Affaire d'application de la sécurité des données contre Didi Global

Le 21 juillet 2022, l'Administration du cyberespace de Chine (CAC) a infligé une amende de 8,026 milliards de RMB — soit environ 1,2 milliard de dollars — au leader du VTC Didi Global, clôturant un examen de cybersécurité d'un an. Il s'agit de la plus lourde sanction en matière de protection des données de l'histoire chinoise et de l'une des premières à invoquer simultanément les trois piliers du nouveau régime chinois des données.

Contexte

Deux jours seulement après l'introduction en bourse de Didi à New York pour 4,4 milliards de dollars le 30 juin 2021, la CAC a annoncé un examen de cybersécurité et, en quelques jours, ordonné le retrait de l'application de Didi des magasins d'applications chinois. Vingt-cinq applications associées ont été retirées pour collecte illégale d'informations personnelles. Le calendrier — immédiatement après une cotation à l'étranger que le régulateur aurait déconseillée — a conduit de nombreux observateurs à voir dans cette action en partie un message sur la souveraineté des données et les cotations offshore.

Les violations

La CAC a conclu que Didi avait commis 16 violations distinctes couvrant des agissements depuis juin 2015, enfreignant la loi sur la cybersécurité (2017), la loi sur la sécurité des données (sept. 2021) et la loi sur la protection des informations personnelles (nov. 2021). Les régulateurs ont affirmé que Didi avait illégalement collecté, entre autres :

• Des captures d'écran et le contenu du presse-papiers des téléphones des utilisateurs
• Des dizaines de millions d'éléments de données de reconnaissance faciale et des relevés précis de localisation / GPS
• Des données d'identité de chauffeurs et de passagers, de profession, de relations familiales et de déplacements
• Des données traitées d'une manière qui mettait en danger la sécurité nationale des données

La CAC a qualifié ces agissements de sur-collecte à grande échelle touchant les centaines de millions d'utilisateurs et de chauffeurs de Didi, plutôt que d'une intrusion externe unique.

Impact

• Amende d'entreprise de 8,026 milliards de RMB (~1,2 milliard de dollars).
• Amendes personnelles de 1 million de RMB chacune contre le président-directeur général et le président de Didi.
• Didi s'est retirée de la Bourse de New York en juin 2022 sous la pression et a vu son application suspendue des magasins chinois pendant près d'un an.

Pourquoi c'est important

L'affaire Didi est l'action répressive emblématique de l'ère moderne de la protection des données en Chine. Contrairement à une fuite provoquée par des pirates, elle a établi que la collecte excessive et non consentie de données constitue en soi un manquement punissable à la sécurité dans le cadre CSL/DSL/PIPL, avec des sanctions calibrées sur un pourcentage du chiffre d'affaires, à la manière du RGPD. Elle a également signalé que Pékin traite les vastes ensembles de données de mobilité et biométriques des citoyens comme une question de sécurité nationale, avec des conséquences directes sur les lieux où les entreprises technologiques chinoises peuvent être cotées et sur la manière dont elles peuvent traiter les données.