Projet chinois en 50 articles : ce qui pourrait changer pour les grands responsables de données personnelles

Qui serait considéré comme un grand responsable du traitement ?

Le texte ne repose pas uniquement sur un seuil chiffré. Il prévoit une appréciation globale, tenant notamment compte des éléments suivants :

• le traitement d’informations personnelles concernant plus de 10 millions de personnes physiques ;
• la fourniture de services en ligne importants impliquant le traitement d’informations personnelles, ou l’exploitation de plusieurs activités pertinentes ;
• un effet significatif sur la sécurité nationale, le fonctionnement de l’économie, la stabilité sociale, la santé publique ou la sécurité.

Les organisations traitant les données de plus de 10 millions de personnes, ainsi que celles qui estiment elles-mêmes répondre aux critères plus larges, devraient demander leur désignation auprès de l’administration provinciale de la CAC. La CAC nationale, avec les autres autorités compétentes, établirait puis publierait la liste des entités concernées. Les autorités pourraient aussi demander à une organisation apparemment éligible qui ne se serait pas déclarée d’engager la procédure.

Le dispositif pourrait ainsi s’appliquer à certaines plateformes influentes même lorsque le seul nombre d’utilisateurs ne suffit pas à trancher la question.

Des restrictions possibles pour les entités étrangères

Le projet donnerait à l’autorité nationale chargée du cyberespace la possibilité d’inscrire publiquement des organisations ou des personnes étrangères dont les activités de traitement portent atteinte aux droits des citoyens chinois ou menacent la sécurité nationale ou l’intérêt public de la Chine. Les entités inscrites pourraient se voir imposer des restrictions, voire une interdiction, de recevoir des informations personnelles depuis la Chine.

La conséquence potentielle ne viserait donc pas seulement la plateforme chinoise qui transfère les données, mais aussi le destinataire établi à l’étranger. L’analyse des risques liés aux flux transfrontaliers devrait dès lors intégrer des considérations plus larges qu’un simple examen classique de la protection de la vie privée.

Traitement des données et consentement

Les responsables concernés devraient traiter les informations personnelles conformément aux principes de licéité, de justesse, de nécessité et de bonne foi. La collecte devrait être limitée aux informations nécessaires au produit ou au service concerné et ne pourrait pas être excessive.

Lorsque le consentement constitue la base juridique du traitement, un consentement distinct serait requis pour plusieurs opérations présentant un risque accru, notamment :

• la transmission des informations à un autre responsable du traitement ;
• la fourniture d’informations à l’extérieur de la Chine ;
• la publication des informations ;
• le traitement d’informations personnelles sensibles.

Tout changement concernant la finalité, les modalités ou les catégories de données traitées nécessiterait un nouveau consentement. Le projet prévoit également un moyen simple pour permettre aux personnes de retirer leur consentement.

Le traitement des données d’enfants de moins de 14 ans nécessiterait l’accord d’un parent ou d’un autre représentant légal, avec un mécanisme accessible pour accorder ou retirer cette autorisation.

Stockage en Chine et exigences applicables aux centres de données

Les informations personnelles recueillies ou produites dans le cadre d’activités menées en Chine devraient être stockées sur le territoire chinois. Le centre de données devrait lui-même se trouver en Chine et respecter les politiques et normes nationales applicables. Le représentant légal ou le contrôleur effectif de l’organisme qui le gère devrait également être un citoyen chinois.

Les opérateurs de centres de données auraient eux aussi des responsabilités précises. Ils devraient mettre en place des contrôles internes et des plans de réponse aux incidents, détecter et corriger les failles de sécurité, notifier la plateforme et les autorités lorsque cela est requis, et participer à la gestion des violations de données.

Pour les entreprises qui recourent à des fournisseurs d’infrastructure externes, le choix du centre de données, les clauses contractuelles et le contrôle opérationnel deviendraient donc des sujets centraux de conformité, et non de simples décisions techniques ou d’achat.

Les transferts transfrontaliers resteraient possibles, mais encadrés

L’obligation de stockage national n’éliminerait pas automatiquement tout transfert vers l’étranger. Le projet envisage la fourniture de données hors de Chine lorsqu’elle est réellement nécessaire à l’activité, mais impose alors de respecter les mécanismes chinois applicables aux exportations de données et d’obtenir le consentement distinct requis.

