La Nouvelle Zone de Lingang de la Zone Pilote de Libre-Échange de Shanghai (ZLE) a publié le premier lot de listes d'essai de données générales pour trois secteurs, facilitant les flux de données transfrontaliers pour les entreprises opérant dans la région. Cette annonce suit de près la publication de la Liste Négative de la ZLE de Tianjin, qui cherche également à faciliter les flux de données transfrontaliers pour les entreprises opérant dans la ZLE en spécifiant les types de données qui sont restreints d'être exportés sans certaines procédures d'approbation.
Le premier lot de listes de données générales a été fourni pour les domaines de véhicules intelligents connectés, biopharmaceutiques et fonds mutuels, trois secteurs ayant une présence significative dans la Nouvelle Zone de Lingang. Les listes de données générales sont basées sur des scénarios, ce qui signifie qu'elles décrivent diverses situations dans lesquelles l'exportation de données est requise et librement permise. Celles-ci incluent des scénarios tels que la production et la fabrication multinationales de véhicules intelligents connectés, les essais cliniques médicaux et la R&D, et le partage d'informations pour la recherche sur le marché des fonds.
Les entreprises qui sont tenues d'exporter des données hors de Chine pour l'un des objectifs des listes de données générales seront autorisées à le faire sans avoir à se soumettre à aucune des procédures de conformité supplémentaires normalement requises. Cependant, l'exportation d'informations personnelles restera soumise à certaines restrictions de volume.
Les listes de données générales seront mises en œuvre pour une période d'essai d'un an à compter de leur date de mise en œuvre, le 16 mai 2024.
En janvier 2024, la Nouvelle Zone de Lingang a annoncé un nouveau système de gestion et d'exportation des données dans la région, qui comprenait la publication de deux catalogues de données, un pour les données "importantes" et un pour les données "générales". Ce nouveau système aidera à faciliter le transfert de données transfrontalières (CBDT) pour les secteurs clés de la région en délimitant les types de données qui sont restreints ou soumis à des mesures de conformité supplémentaires pour être exportés (via les listes de données importantes) et les données qui peuvent être plus facilement exportées (via les listes de données générales).
En mars, la région a publié le Mesures pour la Classification et la Gestion Graduée du Flux Transfrontalier de Données dans la Zone Spéciale de la Zone Pilote de Libre-Échange de Chine (Shanghai) Lingang (Essai) (les "Mesures de Gestion du CBDT de Lingang"), qui ont décrit les règles et exigences pour ce nouveau système, y compris comment les entreprises peuvent utiliser les listes de données générales.
Ces développements font suite à de nombreux mois d'efforts du gouvernement central chinois ainsi que des autorités locales pour améliorer l'environnement des affaires pour les entreprises étrangères en particulier, dont une partie essentielle a été de résoudre les problèmes liés à l'exportation de données.
Applicabilité des listes de données générales
Les listes de données générales ne s'appliquent qu'aux entreprises et autres organisations enregistrées et engagées dans le CBDT dans la Nouvelle Zone de Lingang dans l'un des domaines spécifiés. Plus précisément, ceux-ci incluent :
- Entreprises, institutions publiques, associations et organisations impliquées dans la recherche, la production et la vente de produits pharmaceutiques, de dispositifs médicaux, de réactifs de diagnostic, de produits biologiques et de services connexes.
- Les sociétés de gestion de fonds d'investissement en valeurs mobilières levés publiquement.
- Entreprises, institutions publiques, associations et organisations engagées dans la fabrication automobile, la fourniture de pièces et de logiciels, la distribution, les services après-vente, la mobilité et les services connexes, menant des activités de flux de données transfrontaliers dans le secteur des véhicules intelligents et connectés.
Cependant, cela ne s'applique pas aux opérateurs d'infrastructures d'information critiques (CIIO) dans les domaines des biopharmaceutiques, des véhicules intelligents et connectés, ou des fonds mutuels.
Règles et exigences pour l'exportation de données via les listes de données générales
Les entreprises de la Nouvelle Zone de Lingang sont tenues de se conformer aux Mesures de Gestion du CBDT de Lingang, en particulier la section sur la gestion des listes de données générales.
Pour être autorisées à exporter les données incluses dans les listes de données générales, les entreprises doivent d'abord s'inscrire auprès du Comité de Gestion de la Nouvelle Zone de Lingang pour l'enregistrement et le dépôt des données dans la liste de données générales. Les données approuvées peuvent ensuite circuler librement à condition que les exigences de gestion pertinentes soient respectées.
