International SOS, premier acteur étranger de l'assistance en conformité avec la réglementation PIPL en Chine

La protection des données personnelles est devenue un enjeu majeur pour les entreprises internationales, particulièrement lorsqu'elles accompagnent des collaborateurs en déplacement ou en mission à l'étranger. En Chine, la Personal Information Protection Law (PIPL) impose un cadre réglementaire strict concernant la collecte, le traitement et le transfert des informations personnelles.

International SOS se distingue par son engagement précurseur dans le respect des exigences de la PIPL

International SOS figure parmi les acteurs pionniers du secteur de l'assistance internationale dans le respect des exigences de la PIPL en Chine. Le 14 mars 2024, l'entreprise a franchi une étape majeure avec l'enregistrement de son contrat type de transfert transfrontalier de données personnelles auprès de l'administration chinoise du cyberespace de Pékin.

Cet enregistrement couvre plusieurs activités, notamment :

• Les services d'assistance médicale internationale, de sécurité des voyageurs et de soutien en santé mentale.
• La gestion de la relation client.
• Certaines activités de recrutement et de gestion des ressources humaines.

Cette reconnaissance administrative témoigne des mesures mises en place par International SOS pour encadrer les transferts internationaux de données personnelles, renforcer la protection des informations sensibles et accompagner ses clients dans le respect des exigences réglementaires chinoises.

Qu'est-ce que la PIPL, la loi chinoise sur la protection des données personnelles ?

Entrée en vigueur le 1er novembre 2021, la Personal Information Protection Law (PIPL) constitue la principale législation chinoise encadrant la protection des informations personnelles.

Comparable, dans ses objectifs, au Règlement général sur la protection des données (RGPD) européen, elle définit les obligations des organisations concernant la collecte, l'utilisation, la conservation, le traitement et le transfert des données personnelles.

La PIPL vise notamment à renforcer les droits des individus et à garantir que leurs informations soient traitées de manière licite, transparente et sécurisée.

Une réglementation qui concerne aussi les entreprises étrangères

La portée de la PIPL dépasse les frontières chinoises. Sous certaines conditions, elle s'applique également aux organisations étrangères qui traitent des données personnelles de personnes situées en Chine (qu'elles soient chinoises ou non).

Les entreprises internationales sont donc susceptibles d'être concernées lorsqu'elles disposent de collaborateurs en Chine, y organisent des déplacements professionnels ou font appel à des prestataires pour accompagner leurs équipes sur place.

La réglementation encadre également les transferts de données personnelles depuis la Chine continentale vers d'autres pays ou territoires, notamment lorsque ces informations sont nécessaires à la coordination de services internationaux.

La PIPL en chiffres

Pourquoi la PIPL est-elle particulièrement importante dans le secteur de l'assistance internationale ?

Dans le cadre d'une intervention médicale ou sécuritaire, la rapidité des échanges d'informations est souvent déterminante.

Lorsqu'un collaborateur rencontre un problème de santé ou un incident de sécurité en Chine, plusieurs acteurs peuvent être amenés à intervenir : médecins, équipes d'assistance, établissements de santé, assureurs ou responsables de l'entreprise.

Cette coordination nécessite parfois le partage de données personnelles, dont certaines sont particulièrement sensibles :

• Les informations d'identification, comme le nom ou le numéro de passeport.
• Les données relatives aux déplacements et à la localisation.
• Les informations médicales, notamment les diagnostics et les traitements.
• Les coordonnées personnelles et celles des proches à contacter.
• Les informations nécessaires à l'organisation d'une assistance ou d'une évacuation.

Le transfert de ces données hors de Chine doit respecter les exigences de la PIPL, notamment lorsqu'il concerne des informations médicales ou d'autres données sensibles.

Pour les organisations, l'enjeu est double : protéger les informations de leurs collaborateurs tout en permettant aux équipes d'assistance de coordonner efficacement leurs interventions.

Quelles sont les conséquences opérationnelles pour les entreprises non conformes à la PIPL ?

Au-delà des sanctions financières, le non-respect de la PIPL peut avoir des conséquences immédiates sur les opérations d'une entreprise, particulièrement lorsqu'elle dépend d'un prestataire externe pour assurer la sécurité et la santé de ses collaborateurs.

Les autorités chinoises peuvent notamment ordonner la suspension de certains traitements ou transferts de données personnelles non conformes. Pour un prestataire d'assistance internationale, une telle décision pourrait compromettre sa capacité à coordonner des interventions entre la Chine et ses équipes situées à l'étranger.

