25/07/2024
Actualité
La protection des données en dehors de l’Union européenne : l’exemple chinois
Bientôt à l’origine d’un tiers des données à l’horizon 2025[1], la Chine a pour ambition de devenir un leader global en matière de gouvernance des données et de la régulation d’internet. Sur les plans national et international, la Chine se montre force de proposition en matière de gouvernance des données.
On désigne par données, l’ensemble des informations créées, traitées et conservées par des ordinateurs. La gouvernance des données désigne la façon dont les gouvernements interagissent entre eux et avec des entreprises pour décider des entités en mesure de collecter des données. La régulation des données doit également être appréhendée dans le cadre de la gestion d’internet. En ce qui concerne ce sujet, la Chine apparaît de plus en plus comme un modèle présentant une économie prospère combinée à l’un des systèmes de surveillance les plus sophistiqués au monde.
La présentation du contexte dans lequel évolue la Chine nous permettra de comprendre le positionnement de la Chine en matière de protection des données.
Une certaine vision du cyberespace
La place de la Chine dans le numérique est devenue substantielle avec plus d’1 milliard de personnes ayant accès à internet en Chine[2] , un chiffre qui a crû ces dernières années en raison des conditions créées par la crise sanitaire de la Covid-19.
Un utilisateur d’internet sur deux se trouve désormais en Asie et singulièrement en Chine
En conséquence, le chinois est devenu la langue dominante sur internet, devant l’anglais. Conscient de l’importance de cette position, le gouvernement s’est impliqué dans l’intégration du pays dans cette ère de l’information.
La conception du numérique de la Chine peut aussi être mise en perspective avec la possibilité évoquée par certains analystes d’une « balkanisation du cyberespace[3] » c’est à dire l’éclatement d’internet en des entités de navigation divisées, autonomes, cloisonnées et dépendantes de différents systèmes politiques. Rappelons que l’internet chinois possède ses propres caractéristiques qui suscitent la critique des Occidentaux. Le Great Firewall auquel sont soumis les utilisateurs d’internet sur le territoire chinois, restreint l’accès à un certain nombre d’applications, de services et de sites étrangers et permet le contrôle des discours qui y sont véhiculés, conformément aux dispositions énoncées dans le Livre blanc d’Internet[4]. Cette conception ravive les craintes d’une division de l’espace numérique marquée par une multiplication des frontières. L’internet chinois a notamment été présenté comme étant contrôlé par de grandes entreprises apparaissant comme des relais du pouvoir central. Toutefois, comme nous l’avons vu avec Didi, le pouvoir chinois a récemment porté des limitations au développement de certaines de ces entreprises.
La vision chinoise de la cybersécurité diffère significativement de la vision occidentale : « the Western idea of cybersecurity places a greater emphasis on technical threats, whereas the Chinese notion of cybersecurity prioritizes ideological threats ». L’organisation de l’internet chinois est dominée par une vision souveraine du cyberespace. Ainsi, l’approche de la Chine en matière de réglementation des flux de données est incarnée par le concept de cyber-souveraineté. De la même façon que la Chine récuse toute forme d’interventionnisme dans les affaires internationales, elle dispose de son propre écosystème au sein duquel elle impose ses propres règles. Il importe également à la Chine de préserver son indépendance technologique pour répondre aux exigences de la conception chinoise de la souveraineté.
Les pilliers de l'internet chinois
La souveraineté
Le livre blanc d’Internet publié en juin 2010, est l’une des premières sources élaborant la conception du numérique de la Chine, marquée par le respect d’une culture de la souveraineté.
Le confucianisme
Il est fondé sur une conception holistique dans laquelle le groupe prévaut sur l’individu. Il s’applique au numérique et à son organisation.
Le Great Firewall
Il permet de contrôler l’informations au sein des frontières chinoises. il est un instrument au service de la conception chinoise de la souveraineté.
La Cyberspace Administration of China
Organe de régulation chinois créé en 2014. Cette entité joue notamment un rôle dans le contrôle de l’information, des réseaux et des modes de diffusion de l’information en Chine.