Notez que si une entreprise souhaite exporter des informations personnelles hors de Chine, elle doit se conformer à la réglementations de la Loi sur la Protection des Informations Personnelles (PIPL) et les mesures de mise en œuvre pertinentes, notamment les Réglementations pour Promouvoir et Normaliser les Flux de Données Transfrontaliers. Cela signifie que pour exporter librement des informations personnelles, il doit avoir fourni les informations personnelles (à l'exclusion des informations personnelles sensibles) de moins de 100 000 personnes à l'étranger depuis le 1er janvier de l'année en cours.
Les entreprises qui dépassent ce seuil devront se soumettre à l'une des trois procédures de conformité pour l'exportation d'informations personnelles.
Les autres obligations spécifiques lors de la fourniture d'informations personnelles à l'étranger incluent la notification des individus des activités transfrontalières, l'obtention du consentement individuel et la réalisation d'évaluations d'impact sur la protection des informations personnelles.
Enfin, les listes générales de données incluent une mise en garde qui stipule que toutes les données susceptibles de nuire ou d'affecter les intérêts nationaux, y compris (mais sans s'y limiter) les intérêts politiques, territoriaux, militaires, économiques, culturels, sociaux, technologiques ou nucléaires nationaux, ne sont pas incluses dans la gestion de la liste générale des données. Cela signifie que ces types de données nécessiteront des approbations supplémentaires pour être exportés, bien que celles-ci n'aient pas encore été clarifiées.
Règles spécifiques pour les biopharmaceutiques
En plus des règles générales, la liste générale des données pour les biopharmaceutiques stipule que la fourniture ou l'octroi d'accès aux informations sur les ressources génétiques humaines à des organisations, individus ou institutions étrangères établies ou contrôlées par eux ne doit pas nuire à la santé publique, à la sécurité nationale ou aux intérêts publics sociaux.
De plus, pour toutes les données impliquant des ressources génétiques humaines dans la liste générale des données, les processeurs de données doivent signaler et soumettre des sauvegardes d'informations à l'autorité sanitaire compétente du Conseil d'État à l'avance. S'il existe un potentiel d'impact sur la santé publique, la sécurité nationale ou les intérêts publics sociaux, un examen de sécurité organisé par l'autorité sanitaire compétente du Conseil d'État est requis.
Exigences spécifiques pour les fonds communs de placement
Dans le domaine des fonds communs de placement, la liste générale des données spécifie que certains types de données ne sont pas inclus dans la liste générale des données. Cela inclut toutes les données qui affectent ou mettent en danger l'ordre économique national et la sécurité financière, ainsi que les données principalement utilisées par les grandes ou très grandes institutions financières et les nœuds commerciaux clés dans les transactions financières, qui sont généralement divulguées à un personnel spécifique et accessibles ou utilisées uniquement par ceux qui ont besoin de savoir.
Exigences spécifiques pour les véhicules intelligents et connectés
La liste générale des données pour les véhicules intelligents et connectés stipule des exigences supplémentaires pour le traitement des données sur la liste :
- Les données vidéo et image dans la liste générale des données ne doivent pas contenir d'informations personnelles telles que des visages ou des plaques d'immatriculation.
- Les numéros VIN des véhicules transmis au-delà des frontières aux destinataires de données ne doivent pas pouvoir identifier directement ou indirectement des individus.
- Les données de la liste générale des données ne doivent pas être transmises directement des véhicules aux destinataires étrangers.
- La liste générale des données suit le principe de nécessité minimale, ce qui signifie que seules les données strictement nécessaires pour le scénario ou l'activité spécifique sont incluses.
Scénarios et données inclus dans les listes générales de données
Les trois listes générales de données couvrent ensemble 11 scénarios spécifiques qui sont séparés en 64 types de données. La liste des fonds communs de placement inclut deux scénarios et 11 catégories de données, la liste des véhicules intelligents et connectés a quatre scénarios et 23 types de données, et la liste des pharmaceutiques inclut cinq scénarios et 30 types de données.
