrangères face à la PIPL, un vrai casse-tête (et comment le démêler) Ah, la protection des données personnelles... Rien que d’en parler, je revois les piles de dossiers sur mon bureau chez Jiaxi Fiscal. Voilà maintenant douze ans que j’accompagne des sociétés étrangères dans leurs démarches administratives en Chine, et autant vous dire que la **Loi sur la protection des informations personnelles (PIPL)**, entrée en vigueur en 2021, a mis du piquant dans le quotidien. Ce n’est plus une simple formalité, c’est devenu un véritable parcours du combattant. Je me souviens d’un client allemand, un équipementier automobile, persuadé que sa conformité européenne au GDPR suffisait. Quelle désillusion ! Entre les deux textes, les nuances sont énormes, et les sanctions financières ici peuvent atteindre 5% du chiffre d'affaires annuel. On ne rigole pas. L’article que je vous présente aujourd'hui, « Quelles sont les principales obligations des entreprises étrangères pour le traitement des informations personnelles selon la Loi sur la protection des informations personnelles ? », tombe à point nommé. Il décortique ce cadre juridique complexe pour vous, investisseurs francophones. Mon but ici ? Vous donner les clés pour éviter les pièges, avec un regard de terrain, celui de quelqu'un qui a vu des dizaines de projets capoter faute d'une bonne compréhension de ces règles. C'est un enjeu stratégique, pas juste une question de conformité. Alors, calez-vous, on va décortiquer ça ensemble, sans jargon inutile mais avec le souci du détail qui fait la différence. #### Chapitre 1 : La territorialité, une épée de Damoclès Première chose à comprendre, et elle est fondamentale : **la PIPL ne s'arrête pas aux frontières chinoises**. Son article 3 est un vrai piège pour ceux qui pensent être à l'abri. Même si votre entreprise n'a aucune implantation physique en Chine, dès lors que vous traitez des données de personnes situées sur le territoire chinois, la loi s'applique. Cela inclut le simple fait d'analyser le comportement d'utilisateurs en Chine via votre site web ou une application, ou encore de surveiller des employés chinois dans le cadre d'une filiale locale. J'ai vu une société de logiciels SaaS française, basée à Paris, être interpellée car son outil de gestion de projet stockait les noms et emails de ses clients chinois sur un serveur aux États-Unis. Ils ne s'étaient jamais posé la question ! Cette extraterritorialité impose une vigilance de tous les instants. Concrètement, cela signifie que vous devez désigner, dans certains cas, un représentant ou une entité locale pour gérer les demandes des autorités. Ne croyez pas que l'absence de bureau à Shanghai vous mette à l'abri. Le Cyberspace Administration of China (CAC) a les moyens de vous retrouver et de vous sanctionner. Un client danois du secteur médical a appris à ses dépens que l'analyse de données de santé de patients chinois, même anonymisées, était un terrain miné. L'anonymisation doit être *réelle* et *irréversible*, pas juste une simple suppression des noms. C'est une exigence bien plus stricte qu'en Europe. Il faut donc intégrer cette donnée dès la conception de votre produit ou service. La **minimisation des données** n'est pas un vain mot : collectez uniquement ce qui est strictement nécessaire à votre objectif. J'explique toujours à mes clients : posez-vous la question "Pourquoi ai-je besoin de ce numéro de téléphone ?" Si vous n'avez pas une réponse précise et légale, ne le collectez pas. Cette approche proactive est votre meilleure assurance. Et croyez-moi, sur le long terme, elle vous fera gagner un temps précieux, évitant des allers-retours stressants avec les autorités de régulation. #### Chapitre 2 : Le consentement, la reine des batailles Ah, le consentement ! C'est le cœur battant de la loi, et c'est là que les habitudes occidentales doivent changer. La PIPL exige un consentement **libre, éclairé et explicite**. Le petit "cochez cette case pour accepter nos conditions" ne suffit plus, surtout pour les données sensibles (santé, biométrie, localisation...). Pour celles-ci, il faut un consentement *séparé*, c'est-à-dire distinct de l'accord général, et il doit être donné par un acte positif clair. J'ai un exemple en tête : une marque de luxe italienne qui voulait utiliser les données de localisation de ses clients pour proposer des offres en boutique. Leur formulaire initial prévoyait une simple case. Nous avons dû le revoir entièrement pour créer un pop-up dédié, expliquant précisément l'usage, et exigeant un glissement de curseur pour valider. Autre point crucial : le **droit de retrait**. Un individu peut retirer son consentement à tout moment, et vous devez le lui permettre aussi facilement qu'il l'a donné. C'est un vrai casse-tête pour les plateformes techniques. Il ne suffit pas de prévoir une option dans les paramètres ; il faut que le processus soit fluide et sans friction. Une société