Conformité RGPD Chine à Tianjin : Ce qu'il faut savoir

Conformité vie privée à Tianjin : Le point pour les entrepreneurs français

Vous avez une boîte en France, vous visez la Chine, et Tianjin vous tente pour son port, sa zone franche, son accès à Pékin. C’est malin. Mais avant de signer le bail ou d’embaucher le premier commercial, parlons d’un truc qui fâche : la conformité vie privée. Pas le RGPD européen — ça, vous connaissez. Ici, c’est la Loi sur la protection des informations personnelles (PIPL, 个人信息保护法), entrée en vigueur fin 2021, et ses décrets d’application qui tombent régulièrement. À Tianjin, comme partout en Chine continentale, c’est la loi qui compte. Et elle a des dents.

Depuis 2023, le régulateur (le CAC, 国家互联网信息办公室) a publié les Mesures pour l’évaluation de sécurité des transferts transfrontaliers d’informations personnelles et le Règlement sur la certification de protection des informations personnelles. En 2024, la Méthode de calcul du seuil de déclaration pour les transferts transfrontaliers a clarifié les seuils : 100 000 données personnelles ou 10 000 données sensibles transférées à l’étranger déclenchent l’obligation de déclaration auprès du bureau provincial du CAC — ici, le Bureau des affaires cybernétiques de Tianjin (天津市网信办). Pour une PME française qui rapatrie des données clients vers son CRM à Paris, le seuil est vite atteint.

En pratique, j’ai vu des boîtes se faire rappeler à l’ordre pour un simple formulaire de contact mal configuré qui envoyait des IP et cookies vers Google Analytics aux États-Unis sans base légale chinoise. L’amende ? Jusqu’à 50 millions de RMB ou 5 % du CA annuel. Pas de la petite monnaie. Et le risque réputationnel en Chine, c’est souvent pire que l’amende.

Pourquoi Tianjin change la donne pour la conformité PIPL

Tianjin, c’est pas Shanghai. Pas Shenzhen non plus. C’est une municipalité directe, avec son propre bureau CAC, ses propres priorités d’inspection. La Zone pilote de libre-échange de Tianjin (中国(天津)自由贸易试验区) — notamment les secteurs de Dongjiang, de l’aéroport de Binhai et de Nangang — attire les projets data-intensive : logistique intelligente, finance offshore, biotech. Ces secteurs brassent des données sensibles (santé, financier, localisation précise). Le régulateur local le sait et adapte ses contrôles.

En 2024, le Bureau des affaires cybernétiques de Tianjin a publié un Avis sur le renforcement de la supervision de la protection des informations personnelles dans les secteurs clés (天津市网信办关于加强重点领域个人信息保护监管工作的通知), ciblant explicitement :

• Les plateformes de e-commerce transfrontalier (donc votre Shopify ou votre mini-programme WeChat)
• Les services logistiques et supply chain (tracking colis, données chauffeurs, géolocalisation temps réel)
• Les entreprises de la zone franche manipulant des données HR de salariés expatriés ou locaux

Ce qui veut dire : si vous avez un entrepôt à Dongjiang, une équipe de 20 personnes à Binhai, et que vous centralisez la paie ou le CRM en France, vous êtes dans le viseur. Pas parce que vous êtes méchants. Parce que le flux de données sort de Chine.

Autre spécificité tianjinaise : la proximité avec Pékin. Les régulateurs de Tianjin et de Pékin coordonnent sur les grands dossiers data. Une inspection à Pékin sur un secteur (ex. : véhicules connectés, santé digitale) peut déclencher une vague de contrôles miroirs à Tianjin dans les semaines qui suivent. C’est pas écrit dans la loi, c’est la réalité du terrain.

Ce qu’un audit de conformité PIPL à Tianjin doit couvrir (et ce qu’on oublie souvent)

Un audit sérieux, ce n’est pas cocher des cases sur un template téléchargé. C’est cartographier vos flux réels de données personnelles — pas ceux que vous croyez avoir. Voici ce qui revient systématiquement dans les dossiers qu’on revoit :

1. Inventaire des traitements et base légale PIPL (Art. 13)

Chaque traitement doit avoir une base : consentement, exécution contrat, obligation légale, intérêt vital, intérêt public, ou intérêt légitime (encadré). Le consentement « pré-coché » ou caché dans les CGU ? Invalidé par la PIPL. Le consentement doit être libre, éclairé, explicite, et révocable à tout moment. Pour les données sensibles (biométrie, santé, finance, localisation précise, mineurs de moins de 14 ans) : consentement écrit distinct obligatoire (Art. 29).

