Réglementation Cybersécurité Chine 2026 : MLPS 2.0, DSL, PIPL

La réglementation cybersécurité en Chine a connu une transformation radicale entre 2017 et 2026. En moins d'une décennie, la République populaire de Chine s'est dotée d'un arsenal législatif exhaustif articulé autour de trois piliers : la Cybersecurity Law et son système de classification MLPS 2.0, la Data Security Law encadrant les données économiques stratégiques, et la PIPL protégeant les données personnelles. S'y ajoutent désormais les règles de gouvernance de l'intelligence artificielle générative et les mécanismes de transfert transfrontalier supervisés par la CAC. Pour toute entreprise européenne opérant sur le territoire chinois, maîtriser cette réglementation cybersécurité Chine n'est plus une option : localisation des données, audits de conformité obligatoires, certifications sectorielles et sanctions pouvant atteindre 5 % du chiffre d'affaires annuel redéfinissent en profondeur les exigences de sécurité et les stratégies de mise en conformité des filiales implantées.

Le cadre législatif chinois en cybersécurité : vue d'ensemble 2026

Le droit chinois de la cybersécurité repose sur quatre textes fondamentaux adoptés entre 2016 et 2022, auxquels viennent s'ajouter des règlements sectoriels et des avis interprétatifs régulièrement publiés par les autorités de régulation. Comprendre la hiérarchie de ces textes est essentiel pour identifier les obligations applicables à chaque situation.

Lors de nos missions d'accompagnement NIS 2, les écarts les plus fréquents ne sont pas techniques mais documentaires : des mesures en place depuis des années, mais non formalisées, non auditées, et donc indémontrables lors d'un contrôle.

— Retour terrain, Ayi NEDJIMI Consultants

La Loi sur la cybersécurité (网络安全法, CSL), adoptée en 2016 et entrée en vigueur le 1er juin 2017, constitue la pierre angulaire. Elle introduit le concept d'infrastructure d'information critique (IIC), impose des exigences de sécurité aux opérateurs de réseau, et établit le principe de localisation des données pour les IIC. C'est dans ce texte que s'enracine le MLPS (Multi-Level Protection Scheme) 2.0, le système de classification et de certification de la sécurité des réseaux.

La Loi sur la sécurité des données (数据安全法, DSL), adoptée en juin 2021, élargit le périmètre de régulation à l'ensemble des données — pas seulement les données sur les réseaux. Elle crée une classification nationale des données (données générales, données importantes, données d'État — dont la liste précise est en cours de définition secteur par secteur) et impose des obligations de protection renforcée pour les données importantes. Les sanctions atteignent 10 millions de CNY (environ 1,3 million d'euros) pour les violations les plus graves.

La Loi sur la protection des informations personnelles (个人信息保护法, PIPL), entrée en vigueur le 1er novembre 2021, est souvent comparée au RGPD européen : elle impose le consentement explicite pour le traitement de données personnelles, la minimisation des données, la limitation de la finalité, et des droits pour les individus (accès, rectification, suppression, portabilité). Mais elle va plus loin que le RGPD sur certains points, notamment en exigeant l'évaluation d'impact avant tout transfert de données hors de Chine.

La Réglementation sur la sécurité des données réseau (2024) et les Mesures pour la sécurité des données générées par les voitures connectées, parmi d'autres textes sectoriels adoptés depuis 2022, précisent les obligations dans des secteurs spécifiques. Le secteur de l'IA fait l'objet de textes dédiés : les Mesures sur la gestion des services d'IA génératifs (2023) imposent des règles spécifiques aux fournisseurs de services LLM opérant en Chine.

MLPS 2.0 : le système de protection multiniveaux des réseaux

Le Multi-Level Protection Scheme version 2.0 (MLPS 2.0, 等级保护 2.0) est le système de classification et de certification obligatoire pour les systèmes d'information opérant en Chine. Il définit cinq niveaux de protection, de niveau 1 (impact mineur sur les individus, aucune protection formelle requise) à niveau 5 (infrastructure d'État critique, obligations maximales et contrôle direct par les autorités de sécurité nationale). Pour les entreprises étrangères, le niveau 2 est le minimum généralement applicable, avec le niveau 3 pour les systèmes traitant des données importantes ou servant un grand nombre d'utilisateurs.

Les obligations MLPS 2.0 niveau 2 et 3 comprennent : l'enregistrement du système auprès des autorités de police locales (公安机关), la mise en place de mesures de sécurité techniques définies par les normes GB/T 22239-2019 (sécurité réseau) et GB/T 28448-2019 (évaluation de conformité), la réalisation d'évaluations de sécurité périodiques par des organisations agréées (测评机构), et la tenue de registres de conformité. Au niveau 3, une évaluation par une organisation certifiée est requise au moins une fois par an, et les résultats doivent être soumis aux autorités.