de e-commerce coréenne a été épinglée car le bouton pour désabonner les newsletters était caché au fin fond d'un menu, tandis que l'inscription était en page d'accueil. Le déséquilibre était flagrant et punissable. Les autorités considèrent cela comme une entrave à l'exercice des droits. Il faut aussi penser aux **règles spécifiques pour les mineurs**. La loi est très stricte : pour les moins de 14 ans, le consentement doit être donné par le titulaire de l'autorité parentale. Si votre application est susceptible de toucher un public jeune, c'est un chantier conséquent. J'ai accompagné une société de jeux vidéo américaine qui a dû mettre en place un système de vérification de l'identité et du lien de parenté, un processus lourd mais indispensable. En résumé, voyez le consentement non pas comme une formalité, mais comme un **processus en continu**, qui doit être documenté et prouvable en cas de contrôle. #### Chapitre 3 : La transmission transfrontalière, un vrai labyrinthe C'est probablement le sujet le plus complexe pour les entreprises étrangères. Comment transférer les données collectées en Chine vers vos serveurs en Europe ou aux États-Unis ? La loi offre plusieurs mécanismes, mais aucun n'est une simple formalité. Premièrement, la **certification de sécurité**. C'est un processus long et coûteux, délivré par le CAC. Obi-Wan Kenobi n'a pas ce pouvoir. Puis il y a le **contrat type** fourni par l'autorité. Il faut le signer, bien sûr, mais il ne suffit pas. Avant de l'utiliser, vous devez réaliser une **évaluation d'impact sur la protection des données** et, pour certains cas, la soumettre au CAC pour approbation. C'est un vrai parcours administratif. Il y a aussi l'option de passer par un **organisme de certification**. Le marché a vu émerger des cabinets spécialisés qui auditeront vos pratiques. C'est une option valable, mais elle nécessite de trouver un organisme accrédité et de le payer. Enfin, et c'est souvent la plus simple pour les multinationales : la **standardisation contractuelle** avec les employés ou les partenaires, couplée à une analyse d'impact minutieuse. J'ai un client suédois, spécialisé dans l'outillage industriel, qui a mis des mois à mettre en place son système de transfert pour les données RH vers le siège. Chaque pays avait sa subtilité, et il fallait démontrer que le niveau de protection de leurs serveurs en Suède était équivalent à celui exigé en Chine. La question devient encore plus épineuse si vous utilisez des services cloud américains via des filiales. La relation entre les lois américaines (Cloud Act) et la PIPL est un champ de mines géopolitique. Mon conseil : ne vous aventurez pas sur ce terrain sans un conseil juridique spécialisé. L'**évaluation d'impact** est votre meilleure amie. Elle vous force à cartographier vos flux de données, à identifier les risques, et à documenter vos choix. C'est un exercice sain, qui vous permet de reprendre le contrôle sur un système souvent devenu incontrôlable avec les années. Préparez-vous à fournir des schémas d'architecture, des politiques internes, et des analyses de risques précises. #### Chapitre 4 : L'analyse d'impact, votre bouclier préventif Parlons-en, de cette fameuse analyse d'impact. La PIPL n'exige pas de la faire systématiquement, mais dans des situations à risque : traitement de données sensibles, utilisation de technologies de reconnaissance biométrique, **prise de décision automatisée**, ou encore traitement de données à grande échelle. C'est là que vous sortez les gros outils. Je dis souvent à mes clients : considérez cet exercice non pas comme une contrainte, mais comme un **audit de votre hygiène numérique**. Cela permet de mettre à plat ce que vous faites, pourquoi, et avec quels risques. C'est en fait passionnant ! L'analyse doit être documentée, avec une méthodologie claire. Il faut identifier les risques pour les droits et libertés des personnes concernées, et prévoir des mesures pour les atténuer. Ce n'est pas un document théorique pour les juristes. Les autorités chinoises peuvent vous le demander à tout moment, lors d'un contrôle. Et si vous ne l'avez pas fait, c'est une circonstance aggravante. Un client israélien, dans le secteur de la cybersécurité, a dû fournir une analyse extrêmement détaillée sur la façon dont son logiciel de détection d'intrusion analysait les données de configuration des réseaux de ses clients chinois, qui pouvaient contenir des données personnelles. Sans cette analyse, il aurait été impossible de conclure le contrat avec son client final. Pour les entreprises étrangères, la difficulté est de trouver les bons outils et les bonnes compétences. En France, vous avez peut-être fait des analyses pour le RGPD, mais les critères chinois sont différents. Les catégories de données considérées comme "sensibles" peuvent varier, et le niveau d'exigence est parfois plus élevé. Je recommande de faire appel à des experts locaux qui