Piège classique : Votre appli utilise un SDK tiers (paiement, push, analytics) qui collecte de la localisation précise « pour améliorer le service ». En Chine, c’est une donnée sensible. Sans consentement explicite séparé, vous êtes en infraction. Même si le SDK est hébergé en Chine.

2. Transferts transfrontaliers : les trois voies légales (Art. 38–40)

Réalité terrain : 90 % des PME françaises à Tianjin tombent dans la voie CCT + DPIA + déclaration. Mais la DPIA (Évaluation d’impact sur la protection des informations personnelles — 个人信息保护影响评估) doit être faite avant le transfert, pas après. Et elle doit couvrir : légalité, nécessité, proportionnalité, risques pour les droits des personnes, mesures d’atténuation, et droits des personnes concernées exerçables depuis la Chine.

3. Localisation des données : ce que dit vraiment la loi

La PIPL (Art. 40) impose la localisation uniquement pour :

• Opérateurs d’infrastructures d’information critiques (CIIO)
• Traitements dépassant les seuils de volume « importants » (définis par le CAC)
• Exigence sectorielle spécifique (banque, santé, auto, etc.)

Mais : même sans obligation légale de localisation, si vous transférez à l’étranger, vous devez passer par une des trois voies ci-dessus. Héberger vos données sur un cloud chinois (AliCloud Tianjin, Tencent Cloud Binhai, Huawei Cloud Tianjin) ne vous dispense pas de conformité sur les traitements, les consentements, les droits utilisateurs, la DPIA si transfert il y a.

4. Droits des personnes concernées : le volet opérationnel qu’on néglige

La PIPL donne 8 droits (Art. 44–49) : accès, copie, portabilité, correction, suppression, explication, restriction, opposition, retrait du consentement, plainte auprès du CAC, recours judiciaire. Délai de réponse : 15 jours ouvrés (Art. 47). En pratique, il vous faut :

• Un canal de réception des demandes en chinois (email dédié, mini-programme, courrier)
• Une procédure interne de vérification d’identité (sans demander plus de données que nécessaire)
• La capacité technique de localiser, extraire, supprimer, anonymiser les données dans tous vos systèmes (CRM, backups, logs, data lake, outils tiers)
• Un registre des demandes et réponses pour preuve en cas de contrôle

5. Sous-traitants et « confiés » (委托处理) : votre responsabilité ne s’arrête pas à la signature

Si vous confiez le traitement à un tiers (cloud, SaaS RH, agence marketing, call center), vous êtes responsable en tant que « confiant » (委托方). La PIPL (Art. 21) exige :

• Contrat écrit définissant : finalité, durée, catégories de données, mesures de sécurité, droits du confiant (audit, instruction, suppression/retour des données à la fin)
• Pas de sous-traitance en cascade sans votre accord écrit préalable
• Vérification des mesures techniques et organisationnelles du sous-traitant (chiffrement, contrôle d’accès, journalisation, plan de réponse incident)

Cas vu : Une boîte française utilise un SaaS RH chinois hébergé sur AWS Pékin. Le SaaS sous-traité le support client à une boîte à Chengdu sans en informer le client français. Fuite de données RH. Le régulateur a sanctionné les deux : le SaaS (sous-traitant principal) et la boîte française (confiant) pour défaut de supervision.

