Search
Close this search box.

Vous êtes victime d’un incident de sécurité ? Contactez notre CERT

26/08/2024

Actualité

La protection des données en dehors de l’Union européenne : l’exemple chinois

Bientôt à l’origine d’un tiers des données à l’horizon 2025[1], la Chine a pour ambition de devenir un leader global en matière de gouvernance des données et de la régulation d’internet. Sur les plans national et international, la Chine se montre force de proposition en matière de gouvernance des données.

On désigne par données, l’ensemble des informations créées, traitées et conservées par des ordinateurs. La gouvernance des données désigne la façon dont les gouvernements interagissent entre eux et avec des entreprises pour décider des entités en mesure de collecter des données. La régulation des données doit également être appréhendée dans le cadre de la gestion d’internet. En ce qui concerne ce sujet, la Chine apparaît de plus en plus comme un modèle présentant une économie prospère combinée à l’un des systèmes de surveillance les plus sophistiqués au monde.

La présentation du contexte dans lequel évolue la Chine nous permettra de comprendre le positionnement de la Chine en matière de protection des données.

Une certaine vision du cyberespace

La place de la Chine dans le numérique est devenue substantielle avec plus d’1 milliard de personnes ayant accès à internet en Chine[2] , un chiffre qui a crû ces dernières années en raison des conditions créées par la crise sanitaire de la Covid-19.

Un utilisateur d’internet sur deux se trouve désormais en Asie et singulièrement en Chine

En conséquence, le chinois est devenu la langue dominante sur internet, devant l’anglais. Conscient de l’importance de cette position, le gouvernement s’est impliqué dans l’intégration du pays dans cette ère de l’information.

La conception du numérique de la Chine peut aussi être mise en perspective avec la possibilité évoquée par certains analystes d’une « balkanisation du cyberespace[3] » c’est à dire l’éclatement d’internet en des entités de navigation divisées, autonomes, cloisonnées et dépendantes de différents systèmes politiques. Rappelons que l’internet chinois possède ses propres caractéristiques qui suscitent la critique des Occidentaux. Le Great Firewall auquel sont soumis les utilisateurs d’internet sur le territoire chinois, restreint l’accès à un certain nombre d’applications, de services et de sites étrangers et permet le contrôle des discours qui y sont véhiculés, conformément aux dispositions énoncées dans le Livre blanc d’Internet[4]. Cette conception ravive les craintes d’une division de l’espace numérique marquée par une multiplication des frontières. L’internet chinois a notamment été présenté comme étant contrôlé par de grandes entreprises apparaissant comme des relais du pouvoir central. Toutefois, comme nous l’avons vu avec Didi, le pouvoir chinois a récemment porté des limitations au développement de certaines de ces entreprises.

La vision chinoise de la cybersécurité diffère significativement de la vision occidentale : « the Western idea of cybersecurity places a greater emphasis on technical threats, whereas the Chinese notion of cybersecurity prioritizes ideological threats ». L’organisation de l’internet chinois est dominée par une vision souveraine du cyberespace. Ainsi, l’approche de la Chine en matière de réglementation des flux de données est incarnée par le concept de cyber-souveraineté. De la même façon que la Chine récuse toute forme d’interventionnisme dans les affaires internationales, elle dispose de son propre écosystème au sein duquel elle impose ses propres règles. Il importe également à la Chine de préserver son indépendance technologique pour répondre aux exigences de la conception chinoise de la souveraineté.

Les pilliers de l'internet chinois

La souveraineté

Le livre blanc d’Internet publié en juin 2010, est l’une des premières sources élaborant la conception du numérique de la Chine, marquée par le respect d’une culture de la souveraineté.

Le confucianisme

Il est fondé sur une conception holistique dans laquelle le groupe prévaut sur l’individu. Il s’applique au numérique et à son organisation.

Le Great Firewall

Il permet de contrôler l’informations au sein des frontières chinoises. il est un instrument au service de la conception chinoise de la souveraineté.

La Cyberspace Administration of China

Organe de régulation chinois créé en 2014. Cette entité joue notamment un rôle dans le contrôle de l’information, des réseaux et des modes de diffusion de l’information en Chine.

La place de la Chine dans la réglementation des données

Afin de maintenir cette indépendance ainsi que son rayonnement technologique, Pékin et de nombreuses entreprises chinoises se sont emparées de la question des données personnelles. La Chine, consciente de la présence de centaines de millions d’internautes sur son territoire souhaite capitaliser sur ce réservoir de données et l’encadrer[5].

