Qu'est-ce que la PIPL de Chine (Loi sur la protection des renseignements personnels) ?

La loi chinoise sur la protection des informations personnelles (PIPL) est une source majeure de droit en matière de protection des données personnelles ; elle est l'une des trois lois fondamentales concernant les questions liées aux données en Chine, avec la loi sur la cybersécurité et la loi sur la sécurité des données. La PIPL est entrée en vigueur le 1er novembre 2021. Pour les entreprises SaaS et les développeurs de logiciels ayant des utilisateurs chinois, la conformité à la PIPL est une exigence, et les procédures d'application sont devenues plus strictes.

La PIPL a une dimension extraterritoriale très forte. Ses dispositions s'appliquent à toute organisation qui traite des informations personnelles concernant des individus en Chine. Cela inclut les entreprises sans présence physique en Chine, dont les activités consistent à fournir des produits ou services à des utilisateurs chinois ou à analyser leurs comportements.

Le fondement juridique du traitement des informations personnelles en vertu de la PIPL est le consentement, la nécessité contractuelle, l'obligation légale et l'intérêt public (le consentement étant de loin le plus courant). La prise en compte des pratiques de traitement des données personnelles pourrait être une priorité pour les entreprises.

Obligations du sous-traitant :

•   Préparer les plans et procédures de gestion des données au sein de l'entreprise.
•   Différencier les mesures de protection pour les diverses catégories d'informations personnelles.
•   Utiliser des mesures de sécurité techniques : chiffrement, désidentification, contrôle d'accès.
•   Mener des formations régulières de sensibilisation à la protection des données auprès du personnel.
•   Effectuer une auto-inspection obligatoire de la conformité ; les entités qui traitent les données de plus de 10 millions de personnes sont tenues de se conformer aux mesures d'audit de conformité de la PIPL, qui sont entrées en vigueur le 1er mai 2025, et doivent être inspectées au moins une fois tous les deux ans
•   Préparer et exécuter des plans en cas d'incidents de violation de données, le cas échéant.

Les individus détiennent les droits suivants vis-à-vis des responsables du traitement des données :

•   Ils peuvent être informés, avoir accès, obtenir des copies, faire corriger leurs données personnelles, ou les faire supprimer ou transférer
•   Les individus peuvent limiter ou bloquer le traitement
•   Demander les raisons des opérations de traitement

La gestion de PIPL concernant les transferts transfrontaliers de données vers des pays tiers par des entreprises étrangères hors de Chine présente des aspects liés aux sanctions financières ou à la conformité réglementaire. Depuis le 1er janvier 2026, il existe 3 voies formelles ; les entreprises doivent en choisir une.

Article 66 de la PIPL détermine les exigences financières pour les violations spécifiques, avec des montants maximums de 50 millions de RMB (environ 6,9 millions de dollars US) ou 5 % du chiffre d'affaires mondial annuel.
L'application des mesures d'exécution est passée d'une approche sélective. Une campagne conjointe CAC-MIIT-MPS lancée en avril 2026 a publiquement désigné 33 applications non conformes et a signalé une démarche vers une application systématique des règles.