La place de la Chine dans la réglementation des données
Afin de maintenir cette indépendance ainsi que son rayonnement technologique, Pékin et de nombreuses entreprises chinoises se sont emparées de la question des données personnelles. La Chine, consciente de la présence de centaines de millions d’internautes sur son territoire souhaite capitaliser sur ce réservoir de données et l’encadrer[5].
Sur le territoire national
Sur le plan interne, le contrôle de l’information apparaît comme un élément clé et transversal de la politique conduite par le gouvernement chinois qui s’inscrit dans la mise en œuvre d’une approche politique plus intégrée. En effet, « the issue of Internet governance is also the result of transforming China into a “world-class” information society[6] ». Ainsi, la Chine élabore depuis plusieurs années un régime de protection des données reposant principalement sur trois lois : la China are the Cybersecurity Law (CSL), la Data Security Law (DSL) et la Personal Information Protection Law (PIPL).
Hors du territoire
Dans le monde contemporain, le nombre d’interactions augmente si vite qu’il devient plus difficile pour les États d’imposer leur autorité. Sur le plan international, nous pouvons notamment citer la Global Data Security initiative qui s’inscrit dans une démarche multilatérale.
Des mesures ciblant les États-Unis ?
Selon plusieurs sources, cette initiative permettrait à Pékin d’adresser une réponse au programme Clean Network reposant sur huit propositions[8]. Néanmoins, pour Li Haidong, professeur à la China Foreign Affairs University :
« China’s initiative should not be interpreted as specifically targeting the US[9] ».
En effet, il s’agirait d’une réponse possible apportée par Pékin au manque d’encadrement et de gestion des flux de données à l’échelle globale correspondant aux discours dominants chez les représentants du gouvernement afin de participer à l’harmonisation des relations entre États.
La protection des individus et de la sécurité nationale
Cette vision du cyberespace propre à la Chine se traduit dans la nature des mesures prises par le gouvernement. Afin d’améliorer le contrôle du cyberespace sur son territoire, la Chine a notamment mis en place la Personal Info Protection Law (PIPL) adoptée le 20 août 2021. Elle est centrée sur la protection des individus et permet de lutter contre tout abus de l’utilisation de leurs données.
Ce texte s’applique à toutes les organisations traitant des données ayant un lien avec le territoire chinois même si cette organisation n’a pas de présence effective en Chine. La PIPL contraint notamment les entreprises à se soumettre à des examens visant à qualifier leur niveau de sécurité.
Par ailleurs, cette loi a également une application extraterritoriale. Selon un article de New America, « data security is an element of cybersecurity […] [and] provisions of the draft reflect the government’s willingness to extend elements of its data governance regime beyond Chinese territory[10]».
Cyberspace Administration of China :
La PIPL a été adoptée par la Cyberspace Administration of China (CAC). La CAC est un puissant organe de régulation chinois créé en 2014, équivalent de l’ANSSI française, directement dirigé par le président Xi Jinping. Cette entité joue notamment un rôle dans le contrôle de l’information, des réseaux et des modes de diffusion de l’information en Chine. Par ailleurs, cette administration participe entre autres à l’encadrement de la souveraineté numérique en Chine et participe notamment à la régulation des acteurs privés comme Didi Chuxing[11], entreprise qui a été accusée en 2021 de « illegaly collecting user’s personal data[12]». En conséquence, la CAC avait infligé des sanctions à l’application devenue inaccessible sur les plateformes ne permettant pas à de nouveaux utilisateurs de la télécharger l’application. Par ailleurs, nous n’avons pas identifié de structure similaire à la CNIL.
Cette loi revêt notamment une dimension géopolitique. En effet, la PIPL « gives to China to forbid all data transfers to a certain jurisdiction as retaliation against prohibitive or restrictive measures against China[13] ».
Au total, cette loi contribue donc à compliquer l’accès des entreprises étrangères au marché chinois. Elle a un impact concret sur la conduite des affaires des entreprises en Chine en imposant de lourds processus de mise en conformité.
Les exigences concernant les entreprises technologiques multinationales
La responsabilité des entreprises
Les entreprises doivent agir en tant que responsables du traitement des données
Multi-Level Protection Scheme (2019)
Les entreprises technologiques mondiales doivent se conformer au Multi-Level Protection Scheme – MLPS.
