L'utilisation d'outils de compression en ligne constitue-t-elle un risque de conformité au GDPR/PIPL ?

Là où commence la conformité

Depuis l'entrée en vigueur de la loi chinoise sur la sécurité des données (DSL) et de la loi sur la protection des informations personnelles (PIPL) en 2021, et avec le règlement général sur la protection des données (GDPR) de l'UE en vigueur depuis 2018, les entreprises font face à un examen de conformité sans précédent quant à la manière dont elles traitent les fichiers. Un contrat, un rapport financier, une liste de clients — chacun peut franchir une ligne rouge légale lors de la transmission, du stockage, de la compression ou de la conversion.

La compression de fichiers et la conversion de format sont des opérations courantes, mais juridiquement, elles constituent toutes des « activités de traitement des données ». Dès que des données sont créées, modifiées, transmises ou détruites, elles relèvent du champ d'application de la DSL ; dès qu'un fichier contient des informations personnelles, il relève également du champ d'application de la PIPL (et du GDPR s'il concerne des personnes concernées de l'UE). La réponse à « l'utilisation d'un outil de compression en ligne constitue-t-elle une violation de conformité ? » ne dépend donc pas de l'outil lui-même. Elle dépend de trois variables : le niveau de classification du fichier, le chemin d'écoulement des données lors du traitement, et si l'entreprise a rempli ses obligations de conformité.

Cet article examine les exigences légales, cartographie les risques de conformité du traitement des fichiers en entreprise, et répond à la question de savoir où se situe la frontière de conformité des outils de compression en ligne — à la fois dans les contextes réglementaires chinois (DSL/PIPL) et internationaux (GDPR).

---

I. Exigences fondamentales de la DSL, de la PIPL et du GDPR

La loi sur la sécurité des données : deux obligations fondamentales

La loi chinoise sur la sécurité des données, entrée en vigueur le 1er septembre 2021, établit le cadre fondateur de la sécurité des données. Pour le traitement des fichiers en entreprise, les exigences fondamentales se concentrent sur deux niveaux :

La première est la classification et la gradation des données. La loi exige que l'État établisse un système de protection par classification et gradation des données, et les entreprises doivent classer et grader leurs propres données en conséquence. Les fichiers doivent être répartis en différents niveaux selon leur importance et la gravité du préjudice en cas de fuite. Les informations classées publiques, internes, sensibles et centrales doivent chacune recevoir une protection d'intensité différente. Cela affecte directement le choix de l'outil — les fichiers de différents niveaux doivent être associés à des méthodes de traitement d'une sécurité correspondante.

La seconde est le traitement sécurisé sur tout le cycle de vie. Le traitement des fichiers (création, modification, compression, conversion, transmission, destruction) constitue autant d'activités de traitement des données et doit être intégré dans la gestion de la conformité. Les entreprises doivent s'assurer que les outils eux-mêmes ne provoquent pas de fuite de données, et « si le flux de données est maîtrisable » doit être le principal facteur d'évaluation.

La PIPL : quatre contraintes clés

La loi sur la protection des informations personnelles, entrée en vigueur le 1er novembre 2021, fixe des exigences explicites pour la collecte, le stockage, l'utilisation, la transmission et la suppression des informations personnelles. De nombreux fichiers traités par les entreprises contiennent des informations personnelles : des CV d'employés avec numéros d'identification, des contrats clients avec coordonnées, des états financiers avec comptes bancaires. La PIPL impose quatre contraintes principales :

• Minimauté : Le traitement d'informations personnelles doit être limité au champ minimal nécessaire pour atteindre la finalité du traitement.
• Information et consentement : La collecte et l'utilisation d'informations personnelles exigent d'informer la personne et d'obtenir son consentement.
• Restrictions au transfert transfrontalier : La fourniture d'informations personnelles à l'étranger exige de remplir des conditions légales telles qu'une évaluation de sécurité, une certification ou la signature d'un contrat type.
• Obligation de suppression : Une fois la finalité du traitement atteinte, les informations personnelles doivent être proactivement supprimées.

