La loi chinoise sur les données personnelles s'applique-t-elle à votre site ?

La plupart des réponses en ligne disent soit « la PIPL s’applique à tout le monde », soit « seulement si vous êtes en Chine ». Le texte se situe entre les deux, et cet écart compte si vous vous apprêtez à ajouter des pages en chinois et un formulaire de contact.

Si vous connaissez le RGPD, vous avez une longueur d’avance, mais pas la réponse. Voici ce que dit la loi, ce qui reste flou et les questions à poser à un conseil local. Cet article fait partie de notre guide sur les bases légales d’un site web en Chine.

La PIPL s’applique-t-elle sans bureau ni serveur en Chine ?

Oui, c’est possible. Le critère n’est pas votre localisation. L’article 3 applique la PIPL aux traitements réalisés hors de Chine portant sur les informations de personnes en Chine dans ces cas :¹

• La finalité est de fournir des produits ou des services à des personnes en Chine.
• Le traitement analyse ou évalue le comportement de personnes en Chine.
• Les autres cas prévus par la loi ou les règlements administratifs.

L’hébergement ne figure pas dans cette liste. Chinafy affirme qu’un site hébergé hors de Chine est concerné s’il collecte des prospects auprès d’utilisateurs chinois.²⁰

Il existe aussi un exemple judiciaire, qui parlera aux lecteurs français. Dans une affaire publiée en 2024, le tribunal Internet de Guangzhou a condamné un groupe hôtelier français à propos des données de réservation d’un client.³⁶

Hunton décrit la défenderesse comme enregistrée en France, avec un site hébergé hors de Chine, et soumise à la PIPL parce qu’elle collectait des informations auprès de personnes en Chine.³

Que veut dire fournir des services à des personnes en Chine ?

Dans ce que nous avons pu trouver, aucune autorité n’a fixé la limite. Sidley écrivait en mai 2023, avant la publication de la décision de Guangzhou, que la portée réelle de cette compétence « remains untested », autrement dit qu’elle n’avait pas été éprouvée.¹¹

Mayer Brown relevait en 2021 une différence de texte avec le RGPD : la PIPL parle de « providing » (fournir) et non d’« offering » (offrir), ce qui pourrait toucher un site qui ne vise pas la Chine.⁸

Prighter, qui vend des services de représentant, indique que les autorités chinoises n’ont publié aucune ligne directrice, et emprunte donc ses signaux aux lignes directrices européennes sur le RGPD.¹⁰ Voici où en sont les avis publiés :

Votre site	Avis publié	Statut
Pas de version chinoise, une commande de Chine de temps en temps	Un site d’e-commerce mondial « may be caught » (pourrait être visé) parce qu’un client est en Chine, selon Mayer Brown 8	Ouvert : lecture de 2021, et nous n’avons trouvé aucun texte officiel sur ce cas
Langue chinoise, paiement en RMB ou livraison en Chine	Signaux d’une offre de services, selon Prighter 10	Emprunté aux lignes directrices européennes, pas un test chinois
Publicité comportementale ou suivi par cookies de personnes en Chine	Signal d’« analyse », selon Prighter 10	Morrison Foerster voit dans l’analyse comportementale un fondement distinct 7
Pages en chinois avec un simple formulaire de contact, sans vente en ligne	Non traité dans ce que nous avons lu	Ouvert : interrogez un conseil local

La dernière ligne correspond sans doute à bien des sociétés de services étrangères, et c’est la moins documentée.

Une page en chinois rédigée pour gagner des clients chinois paraît proche de la finalité décrite à l’article 3. C’est notre lecture, pas une décision de justice. Le choix prudent consiste à vous organiser comme si vous étiez concerné.

1. 1Vos pages cherchent-elles des clients situés en Chine ?
2. 2Collectez-vous leurs informations personnelles, ou suivez-vous leur comportement ?
3. 3La collecte sert-elle à les servir ?
4. 4Trois ouiOrganisez-vous comme si la PIPL s'appliquait.
5. 5Doute sur l'uneInterrogez un conseil local.

Une petite entreprise bénéficie-t-elle d’un régime allégé ?

Ne le supposez pas. La PIPL elle-même ne prévoit aucun seuil de taille, comme le notait Morrison Foerster en 2021.⁷ De nouvelles règles existent pour les petits responsables de traitement, mais elles ne sont peut-être pas écrites pour vous.

La Chine a publié des mesures simplifiées pour les responsables traitant les données de moins de 100 000 personnes, en vigueur depuis le 1er septembre 2026.⁹²²

L’article 2 les applique aux petits responsables « sur le territoire de la République populaire de Chine » (notre traduction).⁹

Rien dans le texte, dans les questions-réponses de la CAC (l’administration chinoise du cyberespace) ni dans les notes de CMS et de China Briefing ne dit qu’une entreprise étrangère sans présence en Chine peut y recourir.^9232425 Nous n’avons pas lu les deux formulaires annexés.

