Conformité à la Personal Information Protection Law (PIPL) de Chine

Qu’est-ce que la PIPL ?

La Personal Information Protection Law de la République populaire de Chine (PIPL) est la loi globale de la Chine sur les informations personnelles. Elle fixe les règles selon lesquelles les organisations, que la loi appelle « responsables du traitement des informations personnelles » (personal information processors), collectent, conservent, utilisent, partagent et suppriment les informations relatives à des personnes identifiées ou identifiables. Beaucoup de ses notions sont familières à qui connaît le RGPD, mais certaines de ses règles de consentement sont plus strictes.

Les grands principes de la PIPL sont notamment les suivants :

• Tout traitement nécessite une base légale et, pour la plupart des activités de marketing et de suivi, cette base est le consentement de la personne, qui doit être libre, explicite et pleinement éclairé.
• Avant tout traitement, les personnes doivent être informées de l’identité de celui qui traite leurs informations, des finalités, des modalités et de la durée du traitement, ainsi que de la manière d’exercer leurs droits.
• Un consentement distinct est exigé pour traiter des informations personnelles sensibles, partager des informations avec un autre responsable du traitement, les rendre publiques et les transférer hors de Chine.
• Les informations concernant des enfants de moins de 14 ans sont considérées comme sensibles et nécessitent le consentement d’un parent ou d’un tuteur.
• Les personnes peuvent retirer leur consentement à tout moment, et doivent disposer d’un moyen pratique de le faire.
• Les personnes ont le droit d’accéder à leurs informations, d’en obtenir une copie, de les rectifier et de les supprimer.

Que se passe-t-il si je ne respecte pas la PIPL ?

La PIPL est appliquée par la Cyberspace Administration of China (CAC), qui coordonne l’application de la loi, avec d’autres administrations dans leurs domaines de compétence respectifs. Les conséquences possibles sont notamment les suivantes :

• Injonctions et avertissements : ordres de mettre fin à l’infraction, confiscation des gains illicites et suspension des applications ou services qui traitent des informations de manière illicite.
• Amendes : jusqu’à 1 million de RMB en cas de refus de corriger une infraction. Pour les infractions graves, jusqu’à 50 millions de RMB ou 5 % du chiffre d’affaires de l’année précédente.
• Responsabilité personnelle : les dirigeants responsables peuvent se voir infliger une amende de 100 000 à 1 million de RMB et être interdits d’exercer des fonctions de direction pendant une certaine période.
• Restrictions d’activité : suspension des activités et retrait des licences commerciales dans les cas graves.
• Dossiers de crédit : les infractions sont inscrites dans les dossiers de crédit et peuvent être rendues publiques.

Les personnes peuvent aussi engager une action civile en réparation du préjudice causé par un traitement illicite.

Se conformer à la PIPL

Pour une boutique Shopify qui vend à des clients en Chine, l’aspect le plus visible de la PIPL est le consentement. Les outils d’analyse, de publicité et de suivi qui collectent des informations personnelles ne doivent pas fonctionner tant que le visiteur n’a pas donné son accord explicite, et un visiteur qui refuse doit pouvoir continuer à utiliser la boutique, sauf si les informations sont réellement nécessaires pour fournir le service. Votre politique de confidentialité doit décrire vos traitements dans un langage clair, et les visiteurs doivent disposer d’un moyen pratique de retirer leur consentement par la suite.

Les transferts transfrontaliers méritent une attention particulière, car la plupart des boutiques envoient les informations de leurs clients hors de Chine à leurs prestataires de plateforme, de paiement et de marketing. La PIPL exige un mécanisme de transfert, comme le contrat type de la CAC, sauf exemption. Les règles de 2024 de la CAC exemptent certains transferts, par exemple ceux nécessaires à l’exécution d’un contrat avec le client, comme un achat transfrontalier, mais les personnes doivent tout de même être informées du destinataire à l’étranger et donner un consentement distinct. Vous devez aussi être prêt à répondre aux demandes des personnes qui souhaitent accéder à leurs informations, les rectifier ou les supprimer.

Une plateforme de gestion du consentement (CMP) comme Pandectes GDPR Compliance vous aide pour tout ce qui se passe sur votre vitrine. Elle affiche une bannière de cookies et bloque les cookies non essentiels jusqu’à ce que le visiteur donne son consentement, scanne et classe automatiquement les cookies de votre boutique, et génère une déclaration de cookies pour votre politique. Elle conserve des journaux de consentement comme preuve, vous aide à traiter les demandes des personnes concernées et vous permet de configurer la bannière par région grâce à la géolocalisation, afin que les visiteurs de Chine voient une bannière adaptée à la PIPL.

Les mécanismes de transfert, les représentants en Chine et les règles sectorielles dépassent ce qu’un outil de consentement peut couvrir : faites vérifier votre configuration par un conseiller juridique si nécessaire.