Le GDPR : des obligations parallèles

Pour les organisations soumises au GDPR, les obligations recoupent largement celles de la PIPL, bien que les mécanismes juridiques diffèrent :

• Licéité, loyauté et transparence (article 5) fait écho au cadre information-et-consentement de la PIPL.
• Minimisation des données (article 5(1)(c)) est l'équivalent GDPR de la minimalité : ne collecter que ce qui est adéquat et nécessaire.
• Transferts internationaux de données (chapitre V) exigent des garanties telles que les clauses contractuelles types (SCC), les règles d'entreprise contraignantes ou les décisions d'adéquation — fonctionnellement similaires aux conditions transfrontalières de la PIPL.
• Registres des activités de traitement (article 30) exigent que les responsables et sous-traitants tiennent une documentation des opérations de traitement, analogue à l'obligation de conservation des journaux de la DSL.

La conclusion pratique est qu'une entreprise opérant dans plusieurs juridictions fait face à un ensemble convergent d'obligations : classer les données, minimiser la collecte, contrôler les flux transfrontaliers et conserver des enregistrements auditables. L'écart le plus facilement négligé est le téléversement de fichiers contenant des informations personnelles vers des outils en ligne hébergés sur des serveurs étrangers. Une opération apparemment ordinaire de « compression en ligne » peut déjà constituer un transfert transfrontalier, déclenchant des obligations légales au titre tant de la PIPL que du GDPR.

---

II. Le système de classification des données et son impact sur le traitement des fichiers

La classification des données n'est pas seulement une exigence légale ; c'est le point de départ pratique de la conformité du traitement des fichiers. Sans classification, pas de protection différenciée ; sans protection différenciée, pas de moyen de juger si un outil de compression en ligne peut être utilisé.

Logique de classification

En s'appuyant sur la pratique sectorielle, les fichiers d'entreprise peuvent généralement être répartis en quatre niveaux :

• Niveau public : Informations déjà publiées ou pouvant l'être, telles que les annonces sur le site web. Le traitement avec des outils en ligne ne pose aucun risque de conformité.
• Niveau interne : Informations utilisées en interne et non divulguées à l'extérieur, telles que les notes internes. L'utilisation d'outils en ligne exige d'évaluer les qualifications du prestataire.
• Niveau sensible : Fichiers contenant des informations personnelles, des secrets commerciaux ou des données importantes, tels que les contrats clients et les états financiers. Ceux-ci doivent être traités localement ; le téléversement vers des outils sur réseau public est interdit.
• Niveau central : Fichiers impliquant des secrets d'État ou des actifs centraux de l'entreprise, tels que les documents classifiés. Ceux-ci doivent être traités dans un environnement isolé avec des outils ayant passé une certification spécialisée.

Flux de traitement de la classification des données

Le diagramme ci-dessous montre le flux complet de classification, de l'identification du fichier au choix d'une méthode de traitement :

La logique centrale est : déterminer d'abord si le fichier relève de la réglementation légale (informations personnelles, données importantes, secrets d'État), puis déterminer le niveau selon l'ampleur et le statut transfrontalier, et enfin assortir la méthode de traitement. Pour les fichiers de niveau « sensible » et « central », la méthode de traitement est une contrainte stricte — une fois le niveau déterminé, le traitement local est obligatoire, sans débat possible sur les outils en ligne.

---

III. Les trois risques majeurs de conformité

Risque 1 : Risque de transfert transfrontalier de données

Lors de l'utilisation d'outils étrangers de traitement de fichiers en ligne, les données du fichier sont transmises vers des serveurs étrangers, constituant un transfert transfrontalier. Au titre de la DSL et de la PIPL, l'exportation de données importantes exige de réussir une évaluation de sécurité par l'administration nationale du cyberespace, et l'exportation d'informations personnelles exige de remplir l'une des conditions légales. Au titre du GDPR (chapitre V), les transferts vers des pays tiers exigent des garanties appropriées telles que les SCC ou une décision d'adéquation.

De nombreux employés ont l'habitude d'utiliser des outils en ligne étrangers pour traiter contrats et rapports, sans savoir que ces opérations peuvent avoir déclenché des obligations de transfert transfrontalier que l'entreprise n'a jamais remplies. Même lors de l'utilisation d'un prestataire national, si les serveurs dorsaux sont déployés à l'étranger ou si des nœuds CDN et cloud étrangers sont utilisés, un transfert transfrontalier peut quand même se produire. Le critère n'est pas « le serveur que voit l'utilisateur est dans son pays » mais « quelle juridiction les données atteignent réellement ».

