Guide en 15 étapes sur la protection des données, la vie privée et la cybersécurité en Chine

Depuis l'entrée en vigueur de la loi sur la cybersécurité de la RPC (CSL) le 1er juin 2017, la Chine a accéléré sa législation en matière de protection des données et de cybersécurité. Son application s'est progressivement normalisée. Parallèlement, le Code civil emblématique – applicable dès l'année prochaine – renforce davantage la protection de la sphère privée sous l'angle des droits civils. Dans l'ensemble, la Chine devient l'une des juridictions majeures au niveau mondial pour la protection des données et de la sphère privée.

Cet article donne un aperçu des enjeux de protection des données, de sphère privée et de cybersécurité qui sont courants et préoccupants pour les entreprises exerçant des activités en Chine. Nous espérons aider les entreprises – en particulier les multinationales – à naviguer dans le cadre réglementaire de plus en plus complexe de ce domaine.

1. Comprendre un cadre juridique de plus en plus complet

La Chine ne dispose pas d'une loi unique et unifiée sur la protection des données. Son cadre de protection des données se compose plutôt d'un ensemble fragmenté de règles réparties dans diverses lois, mesures et réglementations sectorielles, avec certains chevauchements. La CSL est la première loi nationale à traiter de la protection de la sphère privée et de la sécurité des données. Néanmoins, de nombreuses incertitudes subsistent quant à son application. De plus, des règlements administratifs, des règles ministérielles et des normes nationales ont été introduits par les autorités pour faciliter la mise en œuvre de la loi. Un nombre croissant de normes nationales ont été publiées, notamment la norme Personal Information Security Specification (spécification sur la sécurité des informations personnelles). Ces normes constituent des bonnes pratiques recommandées sans valeur juridique contraignante. Toutefois, les autorités chargées de l'application de la loi s'appuient fortement sur elles pour faire respecter la CSL. En outre, avec la préparation de la loi sur la protection des informations personnelles et de la loi sur la sécurité des données, le régime juridique chinois de protection des données devrait devenir encore plus rigoureux.

2. Des autorités de régulation multiples

L'application publique en Chine présente un paysage polycentrique puisqu'il n'existe pas d'agence unique pour la protection des données ou la cybersécurité. Plus précisément, les quatre principales autorités impliquées sont la Cyberspace Administration of China (CAC), le ministère de l'Industrie et des Technologies de l'information, le ministère de la Sécurité publique et la State Administration for Market Regulation, ainsi que leurs homologues locaux. De plus, des autorités sectorielles telles que la Commission nationale de la santé sont chargées de surveiller et de gérer la protection des données dans leurs domaines respectifs.

3. Exploitation d'applications et politique de confidentialité

En Chine, il est nécessaire de présenter une politique de confidentialité au sein d'une application dès lors qu'elle collecte des informations personnelles. Depuis début 2019, la CAC et les trois autres autorités majeures se sont engagées dans une action spéciale (« APP Crackdown ») contre la collecte et l'utilisation illégales de données personnelles par les applications. Elles ont créé un groupe de travail spécial et publié plusieurs nouvelles directives. Actuellement, les actions de contrôle contre la violation des informations personnelles par les applications se sont progressivement normalisées et devraient rester soutenues dans un avenir prévisible. Il est donc conseillé aux entreprises multinationales de s'assurer de la conformité de leurs applications avec les lois et directives applicables.

4. Protection multi-niveaux 2.0 (Multi-Level Protection 2.0)

Le système de protection multi-niveaux exige que les réseaux bénéficient de degrés de protection variables selon leur importance et la gravité des dommages occasionnés en cas d'atteinte. Depuis 2017, la CSL exige que la Chine mette en œuvre des protections de cybersécurité à plusieurs niveaux. Cela a marqué le prélude à la « Protection multi-niveaux 2.0 ». Dans le cadre de ce dispositif, trois normes nationales importantes sont entrées en vigueur en 2019. Il est obligatoire pour les exploitants de réseaux de soumettre une déclaration de protection multi-niveaux auprès des autorités de régulation. Les mesures administratives ou pénales liées au défaut de déclaration sont en hausse et requièrent une attention particulière.

5. Détermination des exploitants d'infrastructures d'information critiques (CIIO)

Selon la CSL, les exploitants d'infrastructures d'information critiques (CIIO) sont soumis à des exigences de cybersécurité plus élevées et à des restrictions plus strictes sur le transfert transfrontalier de données, par rapport aux exploitants de réseaux généraux. Par ailleurs, la CSL prévoit que les infrastructures d'information critiques (CII) désignent les réseaux ou systèmes liés aux services publics de communication et d'information, à l'énergie, aux transports, aux ressources en eau, à la finance, aux services publics et aux affaires gouvernementales électroniques. Ils doivent se protéger contre les « dommages, dysfonctionnements ou fuites de données susceptibles de compromettre gravement la sécurité nationale, l'économie nationale, le niveau de vie de la population ou l'intérêt public ». Néanmoins, ces définitions restant très générales, des règles spécifiques sur la qualification des CII/CIIO devraient être précisées à l'avenir.