Quand la suspension d'un prestataire d'assistance compromet la continuité des opérations

Imaginons qu'un collaborateur soit victime d'un accident grave lors d'un déplacement professionnel en Chine. Sa prise en charge nécessite l'intervention d'un établissement médical local, la transmission de son dossier à une équipe médicale internationale et, éventuellement, l'organisation d'une évacuation sanitaire.

Si le prestataire chargé de cette coordination fait l'objet d'une interdiction de transférer des données personnelles hors de Chine, plusieurs difficultés peuvent survenir :

• Une coordination médicale complexifiée : les équipes internationales peuvent ne plus avoir accès aux informations nécessaires à l'évaluation de la situation et à l'organisation de l'assistance.
• Des délais supplémentaires dans la prise en charge : l'impossibilité d'échanger certaines données peut ralentir les décisions médicales, logistiques ou sécuritaires.
• Une continuité de service fragilisée : l'entreprise peut devoir mobiliser un autre prestataire ou réorganiser en urgence son dispositif d'assistance.
• Une exposition réglementaire accrue : l'organisation cliente peut également être concernée par les conséquences d'un traitement de données non conforme, selon son rôle et ses responsabilités.

Dans les situations les plus critiques, notamment lors d'une évacuation médicale ou sécuritaire, ces perturbations peuvent intervenir au moment où la rapidité de coordination est essentielle.

Choisir un prestataire d'assistance ne consiste donc pas uniquement à évaluer sa capacité d'intervention. Il est également indispensable de s'assurer qu'il dispose des mécanismes nécessaires pour assurer la continuité de ses services dans le respect des réglementations locales.

International SOS renforce la protection des données personnelles de ses clients en Chine

La conformité à la PIPL ne se limite pas à une démarche administrative ponctuelle.

International SOS s'appuie sur une équipe dédiée réunissant des spécialistes des affaires juridiques, de la protection des données, de la cybersécurité, des systèmes d'information et des opérations.

Cette organisation permet d'assurer une veille réglementaire, de réaliser des évaluations internes régulières et d'adapter les pratiques de traitement des données aux évolutions de la législation chinoise.

Elle s'inscrit dans une démarche plus large de gouvernance de la sécurité de l'information et de protection des données personnelles.

Comment International SOS aide les entreprises à sécuriser leurs opérations en Chine

Pour les organisations présentes en Chine, travailler avec un prestataire capable de démontrer sa conformité à la PIPL représente un avantage concret, tant sur le plan réglementaire qu'opérationnel.

International SOS associe son expertise locale à des mécanismes documentés de protection et de transfert des données personnelles, afin de soutenir la continuité de ses services d'assistance internationale.

Des garanties documentées pour répondre aux exigences des autorités chinoises

En cas de contrôle réglementaire, les entreprises doivent pouvoir justifier les conditions dans lesquelles les données personnelles de leurs collaborateurs sont traitées et, le cas échéant, transférées à l'étranger.

International SOS peut mettre à disposition de ses clients, selon le périmètre applicable, plusieurs éléments permettant d'étayer leurs démarches de conformité.

Ces éléments constituent des preuves documentaires utiles aux équipes juridiques, de conformité et de protection des données des entreprises clientes, notamment lors d'audits ou de contrôles réglementaires.

Une capacité d'assistance locale pour limiter les risques de rupture de service

La conformité réglementaire s'accompagne d'une autre dimension essentielle : la capacité à intervenir directement sur le territoire chinois.

Présent en Chine depuis 1989, International SOS dispose d'équipes médicales, sécuritaires et opérationnelles locales, notamment à Pékin et à Shanghai, ainsi que d'un réseau de plus de 500 prestataires accrédités dans la région de la Grande Chine.

Cette implantation permet de prendre en charge et de coordonner localement de nombreuses situations d'assistance, sans nécessiter systématiquement le transfert des informations personnelles vers des équipes situées à l'étranger.

Lorsque la coordination internationale est indispensable, International SOS s'appuie sur des mécanismes de transfert encadrés par la réglementation applicable.

Pour les entreprises, cette double capacité, conformité réglementaire et présence opérationnelle locale, contribue à réduire les risques d'interruption de l'assistance et à renforcer la protection de leurs collaborateurs en Chine.

Protection des données et devoir de protection : deux enjeux complémentaires

Pour les entreprises ayant des collaborateurs en Chine, le devoir de protection ne se limite pas à prévenir les risques sanitaires et sécuritaires.

Il implique également de s'assurer que les dispositifs mobilisés pour accompagner les collaborateurs respectent les réglementations applicables, notamment en matière de données personnelles.

En associant une expertise locale, des capacités d'assistance internationale et des mécanismes de conformité documentés, International SOS contribue à répondre à ces exigences.

La protection des collaborateurs et celle de leurs données personnelles participent ainsi d'une même démarche de gestion responsable des risques.