Pour les entreprises européennes, le MLPS 2.0 crée des obligations concrètes pour toute filiale ou joint-venture en Chine qui exploite des systèmes d'information. Le non-respect peut entraîner des amendes allant de 10 000 à 100 000 CNY pour les manquements techniques, et des poursuites pénales pour les violations graves impliquant des infrastructures d'information critique. Les recommandations ENISA sur la conformité internationale soulignent l'importance de documenter les mesures MLPS dans le cadre de la gestion globale des risques de l'organisation.

DSL et PIPL : les obligations de protection des données en pratique

La DSL et la PIPL créent un régime dual de protection des données qui diffère significativement du RGPD européen dans sa philosophie et ses mécanismes d'application. Comprendre ces différences est crucial pour les organisations déjà conformes au RGPD qui supposent, à tort, que leur programme de conformité européen les couvre également en Chine.

Sous la DSL, les organisations doivent classer leurs données selon la taxonomie nationale et prendre des mesures de protection proportionnelles au niveau de classification. Les données importantes (重要数据) — catégorie dont la définition précise est établie secteur par secteur par les autorités compétentes (MIIT pour l'industrie, SAMR pour le commerce, etc.) — sont soumises à des obligations renforcées : évaluation de sécurité annuelle, plan de protection approuvé, restrictions sur le transfert à l'étranger. La définition de « données importantes » est délibérément large et évolue : dans l'industrie automobile, elle inclut les données de cartographie haute définition, les données d'utilisation des véhicules, et les données sur les infrastructures routières.

Sous la PIPL, les mécanismes de licéité du traitement sont similaires au RGPD (consentement, contrat, obligation légale, intérêt vital, intérêt public) mais le consentement est interprété plus strictement. Il doit être donné individuellement pour chaque finalité, de manière séparée, et ne peut pas être déduit de l'acceptation de conditions générales. Les droits des individus (accès, copie, correction, suppression, retrait du consentement, explication des décisions automatisées) doivent être respectés dans des délais définis.

La disposition la plus impactante pour les organisations internationales est l'article 38 de la PIPL, qui réglemente le transfert de données personnelles hors de Chine. Trois voies sont possibles : (1) la certification de sécurité par l'autorité de cybersécurité (CAC), (2) la conclusion de clauses contractuelles types publiées par la CAC, (3) pour les opérateurs d'IIC et les organisations dépassant des seuils de volumes de données, une évaluation de sécurité par la CAC (政府安全评估). Cette dernière voie, obligatoire pour les gros volumes, est un processus lourd qui peut durer plusieurs mois. Une entreprise française qui consolide des données de sa filiale chinoise vers ses datacenters européens est concernée par ces dispositions.

Comparaison RGPD vs PIPL : similitudes et différences clés

La tentation est grande de traiter la PIPL comme le « RGPD chinois » et de supposer qu'un programme RGPD robuste couvre l'essentiel des exigences. C'est une erreur courante qui crée des angles morts significatifs.

Les similitudes sont réelles : principes de minimisation, limitation de finalité, droits des individus, obligations de sécurité technique, exigence d'un délégué à la protection des données (DPO) appelé 个人信息保护负责人 en Chine. Mais les différences sont tout aussi importantes. La PIPL n'offre pas d'équivalent aux bases légales de l'intérêt légitime du RGPD (article 6.1.f) — en Chine, pour tout traitement non couvert par une autre base légale, le consentement est la seule option. Cela crée des situations où une organisation peut traiter des données sans consentement en Europe (intérêt légitime documenté) mais pas en Chine pour les mêmes données. Par ailleurs, la PIPL s'applique également aux entités hors de Chine qui traitent des données de personnes résidant en Chine — une extraterritorialité qui, couplée aux restrictions de transfert sortant, crée une logique de « cordon sanitaire » autour des données chinoises.

Obligations concrètes pour une filiale française en Chine

Pour une entreprise française opérant une filiale en Chine, le programme de conformité minimal en 2026 comprend les éléments suivants. Premièrement, l'enregistrement MLPS de tous les systèmes d'information exploités sur le territoire chinois, avec classification et mise en conformité selon le niveau applicable. Deuxièmement, la cartographie des données traitées et leur classification selon la DSL — avec identification des données importantes soumises à des règles renforcées. Troisièmement, l'adaptation des politiques de traitement des données personnelles à la PIPL : révision des mentions d'information, mécanismes de recueil du consentement par finalité, procédures d'exercice des droits. Quatrièmement, la mise en place des mécanismes légaux pour tout transfert de données hors de Chine (évaluation CAC ou clauses contractuelles types). Cinquièmement, la désignation d'un responsable de la protection des données personnelles (个人信息保护负责人) et, pour les IIC, d'un responsable de la sécurité réseau.