Localisation des données et transferts transfrontaliers
Une évaluation de la sécurité par la CAC une certification par une institution qualifiée ou un contrat type peuvent être exigés.
Par ailleurs, les entreprises étrangères ne respectant pas la PIPL sont susceptibles d’être placées sur une liste noire leur interdisant de traiter des données personnelles d’individus chinois[14], liste pouvant potentiellement être utilisée pour exercer des représailles notamment contre les États-Unis[15]. Ces mesures ont conduit de nombreuses entreprises à mettre fin à leurs activités sur le territoire chinois dont Yahoo et LinkedIn[16].
Nous pouvons également souligner que toute notre activité économique fonctionne sur le cyberespace et entraîne une dépendance absolue au numérique. Les données sont devenues un élément clé du développement de nos sociétés qui charrient des enjeux technologiques et géopolitiques.
La circulation de flots de données substantiels questionne l’indépendance stratégique des États avec la problématique de la souveraineté numérique.
Ainsi, la question des données en Chine est étroitement liée à la question de la sécurité nationale. On parle d’encadrement des données avec des caractéristiques chinoises. Deux lois en particulier ont des implications pour la sécurité nationale : la Cyber Security Law ainsi que la Data Security Law (voir tableau dans la partie La place de la Chine dans la réglementation des données).
Un contrôle accru sur les données et la vie privée des citoyens chinois ?
Pour certains auteurs, l’implémentation de ces nouvelles lois, particulièrement la CLS, permettrait au gouvernement chinois d’exercer un plus grand contrôle sur la vie privée des Chinois. En effet, ces lois permettraient au gouvernement d’accéder plus facilement à des informations personnelles de façon à affermir la surveillance de masse. De plus, la plupart des entreprises chinoises évoluant dans le secteur de la technologie partageraient des données avec le gouvernement[16].
Parallèlement, la question du droit à la vie privée en Chine fait l’objet d’une prise de conscience croissante. Selon Privacy International, « data protection is also emerging as a distinct human or fundamental right[17] ». En dépit de la possibilité accordée par la PIPL aux citoyens chinois d’avoir accès à leurs données, certains observateurs critiquent les violations du droit à la vie privée perpétrées en Chine. Toutefois, nous pouvons notamment souligner que le code civil chinois de 2021 protège le droit des individus à la vie privée[18] et s’inscrit ainsi comme une étape supplémentaire dans la constitution d’un système de protection des données. Par ailleurs, selon Samm Sacks, chercheuse au Paulson Institute, « when we talk about data privacy in the Chinese context, […] we are talking about user’s ability to have more control over the way their private companies are handling their personal information which is really different from what the government is doing with your information[19]». En effet, la plupart de ces lois se concentrent avant tout sur les données manipulées par des entreprises ce qui ne permet pas aux citoyens chinois de s’exprimer sur la façon dont leurs données sont utilisées par le gouvernement. Ainsi, selon J. Lee, « Cybersecurity Law reflects China’s human rights philosophy[20] ».
Conclusion
La Chine a élaboré un ensemble de lois visant à encadrer la circulation des données émanant du territoire chinois. L’implémentation de nombreuses régulations doit cependant être remise dans le contexte culturel et politique chinois et doit être appréhendée à travers le prisme de la question de la souveraineté. Ce cadre concernant la protection des données s’accompagne d’une amélioration relative du respect de la vie privée des citoyens chinois puisque le gouvernement chinois continue d’exercer une répression sur ces derniers. La Chine fait donc avancer la réflexion autour de la question de la régulation des données en proposant des lois comme la PIPL, plus aboutie que le RGPD, notamment sur la question des transferts de données. Enfin, ces mesures permettent notamment de mieux contrôler les dérives de grands groupes technologiques en matière d’utilisation abusive des données, dérives également observées en Occident chez les GAFAM.
