Éliminez les lacunes de conformité aux CCT chinoises dans chaque entité

Points clés

La loi chinoise sur la protection des informations personnelles (PIPL) impose aux organisations qui transfèrent des informations personnelles hors de Chine continentale de conclure des clauses contractuelles types (CCT) avec les destinataires à l'étranger et de les déposer auprès de l'administration du cyberespace de Chine (CAC). Chaque filiale en Chine continentale doit procéder à un dépôt de manière indépendante dans un délai de 10 jours ouvrables. Une évaluation d'impact sur les informations personnelles (PIIA) est obligatoire avant tout transfert. Priverion unifie la conformité aux CCT chinoises avec les processus relevant du RGPD, de la nLPD et de la norme ISO 27001, le tout sur une plateforme unique hébergée en Suisse.

Définitions

Qu'est-ce que la loi sur la protection des informations personnelles (PIPL) ?

PIPL est la loi chinoise complète sur la protection des données, entrée en vigueur le 1er novembre 2021. Elle régit la collecte, le stockage, l'utilisation, le traitement, la transmission, la fourniture, la divulgation et la suppression des informations personnelles au sein de la République populaire de Chine. La PIPL établit une compétence extraterritoriale sur les entités étrangères qui traitent les informations personnelles de personnes situées en Chine. IAPP — Aperçu de la PIPL chinoise

Que sont les clauses contractuelles types (CCT) au titre de la PIPL ?

Les clauses contractuelles types (CCT) au titre de la PIPL chinoise sont des clauses contractuelles prescrites par le gouvernement qu'un gestionnaire d'informations personnelles doit conclure avec un destinataire à l'étranger avant de transférer des informations personnelles hors de Chine continentale. Les Mesures relatives au contrat type pour le transfert sortant d'informations personnelles ont été publiées par la CAC le 24 février 2023 et sont entrées en vigueur le 1er juin 2023.

Qu'est-ce qu'une évaluation d'impact sur les informations personnelles (PIIA) ?

Une évaluation d'impact sur les informations personnelles (PIIA) est une évaluation préalable au transfert obligatoire exigée par l'article 55 de la PIPL. Elle évalue la licéité et la nécessité du traitement des données, les risques pour les droits des personnes, l'adéquation des mesures de protection et l'environnement de protection des données du pays destinataire. Les dossiers de PIIA doivent être conservés pendant au moins 3 ans après la cessation du transfert.

Qu'est-ce que l'administration du cyberespace de Chine (CAC) ?

L'administration du cyberespace de Chine (CAC) est le régulateur et censeur central d'internet chargé d'administrer les réglementations chinoises en matière de protection des données et de cybersécurité, y compris le processus de dépôt des CCT au titre de la PIPL et les évaluations de sécurité pour les transferts transfrontaliers de données.

Foire aux questions

Que sont les clauses contractuelles types de la Chine pour les transferts transfrontaliers de données ?

Les clauses contractuelles types (CCT) de la Chine constituent un mécanisme de transfert légalement obligatoire en vertu de la loi sur la protection des informations personnelles (PIPL). Les organisations qui transfèrent des informations personnelles hors de Chine continentale doivent conclure un contrat type avec le destinataire à l'étranger et le déposer auprès du bureau provincial de la CAC dans un délai de 10 jours ouvrables suivant la prise d'effet du contrat. Une évaluation d'impact sur les informations personnelles (PIIA) doit être réalisée avant le transfert. Le modèle de CCT a été publié par la CAC le 24 février 2023 et est entré en vigueur le 1er juin 2023.

En quoi une PIIA chinoise diffère-t-elle d'une AIPD au sens du RGPD ?

Une évaluation d'impact sur les informations personnelles (PIIA) chinoise au titre de la PIPL repose sur des facteurs de risque, des règles de conservation et une étape de dépôt obligatoire auprès de la CAC qui lui sont propres — contrairement à une analyse d'impact relative à la protection des données (AIPD) au sens du RGPD, qui n'est transmise qu'à la demande d'une autorité de contrôle. La PIIA doit évaluer la licéité et la nécessité du transfert, les risques pour les personnes ainsi que les capacités de protection des données du destinataire à l'étranger. Selon l'analyse comparative de l'IAPP, les exigences d'évaluation de la PIPL sont plus prescriptives concernant l'environnement juridique du pays destinataire.

Quand un dépôt de CCT chinoises doit-il être mis à jour ou recertifié ?

