4. L’Amendement à la loi relative à la protection du consommateur (mars 2014)
Le 25 octobre 2013, l’organe législatif chinois (Standing Committee of the National People’s Congress) a amendé la Loi relative à la protection du consommateur. Cet amendement, entré en vigueur le 15 mars 2014, a étendu le domaine de protection du consommateur en y intégrant des dispositions relatives à la protection de ses données personnelles, et ce, afin de répondre au récent boum de la vente en ligne en Chine. Le texte vise à améliorer les droits du consommateur chinois notamment :
- En augmentant les sanctions en cas de violation des droits du consommateur ;
- En insérant une nouvelle règle relative aux dommages-intérêts ;
- En faisant peser la charge de la preuve sur le vendeur ou le fournisseur de services en cas de litige ;
- En interdisant tout(e) divulgation/transfert non autorisé(e) de données personnelles.
Afin de régler les problèmes croissants relatifs au détournement ou à la mauvaise utilisation des données personnelles des consommateurs en Chine, la loi ainsi amendée prévoit la conduite à suivre par les entreprises lors de la collecte des données personnelles et de l’usage de celles-ci. L’amendement met l’accent sur la confidentialité des données personnelles collectées par les entreprises et leurs employés. Il interdit également aux entreprises la divulgation, la vente et la fourniture illégale de ces données aux tiers et requiert la mise en place de mesures techniques de sauvegarde de ces données. En outre, les entreprises ne sont pas autorisées à envoyer des messages électroniques de nature commerciale aux consommateurs à moins que ces derniers n’aient donné leur consentement en ce sens ou en aient fait la demande.
Les principes et règles énoncé(e)s ainsi que la terminologie employée dans la Loi relative à la protection du consommateur sont très proches de ceux de la Décision, mais à la différence de la Décision, la Loi ne distingue pas entre les données personnelles électroniques et non électroniques.
En conclusion
A l’exception de quelques dispositions (comme celles prévoyant des sanctions spécifiques en cas de violation des données personnelles), les récents développements intervenus en matière de protection des données personnelles ne vont pas au-delà des principes énoncés dans la Décision de 2012. Ils continuent cependant d’ouvrir la voie à l’élaboration d’un cadre juridique plus précis. En outre, et bien que les points d’intérêt du régime légal de protection chinois sont similaires à ceux du régime européen de protection des données, le régime chinois a ses propres spécificités : pas d’approche systématique de la protection des données ni de loi nationale dédiée (Les tentatives d’élaboration de la Personal Information Protection Law commencées en 2008 n’ont pas abouti) ; pas de véritable équivalent à la directive européenne de protection des données. Cela conduit à des difficultés d’application du régime de protection. Le même sujet peut être résolu par différents textes, créant de potentiels conflits et des zones grises. De plus, certains sujets typiques en Europe comme la protection des données personnelles des salariés ne sont pas abordés en tant que tels par le régime actuel. Et la situation se complique un peu plus lorsque l’on regarde du côté de l’application de la loi : en effet, il n’y a pas encore à ce jour, en Chine, d’autorité régulatrice dédiée à la protection des données personnelles. Les domaines d’intervention et compétences sont, en effet, éclatés entre plusieurs autorités (ex : le MIIT traite davantage des questions techniques, alors que le SAIC (State Administration for Industry and Commerce) intervient lorsqu’est en jeu la protection du consommateur). Il en résulte un manque de cohérence et parfois même une certaine concurrence entre les différentes autorités quant à leurs domaines de compétence.
Les entreprises opérant ou souhaitant opérer en Chine doivent prendre en considération ces récents développements afin de minimiser les risques de non-conformité et d’éventuelles sanctions. Elles sont notamment invitées à :
- revoir leur politique de gestion des données personnelles ;
- le cas échéant, les adapter aux spécificités du droit chinois ;
- revoir les mesures mises en œuvre par leurs partenaires (ex : prestataires de services informatiques, etc.) et vérifier les clauses relatives aux données personnelles dans leurs différents contrats dès lors que ceux-ci ont un impact sur la collecte, le traitement ou le transfert de données personnelles ;
- en cas de silence des textes chinois sur certains sujets, appliquer les procédures de groupe (s’il y en a).
Nous avons posé, en substance, le cadre juridique de la protection des données personnelles en Chine. Mais, seules les dispositions prévues par les principaux textes ont été abordées dans la mesure où ces textes ont un champ d’application plus large et sont susceptibles de concerner la majeure partie des entreprises exerçant leurs activités en Chine. L’application d’autres dispositions légales et réglementaires chinoises est fonction du contexte et des besoins de l’entreprise concernée par le sujet. Ainsi, l’existence de recours efficaces, devant une juridiction chinoise, pour sanctionner des entreprises chinoises qui captent des données personnelles illégalement en Europe, est l’un des sujets qui pose encore question.
Arnaud TESSALONIKOS
Avocat Associé - Correspondant Informatique et Libertés
Département Propriété Intellectuelle, Technologies numériques et Data
Anne LAMBERT-FAVREAU
Avocat – Département Propriété Intellectuelle, Technologies numériques et Data
A propos des auteurs
Arnaud TESSALONIKOS, Avocat Associé, DS Avocats - Correspondant Informatique et Libertés - Département Propriété Intellectuelle, Technologies numériques et Data
Arnaud Tessalonikos conseille de grandes entreprises dans les secteurs bancaire et financier, de l’assurance et du secteur pharmaceutique.
En relation étroite avec la direction des achats, la direction juridique, la direction informatique et les directions métiers, il participe au pilotage juridique des projets informatiques.
Arnaud est régulièrement consulté par des personnes publiques, eu égard notamment à leurs projets de modernisation des services aux administrés.
Il est également le correspondant informatique et libertés (CIL) actuellement désigné de différentes entreprises et collectivités territoriales.
Anne LAMBERT-FAVREAU, Avocat, DS Avocats – Département Propriété Intellectuelle, Technologies numériques et Data
Anne Lambert-Favreau, titulaire d'un DEA de droit économique et des affaires (Université d’Orléans) et d'une Maitrise de droit privé (Université Panthéon-Assas Paris II / University of Ottawa, Canada) est spécialisée en droit de l’informatique, du numérique et des données personnelles et intervient tant en conseil qu’en contentieux. Elle intervient à partir du bureau de Shanghai.
