PIPL : transférer des données hors de Chine, les trois voies en 2026

Le 28 octobre 2026, le régulateur chinois du cyberespace (Chine · CAC) a publié une troisième liste de 21 organismes certifiés pour réaliser des audits de conformité à la loi sur la protection des informations personnelles, la PIPL. Le signal compte plus que la liste. Depuis le 1er janvier 2026, la certification dispose de ses propres mesures d’application, comme l’évaluation de sécurité et le contrat type avant elle, et les plus grands responsables de traitement sont désormais audités.

Pour une entreprise étrangère implantée en Chine, la question n’est donc plus de savoir si elle peut transférer. La question est de savoir par quelle voie, pour quel volume, et avec quelles preuves.

Ce qui est déjà acté

• Trois voies de droit commun (Chine · Comité permanent de l’Assemblée nationale populaire, PIPL, article 38) : depuis le 1er novembre 2021, un transfert de données personnelles hors de Chine passe par une évaluation de sécurité organisée par la CAC, une certification ou un contrat type, sauf autre condition fixée par la loi ou par la CAC. L’article 39 impose d’informer les personnes et de recueillir leur consentement séparé.
• Le contrat type (Chine · CAC) : applicable depuis le 1er juin 2023. Il est précédé d’une analyse d’impact et déposé auprès du bureau provincial de la CAC dans les 10 jours ouvrables suivant son entrée en vigueur.
• Les assouplissements de mars 2024 (Chine · CAC) : les dispositions du 22 mars 2024 exemptent les transferts nécessaires à un contrat avec la personne, à la gestion transfrontalière des ressources humaines ou à une urgence, ainsi que ceux qui concernent moins de 100 000 personnes par an, hors données sensibles. L’évaluation de sécurité ne s’impose plus qu’à partir d’un million de personnes, de 10 000 personnes pour les données sensibles, pour toute « donnée importante » et pour les opérateurs d’infrastructures critiques. Entre les deux : contrat type ou certification. Une évaluation réussie vaut trois ans, renouvelables.
• La certification (Chine · CAC et SAMR, l’autorité de régulation du marché) : déjà prévue par la PIPL et par les dispositions de mars 2024, elle dispose de ses propres mesures, signées le 14 octobre 2025 et applicables depuis le 1er janvier 2026. Réservée à la tranche intermédiaire, elle donne un certificat valable trois ans. Découper les volumes pour échapper à l’évaluation est expressément interdit.
• Les audits de conformité (Chine · CAC) : obligatoires depuis le 1er mai 2025, au moins tous les deux ans pour qui traite les données de plus de 10 millions de personnes. Les autorités peuvent en exiger un en cas de risque élevé ou d’incident.
• Les zones franches (Chine · CAC) : en mars 2026, neuf zones pilotes de libre-échange ou ports francs avaient publié une « liste négative » couvrant 22 domaines, dont l’automobile, le commerce de détail, l’aviation civile et la réassurance. Pour une entreprise de la zone, les données hors liste sortent sans formalité de transfert.

Ce qui reste en cours

• Les contrôles ciblés (Chine · CAC) : une inspection spéciale des transferts des entreprises et institutions clés a été menée, avec des sanctions annoncées mais non chiffrées dans le bilan du 23 mars 2026.
• La pré-évaluation locale (Chine · CAC) : huit territoires de niveau provincial, dont le Fujian, le Shandong et Chongqing, rejoignent les six pilotes (Pékin, Shanghai, Guangdong, Tianjin, Jiangsu, Zhejiang) qui examinent les dossiers avant leur dépôt.
• La montée en charge de la certification (Chine · CAC) : trois organismes sont habilités à certifier les transferts. Leur capacité à absorber la demande reste à éprouver.
• Le dialogue avec l’Europe (Chine · CAC et UE · Commission européenne) : le mécanisme d’échange Chine–UE sur les flux de données a tenu sa deuxième réunion le 17 juillet 2025 à Bruxelles. À notre connaissance, aucune reconnaissance mutuelle n’est annoncée.

Le vrai enjeu : la preuve, plus que la formalité

Les sanctions publiées visent moins un formulaire manquant qu’une absence de cartographie. Le 15 septembre 2026, la CAC a rendu public le cas d’une entreprise de Shanghai qui, depuis 2022, transmettait à des centres de données à l’étranger les noms, numéros de téléphone, adresses électroniques, dates de naissance et mots de passe de ses utilisateurs, sans évaluation de sécurité. Le bureau local de la CAC lui a ordonné de se mettre en conformité et l’a mise à l’amende, sans publier le montant.

Le plafond légal reste dissuasif : en cas de manquement grave, la PIPL prévoit jusqu’à 50 millions de yuans ou 5 % du chiffre d’affaires de l’année précédente. Le risque n’est pas de choisir la mauvaise voie, c’est d’ignorer quels flux existent. Un outil de support client, un CRM mondial ou un service d’IA hébergé hors de Chine sont autant de transferts.

Trois points de vigilance

1. Le compteur repart chaque 1er janvier. Les seuils se calculent en cumul depuis le début de l’année civile. Un projet lancé en septembre peut faire basculer un flux d’une tranche à l’autre, et donc changer la voie exigée.

2. Une exemption n’efface pas les autres obligations. Elle dispense du mécanisme de transfert, pas de l’analyse d’impact que la PIPL impose pour tout transfert (article 55), ni de l’information des personnes. Elle ne couvre jamais les données importantes.

3. La certification n’est pas un plafond. Elle ne vaut que pour la tranche intermédiaire. Si les volumes atteignent un million de personnes en cours d’année, l’évaluation de sécurité redevient obligatoire. Et le certificat peut être suspendu, puis retiré, si les transferts réels sortent du périmètre certifié.

Ce qu’un responsable de traitement doit faire

1. Cartographier les flux sortants de Chine : finalité, destinataire, pays, catégories de données, nombre de personnes, avec un compteur annuel.
2. Qualifier chaque flux : exemption, contrat type, certification ou évaluation de sécurité, en écrivant le raisonnement.
3. Documenter les exemptions : la nécessité contractuelle ou RH doit être démontrable, flux par flux.
4. Tenir les analyses d’impact à jour et déposer chaque contrat type dans les 10 jours ouvrables.
5. Comparer contrat type et certification : le contrat se signe et se dépose destinataire par destinataire ; le certificat, valable trois ans, couvre un périmètre audité par un organisme habilité.
6. Vérifier la liste négative de la zone franche si l’entité chinoise y est immatriculée.
7. Planifier l’audit de conformité au-delà de 10 millions de personnes, et préparer les pièces dans tous les cas : il peut être exigé après un incident.

En Chine, un transfert de données se justifie par une voie, un volume et une preuve.

La question à poser lundi matin

À votre responsable conformité Chine : « Combien de personnes nos flux sortants ont-ils concernées depuis le 1er janvier, et par quelle voie passe chacun d’eux ? »