Le rôle concret de l’avocat chinois local à Tianjin

Vous vous dites : « J’ai mon cabinet parisien, ils gèrent le RGPD, ils feront la PIPL. » Non. La PIPL, c’est du droit chinois, appliqué par des régulateurs chinois, en chinois, avec des procédures chinoises. Un avocat français, aussi bon soit-il, ne peut pas :

• Déposer un dossier d’évaluation de sécurité auprès du CAC de Tianjin
• Signer les CCT CAC en tant que représentant légal côté chinois
• Répondre à une convocation du Bureau de la sécurité publique de Tianjin (天津市公安局) ou du Bureau de la régulation du marché (天津市市场监督管理局) lors d’un contrôle sur site
• Négocier en temps réel avec le régulateur local en cas de plainte ou d’incident
• Vous représenter devant un tribunal chinois (ex. : Tribunal populaire intermédiaire de Tianjin n°1) pour un contentieux PIPL

Ce que fait un avocat chinois local à Tianjin, concrètement :

1. Qualification juridique : Votre activité rentre-t-elle dans « opérateur d’infrastructure critique » ? « Données importantes » ? Secteur réglementé (finance, santé, auto) ? Ça change tout.
2. Cartographie flux + DPIA : Il travaille avec votre DSI/tech pour produire la DPIA en chinois, selon le modèle attendu par le CAC de Tianjin.
3. Montage contractuel : Rédaction/revue des CCT CAC, contrats de « commission de traitement » (委托处理协议) avec vos sous-traitants chinois, clauses PIPL dans vos contrats commerciaux (fournisseurs, clients, partenaires).
4. Déclaration CAC : Dépôt de la déclaration de transfert transfrontalier auprès du Bureau des affaires cybernétiques de Tianjin (天津市网信办) — guichet unique provincial.
5. Préparation aux contrôles : Mise en place du registre des traitements, politique de confidentialité version chinoise (obligatoire Art. 17), procédures droits utilisateurs, plan de réponse incident (数据安全事件应急预案).
6. Gestion de crise : En cas de plainte, contrôle, fuite — il est votre interlocuteur légal sur le terrain, en chinois, avec les autorités locales.

Combien ça coûte ? Pas de tarification publique. Ça dépend de la complexité (nombre de flux, seuils, secteur). Un audit initial + DPIA + déclaration CCT pour une PME standard : comptez 50 000–150 000 RMB (hors frais officiels). Une évaluation de sécurité CAC complète : 200 000–500 000 RMB et 3–6 mois. Certification volontaire : 100 000–300 000 RMB. C’est un investissement, pas une dépense. L’amende, elle, est une dépense.

Check-list rapide : Êtes-vous prêt pour un contrôle PIPL à Tianjin ?

• Politique de confidentialité en chinois, accessible, conforme Art. 17 PIPL (finalités, base légale, destinataires, transfert transfrontalier, droits, contact DPO/représentant)
• Registre des traitements à jour (finalité, base légale, catégories données, destinataires, durée conservation, mesures sécurité, transferts)
• Consentements traçables (horodatés, version politique, granularité, révocables) — surtout pour données sensibles
• DPIA réalisée avant tout transfert transfrontalier, version chinoise signée par le responsable traitement
• Voie de transfert transfrontalier identifiée et documentée (CCT CAC signées + déclaration CAC Tianjin < 10 jours ouvrés, OU certification valide, OU évaluation sécurité CAC validée)
• Contrats « commission de traitement » signés avec tous sous-traitants accédant aux données (cloud, SaaS, agences, support)
• Procédure droits utilisateurs opérationnelle : canal chinois, délai 15 jours, capacité technique exécution (suppression, portabilité, etc.)
• Plan de réponse incident données (détection, containment, notification CAC/utilisateurs sous 24–72h selon gravité, enquête, remédiation)
• Représentant légal / personne en charge protection données désigné et joignable en Chine (Art. 52 PIPL pour les entités hors Chine)
• Formation/ sensibilisation équipes locales (RH, IT, marketing, commercial) sur bases PIPL

Si vous avez moins de 7 coches, parlez-en à un avocat chinois à Tianjin cette semaine.

🙋 FAQ

Q1 : Mon entreprise n’a pas d’entité légale en Chine. Suis-je concerné par la PIPL ?
R1 : Oui. L’Art. 3 PIPL prévoit l’application extraterritoriale si vous :

1. Fournissez des produits/services à des personnes en Chine (même gratuitement)
2. Analysez/évaluez des comportements de personnes en Chine
3. Autre cas prévu par la loi
   En pratique : si vous avez un site accessible en Chine, une appli sur l’App Store chinois, des clients chinois, des salariés chinois — vous êtes concerné. Action : Désignez un « représentant pour la protection des informations personnelles » en Chine (Art. 52) — personne physique ou morale, résidente en Chine, qui reçoit les notifications du CAC et des personnes concernées. C’est souvent votre avocat local ou un prestataire de conformité.