Les dépôts de CCT chinoises doivent être mis à jour lorsque la finalité du transfert change, que de nouvelles catégories d'informations personnelles sont ajoutées, que la durée de conservation est prolongée, que le destinataire à l'étranger change de sous-traitants ultérieurs ou que les lois sur la protection des données du pays destinataire évoluent de manière significative. La PIIA doit être réalisée à nouveau et le dépôt mis à jour transmis à la CAC. Tout manquement à cette mise à jour peut entraîner des mesures d'exécution, y compris des ordres de cessation du transfert.

Quelle est l'exigence de conservation des dossiers de PIIA au titre des règles relatives aux CCT chinoises ?

Au titre des règles relatives aux CCT chinoises, les dossiers d'évaluation d'impact sur les informations personnelles (PIIA) doivent être conservés pendant au moins 3 ans à compter de la date à laquelle le transfert prend fin. La CAC peut demander ces dossiers, ainsi que les confirmations de dépôt et les annexes des CCT, à tout moment durant cette période.

La conformité aux CCT de la PIPL chinoise peut-elle être gérée en parallèle du RGPD sur une seule plateforme ?

Oui. Les plateformes GRC multi-cadres comme Priverion permettent aux équipes en charge de la protection de la vie privée de gérer les exigences des CCT de la PIPL chinoise — y compris les PIIA, les dépôts auprès de la CAC et les registres de transferts — en parallèle des CCT relevant de l'article 46 du RGPD, des transferts vers la Suisse fondés sur la décision d'adéquation au titre de la nLPD et des obligations de registre des traitements, le tout dans un système unifié unique. Cela élimine les doublons d'un territoire à l'autre et réduit le risque de lacunes en matière de conformité.

Quels sont les trois mécanismes licites de transfert transfrontalier prévus par la PIPL chinoise ?

La PIPL chinoise prévoit trois mécanismes licites pour les transferts transfrontaliers d'informations personnelles : (1) réussir une évaluation de sécurité administrée par la CAC, requise pour les opérateurs d'infrastructures d'information critiques et les gestionnaires traitant des informations personnelles au-delà de certains seuils de volume ; (2) obtenir une certification de protection des informations personnelles auprès d'un organisme reconnu ; et (3) conclure des clauses contractuelles types avec le destinataire à l'étranger et procéder à un dépôt auprès de la CAC. Selon l'IAPP, la voie des CCT est le mécanisme le plus couramment utilisé par les organisations qui n'atteignent pas les seuils imposant une évaluation de sécurité.

Quelles sanctions s'appliquent en cas de non-respect des règles chinoises relatives aux transferts transfrontaliers de données ?

En vertu des articles 66 à 69 de la PIPL, les violations des règles relatives aux transferts transfrontaliers de données peuvent entraîner des amendes pouvant atteindre 50 millions de RMB (environ 7 millions de USD) ou 5% du chiffre d'affaires annuel de l'exercice précédent, la suspension des activités commerciales et la révocation des autorisations d'exploitation. Les personnes responsables peuvent être soumises à des amendes individuelles pouvant atteindre 1 million de RMB.

Pourquoi l'hébergement des données en Suisse est-il important pour les outils de conformité ?

La Suisse bénéficie d'une décision d'adéquation de l'UE au titre du RGPD, ce qui signifie que les données à caractère personnel peuvent circuler librement de l'UE vers la Suisse sans garanties supplémentaires. Héberger les données de conformité — y compris les PIIA, les enregistrements de dépôts et les évaluations de transferts — au sein d'une infrastructure suisse évite les complexités juridiques des plateformes hébergées aux États-Unis et soumises à la Section 702 de la FISA et au décret présidentiel 12333, qui étaient au cœur de l'arrêt Schrems II.

Statistiques et contexte sectoriel

Selon le rapport annuel 2023 sur la gouvernance de la protection de la vie privée de l'IAPP-EY, 60% des organisations ont déclaré que la gestion des transferts transfrontaliers de données figure parmi leurs trois principaux défis en matière de protection de la vie privée. Le rapport a également révélé que la taille moyenne d'une équipe en charge de la protection de la vie privée est de 5,4 équivalents temps plein, soulignant le besoin d'automatisation dans la conformité multi-juridictionnelle. Une prévision de Gartner estimait que, d'ici 2025, 75% de la population mondiale verrait ses données à caractère personnel couvertes par des réglementations modernes en matière de protection de la vie privée, stimulant la demande de plateformes de conformité unifiées capables de gérer simultanément plusieurs cadres.

Comparaison : CCT de la PIPL chinoise vs. CCT de l'article 46 du RGPD