6. Localisation des données et transfert transfrontalier de données

En vertu de l'article 37 de la CSL, les CIIO ont une obligation de localisation des données, selon laquelle les données importantes et les informations personnelles collectées et générées dans le cadre de leurs activités en Chine doivent être stockées en Chine. Lorsque ces données doivent être transférées à l'étranger à des fins commerciales, une évaluation de la sécurité doit être effectuée conformément aux règles applicables. À la suite de la CSL, trois projets de règlements complémentaires et de directives ont été publiés, élargissant le champ d'application de l'évaluation de la sécurité des CIIO aux exploitants de réseaux généraux. Aucun d'entre eux n'a toutefois encore été finalisé. En outre, des restrictions sectorielles sur l'exportation de données doivent être prises en compte lors du traitement de catégories particulières de données, telles que les « ressources génétiques humaines ».

7. Analyse d'impact sur la protection des données et innovation commerciale

À l'instar de l'analyse d'impact relative à la protection des données et du principe de protection dès la conception (privacy by design) prévus par le Règlement général sur la protection des données de l'UE, la norme nationale chinoise Personal Information Security Specification (PISS) introduit des mécanismes d'« évaluation d'impact sur la sécurité des informations personnelles » et de « projet de sécurité des informations personnelles ». Ces mécanismes exigent des entreprises qu me prévalent les impacts potentiels sur les informations personnelles. Elles doivent intégrer la protection de la sphère privée dans leurs innovations commerciales afin que les risques potentiels soient identifiés et traités rapidement. Il convient de noter que ces normes nationales n'ont pas de force obligatoire, mais leur prise en compte revêt une grande importance en pratique.

8. Délégués à la protection des données et gouvernance des données

Bien que le concept de délégué à la protection des données n'ait pas de pendant exact dans le droit chinois, les lois et réglementations applicables exigent la création de « postes relatifs à la sécurité des données ». Par exemple, la CSL exige la désignation d'une « personne responsable de la sécurité du réseau ». De même, les dispositions relatives à la protection des informations personnelles en ligne des enfants exigent la désignation d'une « personne responsable de la protection des informations personnelles des enfants ». De plus, la dernière version de la PISS, entrée en vigueur le 1er octobre 2020, précise les exigences et les critères applicables à la désignation d'un service et d'un personnel responsables de la protection des informations personnelles, ainsi que leurs responsabilités.

9. Achats informatiques mondiaux et adaptation locale

En ce qui concerne les achats informatiques mondiaux, une attention particulière doit être portée à la localisation des serveurs des produits et services réseau, car ils sont susceptibles d'impliquer des transferts transfrontaliers de données. En outre, si une entreprise est un CIIO, des exigences accrues s'appliquent. La CSL exige que tout achat de produits et services réseau par des CIIO susceptible d'avoir une incidence sur la sécurité nationale soit soumis à une procédure d'examen de sécurité. Les mesures relatives à l'examen de la cybersécurité – entrées en vigueur le 1er juin 2020 – précisent le champ d'application, la procédure et les critères de ces examens de cybersécurité.

10. Gestion des violations de données et des incidents de cybersécurité

La CSL exige des exploitants de réseaux qu'ils élaborent un plan d'intervention d'urgence pour les événements de cybersécurité. Ils doivent réagir rapidement aux risques de sécurité tels que les bugs système, les virus informatiques, les attaques réseau et les intrusions. En cas de menace de violation de la cybersécurité, l'exploitant concerné doit immédiatement déclencher le plan d'urgence et prendre les mesures correctives nécessaires. Il doit également signaler l'événement à l'autorité compétente. À ce titre, les CIIO doivent également organiser régulièrement des exercices d'intervention d'urgence en matière de cybersécurité. De plus, un projet de règlement sur les CII prévoit que les autorités sectorielles et industrielles compétentes établissent leurs propres systèmes d'alerte, de signalement d'informations et de plans d'intervention d'urgence pour les CII. Les CIIO devront donc également prêter attention aux exigences émises par leurs autorités sectorielles respectives.