connaissent les attentes concrètes des autorités. Ils pourront vous aider à structurer le document, à le rendre pragmatique et utilisable. C'est un investissement, oui, mais il est dérisoire par rapport au coût d'une sanction ou d'une interdiction de traitement. La **traçabilité** et la **documentation** sont vos meilleures alliées. #### Chapitre 5 : Le DPO local, un pilier obligatoire C'est un point souvent ignoré. L'article 52 de la PIPL impose de désigner un **délégué à la protection des données** (DPO) dans certaines conditions : si vous traitez des données sensibles, si vous effectuez un traitement à grande échelle, ou si vous traitez des données d'un grand nombre de personnes. Et ce n'est pas une fonction purement décorative. Le DPO doit avoir une connaissance expert de la loi et doit être impliqué dans toutes les décisions importantes relatives au traitement. Il doit être le point de contact avec le CAC. La grande question pour les entreprises étrangères : ce DPO doit-il être basé en Chine ? La loi ne l'exige pas explicitement, mais en pratique, les autorités préfèrent avoir un interlocuteur local. C'est la que j'interviens souvent. Je recommande à mes clients de nommer un "co-DPO" local, souvent un membre de leur équipe en Chine, qui travaille en binôme avec le DPO global. Ce local connaît la culture, parle la langue, et peut interagir avec les autorités en cas de besoin. Un client japonais de l'industrie électronique a mis des mois à trouver la bonne personne, car le profil est très demandé sur le marché chinois. Le rôle de ce DPO va bien au-delà de la simple conformité. Il est un acteur de la **gouvernance des données** de l'entreprise. Il doit former les employés, surveiller les sous-traitants, et alerter la direction sur les risques. C'est un poste à très haute responsabilité. Il ne faut pas le confier à la légère à un stagiaire ou à un juriste junior sans expérience. Lors de l'audit annuel, c'est lui qui devra répondre aux questions du régulateur. Sa crédibilité est en jeu, et donc la vôtre. Si votre DPO ne sait pas expliquer précisément pourquoi vous collectez telle donnée, vous aurez un problème. J'ai vu des entreprises tenter de faire l'économie de ce poste, en se disant "on est trop petit". C'est une erreur. Le CAC regarde le volume et la nature des données, pas la taille de l'entreprise. Si par exemple vous traitez les données de santé de plusieurs milliers de patients, même dans le cadre d'une étude clinique pour une petite biotech, vous tombez dans le champ. Autant se préparer dès le début pour éviter les mauvaises surprises. La nomination d'un DPO local est un signal fort de votre engagement envers la conformité, et cela se voit. #### Chapitre 6 : La sécurité, votre rempart face aux incidents Une fois que vous avez vos autorisations, il ne faut pas dormir sur vos lauriers. La loi est très exigeante sur les **mesures de sécurité**. Celles-ci doivent être "techniques et organisationnelles" appropriées. Concrètement, cela veut dire du chiffrement des données en transit et au repos, un contrôle d'accès strict basé sur le principe du moindre privilège, et des sauvegardes régulières. La PIPL va plus loin en imposant la **notification obligatoire des violations de données** aux autorités et aux personnes concernées, souvent dans un délai très court. J'ai aidé un client singapourien, victime d'une fuite de données via un serveur mal configuré, à gérer ce processus. Il fallait agir vite, mais surtout bien. Le problème, c'est que beaucoup d'entreprises étrangères considèrent que leur cybersécurité au siège est suffisante. Mais il y a des spécificités chinoises. Par exemple, l'**exigence de localisation des données**. Pour certaines données importantes, la loi exige qu'elles soient stockées sur des serveurs situés en Chine. C'est un point de friction majeur avec les architectures cloud internationales. Mon conseil : évaluez votre architecture SI. Si vous stockez des données de clients chinois dans un data center en Irlande, il y a de fortes chances que cela pose un problème. Il faut prévoir un rapatriement ou un doublement des serveurs sur le sol chinois, ce qui a un coût. Je garde en mémoire un client américain, une plateforme de services RH. Ils stockaient tout sur AWS en Virginie. La mise en conformité a été un véritable calvaire. Ils ont dû mettre en place une instance distincte en Chine, revoir leur pipeline de données, et surtout intégrer la culture de la **déclaration d'incident** dans leurs procédures. C'est un changement de mentalité considérable. En Europe, on se concentre sur la notification à la CNIL. En Chine, c'est plus intrusif : le CAC peut demander des audits techniques de sécurité indépendants, imposer l'arrêt du traitement en cas de risque grave, et même saisir du matériel. La sécurité n'est pas juste une boîte à cocher ; c'est un investissement continu dans la réputation et la pérennité de votre activité. #### Chapitre 