Il s'agit peut-être de l'une des législations de protection des informations personnelles les plus strictes au monde.
La première loi chinoise sur la protection des informations personnelles (« PIPL ») a été promulguée le 21 août 2021 et est entrée en vigueur le 1er novembre 2021.
La loi compte 74 articles au total. Les 15 points clés de la loi qui méritent le plus d'être notés sont les suivants.
1.La PIPA chinoise s'applique-t-elle aux entreprises étrangères ?
Tant que vous traitez les informations personnelles des personnes physiques en Chine, vous devez vous conformer à la PIPA. (Article 3)
La loi s'applique également aux activités en dehors de la Chine qui traitent les informations personnelles des personnes physiques qui se trouvent en Chine dans l'une des circonstances suivantes
(1) les activités consistent à fournir des produits ou des services à des personnes physiques en Chine.
(2) les activités consistent à analyser et évaluer le comportement des personnes physiques en Chine.
(3) d'autres circonstances spécifiées par d'autres lois et règlements administratifs chinois.
2.Les informations personnelles en Chine peuvent-elles être transférées hors de Chine ?
Oui, à condition que les deux conditions suivantes soient remplies.
Premièrement, le transfert a été approuvé par les autorités réglementaires chinoises. (article 38)
Deuxièmement, le responsable du traitement des renseignements personnels a obtenu le consentement distinct de cette personne à cette fin. (Article 39)
3.Les informations personnelles collectées et générées en Chine peuvent-elles être stockées en dehors de la Chine ?
En principe, non. (article 40)
Premièrement, les opérateurs d'infrastructures d'information critiques ne peuvent stocker des informations personnelles qu'en Chine.
Deuxièmement, si un processeur d'informations personnelles traite des informations personnelles jusqu'à concurrence du montant spécifié par les autorités réglementaires, il ne peut stocker des informations personnelles qu'en Chine.
4.Les entités étrangères seront-elles punies pour avoir enfreint la PIPA chinoise ?
Oui.
Les autorités réglementaires chinoises peuvent les inclure dans la liste des informations personnelles restreintes ou interdites, et restreindre ou interdire à d'autres sujets de leur fournir des informations personnelles. (article 42)
5.Les organes judiciaires étrangers et les forces de l'ordre peuvent-ils demander l'accès aux informations personnelles stockées en Chine ?
Les organes judiciaires étrangers ne peuvent obtenir ces informations personnelles que par le biais de l'assistance judiciaire. (Article 41)
Le responsable du traitement des informations personnelles ne doit pas fournir ces informations personnelles à des organismes judiciaires ou chargés de l'application de la loi étrangers sans l'approbation des autorités chinoises compétentes.
6.Comment la Chine résout-elle les conflits avec les règles étrangères de protection des informations personnelles ?
Si un pays ou une région prend des interdictions, des restrictions ou d'autres mesures similaires discriminatoires à l'encontre de la Chine en matière de protection des informations personnelles, la Chine peut prendre des mesures réciproques contre ce pays ou cette région en fonction de la situation réelle. (Article 43)
7.Quel type d'informations la PIPA chinoise réglemente-t-elle ?
Informations personnelles. Si les informations peuvent être identifiées comme se rapportant à une personne physique spécifique, il s'agit alors d'informations personnelles. (Article 4)
8.Quels types d'activités la PIPA chinoise réglemente-t-elle ?
Le traitement des informations personnelles comprend la collecte, la restauration, l'utilisation, le traitement, la transmission, la fourniture, la divulgation et la suppression des informations personnelles. (Article 4)
9.Dans quelles circonstances les informations personnelles peuvent-elles être traitées ?
Le sous-traitant des informations personnelles peut traiter des informations personnelles dans deux cas : lorsque le consentement de la personne concernée a été obtenu ; ou lorsque le consentement de la personne n'est pas requis pour le traitement des informations.
Les cas où le consentement individuel n'est pas requis comprennent :
(1) Le sous-traitant d'informations personnelles conclut un contrat avec une personne physique et la collecte d'informations personnelles est nécessaire à l'exécution d'un contrat ;
(2) Une entreprise collecte les informations nécessaires sur les employés pour la gestion des ressources humaines.
(3) Les renseignements personnels sont recueillis afin de répondre à une urgence sanitaire.
(4) Les informations personnelles sont collectées à des fins de couverture médiatique dans l'intérêt public.
(5) Les informations personnelles qui ont été rendues publiques (limitées à un objectif spécifique).
10.Comment un responsable du traitement des informations personnelles obtient-il le consentement d'un individu ?
Avant de traiter des informations personnelles, le processeur d'informations personnelles doit informer l'individu des informations suivantes fidèlement, précisément et complètement, de manière visible et dans un langage clair et compréhensible :
(1) L'identité du responsable du traitement des informations personnelles.
(2) Comment les informations personnelles seront traitées.
(3) Comment l'individu exercera ses droits en ce qui concerne les renseignements personnels.
11.Quels droits un individu a-t-il en ce qui concerne ses informations personnelles ?
Les individus ont le droit de connaître et de décider du traitement de leurs informations personnelles. (article 44)
Pour être précis,
(1) Les individus ont le droit d'inspecter et de copier leurs informations personnelles de la personne qui traite leurs informations personnelles ; (article 45)
(2) Les individus ont le droit de demander au processeur d'informations personnelles de corriger ou de compléter leurs informations personnelles s'ils trouvent les informations inexactes ou incomplètes ; (Article 46)
(3) Les individus ont le droit de retirer leur consentement à tout moment (article 15)
(4) Les individus ont le droit de demander au processeur d'informations personnelles d'expliquer et de clarifier les règles de traitement de leurs informations personnelles. (Article 48)
12.Comment les organes de l'État traitent-ils les informations personnelles ?
Les organes de l'État peuvent traiter des informations personnelles dans le but de s'acquitter de leurs obligations légales, mais ils doivent le faire conformément à l'autorité et aux procédures statutaires. (article 34)
Les organes de l'État informent les individus du traitement de leurs informations personnelles. Cependant, les organes de l'État ne peuvent pas informer les individus si la loi prévoit que ce traitement doit rester confidentiel. (Article 35, Article 18)
13.Les processeurs d'informations personnelles peuvent-ils collecter des informations personnelles dans des lieux publics ?
Oui, ils le peuvent, à condition que les conditions suivantes soient remplies (article 26) :
(1) la collecte est nécessaire pour la sécurité publique;
(2) la collecte est conforme aux dispositions légales applicables ;
(3) la collection met en place un rappel important.
14.Un processeur d'informations personnelles peut-il utiliser des informations personnelles pour prendre des décisions commerciales ?
Oui, mais ils doivent assurer la transparence de la décision et l'équité et l'impartialité des résultats. (Article 24)
Pour être précis:
(1) Les processeurs d'informations personnelles ne doivent pas offrir de conditions commerciales personnalisées aux individus, telles que la discrimination par les prix.
(2) Les individus peuvent refuser la diffusion d'informations personnalisées et le marketing commercial par les processeurs d'informations personnelles à leur égard.
(3) Les individus peuvent refuser les décisions automatisées prises par les processeurs d'informations personnelles à leur égard.
15.Qui est l'autorité de régulation pour la protection des informations personnelles en Chine ?
L'Administration du cyberespace de Chine et ses homologues des gouvernements locaux sont les autorités de réglementation dans ce domaine.