Les grands responsables du traitement devraient en pratique distinguer deux situations : le stockage des données en Chine, qui constituerait la règle de base, et leur transmission à un destinataire étranger, qui déclencherait des contrôles juridiques et procéduraux supplémentaires.

Une responsabilité interne renforcée

Le texte prévoit une organisation plus formelle de la conformité, notamment la nomination d’un responsable de la protection des informations personnelles issu de la direction. Les articles consacrés à cette fonction, tels que rapportés dans les analyses du projet, prévoient notamment la nationalité chinoise, l’absence de résidence permanente ou de titre de séjour de longue durée dans un pays étranger, ainsi que des connaissances professionnelles et une expérience pertinentes en matière de protection des informations personnelles.

Parmi les autres mesures de gouvernance envisagées figurent :

• des structures de conformité directement rattachées à la direction et une répartition claire des responsabilités ;
• des analyses régulières d’impact sur la protection des informations personnelles ;
• des audits périodiques de conformité ;
• la surveillance des activités de traitement et des vulnérabilités de sécurité ;
• des procédures d’identification et de correction des risques ;
• des canaux efficaces pour les réclamations et l’exercice des droits individuels ;
• la publication annuelle d’un rapport de responsabilité sociale consacré à la protection des informations personnelles.

Le projet insiste aussi sur les garanties spécifiques destinées aux mineurs, notamment sur les mécanismes pratiques de consentement et de retrait du consentement par les parents ou représentants légaux.

Le comité de supervision indépendant, changement structurel majeur

Chaque responsable du traitement entrant dans le champ du texte devrait créer un comité de supervision de la protection des informations personnelles chargé de contrôler de manière indépendante ses pratiques de traitement.

Le comité devrait :

• compter un nombre impair de membres ;
• réunir au moins sept membres ;
• être dimensionné en fonction de l’activité et du nombre d’utilisateurs de l’organisation ;
• comprendre au moins deux tiers de membres externes ;
• être présidé par un membre externe disposant d’une capacité avancée en matière d’audit de conformité relatif à la protection des informations personnelles.

Les membres externes devraient être indépendants, reconnus et expérimentés dans les domaines de conformité concernés. Ils ne pourraient généralement pas siéger simultanément dans plus de trois grands organismes de traitement.

Le comité aurait pour mission de superviser la conformité et les sujets importants liés à la protection des informations personnelles, d’examiner les politiques internes et les traitements à haut risque, de formuler des avis ou des recommandations et de renforcer la responsabilité de l’organisation grâce à des mécanismes de rapport et de contrôle. L’entreprise devrait lui fournir les ressources nécessaires à son fonctionnement.

Il ne s’agirait donc pas simplement de nommer un responsable de la vie privée. Le projet instaurerait un niveau de contrôle distinct, largement composé de membres extérieurs, et donnerait à la gouvernance des données personnelles une place formelle dans la structure de responsabilité de l’organisation.

Ce que les organisations potentiellement concernées devraient faire

À court terme, les organisations devraient déterminer si elles peuvent relever du seuil de volume ou des critères plus larges liés à l’importance et à l’impact de leurs activités, puis préparer d’éventuelles observations avant le 7 septembre. Elles devraient également cartographier :

1. le nombre et les catégories de personnes dont elles traitent les informations ;
2. leurs principaux services, secteurs d’activité et éventuel impact sur l’intérêt public ;
3. les lieux de stockage des informations personnelles chinoises et les entités qui contrôlent les centres de données concernés ;
4. les parcours de consentement applicables aux données sensibles, aux communications, à la publication et aux exportations ;
5. les mécanismes de transfert transfrontalier et les destinataires étrangers ;
6. les responsabilités de la direction et les dispositifs d’audit ;
7. l’indépendance, la composition et les ressources nécessaires au comité de supervision.

Le projet peut encore évoluer. Son orientation est néanmoins nette : la Chine envisage un régime dans lequel les responsables traitant les données à la plus grande échelle, ou les plus déterminants pour la société, seraient soumis à des contrôles opérationnels renforcés, à une infrastructure nationale, à une responsabilité assumée au plus haut niveau et à une supervision externe de la protection des informations personnelles.