Références
- [1] LEE, J. Juillet 2022. IFRI. Cyberspace Governance in China Evolution, Features and Future Trends. https://www.ifri.org/sites/default/files/atoms/files/lee_cyberspace_governance_china_2022.pdf
- [2] GHOSH, P. Forbes. 04/02/2021. China Now Has Almost 1 Billion Internet Users. (forbes.com)
[3] TAILLAT, S. CATTARUZZA, DANET, D (dir). 2018. La cyberdéfense. Politique de l’espace numérique. Ed. Armand Collin, p.114
[4] Le livre blanc d’Internet -White paper on the internet in China- publié en juin 2010, est l’une des premières sources élaborant la conception du numérique de la Chine, marquée par le respect d’une culture de la souveraineté.
- [5] SÉNAT. Rapport de commission d’enquête. Le devoir de souveraineté numérique. (senat.fr)
- [6] MENEGAZZI, S. 24/03/2021. The Chine Perspective on Cyber Cooperation/Challenges in Eu-China Relations. College of Europe, EU-China Observer #4.19. (issuu.com)
- [7]SACKS, S. CHEN, Q. WEBSTER, G. New America. Five Important Takeaways From China’s Draft Data Security Law. (newamerica.org)
[8] EMBASSY OF THE PEOPLE’S REPUBLIC OF CHIA IN THE UNITED STATES OF AMERICA. 08/09/2020. Global Initiative on Data Security. (china-embassy.org)
[9] WANG, W. ZHANG, H. Global Times. 08/09/2020. China launches global data security initiative, respects data sovereignty. (globaltimes.cn)
- [10] SHI, M. New America. 14/12/2020. China’s Draft Privacy Law Both Builds On and Complicates Its Data Governance. (newamerica.org)
[11] Didi Chuxing est une entreprise proposant des services de location de véhicule avec chauffeur accessible sur une application.
[12] MUNROE, T. 08/07/2021. China’s powerful internet regulator flexes muscles with Didi probe. (reuters.com)
[13] VOSS, G. PERNOT-LEPLAY, E. Northwestern Journal of International Law & Business, Vol. 44, forthcoming in 2023-2024. China Data Flows and Power in the Era of Chinese Big Tech. https://papers.ssrn.com/sol3/papers.cfm?abstract_id=4393008
[14] BURGESS, M. 05/11/2021. Ignore China’s New Data Privacy Law at Your Peril. https://www.wired.com/story/china-personal-data-law-pipl/
[15] ZHU, H. China Trade Monitor. 23/01/2023. Cyber Expert Comments on China’s Data Governance. https://www.chinatrademonitor.com/cyber-expert-comments-on-china-data-governance/
[16] KIPFER, A. 11/11/2021. China’s New Personal Information Protection Law Forced Out Yahoo and Linkedin: Will YOU Be Next – Harris Bricken Sliwoski LLP. https://harrisbricken.com/chinalawblog/chinas-new-personal-information-protection-law-forced-out-yahoo-and-linkedin-will-you-be-next/
- [16] MACKINNON, R. Chinese tech giants can change: But the state is still their number one stakeholder. https://rankingdigitalrights.org/index2020/spotlights/china-tech-giants
- MARENTO, L. CSIS. 25/06/2020. Who Benefits from China’s Cybersecurity Laws? https://www.csis.org/blogs/new-perspectives-asia/who-benefits-chinas-cybersecurity-laws
- [17] PRIVACY INTERNATIONAL. Mars 2013. The Right to Privacy in China. Stakeholder Report Universal Periodic Review 17th Session – China.
- [18] SIAPARTNERS. 08/06/2021. China enters a new era of data protection and privacy. https://www.sia-partners.com/en/insights/publications/china-enters-a-new-era-data-protection-and-privacy
- [19] CHINA CHANNEL. 59: China’s cybersecurity law: GDPR for the Middle Kingdom with Samm Sacks. https://www.youtube.com/watch?v=3Kb57fdZoYM
- [20] LEE, J. Hacking into China’s Cybersecurity Law Wake Forest Law Review, Vol. 53, No. 1, 2018.
- ASHURST. 18/10/2021. China’s new data privacy law – what does it mean for you? https://www.ashurst.com/en/news-and-insights/legal-updates/chinas-new-data-privacy-law-what-does-it-mean-for-you/
- CHINA CHANNEL. 25/09/2018. Youtube. 59: China’s cybersecurity law: GDPR for the Middle Kingdom with Samm Sacks.
