Les entreprises européennes rencontrent le droit chinois des données de deux façons : elles lisent quelque chose d'alarmant et se figent, ou elles supposent que n'avoir aucune entité en Chine les met hors champ. Les deux sont fausses, et la seconde coûte cher.
Elle porte au-delà de la Chine
La loi s'applique aux traitements réalisés hors de Chine lorsque la finalité est d'offrir des produits ou services à des personnes situées en Chine, ou d'analyser leur comportement. Une entreprise française qui anime un compte WeChat collectant des contacts, ou un site qui prend des commandes de clients chinois, est dans le champ. Dans ce cas, la loi impose aussi de désigner une entité ou un représentant en Chine et d'en déposer les coordonnées auprès de l'autorité.
Le consentement n'est pas le consentement européen
Lorsque vous vous appuyez sur le consentement, il doit être explicite et granulaire, sans case pré-cochée. Deux situations exigent un consentement distinct et spécifique, séparé du consentement général : les données sensibles, et tout transfert de données hors de Chine. Une acceptation globale unique ne couvre ni l'un ni l'autre. C'est la lacune la plus fréquente dans le dispositif chinois d'une entreprise européenne, parce qu'on a réemployé le modèle européen.
Faire sortir les données de Chine
Trois mécanismes existent : une évaluation de sécurité par le régulateur, un contrat-type déposé, ou une certification par un organisme accrédité. Celui qui s'impose dépend du volume, de la présence de données sensibles, et du classement éventuel des données comme importantes. Les seuils se comptent en nombre de personnes concernées et sont révisés : faites confirmer ceux en vigueur plutôt que de vous fier à un chiffre lu dans un article.
Ce qui aide vraiment, c'est de savoir que des exemptions existent. Les transferts nécessaires à l'exécution d'un contrat auquel la personne est partie — une réservation, une livraison, un paiement — et la gestion des ressources humaines menée selon des règles internes documentées sont traités différemment. Beaucoup d'entreprises européennes en Chine ne font rien de plus que ces deux choses et budgètent une évaluation complète dont elles n'ont pas besoin.
Aucune exemption ne couvre les données classées importantes. Si c'est le cas, la voie de l'évaluation est la seule.
La localisation des données n'est pas une obligation générale en Chine. Elle vise les opérateurs d'infrastructure d'information critique et les dépassements de seuils. Une entreprise européenne de taille moyenne avec un compte WeChat et un fichier clients n'est presque jamais dans ce cas — et s'entend couramment dire le contraire par des prestataires qui vendent de l'hébergement local.
Où le lire vous-même
Pages officielles, ouvertes et vérifiées le 15 octobre 2026. Quand une règle bouge, ce sont ces adresses qui bougent avec elle — pas cet article.