Le 30 janvier 2026, l’Administration chinoise de la cybersécurité (« CAC ») a publié un document de questions-réponses (le « Guide ») sur les politiques et réglementations relatives à la gestion de la sécurité des transferts de données transfrontaliers (« CBDT »).

Les lignes directrices décrivent l’interconnexion entre les différentes exigences du CBDT, y compris une évaluation de sécurité, la conclusion d’un contrat standard émis par le CAC et une certification de protection des informations personnelles.

• Les gestionnaires de données (qui ne sont pas des opérateurs d’infrastructures d’informations critiques) peuvent conclure des contrats standard ou, alternativement, obtenir une certification CBDT s’ils transfèrent plus de 100 000 mais moins de 1 000 000 enregistrements d’informations personnelles (à l’exclusion des informations personnelles sensibles) hors de Chine par an, ou plus de 10 000 mais moins de 100 000 enregistrements d’informations personnelles sensibles. Si un gestionnaire de données soumet le CBDT à une évaluation de sécurité, il doit mener les activités CBDT conformément aux résultats de cette évaluation.
• Si un gestionnaire de données a conclu un contrat standard ou obtenu une certification pour CBDT, mais a transféré cumulativement plus d’un million d’informations personnelles (à l’exclusion des informations personnelles sensibles) ou plus de 10 000 informations personnelles sensibles depuis le 1er janvier de l’année concernée, il doit soumettre une demande d’évaluation de sécurité, et toutes les informations personnelles transférées via des contrats standard ou une certification depuis le 1er janvier de cette année doivent être incluses dans le champ d’application de cette évaluation. Dans de tels cas, le gestionnaire de données doit, comme ci-dessus, mener des activités CBDT conformément aux résultats de l’évaluation de sécurité.

Les lignes directrices indiquent également que les gestionnaires de données nationaux qui ont conclu et déposé le contrat standard pour le CBDT dans la région de la Grande Baie Guangdong-Hong Kong-Macao (« Région de la Grande Baie ») ne doivent pas transférer illégalement des informations personnelles en dehors de la région de la Grande Baie. S’il est nécessaire de transférer les informations personnelles en dehors de la région de la Grande Baie, le responsable du traitement des données doit satisfaire aux obligations de conformité consistant à soumettre le transfert à une évaluation de sécurité, à conclure un contrat standard ou à obtenir une certification pour CBDT, selon les circonstances.