Ces règles comptent en revanche si vous avez une petite filiale chinoise. Les Dispositions prévoient ces simplifications :⁹

Sujet	Mesure simplifiée
Information (art. 4, 6)	Contenu minimal réduit. Publier les règles peut suffire si les données sont nécessaires et ne sont pas partagées
Consentement (art. 7)	Vous pouvez traiter ce que les personnes fournissent librement, en connaissance de cause, pour obtenir votre service, selon les règles publiées
Transferts (art. 10)	Ni évaluation, ni contrat type, ni certification dans les cas listés, comme un vrai besoin contractuel
Audits (art. 13)	Au moins tous les cinq ans, avec une autoévaluation annexée conservée cinq ans
Infractions mineures (art. 18)	Pas de sanction en cas de correction rapide et sans préjudice

Les données sensibles exigent toujours un consentement séparé, et les données des moins de 14 ans suivent leurs propres règles.⁹ L’article 10 maintient les obligations d’information et de consentement séparé pour les données envoyées à l’étranger.⁹

Que doit faire un site concerné ?

Il doit dire ce qu’il fait, disposer d’une base légale et respecter les droits des personnes. Voici les règles qui touchent un site marketing classique :

Obligation	Source	Sur votre site
Information avant la collecte	PIPL art. 17 1	Qui vous êtes, contact, finalité, méthode, types de données, durée de conservation, exercice des droits
Base légale	Art. 13 1	Consentement, ou nécessité pour un contrat avec la personne, entre autres
Consentement valable	Art. 14 à 16 1	Éclairé et explicite, facile à retirer, nouveau consentement si la finalité change, pas de refus de service pour des données inutiles
Stricte nécessité	Règlement, art. 22 2	Aucun champ de formulaire au-delà du service
Partage avec une autre société	Art. 23 1	Nommer le destinataire, obtenir un consentement séparé
Données sensibles	Art. 28 à 31 1	Consentement séparé, et consentement parental avant 14 ans
Demandes des personnes	Art. 45, 47, 50 1	Un moyen qui fonctionne pour accéder, copier et supprimer

Une différence surprend les habitués du RGPD. L’article 13 ne contient pas d’intérêt légitime,¹ alors que l’article 6 du RGPD le prévoit à son paragraphe 1, point f.³⁰ Un réflexe construit sur cette base ne se transpose donc pas.

Ce que cela change pour votre formulaire

Votre formulaire de contact est en général le principal point de collecte. Voici un montage prudent, à revoir avec votre conseil.

1. Réduisez les champs. Gardez ce qu’il faut pour répondre à la demande.
2. Placez l’information près du formulaire. Mettez un lien vers les règles avant le bouton d’envoi.
3. Séparez le marketing. Proposez la newsletter et les relances comme un choix facultatif, non coché.
4. Traitez les partenaires à part. Si un distributeur reçoit le prospect, nommez-le et demandez un consentement séparé.
5. Gardez une trace. La faute est présumée dans les actions en dommages-intérêts selon l’article 69, vous voudrez donc une preuve.¹
6. Prévoyez la suppression. Dites combien de temps vous conservez un prospect et comment demander sa suppression.

Répondre à une demande de devis peut relever de la base contractuelle de l’article 13. Le marketing n’en découle pas : le tribunal de Guangzhou a jugé qu’un marketing sans consentement n’est pas nécessaire à l’exécution d’un contrat.⁴

Les outils de formulaire et les CRM sont aussi à vérifier. Un prestataire qui travaille pour vous relève du traitement confié à un tiers, qui appelle un accord et un contrôle.¹

Notre guide sur les formulaires et reCAPTCHA en Chine couvre le volet technique.

Votre droit local continue-t-il de s’appliquer ?

Oui, à notre lecture. La PIPL s’ajoute à votre droit, elle ne le remplace pas, et rien de ce que nous avons lu ne vous en dispense pour un prospect en Chine.

Pour une société établie dans l’Union, l’article 3 du RGPD vise les traitements effectués dans le cadre des activités de cet établissement, que le traitement ait lieu ou non dans l’Union.²⁹ À notre lecture, un formulaire reçu de Chine n’en sort pas. Votre cadre dépend de votre pays :

Vous êtes	Votre cadre	Point à garder en tête
En France ou en Belgique	RGPD 29	Il vous suit, y compris pour un prospect en Chine, à notre lecture
En Suisse	LPD révisée, en vigueur depuis le 1er septembre 2023 31	Les entreprises du pays doivent s’y conformer, et seules les données des personnes physiques sont couvertes 31
Au Canada, hors Québec, Alberta et Colombie-Britannique	LPRPDE 32	Elle vise les activités commerciales des organisations du secteur privé 32
Au Québec, en Alberta ou en Colombie-Britannique	Loi provinciale, en règle générale 32	La LPRPDE revient si les renseignements sont partagés au-delà des frontières de la province ou du pays 32

Le Québec mérite une ligne de plus. McCarthy Tétrault indique que les renseignements collectés au Québec ne peuvent être communiqués à l’extérieur de la province qu’après une évaluation des facteurs relatifs à la vie privée, avec un accord écrit qui en tient compte.³³ Pensez-y si un distributeur chinois doit recevoir des contacts collectés au Québec. Que cette règle vise un prospect situé en Chine reste à vérifier.