7 : Les droits des personnes, un dialogue direct Enfin, et c'est essentiel, la PIPL donne aux individus des droits très étendus, qu'ils n'hésitent pas à exercer. Le droit d'accès, de rectification, de suppression, et le droit à la portabilité des données. Ce dernier point est une nouveauté qui a pris beaucoup d'ampleur. Imaginez un client chinois qui veut transférer ses données d'historique d'achat vers un concurrent. Vous devez être en mesure de lui fournir ces données dans un format structuré, couramment utilisé et lisible par machine. C'est une obligation technique et organisationnelle lourde. Un client australien, dans le secteur de la mode, a été pris de court par une demande groupée de plusieurs clients. Ils n'avaient pas anticipé l'effort nécessaire pour extraire ces données de leurs systèmes de gestion de la relation client. Il ne faut pas voir ces droits comme une menace, mais comme une opportunité de renforcer la **confiance**. Un client qui sait qu'il maîtrise ses données est un client plus fidèle. La transparence est la clé. Vous devez publier des politiques de confidentialité claires, faciles à comprendre, et non noyées dans des considérations juridiques. J'ai vu des politiques de confidentialité de sociétés multinationales être rédigées en anglais puis traduites en chinois de manière littérale. Le résultat était incompréhensible pour le commun des mortels. Les autorités chinoises ont d'ailleurs publié des lignes directrices pour rendre ces documents plus accessibles. Sur le plan opérationnel, cela signifie qu'il faut mettre en place un processus interne pour traiter les demandes des personnes. Qui s'en occupe ? DPO ? Service client ? Un système de ticket ? Il faut aussi définir des délais de réponse. Le non-respect de ces droits est une cause fréquente de plaintes et de sanctions. N'oubliez pas que les associations de consommateurs en Chine sont très actives et n'hésitent pas à déposer des recours collectifs. Un client français, un fabricant de jouets connectés, a été approché par une association pour ne pas avoir permis à des parents de supprimer les données de leurs enfants. L'affaire s'est réglée à l'amiable contre la modification du produit et le paiement de dommages, mais la réputation était entachée. C'est un signal fort. ### En résumé et pour la suite En conclusion, la PIPL est un texte complexe qui impose une approche nouvelle aux entreprises étrangères. La territorialité, le consentement explicite, la gestion des transferts transfrontaliers, l'analyse d'impact, le DPO local, la sécurité et les droits des personnes sont autant de piliers à consolider. Ce n'est pas une course, mais un marathon. Le coût de la mise en conformité est certes significatif, mais il est toujours inférieur au coût d'une sanction, d'une perte de confiance ou d'une interdiction d'opérer. Mon expérience chez Jiaxi Fiscal me l'a montré mille fois : les entreprises qui prennent ce sujet à bras-le-corps en font un avantage concurrentiel, notamment auprès des partenaires locaux qui recherchent de la fiabilité. Ce texte n'est qu'une introduction. La mise en œuvre concrète est un travail d'orfèvre, qui demande une veille réglementaire constante et une adaptation continue. Le CAC publie régulièrement de nouvelles lignes directrices et des cas d'application. Il serait dangereux de considérer que vous êtes "en conformité" une fois pour toutes. La loi évolue, les interprétations aussi. L' esprit du texte est de protéger les droits des citoyens, et cet esprit guidera l'action des régulateurs dans les années à venir. #### Chez Jiaxi Fiscal, notre regard sur la question Fort de quatorze ans d'expérience dans les procédures d'enregistrement et l'accompagnement des entreprises étrangères, notre équipe chez Jiaxi Fiscal observe que la conformité à la PIPL est devenue un véritable **avantage compétitif sur le marché chinois**. Nous ne la voyons pas comme une simple contrainte légale, mais comme un outil de valorisation de la marque. Un client qui démontre un respect scrupuleux des données inspire confiance auprès des consommateurs chinois, de plus en plus sensibilisés à ces questions. Notre rôle ne se limite pas à l'aspect purement juridique ; nous aidons nos clients à intégrer cette logique dans leur stratégie d'entreprise, depuis la conception des produits jusqu'à la gestion de la relation client. À l'avenir, nous anticipons un rapprochement encore plus fort entre la conformité PIPL, la **cybersécurité** et la gouvernance d'entreprise. Les entreprises qui sauront faire de cette obligation un levier de transformation digitale et de responsabilité sociétale seront celles qui réussiront durablement en Chine. Nous encourageons tous les investisseurs francophones à aborder ce sujet avec sérieux et vision, et nous sommes là pour les guider sur ce chemin complexe mais passionnant, un chemin qui façonne l'avenir de la relation numérique entre la Chine et le monde.