La PIPL chinoise : ce qu’elle implique pour les cookies et le suivi des sites

Qu’est-ce que la PIPL ?

La Personal Information Protection Law a été adoptée par le Comité permanent de l’Assemblée populaire nationale le 20 août 2021 et est entrée en vigueur le 1er novembre 2021. C’est la première loi générale chinoise sur les informations personnelles, aux côtés de la Cybersecurity Law (loi sur la cybersécurité) et de la Data Security Law (loi sur la sécurité des données). La Cyberspace Administration of China (CAC) en coordonne l’application, tandis que d’autres administrations nationales et locales la supervisent dans leur propre domaine (article 60). Des textes d’application, comme les Network Data Security Management Regulations en vigueur depuis le 1er janvier 2025 et les règles de la CAC sur les données transfrontalières, en précisent les détails.

À qui s’applique la PIPL ?

L’article 3 applique la loi au traitement d’informations personnelles en Chine continentale, et au traitement hors de Chine des informations personnelles de personnes en Chine lorsqu’il vise à leur proposer des produits ou des services ou à analyser ou évaluer leur comportement. Une boutique en ligne étrangère qui vend à des clients en Chine, ou un site qui profile des visiteurs en Chine à des fins publicitaires, est dans le champ. L’article 53 impose à ces responsables étrangers d’établir un bureau dédié ou de désigner un représentant en Chine et de communiquer son nom et ses coordonnées aux autorités. Il n’y a pas de seuil de taille.

Les cookies exigent-ils un consentement en Chine ?

La PIPL définit l’information personnelle comme une information relative à une personne physique identifiée ou identifiable, enregistrée par voie électronique ou autrement. Un identifiant de cookie qui relie un historique de navigation à une personne ou à un appareil utilisé par cette personne entre dans cette définition. L’article 13 liste les bases légales du traitement : le consentement, la nécessité pour un contrat avec la personne, des obligations légales, les urgences de santé publique, le journalisme d’intérêt public, les informations déjà rendues publiques, et d’autres cas prévus par la loi. Il n’existe pas de base d’intérêt légitime : les cookies de mesure d’audience et de publicité qui ne sont pas nécessaires à un service demandé par la personne exigent donc en pratique un consentement.

La loi ajoute des règles spécifiques qui touchent au suivi :

• Partage avec un autre responsable. Avant de communiquer des informations personnelles à un autre responsable, comme un réseau publicitaire qui utilise les données pour ses propres fins, vous devez indiquer à la personne le nom et les coordonnées du destinataire, la finalité, la méthode et les types de données, et obtenir un consentement distinct (article 23). Un prestataire qui traite seulement des données pour votre compte en vertu d’un contrat est traité différemment (article 21).
• Marketing automatisé. Lorsque des informations sont poussées ou que du marketing est ciblé au moyen de décisions automatisées, le responsable doit aussi proposer une option qui ne repose pas sur les caractéristiques de la personne, ou un moyen pratique de refuser (article 24).
• Informations sensibles. Des données comme le suivi de localisation, les comptes financiers, la santé, la biométrie et les informations des enfants de moins de 14 ans exigent un consentement distinct et une finalité spécifique (article 29).
• Pas de consentement forcé. Un responsable ne peut pas refuser des produits ou des services parce qu’une personne refuse ou retire son consentement, sauf si le traitement est nécessaire pour les fournir (article 16).

À quoi doit ressembler le consentement ?

L’article 14 exige que le consentement soit donné volontairement et explicitement, par une personne pleinement informée. Lorsque la loi exige un consentement distinct, il doit être demandé à part, et non regroupé avec l’acceptation générale d’une politique de confidentialité. Si la finalité, la méthode ou le type de données change, le consentement doit être obtenu à nouveau. L’article 15 donne aux personnes le droit de retirer leur consentement et impose au responsable de fournir un moyen pratique de le faire. Avant le traitement, le responsable doit indiquer aux personnes, dans un langage clair et simple, qui il est, la finalité et la méthode du traitement, les types de données, la durée de conservation et la manière d’exercer leurs droits (article 17). Pour un site web, cela signifie une fenêtre de consentement avec des options que le visiteur sélectionne activement et un avis de confidentialité en chinois qui nomme les tiers.

