Transmettre les données des salariés en Chine au siège à l’étranger : l’exemption RH

1. Recenser ce que le siège peut réellement consulter

Recensez l’entité employeur en Chine, les destinataires et prestataires à l’étranger, les lieux d’accès, les utilisateurs, les finalités, les champs de données et les durées de conservation. Incluez les pièces jointes et l’accès à distance, et pas seulement les feuilles de calcul exportées. Les questions-réponses de l’Administration chinoise du cyberespace (CAC) d’octobre 2025 précisent que l’accès depuis l’étranger à des données stockées en Chine peut constituer un transfert de données à l’étranger. L’accès par le personnel d’une organisation étrangère alors qu’il se trouve en Chine, sans transfert de données hors du pays, n’est pas considéré comme un transfert à l’étranger du seul fait que l’organisation est étrangère.

Pour chaque champ demandé, consignez la décision RH concrète et la raison pour laquelle des informations permettant d’identifier une personne doivent parvenir à ce destinataire. Demandez, par exemple, si le siège a besoin de chaque numéro de compte bancaire ou seulement d’un total de paie ; il s’agit d’apprécier la nécessité, sans présumer que l’une ou l’autre organisation est toujours licite. Distinguez les analyses facultatives du groupe et les dossiers de recrutement de l’administration des salariés. Un même système peut contenir des flux reposant sur des bases juridiques différentes.

2. Documenter l’exemption RH sans présumer qu’elle couvre tout le groupe

L’article 5(1)(2) des Dispositions visant à promouvoir et réglementer les flux transfrontaliers de données couvre les informations des salariés dont la communication à l’étranger est réellement nécessaire à la gestion transfrontalière des ressources humaines, conformément à des règles du travail légalement adoptées et à des conventions collectives légalement conclues. Les transferts remplissant ces conditions sont dispensés de la déclaration en vue de l’évaluation de sécurité, de la conclusion du contrat type prescrit pour le transfert d’informations personnelles à l’étranger et de la certification de protection des informations personnelles. L’article 5 exclut les « données importantes » de l’exemption. Si les conditions ne sont pas établies, évaluez séparément la voie de transfert applicable avant le début de l’accès.

Conservez les règles chinoises réellement applicables, les documents relatifs aux conventions collectives et les preuves de leur adoption ou conclusion légale et de leur mise en œuvre. Un modèle du siège ou une affirmation selon laquelle la plateforme est pratique ne suffit pas. Les questions-réponses d’octobre 2025 exigent une analyse de la nécessité et de la minimisation adaptée aux faits pour les cartes d’identité, passeports et comptes bancaires des salariés. L’exemption n’autorise pas de manière générale le téléversement de ces documents. Supprimez les champs ou restreignez l’accès depuis l’étranger lorsque le projet ne permet pas de les justifier.

3. Distinguer le consentement du mécanisme de transfert

L’article 13 de la Loi de la République populaire de Chine sur la protection des informations personnelles (PIPL) prévoit les bases légales du traitement, notamment la gestion nécessaire des ressources humaines selon les règles et conventions collectives licites qui y sont visées. Les questions-réponses de la CAC de juillet 2026 confirment qu’un transfert relevant de l’article 13(1)(2)–(7) n’exige pas le consentement de la personne, mais reste soumis à l’obligation de l’informer du transfert à l’étranger. Consignez pourquoi l’activité concernée satisfait à une base légale ne nécessitant pas de consentement. L’éligibilité à une exemption du mécanisme de transfert ne remplace pas cette analyse.

L’information fournie au titre de l’article 39 doit indiquer le destinataire à l’étranger et ses coordonnées, les finalités, les méthodes de traitement, les catégories d’informations ainsi que les moyens et procédures d’exercice des droits auprès de ce destinataire. Respectez également les exigences générales d’information de l’article 17, notamment la durée de conservation. Lorsqu’un consentement distinct est requis, recueillez un choix spécifique et éclairé plutôt qu’une autorisation groupée. Pour les informations sensibles, examinez la finalité particulière, la nécessité suffisante, les garanties strictes et les explications supplémentaires concernant la nécessité et les effets sur les droits et intérêts, conformément aux articles 28–30.

4. Examiner les transferts de dossiers de recrutement au cas par cas

Les questions-réponses de juillet 2026 fixent une limite concrète : lorsque le siège ou une entité affiliée à l’étranger ne participe pas aux décisions de recrutement en Chine, le transfert des CV des candidats à l’étranger n’est pas nécessaire. En cas de participation directe, limitez les candidats concernés et les champs de données au minimum nécessaire à cette décision et appliquez les exigences de transfert pertinentes. Ne classez pas automatiquement chaque candidat parmi les salariés couverts par l’exemption RH.

Avant d’activer un module mondial de recrutement, identifiez qui prend réellement la décision, quels candidats nécessitent un examen à l’étranger et à quel moment l’accès prend fin. Un vaste vivier de talents destiné à de futurs postes du groupe poursuit une finalité différente de la décision concernant un poste vacant en Chine. Évaluez séparément cette finalité et sa base juridique ; ne réutilisez pas sans vérification la justification d’un recrutement en cours. Faites apparaître cette distinction dans les droits d’accès au système et dans l’information fournie aux personnes, et pas seulement dans une note juridique.

5. Achever l’évaluation et le dossier de mise en service

Les articles 55–56 de la PIPL imposent, avant les transferts à l’étranger, une évaluation d’impact sur la protection des informations personnelles ainsi que la tenue de relevés des traitements. Examinez la licéité, la nécessité, les effets sur les personnes, les risques et les garanties. Conservez le rapport d’évaluation et les relevés des traitements pendant au moins 3 ans. Cela n’impose pas de conserver chaque document du personnel sous-jacent pendant 3 ans : l’article 19 exige en principe la durée la plus courte nécessaire à la finalité, sauf disposition contraire des lois ou règlements administratifs.

Préparez la cartographie des flux, l’analyse de nécessité champ par champ, le dossier des règles et conventions collectives, l’évaluation de l’exemption ou d’une autre voie de transfert, les informations fournies et les preuves de consentement éventuellement requises, l’évaluation d’impact, les arrangements avec les destinataires et les contrôles d’accès. L’article 38 exige des mesures garantissant que le destinataire à l’étranger respecte les normes de protection de la PIPL ; un prestataire chargé du traitement nécessite également les dispositions contractuelles et de supervision prévues à l’article 21. Attribuez les responsabilités en matière de suppression, de demandes d’exercice des droits et d’incidents. Réexaminez l’analyse avant d’ajouter des destinataires, des champs ou de nouveaux usages.

Pour un premier examen juridique, transmettez une description non confidentielle de l’entité chinoise, de la finalité RH, des lieux où se trouvent les destinataires, de l’effectif approximatif et des catégories de données envisagées. N’envoyez pas de cartes d’identité de salariés, de coordonnées bancaires ou de CV lors de la première demande. Convenez d’une procédure sécurisée pour l’examen du dossier détaillé.