Sur le territoire national

Sur le plan interne, le contrôle de l’information apparaît comme un élément clé et transversal de la politique conduite par le gouvernement chinois qui s’inscrit dans la mise en œuvre d’une approche politique plus intégrée. En effet, « the issue of Internet governance is also the result of transforming China into a “world-class” information society[6] ». Ainsi, la Chine élabore depuis plusieurs années un régime de protection des données reposant principalement sur trois lois : la China are the Cybersecurity Law (CSL), la Data Security Law (DSL) et la Personal Information Protection Law (PIPL).

CSL (2017) Cadre de la politique chinoise en matière de données
PIPL (2021) Protection des données des individus
DSL (2021) Protection de la Sécurité nationale
S'applique à toutes les entreprises.
Selon l’article 4 de cette loi, les informations personnelles désignent « all kinds of information, recorded by electronic or other means, related to identified or identifiable natural persons, not including information after anonymization handling ».
Permet d'encadrer "data relationship with foreign governments and foreign companies [7]"
Limite le transfert de données à l'étranger notamment pour les infrastructures d'informations critiques (critical information infrastructure - CII).
Accorde au citoyens chinois droit d'interdire ou de restreindre le traitement de leurs données personnelles par les entreprises.
Une réponse directe au CLOUD Act américain ?
Met en place une évaluation des données avant que ces dernières soient envoyées à l'étranger.
Application extraterritoriale : s'applique aux activités de traitement des données menées en dehors de la Chine et impliquant des informations personnelles de personnes situées en Chine.
Priorise la sécurité nationale et les objectifs de développement.

Hors du territoire

Dans le monde contemporain, le nombre d’interactions augmente si vite qu’il devient plus difficile pour les États d’imposer leur autorité. Sur le plan international, nous pouvons notamment citer la Global Data Security initiative qui s’inscrit dans une démarche multilatérale.

Des mesures ciblant les États-Unis ?

Selon plusieurs sources, cette initiative permettrait à Pékin d’adresser une réponse au programme Clean Network reposant sur huit propositions[8]. Néanmoins, pour Li Haidong, professeur à la China Foreign Affairs University :

« China’s initiative should not be interpreted as specifically targeting the US[9] ».

En effet, il s’agirait d’une réponse possible apportée par Pékin au manque d’encadrement et de gestion des flux de données à l’échelle globale correspondant aux discours dominants chez les représentants du gouvernement afin de participer à l’harmonisation des relations entre États.

La protection des individus et de la sécurité nationale

Cette vision du cyberespace propre à la Chine se traduit dans la nature des mesures prises par le gouvernement. Afin d’améliorer le contrôle du cyberespace sur son territoire, la Chine a notamment mis en place la Personal Info Protection Law (PIPL) adoptée le 20 août 2021. Elle est centrée sur la protection des individus et permet de lutter contre tout abus de l’utilisation de leurs données.

Ce texte s’applique à toutes les organisations traitant des données ayant un lien avec le territoire chinois même si cette organisation n’a pas de présence effective en Chine. La PIPL contraint notamment les entreprises à se soumettre à des examens visant à qualifier leur niveau de sécurité.

Par ailleurs, cette loi a également une application extraterritoriale. Selon un article de New America, « data security is an element of cybersecurity […] [and] provisions of the draft reflect the government’s willingness to extend elements of its data governance regime beyond Chinese territory[10]».

 

Cyberspace Administration of China :

La PIPL a été adoptée par la Cyberspace Administration of China (CAC). La CAC est un puissant organe de régulation chinois créé en 2014, équivalent de l’ANSSI française, directement dirigé par le président Xi Jinping. Cette entité joue notamment un rôle dans le contrôle de l’information, des réseaux et des modes de diffusion de l’information en Chine. Par ailleurs, cette administration participe entre autres à l’encadrement de la souveraineté numérique en Chine et participe notamment à la régulation des acteurs privés comme Didi Chuxing[11], entreprise qui a été accusée en 2021 de « illegaly collecting user’s personal data[12]». En conséquence, la CAC avait infligé des sanctions à l’application devenue inaccessible sur les plateformes ne permettant pas à de nouveaux utilisateurs de la télécharger l’application. Par ailleurs, nous n’avons pas identifié de structure similaire à la CNIL.

 

Cette loi revêt notamment une dimension géopolitique. En effet, la PIPL « gives to China to forbid all data transfers to a certain jurisdiction as retaliation against prohibitive or restrictive measures against China[13] ».

Au total, cette loi contribue donc à compliquer l’accès des entreprises étrangères au marché chinois. Elle a un impact concret sur la conduite des affaires des entreprises en Chine en imposant de lourds processus de mise en conformité.

Les exigences concernant les entreprises technologiques multinationales

La responsabilité des entreprises

Les entreprises doivent agir en tant que responsables du traitement des données

Multi-Level Protection Scheme (2019)

Les entreprises technologiques mondiales doivent se conformer au Multi-Level Protection Scheme – MLPS.