Risque 2 : Risque de traitement par un tiers

Les outils en ligne téléversent généralement les fichiers vers des serveurs tiers. Même si le prestataire promet une « suppression immédiate après traitement », l'entreprise fait toujours face à trois catégories de risques :

• Risque de fuite de données : Si les défenses de sécurité du prestataire présentent des failles, les fichiers peuvent être volés lors du stockage, de la transmission ou de la sauvegarde. Plusieurs prestataires d'outils en ligne reconnus ont subi des fuites de données ces dernières années.
• Risque de conservation et de réutilisation : Les politiques de confidentialité de certains prestataires se réservent le droit d'utiliser le contenu téléversé pour l'amélioration du service ou l'entraînement de modèles ; le contenu des fichiers peut être conservé et réutilisé.
• Risque de contrainte légale : Les lois de la juridiction du prestataire peuvent autoriser les autorités répressives locales à accéder aux données des serveurs, à l'insu de l'entreprise.

Pour les fichiers sensibles, les confier à un tiers incontrôlable élargit par nature la surface d'attaque. Même sans fuite réelle, le simple fait que « les données ont quitté le périmètre maîtrisable de l'entreprise » met l'entreprise sur la défensive lors d'un audit de conformité.

Risque 3 : Risque de conservation des journaux

La DSL exige des sous-traitants de données qu'ils conservent les journaux de traitement pendant au moins six mois. Le GDPR exige de même des registres des activités de traitement (article 30). Les entreprises doivent enregistrer « qui a traité quel fichier et quand » pour permettre le traçage en cas d'incident de sécurité.

Si les employés utilisent des outils en ligne personnels pour traiter des fichiers d'entreprise, ces opérations sortent du périmètre de journalisation de l'entreprise, créant un angle mort de conformité : l'heure de l'opération ne peut être enregistrée, la cible du traitement ne peut être identifiée, et l'opérateur ne peut être corrélé. En cas d'incident de fuite, l'entreprise ne peut prouver qu'elle a rempli ses obligations de gestion de la sécurité. L'essence de ce risque est la « perte de maîtrise » — le traitement se produit en dehors du périmètre de l'entreprise, et l'entreprise ne peut ni obtenir les journaux ni en garantir l'authenticité.

Flux d'évaluation des risques de conformité

Le diagramme ci-dessous montre le flux de décision pour une évaluation des risques de conformité des opérations de traitement de fichiers :

Le niveau de risque augmente avec le niveau du fichier, et pour les fichiers de niveau sensible et au-delà, il n'y a presque aucune place pour les « outils en ligne ». Les entreprises devraient intégrer ce flux dans leurs normes de sélection et d'utilisation des outils plutôt que de s'en remettre au jugement individuel des employés.

---

IV. Compression locale vs compression en ligne : une comparaison de conformité

Du point de vue de la conformité, la compression locale et la compression en ligne diffèrent fondamentalement. Le tableau ci-dessous montre les différences selon sept dimensions :

Dimension	Compression locale	Compression en ligne
Localisation des données	Restent sur l'appareil local ; ne quittent jamais le périmètre de l'entreprise	Téléversées vers des serveurs tiers ; quittent le périmètre maîtrisable
Transfert transfrontalier	Non concerné ; aucune obligation de déclaration d'exportation	Peut constituer un transfert ; la localisation du serveur doit être évaluée
Risque tiers	Aucune implication de tiers ; aucun risque de fuite ni de conservation	Risques de fuite, de conservation et de contrainte légale du prestataire existent
Maîtrise des journaux	L'entreprise peut enregistrer intégralement heure, cible et opérateur	Les opérations sortent de la journalisation de l'entreprise ; angle mort de conformité
Dépendance réseau	Aucun réseau requis ; traitement non affecté par le réseau	Réseau requis ; le lien réseau est lui-même un point de risque
Approbation et traçabilité	Intégrable aux flux de travail de l'entreprise ; entièrement traçable	Difficile à intégrer ; traçabilité médiocre
Adéquation de conformité	Convient à tous les niveaux, du public au central	Convient uniquement aux fichiers de niveau public ; interdit pour les sensibles et au-delà

