Oui, transmettre l'adresse de livraison d'un client à un fournisseur, un agent de sourcing ou un transitaire basé en Chine constitue un transfert de données personnelles au sens du RGPD, même si l'opération semble anodine. La Chine ne bénéficie d'aucune décision d'adéquation de la Commission européenne, ce qui veut dire qu'un simple envoi par email ou par un tableau partagé ne suffit pas à rester en conformité.
Beaucoup de vendeurs qui gèrent eux-mêmes leur sourcing n'y pensent jamais, jusqu'au jour où un client ou la CNIL pose la question.
Ce que couvre réellement un transfert de données
La CNIL définit un transfert comme toute communication, copie ou déplacement de données personnelles vers un pays situé hors de l'Union européenne. Envoyer le nom, l'adresse et parfois le numéro de téléphone d'un client à un fournisseur chinois pour qu'il prépare l'expédition entre donc dans cette définition, même si ce n'est qu'une ligne dans un fichier partagé par email ou par messagerie.
Ce n'est pas la nature de la donnée, une simple adresse de livraison, qui déclenche l'obligation : c'est le fait qu'elle quitte l'Union européenne pour être traitée ailleurs.
Pourquoi la Chine demande une vigilance particulière
La Chine dispose depuis novembre 2021 de sa propre loi sur la protection des données, la PIPL, mais celle-ci n'offre pas un niveau de protection jugé équivalent au RGPD, notamment parce que l'État chinois conserve un droit d'accès aux données dans certaines conditions. C'est précisément parce qu'aucune décision d'adéquation n'existe pour la Chine que l'entreprise qui transfère les données doit elle-même mettre en place des garanties, plutôt que de s'appuyer sur un cadre déjà validé par Bruxelles.
Les clauses contractuelles types, l'outil le plus adapté pour un vendeur
Pour une relation avec un fournisseur, un agent ou un transitaire indépendant, la Cour de justice de l'Union européenne a validé en juillet 2020 le recours aux clauses contractuelles types de la Commission européenne comme garantie suffisante, sans autorisation préalable de la CNIL. Les règles d'entreprise contraignantes, elles, concernent des transferts à l'intérieur d'un même groupe et ne sont pas adaptées à une relation avec un prestataire externe.
Dans les faits, cela veut dire qu'un contrat ou un accord écrit avec le prestataire chinois, intégrant ces clauses, reste la solution la plus réaliste pour un vendeur qui n'a pas de service juridique dédié.
Ce qu'il faut exiger de son fournisseur ou agent en Chine
- Un engagement écrit de confidentialité sur les données transmises, pas seulement un accord oral.
- Une limitation claire des personnes ayant accès aux coordonnées des clients, plutôt qu'un partage ouvert à toute l'équipe.
- Une distinction entre consultation, modification et suppression des données, pour savoir qui peut faire quoi.
- La possibilité de documenter ces garanties si un client ou la CNIL pose la question plus tard.
Pourquoi passer par un intermédiaire change la donne
Travailler avec un tiers de confiance établi en France, comme détaillé sur notre page comment ça marche, limite le nombre d'acteurs chinois qui manipulent directement les données de vos clients : c'est l'intermédiaire qui centralise les informations nécessaires à l'expédition, plutôt que chaque fournisseur ponctuel. Cela ne supprime pas l'obligation de vigilance, mais cela réduit le nombre de relations à sécuriser individuellement, un point souvent plus réaliste pour un vendeur qui gère seul sa boutique au quotidien.
Sous-traiter la préparation d'une commande ne décharge jamais le vendeur français de sa responsabilité : en cas de manquement du prestataire chinois, c'est le vendeur, en tant que responsable du traitement, qui reste exposé en premier lieu.
Questions fréquentes
**Une simple adresse de livraison est-elle vraiment concernée par le RGPD ?** Oui, dès qu'elle identifie une personne et qu'elle quitte l'Union européenne pour être traitée en Chine, c'est un transfert de données au sens du RGPD.
**Faut-il l'autorisation de la CNIL avant chaque transfert ?** Non, pas si vous utilisez les clauses contractuelles types de la Commission européenne, qui dispensent d'une autorisation préalable tant qu'elles ne sont pas modifiées.
**Qui est responsable si mon fournisseur chinois subit une fuite de données ?** Vous restez responsable en tant qu'entreprise qui a transmis les données, même si la faute technique vient du prestataire.
**Le principe change-t-il selon le nombre d'intermédiaires ?** Non, il s'applique dès que les données quittent l'UE à un moment de la chaîne, quel que soit le nombre d'acteurs entre le vendeur et le prestataire final en Chine.
