Transférer des données personnelles vers la Chine : ce qui est autorisé

Votre entreprise européenne travaille avec un fournisseur, une filiale ou une équipe en Chine ? Ou vous êtes une société chinoise qui reçoit les données de clients européens ? Dans les deux cas, le RGPD encadre strictement le transfert. Sila International Advisory, dirigé par Younes (legal consultant, spécialiste RGPD et DPO externe), explique ce qui est possible et comment le faire proprement.

Un envoi de fichiers, mais aussi un accès à distance depuis la Chine : un support technique qui consulte une base clients, des développeurs qui accèdent à un serveur, un outil cloud administré depuis un site chinois, une filiale qui lit le CRM du groupe. Dans tous ces cas, il y a transfert au sens du RGPD (EDPB, lignes directrices 05/2021).

Les clauses contractuelles types de 2021 (décision d'exécution (UE) 2021/914) sont l'outil le plus courant : un contrat standard signé entre l'exportateur européen et l'importateur chinois. Les règles d'entreprise contraignantes (BCR, article 47) conviennent aux groupes qui transfèrent régulièrement en interne. Les dérogations de l'article 49 (consentement explicite, exécution d'un contrat) sont d'interprétation stricte et ne servent pas aux transferts réguliers.

Signer les CCT ne suffit pas. Depuis l'arrêt Schrems II (CJUE, 16 juillet 2020), l'exportateur doit évaluer si le droit et les pratiques du pays importateur, notamment l'accès des autorités aux données, permettent à l'importateur de respecter les clauses (clauses 14 et 15 des CCT). Cette analyse doit être documentée. Si les risques persistent, des mesures supplémentaires sont nécessaires (chiffrement avec clés conservées dans l'UE, pseudonymisation : recommandations 01/2020 de l'EDPB). Si aucune mesure ne suffit, il ne faut pas transférer.

La loi chinoise PIPL encadre aussi la sortie de données hors de Chine : évaluation de sécurité par l'autorité chinoise (CAC), contrat type chinois déposé auprès de l'autorité, ou certification. Selon des analyses de cabinets, le contrat type et son analyse d'impact doivent être déposés dans les dix jours ouvrés suivant son entrée en vigueur (les seuils et dispenses applicables dépendent du volume et de la nature des données). Un flux dans les deux sens peut ainsi exiger deux jeux de clauses.

Existe-t-il une décision d'adéquation pour la Chine ?

À ce jour, non (voir la liste de la Commission). Il faut donc des garanties appropriées, comme les CCT.

Un accès à distance depuis la Chine est-il un transfert ?

Oui. Une personne située en Chine qui consulte des données stockées dans l'UE réalise un transfert au sens du RGPD.

Le consentement des personnes suffit-il ?

Rarement. La dérogation fondée sur le consentement explicite est d'application restrictive et ne convient pas aux transferts réguliers.

Les CCT suffisent-elles pour la Chine ?

Non. Elles doivent être complétées par une analyse d'impact du transfert et, si besoin, par des mesures techniques supplémentaires.

Faut-il informer les clients du transfert vers la Chine ?

Oui. Votre politique de confidentialité doit mentionner le transfert, le pays et la garantie utilisée (article 13).