Ces cadres n’ont pas été pensés ensemble. Un formulaire conforme à l’un ne l’est pas forcément à l’autre : posez la question à votre conseil habituel autant qu’à un conseil local en Chine.

Faut-il un bandeau cookies pour les visiteurs chinois ?

Nous n’avons trouvé aucune règle qui le dise expressément, et les sources divergent. FlexyConsent note lui-même que la PIPL ne mentionne pas spécifiquement les cookies.¹⁴

Source	Position
Morrison Foerster, août 2023	Bandeaux peu courants, et pas expressément exigés par la PIPL, « at least not yet » (du moins pas encore) 12
FlexyConsent, juin 2026 (vend des outils de consentement)	Les sites devraient afficher un consentement géociblé aux visiteurs en Chine 14
CookieChimp, non daté (vend des outils de consentement)	Opt-in obligatoire, cookies non essentiels désactivés par défaut 13

Les vendeurs ont un intérêt commercial et citent peu de choses, voire rien, au-delà de la loi. Reste que suivre des personnes en Chine peut toucher le volet « analyse du comportement » de l’article 3.¹

Vérification gratuite

Votre site est-il visible sur Baidu ?

Entrez votre site. Nous vérifions Baidu, l'accès depuis la Chine et la configuration de votre site, puis vous envoyons le rapport par email.

Votre siteVérifier mon site

Votre politique de confidentialité doit-elle être en chinois ?

La loi ne le dit pas, mais nous la rédigerions en chinois. L’article 17 exige un langage clair et compréhensible et ne nomme aucune langue.¹

Des vendeurs comme FlexyConsent recommandent des mentions en chinois simplifié.¹⁴

Quand une page en chinois renvoie à une politique uniquement en français ou en anglais, rien ne garantit que son lecteur ait été informé. La traduction vous oblige aussi à dire exactement ce que vous faites.

Le Règlement ajoute que les règles de traitement doivent être regroupées et faciles à trouver.²

Faut-il un représentant en Chine ?

Si le deuxième alinéa de l’article 3 vous concerne, le texte dit oui. L’article 53 impose à un responsable étranger de créer un bureau ou de nommer un représentant en Chine, et de déclarer leurs coordonnées.¹

Le Règlement de 2024 précise le destinataire : le bureau du cyberespace de la ville où se trouve le bureau ou le représentant.²

K&L Gates lit cette obligation comme indépendante du volume de données, et disait en janvier 2022 qu’il n’y avait « no clear guidance » (pas d’orientation claire) sur la manière d’en nommer un.¹⁵

Nous avons cherché et n’avons trouvé aucune procédure publiée depuis. Nous n’avons pas non plus pu vérifier ce qui se passe si vous n’en avez pas.

C’est la première question à poser à un conseil local.

Envoyer un prospect à votre siège est-il un transfert transfrontalier ?

Cela dépend de qui l’a collecté. Le cas le plus clair est celui d’une société en Chine qui fait sortir des données. Le plus flou est celui de votre site étranger qui collecte directement.

Flux	Lecture
Une filiale ou un agent chinois envoie des prospects à votre siège	Un transfert : conditions de l’art. 38, plus information et consentement séparé selon l’art. 39 1, même si les questions-réponses de la CAC écartent le consentement, pas l’information, quand une autre base de l’art. 13 s’applique 18
Un visiteur en Chine remplit un formulaire sur votre site étranger	Contesté : voir ci-dessous
Vous transmettez ce prospect à des partenaires à l’étranger pour le marketing	Le comportement en cause dans l’affaire de Guangzhou 4

Sur la collecte directe, Withers écrivait en 2023 que la question était controversée. Le cabinet penche pour l’absence de transfert sortant et rapporte la thèse inverse.¹⁶ CMS notait en 2022 cet avis de praticiens, ainsi qu’un projet sur la certification qui semblait impliquer le contraire.¹⁷

Un document plus récent de la CAC pointe dans l’autre sens. AllBright rapporte que la deuxième édition de son guide d’évaluation, en 2024, a ajouté les traitements de l’article 3(2) à sa liste des exportations de données.²⁷

Cela ne tranche pas votre cas. AllBright indique que le guide ne donne pas de réponse claire quand aucune autre partie chinoise n’intervient.²⁷ Deheng souligne qu’il n’existe alors aucun responsable situé en Chine pour effectuer une déclaration.²⁸ Nous avons lu ces commentaires, pas le guide ni sa troisième édition, plus récente.

