Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Décembre 2017 - n°430 - 403

Focus

a Chine est en passe
de devenir la première
économie numérique au
monde, avec un chiffre
d'affaires qui devrait dépasser
celui des Etats-Unis d'ici la fin de
l'année. Le 1er juin, cette grande
puissance s'est aussi dotée d'un
arsenal juridique protecteur pour
les citoyens chinois mais aussi pour
le secteur économique contre la
concurrence étrangère. La loi sur
la cybersécurité impose en effet la
localisation en Chine des données
personnelles et interdit leur transfert
vers l'étranger, sauf à certaines
conditions très contraignantes.
La Chine dispose désormais d'une
loi généraliste sur la protection
des données personnelles dont
les grandes lignes sont proches
de celles du règlement général
pour la protection des données de
l'Union européenne. Ainsi retrouvet-on des principes fondamentaux
bien connus : licéité, loyauté,
transparence, limitation des finalités
et des données, qualité des données,
consentement préalable, sécurité,
etc. Mais comme pour les lois
chinoises en général, la rédaction
de ce nouveau texte est très floue
et il faudra attendre la publication
de lignes directrices et autres
circulaires, donc l'interprétation des
autorités, pour se rendre compte
de la réalité de la protection. Ces
précisions ne viendront cependant
pas d'une Cnil chinoise, la loi
n'ayant pas prévu la création d'une
autorité de contrôle.
Localisation des données en Chine
Cette législation a été mal accueillie
à l'étranger. Si elle n'a pas de
portée extra-territoriale, elle est
très contraignante pour les acteurs
économiques non chinois. L'une
des dispositions les plus critiquées
concerne l'obligation de localiser
les données chinoises en Chine.
Son article 37 prévoit en effet que
les données personnelles ainsi que
les données stratégiques recueillies
ou produites par des « opérateurs
d'infrastructures
critiques
»

Données personnelles
Une loi chinoise, plus
ou moins proche du RGPD
La nouvelle loi chinoise relative à la cybersécurité fixe un cadre général de protection des données personnelles proche des
standards internationaux et procure aussi
un instrument de souveraineté numérique
dans un contexte de guerre économique.
Avancées pour le citoyen chinois à l'égard
du secteur privé mais inquiétudes à l'étranger, en raison de l'obligation de stocker les
données en Chine et de l'interdiction de
les exporter.
sur le territoire continental de la
République populaire de Chine
doivent être stockées en Chine.
Si la loi cible des opérateurs
d'infrastructures critiques, le projet
de texte réglementaire évoque
désormais des opérateurs réseaux,
ce qui étend considérablement le
champ des prestataires soumis à
cette obligation.
Cette mesure est certes destinée
à renforcer la sécurité et la
souveraineté
numérique
du
pays mais elle facilite aussi la
surveillance des personnes. Rien
n'interdit en effet aux autorités
gouvernementales d'accéder aux
données et de les utiliser. A noter
que la protection des données
personnelles ne s'applique qu'au
secteur privé, et pas à l'Etat. Par
ailleurs, la Chine a prévu de lever
l'obstacle du chiffrement. Un projet
de loi en préparation devrait
imposer aux opérateurs de fournir
le moyen de déchiffrer les contenus.
Le
texte
rend
par
ailleurs
presqu'impossible le flux de
données vers l'étranger. Il pose en
effet le principe de l'interdiction
de l'exportation des données sans
le consentement préalable des
personnes concernées mais aussi
quand il existe un risque d'affecter
la sécurité nationale ou de causer
un dommage à l'intérêt public,

EXPERTISES DECEMBRE 2017

ou encore il prohibe le transfert de
données spécifiquement désignées
par les autorités publiques. Mais
quand les besoins de l'entreprise
l'imposent, ce qui reste à définir,
cette dernière peut transférer les
données à condition de produire
une évaluation de sécurité suivant
des normes nationales et des
lignes directrices rédigées par
le Comité de standardisation
pour la sécurité nationale de
l'information dont le projet a été
publié fin août. L'entreprise doit
d'abord procéder à une autoévaluation
puis
obtenir
une
évaluation de sécurité par l'autorité
publique après avoir indiqué le
volume des données concernées,
l'environnement politique et légal
du lieu de destination, les mesures
de sécurité prises. Beaucoup de
conditions susceptibles d'arbitraire
et qui rendent un projet de transfert
très aléatoire.
Les entreprises disposent d'un
délai de 19 mois pour se conformer
à cette réglementation. Un délai
pendant lequel les autorités vont
devoir préciser toutes les zones
floues de cette loi et qui permettra
aux opérateurs d'avoir une vision
réelle des droits et des obligations
et des modalités pratiques.

Sylvie ROZENFELD

403

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Décembre 2017 - n°430