Ci-dessous un exemple des scénarios et types de données décrits dans les listes générales de données.
| Exemple de scénarios et types de données dans les listes générales de données | ||
|---|---|---|
| Secteur | Scénario | Type de données |
| Fonds communs de placement | Recherche de marché : Pour améliorer l'efficacité et la qualité de la recherche nationale et attirer les investissements étrangers sur le marché chinois, il est nécessaire que les données de recherche de marché circulent au-delà des frontières. Cela inclut principalement les données relatives aux rapports de recherche industrielle et aux rapports d'analyse macroéconomique. | Rapports de recherche industrielle |
| Rapports d'analyse macroéconomique | ||
| Pharmaceutiques | Essais cliniques et R&D : Pour mener des essais cliniques multicentriques internationaux et d'autres activités de R&D, et pour développer des médicaments, dispositifs et autres innovations, il est nécessaire que les données d'essais cliniques et de R&D circulent au-delà des frontières. Cela inclut principalement les informations personnelles de base dé-identifiées et les informations de santé physiologique des sujets d'essai, ainsi que les informations personnelles de base, éducatives et professionnelles des chercheurs. | Informations personnelles de base dé-identifiées des sujets |
| Informations sur la santé et la physiologie des sujets | ||
| Informations personnelles de base du chercheur | ||
| Informations sur l'éducation des chercheurs | ||
| Véhicules intelligents et connectés | Production et fabrication transfrontalières : Pour garantir la cohérence de la qualité des produits, assurer la sécurité des lignes de production, améliorer l'efficacité de la production et réduire les coûts de production, les véhicules intelligents et connectés nécessitent le flux transfrontalier de données de production et de fabrication mondiales pendant le processus de production transfrontalière. Cela inclut principalement des données liées à la gestion de la production, à l'approvisionnement en pièces et matériaux, à la gestion des stocks, à la gestion de la qualité, au remanufacturage des pièces défectueuses et à la chaîne d'approvisionnement logistique. | Gestion de la fabrication |
| Inventaire | ||
| Pièces | ||
| Remanufacturage | ||
| Chaîne d'approvisionnement logistique |
Notez que le Comité de gestion de la nouvelle zone de Lingang est chargé de mettre à jour en continu les listes de données générales et d'informer le processeur de données des mises à jour. Cela signifie que les listes de données peuvent être élargies à l'avenir.
De plus, les listes de données indiquent que si un catalogue de "données importantes" basé sur des scénarios est publié pour un secteur donné, la liste de données générale dans ce secteur deviendra automatiquement invalide.
Impact potentiel des listes de données sur les entreprises de la nouvelle zone de Lingang
Comme c'est le cas avec la liste négative de la ZLE de Tianjin, les listes de données générales pour la nouvelle zone de Lingang sont un outil utile en ce qu'elles clarifient les types de données que les entreprises sont généralement autorisées à exporter sans de nombreux obstacles administratifs. En l'absence de telles listes auparavant, il était difficile pour les entreprises d'évaluer quelles données sont considérées comme "importantes" et donc soumises à des exigences de conformité plus strictes.
En même temps, le mécanisme de la nouvelle zone de Lingang pour gérer les flux de données transfrontaliers est plus restrictif que le modèle de la ZLE de Tianjin, qui décrit les types de données qui ne peuvent pas être exportées librement, avec l'implication que toutes les données non incluses sur la liste peuvent être librement exportées (avec certaines limitations). Cela signifie que plus de types de données sont effectivement sur liste blanche dans le modèle de la ZLE de Tianjin que dans le modèle de la nouvelle zone de Lingang.
Néanmoins, il est prévu que le lot initial de listes de données générales soit élargi et que l'environnement global pour l'exportation de données devienne ainsi moins restrictif au fil du temps.
En même temps, les entreprises qui traitent des données incluses dans les listes de données générales devront toujours s'adresser au Comité de gestion de la nouvelle zone de Lingang et obtenir l'approbation pour les scénarios spécifiques d'exportation de données, ce qui signifie qu'il y a toujours une charge administrative pour les entreprises, bien que moindre. Après approbation, le CBDT pour les activités spécifiées sera considérablement plus facile.
Enfin, les listes de données générales maintiennent les restrictions sur le volume d'informations personnelles qu'une entreprise peut exporter avant de déclencher l'une des trois procédures de conformité – subir un examen de sécurité par l'Administration du cyberespace de Chine (CAC), signer un contrat standard avec le destinataire étranger des données, ou subir une certification de sécurité d'exportation de données par une agence tierce. Cela signifie qu'en l'état actuel, les réglementations sur l'exportation d'informations personnelles dans la nouvelle zone de Lingang ne sont pas plus laxistes qu'ailleurs en Chine.
La nouvelle zone de Lingang abrite un certain nombre de grandes multinationales qui pourront bénéficier des nouvelles réglementations et auront la capacité de gérer facilement la tâche administrative de demander l'approbation de l'exportation de données. Celles-ci incluent des entreprises telles que Tesla, BMW, Ford et Novo Nordisk.