- HIGBEE, A. ERENHOUSE, R. DOYLE, S. NEZUROGO, M. 28/03/2022. World Forum. Why global harmonisation of cybersecurity would be music to everyone’s ears. https://www.weforum.org/agenda/2022/03/why-global-harmonisation-of-cybersecurity-regulations-would-be-like-music-to-our-ears/
- BURGESS, M. 05/11/2021. Ignore China’s New Data Privacy Law at Your Peril. https://www.wired.com/story/china-personal-data-law-pipl/
- CREEMERS, R. TRIOLO, P. WEBSTER, G. 29/06/2018. Translation: Cybersecurity Law of the People’s Republic of China (Effective June 1, 2017) https://www.newamerica.org/cybersecurity-initiative/digichina/blog/translation-cybersecurity-law-peoples-republic-china/
- DIGICHINA. Stanford University. Translation: Personal Information Protection Law of the People’s Republic of China – Effective Nov. 1, 2021. https://digichina.stanford.edu/work/translation-personal-information-protection-law-of-the-peoples-republic-of-china-effective-nov-1-2021/
- FOREIGN POLICY. 06/10/2020. FP Virtual Dialogue: The New Geopolitics of Data. https://foreignpolicy.com/events/data-geopolitics/
- HARVARD UNIVERSITY. Research Data Management. Personal Information Protection Law of the People’s Republic of China. https://researchdatamanagement.harvard.edu/news/personal-information-protection-law-people’s-republic-china
- KENNEDY, G. PRINSLEY, M. YAROS, O. International Developments in Cybersecurity and Data Privacy https://www.mayerbrown.com/en/perspectives-events/publications/2019/05/international-developments-in-cybersecurity-and-data-privacy
- KHERA, V. Data Protection and Cybersecurity Laws in The Asia-Pacific Region. https://itsec.group/blog-post-cybersecurity-regulations-asia-pacific.html
- KIPFER, A. 11/11/2021. China’s New Personal Information Protection Law Forced Out Yahoo and Linkedin: Will YOU Be Next – Harris Bricken Sliwoski LLP. https://harrisbricken.com/chinalawblog/chinas-new-personal-information-protection-law-forced-out-yahoo-and-linkedin-will-you-be-next/
- LEE, J. Hacking into China’s Cybersecurity Law Wake Forest Law Review, Vol. 53, No. 1, 2018.
- LEE, J. Juillet 2022. IFRI. Cyberspace Governance in China Evolution, Features and Future Trends. https://www.ifri.org/sites/default/files/atoms/files/lee_cyberspace_governance_china_2022.pdf
- MORGAN LEWIS. China’s privacy regime: what tech companies need to know. https://www.morganlewis.com/events/2022/08/chinas-privacy-regime-what-tech-companies-need-to-know
- SIAPARTNERS. 08/06/2021. China enters a new era of data protection and privacy. https://www.sia-partners.com/en/insights/publications/china-enters-a-new-era-data-protection-and-privacy
- PERNO-LEPLAY, E. Penn State Journal of Law & International Affairs, Vol.8, Issue 1. Mai 2020. China’s approach on Data Privacy Law: A Third Way Between the U.S. and the E.U.
- STAFF, M.27/01/2022. Navigating PIPL : European businesses plot their next steps in China. https://www.computerweekly.com/feature/Navigating-PIPL-European-businesses-plot-their-next-steps-into-China
- U.S. – CHINA ECONOMIC AND SECURITY REVIEW COMMISSION. 26/07/2022. China’s Evolving Data Governance Regime. https://www.uscc.gov/sites/default/files/2022-07/Chinas_Evolving_Data_Governance_Regime.pdf
- VOSS, G. PERNOT-LEPLAY, E. Northwestern Journal of International Law & Business, Vol. 44, forthcoming in 2023-2024. China Data Flows and Power in the Era of Chinese Big Tech. https://papers.ssrn.com/sol3/papers.cfm?abstract_id=4393008
- ZHANG, T. 18/05/2022. GDPR Versus PIPL – Key Differences and Implications for Compliance in China. https://www.china-briefing.com/news/pipl-vs-gdpr-key-differences-and-implications-for-compliance-in-china/