Les orientations publiées par la CAC (Cyberspace Administration of China) sont la référence réglementaire. Pour les entreprises françaises, l'appui d'un cabinet spécialisé en droit sino-européen est vivement recommandé pour naviguer dans l'interprétation des textes, qui peut varier selon les provinces et les secteurs. Notre guide sur la conformité internationale ISO 27001 détaille comment articuler les exigences chinoises avec un cadre ISO 27001 existant.

Stratégie de conformité dual-régulation : Chine et UE

Gérer simultanément la conformité RGPD et la conformité PIPL/DSL est l'un des défis majeurs des multinationales opérant des deux côtés. La clé est d'adopter une architecture de données qui tient compte des deux contraintes dès la conception (privacy by design étendu à la dual-compliance). Cela signifie : stocker en Chine les données des personnes résidant en Chine, stocker en Europe les données des personnes résidant dans l'UE, minimiser les flux transfrontaliers, et documenter chaque flux résiduel avec les mécanismes légaux requis dans chaque direction (clauses contractuelles types RGPD pour les flux vers des pays tiers hors UE, mécanisme CAC pour les flux sortant de Chine).

Analyse sectorielle : quels secteurs sont les plus impactés par la réglementation chinoise ?

La réglementation cybersécurité chinoise n'affecte pas tous les secteurs de la même façon. Les entreprises européennes présentes en Chine dans les secteurs suivants doivent faire de la conformité une priorité absolue.

Énergie et infrastructures critiques : le MLPS 2.0 impose le niveau 3 (voire 4) pour les systèmes de contrôle industriel dans l'énergie, le transport, et les télécommunications. Les équipements de contrôle-commande doivent faire l'objet d'une évaluation de sécurité par un organisme agréé par le Ministère de la Sécurité publique (MPS). Les failles sont signalées obligatoirement dans les 24h à la CNCERT (Centre National d'Urgence sur les Réseaux Informatiques).

Automobile et mobilité connectée : les véhicules connectés collectant des données en Chine sont soumis à la DSL et au PIPL, mais aussi à des règlements spécifiques émis par la MIIT (Ministère de l'Industrie et des Technologies de l'Information) en 2021-2022. Les constructeurs étrangers ont obligation de stocker localement les données de géolocalisation, de comportement de conduite, et d'identification des passagers. Volkswagen, BMW et Toyota ont dû adapter leur architecture de données en conséquence.

Finance et Fintech : les données financières sont considérées comme "importantes" au sens de la DSL, avec obligation de stockage local sauf dérogation. La PBOC (Banque populaire de Chine) a ses propres exigences de localisation pour les données de paiement — distinctes de celles du MLPS 2.0. Le rapport de conformité financière doit être audité annuellement par un cabinet agréé.

Santé et pharma : les données génomiques sont classées "données importantes" avec des restrictions d'export particulièrement strictes depuis les Mesures de gestion de la sécurité des données de santé (2021). Les essais cliniques impliquant des cohortes chinoises nécessitent une revue de sécurité des données avant tout transfert vers des serveurs hors-Chine.

Transferts de données Chine → Europe : le parcours du combattant

Le transfert de données depuis la Chine vers l'Europe est l'une des parties les plus complexes de la conformité. La DSL et le PIPL ne prévoient pas de mécanisme équivalent aux clauses contractuelles types (CCT) du RGPD. Les conditions cumulatives pour un transfert légal sont : (1) réussir une évaluation de sécurité par le CAC (Cyberspace Administration of China) — obligatoire pour les transferts de données importantes ou les données personnelles en volume significatif (depuis septembre 2022 : +1M individus cumulés, ou +100k individus par an), (2) obtenir la certification PIPL auprès d'un organisme accrédité par le CAC, ou (3) conclure un contrat standard CAC (équivalent approximatif des CCT européennes, en vigueur depuis juin 2023).

Le contrat standard CAC est la voie la plus accessible pour les PME, mais il implique de déposer une notification auprès du CAC provincial dans les 10 jours ouvrables suivant sa conclusion. Les entreprises de taille critique (plus de 100M utilisateurs) sont soumises à l'évaluation CAC obligatoire, sans possibilité de choisir le contrat standard. En pratique, les groupes européens préfèrent souvent la localisation des données en Chine (serveurs chinois distincts des serveurs européens) pour éviter la complexité des transferts — une approche cohérente avec l'architecture "data residency by design".