11. Réglementation sectorielle

La CSL et ses règlements d'application s'appliquent de manière générale à l'ensemble des secteurs d'activité. Néanmoins, les exigences peuvent varier selon les spécificités de chaque domaine, en particulier pour ceux qui traitent des informations sensibles. Par exemple, dans la santé, les données pharmaceutiques, les dossiers médicaux et autres données de santé doivent être protégés conformément aux règles ministérielles applicables. De même, la finance, l'éducation, les transports et d'autres secteurs disposent de leurs propres réglementations sectorielles sur la protection des données, auxquelles les entreprises de ces secteurs doivent se conformer.

12. Application pénale de la protection des données

La violation des informations personnelles des citoyens peut entraîner une responsabilité pénale. L'entreprise contrevenante peut se voir infliger une amende, et les personnes directement responsables s'exposent à des peines d'emprisonnement pouvant aller jusqu'à sept ans, ainsi qu'à des amendes et à l'interdiction à vie d'exercer certaines fonctions clés. Par conséquent, des politiques de conformité efficaces doivent être mises en place et appliquées afin de distinguer les agissements de l'entreprise des actes individuels des employés. En outre, le droit pénal chinois qualifie de délit le fait de « refuser de remplir les obligations de gestion de la sécurité des réseaux d'information » ; le non-respect des obligations applicables, telles que la déclaration de protection multi-niveaux, peut entraîner des amendes pour l'entreprise. Les personnes directement responsables ou en charge s'exposent à une peine de prison à durée déterminée ne dépassant pas trois ans, à une détention ou à une surveillance publique, ainsi qu'à des amendes.

13. Responsabilité des entreprises et exposition des cadres dirigeants

En vertu de la CSL, le non-respect des exigences relatives à la protection des données et à la cybersécurité peut entraîner de sévères sanctions administratives tant pour les entreprises que pour les personnes directement responsables. Plus précisément, l'entreprise en infraction peut faire l'objet d'un avertissement et d'une injonction de mise en conformité ; voir ses gains illégaux confisqués ; faire l'objet d'une suspension d'activité, d'une fermeture de son site Internet et/ou d'une révocation de sa licence d'exploitation ; et se voir infliger une amende pouvant aller jusqu'à RMB 1 million (environ USD 146 200). De plus, ces sanctions seront inscrites au dossier de crédit de l'entreprise et rendues publiques. Parallèlement, les personnes directement responsables peuvent faire l'objet d'un avertissement, être détenues, se voir infliger une amende allant jusqu'à RMB 100 000 (USD 14 620) et se voir interdire d'occuper des postes clés dans le domaine de la cybersécurité pendant une durée maximale de cinq ans.

14. Big Data et concurrence

Les données ont été reconnues comme un facteur de production au niveau national et la notion d'actifs de données est largement acceptée. Les entreprises se livrent désormais concurrence pour les actifs de données et les batailles autour des données soulèvent des questions juridiques relatives à la propriété et au droit de la concurrence. Bien que les lois applicables accusent un certain retard, la pratique a vu émerger des règles qui permettent de définir les limites de ce qui est permis ou non avec les actifs de données. Celles-ci incluent notamment des restrictions quant à l'utilisation des technologies de robot d'indexation (web crawler) issues des contentieux civils. Il est prévu que les règles traditionnelles du droit et de la réglementation de la concurrence soient adaptées et mises à jour pour s'appliquer à l'avenir au domaine numérique.

15. Application privée du droit et recours collectifs

Le contentieux privé constitue toujours une arme puissante pour les grandes entreprises, notamment lorsqu'il s'agit de données. Ces dernières années, en raison d'une prise de conscience croissante de l'importance de la protection des données personnelles, des particuliers saisissent les tribunaux. La conformité en matière de données devient ainsi plus urgente que jamais. Notamment, l'action publique les actions d'intérêt public (PIL) fondées sur la loi de la RPC sur la protection des droits et intérêts des consommateurs ont émergé afin d'obtenir des réparations collectives. Bien que les PIL en matière de protection des données n'en soient qu'à leurs débuts sur le plan quantitatif, il est prévu que leur nombre continue d'augmenter parallèlement au développement du régime chinois de protection des données.
Conclusion et perspectives
La pandémie de Covid-19 a accéléré la transformation numérique de la plupart des secteurs d'activité. Les entreprises peuvent ainsi être confrontées à d'importantes questions de conformité en matière de protection des données. Par conséquent, nous suggérons d'effectuer un examen approfondi afin d'identifier et d'éviter tout risque potentiel à un stade précoce. Avec la promulgation future de la loi sur la protection des informations personnelles et de la loi sur la sécurité des données, les entreprises pourraient être confrontées à des défis encore plus grands en matière de conformité des données. Il est temps de prendre la confidentialité des données et la cybersécurité en Chine ainsi que leurs lois plus au sérieux que jamais.
Image : kaboompics, licence Pixabay.