La compression en ligne présente des lacunes de conformité dans quatre dimensions fondamentales — localisation des données, transfert transfrontalier, risque tiers et maîtrise des journaux — tandis que la compression locale satisfait naturellement les exigences légales dans les quatre. Cela ne signifie pas que la compression en ligne est entièrement inutilisable ; pour les fichiers de niveau public, la commodité a de la valeur. Mais pour les fichiers de niveau interne et au-delà, le traitement local est le seul moyen fiable d'éviter le risque de conformité.

---

V. Recommandations de conformité sectorielles

Gouvernement et entreprises publiques

Les organismes gouvernementaux et les entreprises publiques traitent souvent des fichiers impliquant des secrets d'État, avec les exigences de conformité les plus strictes. Tout traitement de fichiers doit être effectué sur des réseaux internes ou localement ; l'utilisation de tout outil en ligne sur réseau public est interdite. Les fichiers classifiés doivent être traités avec des outils ayant passé la certification nationale de confidentialité. Les documents officiels électroniques devraient de préférence utiliser le format OFD et être compressés et convertis via des outils locaux.

Services financiers

Les banques, compagnies d'assurance et sociétés de bourse traitent des fichiers contenant de grandes quantités d'identité client et d'informations financières. La compression et la conversion des données clients, contrats de prêt et relevés de compte doivent être effectuées localement. Établissez un flux d'approbation du traitement des fichiers enregistrant l'opérateur, l'heure, la cible et les paramètres de chaque opération, avec des journaux conservés au moins six mois. Utilisez un système DLP (prévention des fuites de données) pour surveiller si des fichiers sensibles sont transmis vers l'extérieur.

Santé

Les établissements médicaux traitent des dossiers médicaux et des comptes rendus d'examen qui constituent des informations personnelles sensibles. La compression et l'archivage des dossiers médicaux doivent être effectués localement dans le système de l'hôpital ; l'utilisation de tout outil en ligne tiers pour traiter les informations des patients est interdite. La transmission des dossiers médicaux électroniques devrait utiliser des canaux chiffrés. Les fichiers d'informations patients ne doivent être téléversés sur aucun outil en ligne tiers, afin d'éviter de déclencher des obligations de transfert transfrontalier.

---

VI. Liste de contrôle de conformité pour la sélection d'un outil de traitement de fichiers

Lors de la sélection d'un outil de traitement de fichiers, vérifiez chacun des points de conformité suivants :

• L'outil téléverse-t-il des données vers un serveur ? Privilégiez les outils de traitement local qui conservent les fichiers sur l'appareil. C'est la mesure fondamentale pour éviter le transfert transfrontalier et le risque tiers.
• Le traitement exige-t-il une connexion réseau ? Le traitement hors ligne est plus sûr ; il élimine l'étape de transmission des données.
• Le prestataire de services est-il enregistré dans votre juridiction ? Cela affecte l'évaluation du transfert transfrontalier ; les prestataires étrangers exigent la vérification de la localisation des serveurs dorsaux.
• L'outil prend-il en charge l'enregistrement des journaux de traitement ? Cela satisfait l'exigence de conservation des journaux de six mois de la DSL (et l'obligation de l'article 30 du GDPR). Les journaux devraient inclure l'heure, le nom de fichier, l'opérateur et les paramètres.
• L'outil a-t-il passé les certifications de sécurité pertinentes ? Des certifications telles qu'ISO 27001 ou les évaluations nationales de protection de niveau de cybersécurité reflètent la capacité de gestion de la sécurité du prestataire.
• Un accord de traitement des données est-il signé ? Celui-ci précise les responsabilités de sécurité des données des deux parties, définissant l'usage des données, la durée de conservation et la méthode de suppression.
• L'outil prend-il en charge le traitement par lot et le contrôle d'accès ? Cela répond aux besoins de gestion et d'audit de l'entreprise, en prenant en charge les permissions basées sur les rôles et la journalisation unifiée des opérations par lot.