Le résumé par Hunton des questions-réponses de la CAC du 24 juillet 2026 ne traite pas de la collecte directe, et nous n’avons pas lu ce document lui-même.¹⁸

Ce résumé couvre en revanche le consentement séparé : celui-ci doit être spécifique, ne peut pas être groupé, et peut passer par une fenêtre surgissante, un document signé, ou une réponse par e-mail ou SMS.¹⁸

Paul Weiss prête la même logique au tribunal : une case à cocher sur une politique générale ne compte pas.⁵

Si un partenaire chinois recueille vos prospects, voyez vendre sans être en Chine et travailler sans société chinoise.

Quel est le risque réel pour une entreprise étrangère ?

Le plafond est sévère, mais les cas que nous avons lus concernent des sociétés ayant un lien avec la Chine. Voici ce que prévoient les articles 66 et 42 :¹

Situation	Conséquence
Toute infraction	Injonction de mise en conformité, avertissement, confiscation des gains illicites, suspension d’une application en cause
Refus de se conformer	Jusqu’à 1 million de RMB, plus 10 000 à 100 000 RMB pour les personnes responsables
Cas grave	Jusqu’à 50 millions de RMB ou 5 % du chiffre d’affaires de l’année précédente, suspension d’activité possible, plus 100 000 à 1 million de RMB pour les personnes responsables
Entité étrangère portant atteinte aux droits de citoyens chinois	Inscription sur une liste qui restreint la fourniture de données à cette entité (art. 42)

Et voici ce qui a réellement été rapporté :

Affaire	Qui	Résultat
Tribunal Internet de Guangzhou, publiée en 2024	Groupe hôtelier français, avec une société liée de Shanghai comme codéfenderesse	Excuses écrites, suppression, 20 000 RMB 34
CAC de Shanghai, mai 2025	Société liée, établie à Shanghai, d’une marque de luxe	Sanctionnée, montant non donné par DLA Piper 19
CAC de Shanghai, affaires de 2025	Multinationale, classée par DLA Piper parmi les « domestic enterprises » (entreprises nationales) de l’hôtellerie et de l’immobilier	Sanctionnée d’une amende pour non-respect d’une décision d’évaluation de transfert, montant non donné 19
CAC de Shanghai, juin 2026	Ctrip, basé à Shanghai	10 millions de RMB et injonction de mise en conformité 19

Nous n’avons trouvé aucune sanction de la CAC contre une société étrangère sans présence en Chine. DLA Piper ajoute que les autres bureaux provinciaux ne publient pas leurs affaires comme le fait Shanghai.¹⁹ Cette absence dans nos lectures n’est pas une preuve de sécurité, ni un plan de conformité.

L’affaire de Guangzhou est née de l’action d’un seul client : le régulateur n’est donc pas la seule voie. L’article 70 permet aussi aux procureurs et à des organisations désignées d’agir quand de nombreuses personnes sont touchées.¹

Que demander à un conseil local

Apportez ces questions, avec la liste de ce que vos pages collectent :

1. Mes pages en chinois entrent-elles dans l’article 3, vu ce que je vends et comment je le vends ?
2. Ai-je besoin d’un représentant au titre de l’article 53, et qui peut remplir ce rôle ?
3. Mon formulaire est-il un transfert transfrontalier ou une collecte directe ?
4. Quelle base légale convient à une demande de contact, et qu’est-ce qui exige un consentement ?
5. À quoi doivent ressembler ma politique de confidentialité en chinois et ma gestion des cookies ?

Notre checklist d’un site prêt pour la Chine vous aide à rassembler les faits d’abord. Si vous vendez à des personnes en Chine, prévoyez ce travail avant le lancement plutôt qu’après.

Si vous ne retenez qu’une chose

Si vos pages cherchent des clients en Chine et collectent leurs données, organisez-vous comme si la PIPL s’appliquait, où que soit votre serveur.

Commencez par ce que vous maîtrisez : moins de champs, une information claire en chinois et un consentement marketing séparé.

Portez les questions du représentant et du transfert à un conseil local, car les textes publiés ne les règlent pas.

Comment Index in China peut vous aider

Nous traduisons les sites en chinois simplifié avec une relecture humaine et travaillons à leur indexation par les moteurs de recherche chinois.

Nous ne donnons pas de conseil juridique, et nous vous dirons quand votre cas relève d’un conseil local. Voir ce que nous faisons ou réserver un appel de 30 minutes.

Réserver 30 minutes

Rapport mensuel BaiduIndexé Bing ChinaIndexé SogouIndexé