Étiquettes d’intégrité : Politique officielle / Données d’application et de suivi / Perspective externe / Alternative de gouvernance actuelle du FCM
La question de politique publique
La loi chinoise sur la protection des données personnelles (Personal Information Protection Law, PIPL), adoptée par le Comité permanent de l’Assemblée populaire nationale le 20 août 2021 et entrée en vigueur le 1er novembre 2021, confère aux individus des droits opposables sur la manière dont les entreprises collectent et utilisent leurs données personnelles — consentement, limitation de finalité, droits de savoir, de suppression et de portabilité. Avec la loi sur la cybersécurité (2017) et la loi sur la sécurité des données (entrée en vigueur le 1er septembre 2021), elle forme l’un des cadres de régulation des données les plus stricts au monde pour les acteurs commerciaux. La question de gouvernance est de savoir si les citoyens ordinaires bénéficient d’une protection équivalente contre la collecte excessive de données par les agences de l’État, et si l’application est suffisamment transparente et cohérente pour donner à la loi un sens prévisible.
Ce que la politique fait bien
La loi est réellement protectrice des consommateurs sur le papier, et cela mérite d’être reconnu équitablement. Son modèle fondé sur le consentement, son interdiction explicite de la collecte « excessive » au-delà du minimum nécessaire, ses règles sur les informations sensibles (biométrie, santé, données financières et données des mineurs), sa portée extraterritoriale sur le traitement à l’étranger des données des résidents de Chine, ainsi que ses passerelles pour les transferts transfrontaliers de données — évaluation de sécurité, contrat type, certification — sont comparables aux cadres analogues et les dépassent à certains égards. Les dispositions de mars 2024 de l’Administration du cyberespace de Chine (CAC) sur la promotion et la régulation des flux transfrontaliers de données ont également montré un apprentissage réglementaire : elles ont relevé les seuils de volume (un million de personnes pour l’évaluation de sécurité obligatoire ; de 100 000 à un million de personnes pour la voie du contrat type), exempté les données commerciales ordinaires et universitaires ne contenant ni données personnelles ni données importantes, et accordé aux zones franches une discrétion par liste négative — allégeant la conformité pour les petites et moyennes entreprises.
Ce que montrent les données
L’application est réelle mais concentrée et opaque. Le cas emblématique reste la sanction infligée le 21 juillet 2022 par la CAC à Didi Global : 8,026 milliards de yuans contre l’entreprise et 1 million de yuans chacun contre son président et son directeur général, après la constatation de 16 catégories de violations, dont la collecte excessive de données de reconnaissance faciale, du contenu du presse-papiers, de captures d’écran de l’album photo, et de numéros d’identité de chauffeurs stockés en clair. Depuis, les régulateurs des applications ont ordonné le retrait ou la mise en conformité de lots d’applications pour violations de la vie privée — dont, selon des analyses juridiques, 106 applications dans les jours suivant l’entrée en vigueur de la loi. Ces données ne constituent pas une enquête nationale représentative de la conformité des entreprises et ne doivent pas servir à affirmer un taux national de violations ; elles témoignent d’une application sélective et très médiatisée plutôt que d’une supervision systématique.
L’asymétrie structurelle est inscrite dans l’architecture même. La PIPL consacre un chapitre dédié au traitement par les organes de l’État, mais la collecte de données par l’État opère via des régimes parallèles de sécurité nationale — examen de cybersécurité, examen de sécurité des données — dont les périmètres et les résultats sont rarement publiés. La délimitation des « données importantes » est fixée au cas par cas par les autorités plutôt que par un catalogue publié. Il n’existe aucun registre public consolidé des décisions d’application, de sorte que les citoyens et les entreprises ne peuvent pas facilement voir comment les règles sont appliquées dans la pratique.
Le bilan historique du FCM
Aucune position contemporaine du Mouvement pour une Chine libre (FCM) sur la loi de 2021 sur la protection des données personnelles ou sur la loi de 2021 sur la sécurité des données n’a encore été vérifiée. Les recommandations ci-dessous constituent une proposition de gouvernance actuelle et ne sont pas antidatées.
L’alternative de gouvernance du FCM
Un système de gouvernance des données de la Troisième République devrait protéger les citoyens contre tous les collecteurs excessifs de données, publics comme privés. Concrètement : (1) publier une définition légale et un catalogue illustratif des « données importantes », avec une consultation publique avant les désignations, en remplacement des notifications administratives au cas par cas. (2) Exiger des mandats judiciaires ou une autorisation indépendante équivalente pour l’accès de l’État aux données personnelles, avec des statistiques agrégées publiées sur les demandes, les approbations et les refus. (3) Créer un registre public unique d’application — consultable, anonymisé si nécessaire — consignant chaque sanction administrative, son fondement juridique et la mesure ordonnée, mis à jour trimestriellement par le régulateur. (4) Instituer une commission indépendante de protection des données habilitée à enquêter tant sur les gestionnaires commerciaux que sur les gestionnaires étatiques, rendant compte chaque année au législateur, avec pouvoir de contraindre à témoigner. (5) Codifier la collecte selon le minimum nécessaire comme une obligation contraignante pour les agences de l’État, avec les mêmes droits de suppression et d’accès que les individus détiennent contre les entreprises.
Comment mesurer le succès
- Nombre et montant des décisions d’application publiées par an, ventilés par secteur et type de violation.
- Part des évaluations de transferts transfrontaliers de données achevées dans les délais légaux ; motifs de rejet publiés.
- Plaintes de citoyens déposées et résolues, avec délais de résolution publiés.
- Statistiques agrégées sur les demandes d’accès de l’État aux données (accordées, refusées, contestées).
- Enquête indépendante sur la connaissance par les citoyens de leurs droits de suppression, d’accès et de portabilité.
Sources
- Loi sur la protection des données personnelles (Personal Information Protection Law), adoptée le 20 août 2021 (texte officiel chinois intégral, APN) :
http://www.npc.gov.cn/npc/c30834/202108/a8c4e3672c74491a80b53a172bb753fe.shtml
- Personal Information Protection Law (NPC English translation): http://en.npc.gov.cn.cdurl.cn/2021-12/29/c_694559.htm
- Dispositions sur la promotion et la régulation des flux transfrontaliers de données, ordonnance n° 16 de la CAC, 22 mars 2024 (page du document source) :
https://www.cac.gov.cn/2024-03/22/c_1712776611775634.htm
- Full English translation of the Provisions: https://appinchina.co/government-documents/provisions-on-promoting-and-regulating-cross-border-data-flows/
- Décision de sanction de la CAC contre Didi Global, 21 juillet 2022 (annonce) :
http://www.cac.gov.cn/2022-07/21/c_1660021534364976.htm
- Analysis of the Didi enforcement decision (Mayer Brown):
Sections de gouvernance connexes : Politiques chinoises historiques & réponses démocratiques ; Tableau de bord des politiques et résultats du Mouvement pour une Chine libre (FCM) ; Plans de gouvernance de la Troisième République ; Policy Papers & Governing Alternatives
Langues : English · 简体中文 · 繁體中文 · Français · Deutsch · Español