Vous entrez dans un espace virtuel nous permettant de vous présenter nos activités, et vous offrant la possibilité d'entrer en contact avec notre accueil commercial dans le cadre d'une relation BtoB.
Notre site collecte des informations sur votre visite et utilise des modules strictement nécessaires. Ces informations ne nous permettent pas d'identifier les visiteurs et d'utiliser les données à des fins commerciales.
Afin de vous proposez d'entrer en contact avec nous, et des réaliser des statistiques plus précises, nous devons vous demander l'autorisation pour utiliser des modules complémentaires.
Il s'agit de données vous assurant un affichage correct des pages selon votre appareil, permettant d'assurer la sécurité du notre site, de proposer des moyens de contact et de réaliser des statistiques anonymes.
Le stockage ou l’accès technique est nécessaire dans la finalité d’intérêt légitime de stocker des préférences qui ne sont pas demandées par l’abonné ou la personne utilisant le service.
Ils s'agit de données nous permettant de réaliser des analyses statistiques anonymes plus précises et notamment l'ordre des pages qu'un visiteur consulte
Le stockage ou l’accès technique qui est utilisé exclusivement dans des finalités statistiques anonymes. En l’absence d’une assignation à comparaître, d’une conformité volontaire de la part de votre fournisseur d’accès à internet ou d’enregistrements supplémentaires provenant d’une tierce partie, les informations stockées ou extraites à cette seule fin ne peuvent généralement pas être utilisées pour vous identifier.
Il s'agit des données individuelles collectées via les intégrations de notre CRM nous permettant de savoir par exemple si vous avez déjà visité notre site.
PIPL: le RGPD chinois
Si une entreprise traite des données de personnes situées en Chine, le PIPL peut s’appliquer même si son siège est en France. Il est donc essentiel d’identifier les traitements concernés et d’intégrer les exigences de cette réglementation dans la gouvernance des données.
Bien que cet article ne constitue pas un conseil juridique de part la complexité du sujet, voici les grandes lignes qu’il faut retenir du “RGPD Chinois” :
En clair, une entreprise qui exerce une activité en Chine ne peut pas se contenter de transposer son dispositif de conformité au RGPD. Elle doit l’adapter en tenant compte des bases légales, des flux de données, des transferts, des contrats, des mesures de sécurité et des exigences de gouvernance locale.
Comparaison rapide
Le PIPL peut il être qualifié de RGPD Chinois ?
Adopté en 2021, le PIPL (Personal Information Protection Law) est le texte chinois de référence en matière de protection des données personnelles. Deux points sont importants : son champ d’application et le rôle central du consentement.
Périmètre, concepts clés et personnes concernées
Pour les organisations françaises, le sujet le plus concret est simple : qui est concerné, et dans quels cas ?
Le PIPL définit la donnée personnelle comme toute information liée à une personne physique identifiée ou identifiable, quel que soit le support, à l’exclusion des données anonymisées. Il distingue aussi les données personnelles sensibles : des données dont l’usage ou la fuite peut porter atteinte à la dignité ou à la sécurité d’une personne. Cela vise notamment les données biométriques, religieuses, de santé, financières, de localisation précise, ainsi que celles des mineurs de moins de 14 ans.
Le gestionnaire de données personnelles est l’entité qui fixe les finalités et les moyens du traitement. En clair, c’est l’équivalent du responsable de traitement en droit européen.
Côté territorial, le PIPL s’applique à tout traitement mené en Chine. Mais ce n’est pas tout. Comme le RGPD, il peut aussi s’appliquer hors de Chine si le traitement vise à fournir des produits ou des services à des personnes situées en Chine, ou à analyser leur comportement en ligne. Dans ce cas, les organisations étrangères doivent désigner un représentant local ou créer une entité en Chine, c’est ici une différence notable.
Bases légales et consentement sous le PIPL
Le consentement occupe une place centrale dans le PIPL. Pour la majorité des traitements, c’est la base la plus utilisée. D’autres bases sont prévues, comme l’exécution d’un contrat, l’obligation légale, les urgences de santé publique et certains cas liés à l’intérêt public.