Q2 : Combien de temps prend la déclaration de transfert transfrontalier via CCT CAC auprès du CAC de Tianjin ?
R2 : La déclaration se fait en ligne via la plateforme nationale (备案系统) après signature des CCT CAC et réalisation de la DPIA. Le CAC provincial (Tianjin) accuse réception sous 10 jours ouvrés. Si le dossier est incomplet, il demande des compléments (délai suspendu). Une fois complet, vous recevez un numéro de déclaration (备案编号). Pas d’approbation explicite : la déclaration vaut autorisation tant qu’elle n’est pas rejetée. Préparez : DPIA version chinoise, CCT signées des deux côtés, attestation de mesure de sécurité, identité du représentant en Chine. Comptez 2–4 semaines pour monter le dossier complet si vous n’avez rien.

Q3 : Dois-je localiser mes données à Tianjin si j’utilise AliCloud région Tianjin ?
R3 : Héberger sur AliCloud Tianjin (ou Tencent Cloud Binhai, Huawei Cloud Tianjin) ne constitue pas une « localisation » au sens légal si vous continuez à transférer des données hors de Chine (vers votre CRM France, votre BI Paris, votre maison mère). La localisation légale (Art. 40 PIPL) signifie : aucune sortie de Chine des données concernées. Si vous avez une obligation de localisation (CIIO, seuils « importants », secteur réglementé), vous devez architecturer vos systèmes pour que les données ne sortent jamais — pas même en backup, pas même en log, pas même en API tierce. Test : Faites un audit de flux sortants (egress) depuis votre VPC cloud Chine. Vous serez surpris.

🧩 Conclusion : Ce qu’il faut retenir et faire maintenant

La conformité PIPL à Tianjin, ce n’est pas une option « plus tard quand on a le temps ». C’est un prérequis opérationnel pour toute boîte française qui touche à des données de personnes en Chine — clients, prospects, salariés, partenaires. Le régulateur local est actif, les seuils sont bas, les amendes sont réelles, et le risque réputationnel peut tuer un business naissant en quelques jours.

Ce qui vous aide concrètement :

• Faites l’inventaire maintenant : Pas dans 6 mois. Chaque jour sans registre = jour de risque.
• Prenez un avocat chinois à Tianjin : Pas un cabinet parisien « partenaire ». Un avocat inscrit au barreau de Tianjin, qui connaît le CAC local, le PSB local, le AMR local.
• Budgettez la conformité : 50k–150k RMB pour démarrer proprement. C’est le coût d’une embauche junior. Moins cher qu’une amende.
• Intégrez la PIPL dans votre roadmap produit : Consent management, data mapping, DPIA automatisée, droits utilisateurs — c’est du dev, pas que du juridique.

Vous avez une question précise sur votre cas ? On ne vend pas de la rêve, on fait le taf.

📣 On en discute ?

On est une petite équipe. On ne promet pas la lune. On ne garantit pas les résultats. Mais on connaît le terrain, les avocats locaux, les régulateurs, et on bosse honnêtement.
Vous avez une question sur la conformité PIPL à Tianjin, un transfert transfrontalier qui coince, un contrôle qui arrive ?
📧 Écrivez-nous : lvga2015@qq.com
💬 Ou ajoutez JingJing sur WeChat (ID : lvga2015) pour qu’on continue la discussion sur votre dossier.
Pas de pression. Juste du concret.

📚 Lectures complémentaires

Aucune source vérifiée du contexte de recherche n’a été utilisée pour cet article.

📌 Avertissement

Avertissement légal
Lvga.com est une plateforme de mise en relation avec des avocats chinois, pas un cabinet d’avocats.
Cet article est fourni à titre informatif uniquement, rédigé avec une assistance IA, et ne constitue pas un avis juridique, financier ou fiscal.
Les lois, règlements et pratiques administratives chinois évoluent fréquemment et varient selon les régions, les secteurs et les circonstances individuelles.
Veuillez toujours vérifier les informations auprès des sources officielles (CAC, PSB, AMR, tribunaux) et consulter un avocat chinois qualifié pour votre situation spécifique.
Pour toute correction ou suggestion : lvga2015@qq.com.