Expertises des Systèmes d'information - Septembre 2019 - n°449 - Le mensuel du droit de l'informatique et du multimédia - 284

D

O

C

T

R

I

N

E

DONNÉES PERSONNELLES

Le système juridique
chinois de protection
au regard du RGPD
Soucieuse de s'accorder au caractère extraterritorial
du RGPD, la Chine a adopté des mesures sur le
transfert de données vers l'étranger. Etat des lieux
d'un nouveau droit en pleine évolution qui tend
à se rapprocher autant qu'il est possible des règles
européennes.

A

l'image de son développement
économique,
la Chine va bon train
pour
construire
un
régime juridique dans le domaine
de la protection des données
personnelles. Invitées par nos
confrères de Beijing1, nous avons
eu l'occasion d'échanger avec
eux à ce sujet alors que le RGPD
est entré en vigueur depuis un an
en Europe et produit des effets en
Chine par son article 3. Le présent
article tente donc de faire l'état
des lieux de ce nouveau droit en
pleine évolution, notamment sur
les questions du traitement et du
transfert des données à caractère
personnel.

Le cadre légal actuel
Il n'y a pas à ce jour de loi spécifique
pour la protection des données
personnelles
en
Chine2.
En
revanche, de nombreux textes ont
été adoptés pour veiller à assurer
la sécurité et la confidentialité des
données traitées.
A ce titre, la législation actuellement
en vigueur contient sept types de
textes  : lois3, règlements administratifs,
règlements
sectoriels4,
5
documents normatifs , interprétations

284

judiciaires6, normes nationales ainsi
que normes du secteur7.
Plus récemment et notamment
depuis octobre 2017 où le 19e
Congrès du Parti a fixé l'objectif
de devenir une «  puissance en
réseaux internet  », une «  Chine
numérique » et une « société d'IA »,
l'activité normative de différentes
administrations notamment la
CAC (l'acronyme anglais de «  The
Cyberspace
Administration
of
China  ») s'intensifie en cette
matière. De nouveaux textes ont
ainsi récemment été publiés pour
commentaires publics, au nombre
desquels figurent les :
■■ « mesures d'administration pour
la sécurité des données » publiées
le 28 mai 2019 ;
■■ « mesures de contrôle de sécurité
des réseaux internet » publiées le
24 mai 2019 ;
■■ «  méthodes d'évaluation de
la sécurité dans les transferts
de
données
personnelles
vers l'étranger  » publiées le
13 juin 2019.
On constate donc un foisonnement de textes qui sont éparpillés et, on doit se rappeler que
ces « mesures » qui sont des projets
EXPERTISES Septembre 2019

de textes réglementaires, ont de
l'importance dans la pratique. Car
théoriquement, ces mesures sont
publiées pour être soumises à la
consultation publique et ne sont
pas donc pas définitives, mais en
réalité elles sont déjà respectées et
appliquées.
Par ailleurs, ce sont les normes
nationales de 2018 qui ont fait
progresser l'activité législative et
réglementaire8.
Ce que l'on peut constater pour
l'instant, c'est que les autorités
chinoises avaient le souci de se
rapprocher autant que possible
des règles de l'Europe ; les mêmes
autorités ont pris également
conscience du caractère extraterritorial de l'art. 3 du RGPD, d'où les
mesures publiées le 13 juin sur le
transfert des données personnelles
depuis la Chine vers l'étranger.
On peut néanmoins constater que
dans leur ensemble, les mesures
chinoises ne sont ni aussi
rigoureuses ni aussi sévères que
le RGPD quant à ses mesures de
contrôle et de sanction. Le registre
que doit tenir le responsable du
traitement dans le cas de transfert

Expertises des Systèmes d'information - Septembre 2019 - n°449 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Septembre 2019 - n°449 - Le mensuel du droit de l'informatique et du multimédia