Localisation des données et transferts transfrontaliers

Une évaluation de la sécurité par la CAC une certification par une institution qualifiée ou un contrat type peuvent être exigés.

Par ailleurs, les entreprises étrangères ne respectant pas la PIPL sont susceptibles d’être placées sur une liste noire leur interdisant de traiter des données personnelles d’individus chinois[14], liste pouvant potentiellement être utilisée pour exercer des représailles notamment contre les États-Unis[15]. Ces mesures ont conduit de nombreuses entreprises à mettre fin à leurs activités sur le territoire chinois dont Yahoo et LinkedIn[16].

Nous pouvons également souligner que toute notre activité économique fonctionne sur le cyberespace et entraîne une dépendance absolue au numérique. Les données sont devenues un élément clé du développement de nos sociétés qui charrient des enjeux technologiques et géopolitiques.

La circulation de flots de données substantiels questionne l’indépendance stratégique des États avec la problématique de la souveraineté numérique.

Ainsi, la question des données en Chine est étroitement liée à la question de la sécurité nationale.  On parle d’encadrement des données avec des caractéristiques chinoises. Deux lois en particulier ont des implications pour la sécurité nationale : la Cyber Security Law ainsi que la Data Security Law (voir tableau dans la partie La place de la Chine dans la réglementation des données).

Un contrôle accru sur les données et la vie privée des citoyens chinois ?

Pour certains auteurs, l’implémentation de ces nouvelles lois, particulièrement la CLS, permettrait au gouvernement chinois d’exercer un plus grand contrôle sur la vie privée des Chinois. En effet, ces lois permettraient au gouvernement d’accéder plus facilement à des informations personnelles de façon à affermir la surveillance de masse. De plus, la plupart des entreprises chinoises évoluant dans le secteur de la technologie partageraient des données avec le gouvernement[16].

Parallèlement, la question du droit à la vie privée en Chine fait l’objet d’une prise de conscience croissante. Selon Privacy International, « data protection is also emerging as a distinct human or fundamental right[17] ». En dépit de la possibilité accordée par la PIPL aux citoyens chinois d’avoir accès à leurs données, certains observateurs critiquent les violations du droit à la vie privée perpétrées en Chine. Toutefois, nous pouvons notamment souligner que le code civil chinois de 2021 protège le droit des individus à la vie privée[18] et s’inscrit ainsi comme une étape supplémentaire dans la constitution d’un système de protection des données. Par ailleurs, selon Samm Sacks, chercheuse au Paulson Institute, « when we talk about data privacy in the Chinese context, […] we are talking about user’s ability to have more control over the way their private companies are handling their personal information which is really different from what the government is doing with your information[19]». En effet, la plupart de ces lois se concentrent avant tout sur les données manipulées par des entreprises ce qui ne permet pas aux citoyens chinois de s’exprimer sur la façon dont leurs données sont utilisées par le gouvernement. Ainsi, selon J. Lee, « Cybersecurity Law reflects China’s human rights philosophy[20] ».

Conclusion

La Chine a élaboré un ensemble de lois visant à encadrer la circulation des données émanant du territoire chinois. L’implémentation de nombreuses régulations doit cependant être remise dans le contexte culturel et politique chinois et doit être appréhendée à travers le prisme de la question de la souveraineté. Ce cadre concernant la protection des données s’accompagne d’une amélioration relative du respect de la vie privée des citoyens chinois puisque le gouvernement chinois continue d’exercer une répression sur ces derniers. La Chine fait donc avancer la réflexion autour de la question de la régulation des données en proposant des lois comme la PIPL, plus aboutie que le RGPD, notamment sur la question des transferts de données. Enfin, ces mesures permettent notamment de mieux contrôler les dérives de grands groupes technologiques en matière d’utilisation abusive des données, dérives également observées en Occident chez les GAFAM.

Références

L'équipe SOC CERT CTI

Jour 2 | Quel est l’artefact forensique qui permet de prouver une exécution d’un programme sous Windows ?

  • Réponse 1 : JumpList

  • Réponse 2 : ShimCache

  • Réponse 3 : $MFT

  • Réponse 4 : Prefetch

Jour 1 | Quel texte européen permettra qu’à partir de fin 2027, tous les produits vendus dans l’UE et comprenant des composants numériques seront exempts de vulnérabilités et maintenus pendant tout leur cycle de vie ? #DigitalTrust

  • Réponse 1 : Le Cyber Security Act
  • Réponse 2 : Le Cyber Resilience Act
  • Réponse 3 : La Directive REC
  • Réponse 4 : La Directive NIS2