Le point qui change la donne pour beaucoup d’acteurs français est le suivant : le PIPL ne reconnaît pas l’intérêt légitime comme base légale valide, contrairement au RGPD. Autrement dit, une habitude assez courante en Europe ne fonctionne pas ici.
Certaines opérations demandent en plus un consentement distinct. C’est le cas pour le traitement de données sensibles, les transferts hors de Chine, le partage avec des tiers et la divulgation publique. En pratique, cela oblige souvent à revoir les parcours de collecte, pour éviter un consentement regroupé dans un seul bloc, comme le RGPD le recommande souvent.
Jusqu’ici, les règles de bases sont assez similaires entre le RGPD et le PIPL.
sbb-itb-9879cb5
En quoi le PIPL diffère-t-il du RGPD ?
PIPL vs RGPD : Comparaison des règles clés de protection des données
Ce que les deux textes ont en commun
Le RGPD sert de point de repère utile. Mais avec le PIPL, plusieurs habitudes de conformité doivent changer.
Sur le terrain, ces écarts modifient surtout la façon de collecter, documenter et transférer les données.
Là où le PIPL est plus strict ou structurellement différent
La différence la plus directe, c’est l’absence d’intérêt légitime. Sous le RGPD, cette base existe. Sous le PIPL, elle n’existe pas. Si une activité repose aujourd’hui sur cette base, il faut donc la revoir pour la Chine, et probablement recueillir le consentement des citoyens chinois pour les traitements de données personnelles concernés.
Sous le PIPL, le consentement occupe une place centrale, et les autres bases sont plus limitées.
Le PIPL prévoit aussi une responsabilité personnelle pour la personne chargée de la conformité. En cas de manquement grave, cette personne peut recevoir une amende allant jusqu’à 1 million de RMB et se voir interdire d’exercer certaines fonctions. C’est un écart net avec le RGPD, qui vise d’abord l’organisation, et offre au DPO un statut quelque peu protecteur.
Sur les sanctions, le plafond peut aller jusqu’à 5 % du chiffre d’affaires de l’année précédente ou 50 millions de RMB, contre 4 % ou 20 millions d’euros sous le RGPD.
Tableau comparatif : PIPL vs RGPD
Voici les différences qui pèsent le plus dans un projet soumis au PIPL.
Ces écarts orientent ensuite les vérifications à mener avant toute activité en Chine.
Faire du business en Chine sous le PIPL
En pratique, la conformité repose sur trois points : les données, les transferts et la gouvernance locale.
Vérifications avant tout lancement
Après la comparaison avec le RGPD, voici les vérifications à mener avant tout lancement. Avant de démarrer un projet en Chine, il faut cartographier les flux, repérer les données sensibles et vérifier la base légale qui s’applique. Sous le PIPL, le consentement reste la règle, avec quelques exceptions strictes.
Une évaluation d’impact sur la protection des informations personnelles (PIPIA) est requise pour les traitements à risque. Cela vise notamment les données sensibles, les décisions automatisées, les partages avec des tiers et les transferts hors de Chine. Il faut conserver le rapport et les registres pendant au moins 3 ans.
Le point suivant est simple à formuler, mais souvent plus dur à gérer sur le terrain : comment faire sortir les données de Chine sans sortir du cadre légal.
Transferts hors de Chine et représentant local
En cas de transfert hors de Chine, il faut passer par l’un des mécanismes prévus par le PIPL, selon le profil de l’organisation et le volume de données.
Le transfert, à lui seul, ne suffit pas. Le PIPL impose aussi une présence locale clairement identifiable. Et il faut le prévoir tôt, car l’évaluation de sécurité du CAC prend du temps et doit être anticipée bien avant un lancement.
Sans mécanisme de transfert valide et sans représentant local déclaré, le projet devient fragile. Toute organisation étrangère soumise au PIPL doit désigner un représentant en Chine continentale et le déclarer aux autorités compétentes. Ce représentant sert de point de contact avec les régulateurs en cas de contrôle.
S’appuyer sur un accompagnement structuré pour réduire les risques
Un audit PIPL doit partir des flux réels et des contrats locaux, pas d’un modèle RGPD simplement transposé. En clair, il faut repartir du terrain. Un audit dédié doit couvrir les bases légales, les flux vers la Chine, les contrats locaux et les PIPIA.