Checklist de conformité pour entreprises européennes actives en Chine

Voici les 10 actions prioritaires à mener pour une conformité au corpus réglementaire chinois de cybersécurité :

1. Cartographie des données — Identifier toutes les données collectées ou traitées en Chine et leur classification (données personnelles, données importantes, données de sécurité nationale).
2. Classification MLPS — Faire évaluer le niveau MLPS de chaque système d'information opérant en Chine par un évaluateur agréé MPS.
3. Audit DSL — Vérifier la conformité des flux de données aux obligations de localisation selon la catégorie des données.
4. Registre des traitements PIPL — Maintenir un registre des traitements de données personnelles équivalent au ROPA RGPD, avec désignation d'un représentant local.
5. Mécanisme de transfert international — Identifier le mécanisme applicable (contrat standard CAC, certification, évaluation CAC) et le mettre en place avant tout transfert.
6. Politique de réponse aux incidents — Documenter le processus de notification aux autorités chinoises dans les délais légaux (24h CNCERT, 3 jours PIPL).
7. Formation du personnel local — Former les équipes chinoises aux obligations réglementaires locales, distinctes des obligations RGPD.
8. Audit annuel MLPS — Planifier l'audit de conformité annuel pour les systèmes de niveau 3+.
9. Veille réglementaire — Suivre les évolutions du CAC (nouvelles règles IA, algorithmes, données transfrontalières).
10. Conseil spécialisé — Mandater un cabinet juridique sino-français pour les sujets complexes (transferts, sanctions, contentieux).

La conformité au droit chinois de la cybersécurité est un chantier distinct de la conformité RGPD, même si les deux partagent des concepts proches. Un guide de double conformité RGPD / réglementations étrangères peut aider à identifier les synergies et les points de friction. Pour les entreprises ayant besoin d'un accompagnement structuré, la page conformité et accompagnement réglementaire détaille nos services.

Questions fréquentes sur la réglementation cybersécurité en Chine

Mon entreprise française doit-elle se conformer aux lois chinoises si elle n'a pas de filiale en Chine ?

Potentiellement oui, dans deux cas. D'abord, si vous traitez des données de personnes résidant en Chine dans le cadre de ventes ou de services fournis depuis la France — la PIPL a une portée extraterritoriale similaire au RGPD. Ensuite, si vous travaillez avec des fournisseurs ou partenaires chinois qui vous transfèrent des données — vous devez vous assurer que ces transferts respectent les restrictions DSL et PIPL. En pratique, le risque d'application extraterritoriale reste limité pour les entreprises sans présence locale, mais il est réel et croissant.

Quelle est la différence entre MLPS 2.0 et une certification ISO 27001 ?

ISO 27001 est un standard international de management de la sécurité de l'information. MLPS 2.0 est une obligation réglementaire chinoise spécifique avec des exigences techniques définies par des normes nationales (GB/T) et un processus d'évaluation par des organismes agréés par les autorités chinoises. Les deux ne sont pas interchangeables : une certification ISO 27001 ne dispense pas des obligations MLPS 2.0 en Chine. En revanche, une organisation ISO 27001 sera mieux préparée à satisfaire les exigences MLPS 2.0, les deux partageant une logique de gestion des risques par niveaux.

Comment transférer légalement des données personnelles de Chine vers la France ?

Trois mécanismes sont disponibles sous la PIPL : les clauses contractuelles types publiées par la CAC (similaires aux SCC du RGPD), la certification de sécurité par un organisme agréé, ou l'évaluation de sécurité par la CAC (obligatoire au-delà de certains seuils de volume). Pour la majorité des PME et ETI, les clauses contractuelles types CAC sont le mécanisme le plus accessible. Elles doivent être intégrées dans les contrats de sous-traitance ou de transfert de données entre la filiale chinoise et la maison-mère française.

Quels secteurs font l'objet des règlements chinois les plus stricts ?

L'automobile (données de cartographie, données d'usage véhicule), le secteur financier (données de transactions, de crédit), la santé (données médicales, génomiques), les télécommunications et les plateformes internet sont soumis aux règlements sectoriels les plus contraignants, avec des listes explicites de « données importantes » et des exigences de localisation strictes. Le secteur de l'énergie et des infrastructures critiques est soumis au niveau 4 ou 5 du MLPS, avec des obligations d'isolement réseau et de contrôle par les autorités de sécurité nationale.

Conclusion

La conformité réglementaire n'est pas une destination mais un état à maintenir. Chaque évolution du SI, chaque nouveau fournisseur peut modifier le périmètre. Documentation, audits réguliers et formation des équipes en sont les piliers.