Comment les transferts à l’étranger sont-ils encadrés ?

L’article 38 ne permet aux informations personnelles de quitter la Chine que par l’une de quatre voies : une évaluation de sécurité organisée par la CAC, une certification de protection des informations personnelles, un contrat type conclu avec le destinataire étranger et déposé selon les règles de la CAC, ou une autre condition fixée par la loi ou par la CAC. L’article 39 ajoute un consentement distinct, après avoir indiqué à la personne qui est le destinataire étranger et comment exercer ses droits auprès de lui. Les Provisions on Promoting and Regulating Cross-Border Data Flows de la CAC du 22 mars 2024 ont assoupli les seuils : les transferts nécessaires à un contrat avec la personne, comme les achats transfrontaliers, la livraison ou le paiement, sont exemptés des trois procédures, de même qu’un responsable qui n’est pas un opérateur d’infrastructure d’information critique et a envoyé à l’étranger les informations personnelles non sensibles de moins de 100 000 personnes depuis le 1er janvier de l’année. Une évaluation de sécurité est exigée à partir de 1 million de personnes, ou de 10 000 personnes pour les informations sensibles ; entre les deux, un contrat type ou une certification.

Qui fait appliquer la PIPL, et quelles sont les sanctions ?

L’article 66 prévoit deux niveaux. Pour une infraction ordinaire, l’administration ordonne une correction, émet un avertissement et confisque les gains illicites ; si le responsable refuse de corriger, elle peut infliger une amende jusqu’à 1 million de yuans, et de 10 000 à 100 000 yuans aux dirigeants responsables. Pour une infraction grave, une administration de niveau provincial ou supérieur peut infliger une amende jusqu’à 50 millions de yuans ou 5 % du chiffre d’affaires de l’année précédente, suspendre l’activité ou retirer des licences, et infliger aux dirigeants responsables une amende de 100 000 à 1 million de yuans et leur interdire des fonctions de direction pendant une certaine durée. La Cybersecurity Law modifiée, en vigueur depuis le 1er janvier 2026, renvoie les atteintes aux informations personnelles à ces sanctions de la PIPL.

Qu’a fait la CAC jusqu’ici ?

L’affaire la plus importante est celle de Didi Global. Le 21 juillet 2022, la CAC a infligé à la société de VTC une amende de 8,026 milliards de yuans au titre de la Cybersecurity Law, de la Data Security Law et de la PIPL, et une amende de 1 million de yuans chacun à son président du conseil et à son président. La CAC a relevé 16 infractions, dont la collecte excessive des données du presse-papiers des utilisateurs et des listes d’applications installées. La plupart des contrôles visant des sites et des applications prennent la forme d’avis publics, d’ordres de correction et de retraits des magasins d’applications, souvent pour une collecte d’informations personnelles sans consentement ou au-delà de ce dont le service a besoin.

Que doit faire un site qui s’adresse à la Chine ?

• Cartographier les cookies, balises et SDK de votre site et décider lesquels sont nécessaires ; le scanner de cookies donne une première liste.
• Demander un consentement explicite avant que les cookies de mesure d’audience et de publicité ne s’exécutent, avec un moyen effectif de refuser et de retirer son consentement plus tard.
• Demander un consentement distinct avant de partager des données avec des tiers qui les utilisent pour leurs propres fins et avant d’envoyer des informations personnelles à l’étranger, et vérifier quelle voie de transfert s’applique.
• Si vous êtes hors de Chine et dans le champ, désigner un représentant en Chine.

La Chine ne figure pas dans la liste par défaut des pays réglementés de Cookiequiet, mais le ciblage géographique est gratuit dans chaque offre et vous pouvez ajouter la Chine à une liste personnalisée : les visiteurs qui s’y trouvent voient alors le bandeau de consentement préalable avec « Tout refuser », et chaque choix est conservé dans le registre des consentements. Les 24 langues du bandeau n’incluent pas encore le chinois, et chaque texte est modifiable par langue. Comparez avec le Japon, la Corée du Sud et le RGPD.