Un dossier RGPD ne se transpose pas tel quel : il faut le reconstruire selon le PIPL.
Risques pour les données des citoyens européens et points à vérifier avant tout transfert vers la Chine
Après le cadre PIPL, la question pour les organisations françaises est assez directe : un transfert vers la Chine peut-il encore passer au regard du RGPD ? En pratique, il faut satisfaire à la fois les règles du RGPD et celles du PIPL.
Principaux risques pour les données personnelles européennes
Premier point : la Chine ne dispose d’aucune décision d’adéquation de la Commission européenne. Dit simplement, un transfert vers la Chine n’est jamais présumé sûr. Il reste soumis au chapitre V du RGPD, avec des garanties appropriées à préparer et à documenter avant tout envoi de données.
Deuxième point : l’accès des autorités chinoises. Le PIPL leur donne un pouvoir d’accès large aux données au nom de la sécurité nationale ou de l’intérêt public. Pour une organisation française, ce n’est pas un détail. Cela peut toucher de façon directe les données de citoyens européens transférées en Chine.
Troisième point : la chaîne de sous-traitance locale. Il ne suffit pas de regarder le destinataire principal. Il faut aussi vérifier ses prestataires éventuels. L’idée est simple : s’assurer que tout l’écosystème applique un niveau de protection compatible avec le RGPD, avec des mesures techniques solides comme le chiffrement et la dé-identification.
Le risque n’a rien d’abstrait. En mai 2026, une sanction prononcée sous le PIPL contre la filiale shanghaïenne de Dior a relevé trois manquements précis : transfert de données sans mécanisme approuvé, absence de consentement séparé pour les transferts, et absence de mesures techniques de base comme le chiffrement ou la dé-identification. Ce cas montre bien une chose : le risque est réglementaire en Chine, mais il peut aussi revenir comme un boomerang sur la conformité RGPD côté européen.
Points à vérifier avant tout transfert
Avant toute mise en production, il faut valider ces points dans leur ensemble. Un seul maillon faible, et tout le transfert peut vaciller.
Points clés pour les organisations françaises
Ces vérifications ne sont pas une formalité administrative de plus. Elles déterminent, en pratique, si la décision de transfert tient debout ou non. Sans validation, l’organisation s’expose à des sanctions au titre du PIPL, avec en parallèle un risque côté RGPD.
FAQs
Quelles différences avec le RGPD en Europe ?
La PIPL chinoise et le RGPD européen vont dans la même direction sur le fond: mieux encadrer l’usage des données personnelles. Mais dans la pratique, il existe des écarts qui comptent.
Sur le papier, l’écart entre 5 % et 4 % peut sembler limité. En pratique, pour un grand groupe, la différence peut peser lourd. Ajoutez à cela les règles de localisation et le risque de blacklisting, et on voit vite que la conformité en Chine ne se gère pas comme une simple copie du cadre européen.
Comment faire du business en Chine en respectant le RGPD chinois (PIPL) ?
Si vous traitez les données de personnes situées en Chine pour fournir des biens ou des services, ou pour analyser leur comportement, le PIPL peut s’appliquer même si vous n’avez aucune présence physique dans le pays.
Concrètement, ça veut dire quoi ? Vous devez, entre autres, désigner un représentant ou une entité en Chine. Vous devez aussi obtenir un consentement séparé pour tout transfert de données hors de Chine.
Et ce n’est pas tout. Dans certains cas, il faut garder les données en Chine et passer une évaluation de sécurité avant de les transférer.
Le risque en cas de non-respect est lourd : jusqu’à 5 % du chiffre d’affaires annuel ou même une interdiction d’opérer.
Quels risques pour les données des citoyens européens ?
Pour les entreprises européennes, le risque majeur lié à la PIPL vient de deux points : sa portée extraterritoriale et le flou juridique qui l’entoure. Concrètement, des données stockées en Chine peuvent être demandées par les autorités au nom de la sécurité publique.
En cas de non-respect, la note peut être très salée : jusqu’à 50 millions de RMB (environ 6 800 000 €) ou 5 % du chiffre d’affaires annuel. À cela s’ajoutent des risques pénaux et un possible blacklistage.
Articles récents
Thèmes
Catégories