Seul un outil qui réussit toutes les vérifications ci-dessus peut être ajouté à la liste blanche d'une entreprise. Le non-respect d'un seul élément signifie que l'outil ne peut être utilisé que pour des fichiers de niveau public.

---

VII. FAQ

Q1 : L'outil de compression en ligne indique « les fichiers sont supprimés immédiatement après traitement ». Y a-t-il toujours un risque de conformité ?

Oui. Même si le prestataire promet la suppression, les données ont déjà quitté votre appareil lors de la transmission et peuvent être interceptées, conservées ou faire l'objet d'une contrainte légale. Le lien de transmission, le système de journalisation du prestataire, les mécanismes de sauvegarde et les nœuds de reprise d'activité peuvent tous laisser des traces. Pour les fichiers sensibles, « téléverser est un risque » — une fois les données sorties du périmètre maîtrisable de l'entreprise, il n'y a aucune garantie qu'elles seront complètement supprimées. Les fichiers sensibles doivent toujours être traités avec un outil de compression local.

Q2 : Est-il conforme qu'un employé envoie des fichiers traités avec un outil de compression en ligne par e-mail personnel ?

En général, non. L'e-mail personnel n'est pas géré par l'entreprise, le comportement de traitement ne peut donc être enregistré dans les journaux de l'entreprise, en violation des exigences de conservation des journaux. L'e-mail peut également transiter par des serveurs étrangers, créant un risque de transfert transfrontalier. Les entreprises devraient interdire explicitement un tel comportement par la politique, fournir une messagerie d'entreprise et des outils de traitement local en remplacement, et utiliser un système DLP pour surveiller si des fichiers sensibles sortent par des canaux personnels.

Q3 : La loi sur la sécurité des données a-t-elle des dispositions spécifiques pour la compression de fichiers ?

Non. La loi sur la sécurité des données n'a pas de dispositions ciblant spécifiquement la compression de fichiers, mais la compression de fichiers constitue une activité de traitement des données et est soumise aux exigences générales telles que la classification des données, le traitement sécurisé et la conservation des journaux. Sa conformité dépend de trois facteurs : le niveau de données du fichier, s'il implique des informations personnelles, et si le traitement implique un transfert transfrontalier. La loi ne distingue pas la « compression » des autres méthodes de traitement ; elle examine seulement si le traitement satisfait aux exigences générales de sécurité.

Q4 : Comment un outil de compression local peut-il satisfaire l'exigence de conservation des journaux ?

Les entreprises peuvent exiger des outils de compression local qu'ils fournissent une fonction de journal de traitement enregistrant l'heure du traitement, le nom du fichier, l'opérateur et les paramètres de compression, avec des journaux conservés au moins six mois. Un outil professionnel devrait prendre en charge l'enregistrement automatique et l'exportation des journaux pour les audits de sécurité. Les entreprises devraient également intégrer les journaux dans une plateforme unifiée de gestion des journaux, en corrélation avec le système d'authentification des identités pour garantir la traçabilité des opérateurs. Notez que les journaux eux-mêmes sont des enregistrements de traitement des données et devraient être gérés au niveau sensible pour éviter qu'une fuite de journaux ne crée un risque secondaire.

---

Résumé

La mise en œuvre de la DSL, de la PIPL et du GDPR a fait passer le traitement des fichiers en entreprise du « ce qui est pratique » au « ce qui est conforme ». Pour revenir à la question initiale — l'utilisation d'un outil de compression en ligne est-elle un risque de conformité ? — la réponse dépend de trois variables : le niveau de classification du fichier, le chemin d'écoulement des données, et si le traitement est journalisé.

Les principes fondamentaux se résument à trois : classer les données, privilégier le traitement local, garder des journaux traçables.

• La classification des données est le préalable. Sans classification, il n'y a aucun moyen de juger si un outil en ligne peut être utilisé. Les entreprises doivent d'abord bâtir un registre de classification des fichiers.
• Le local d'abord est la ligne de base. Pour les fichiers de niveau sensible et au-delà, le traitement local est le seul moyen fiable d'éviter les risques de transfert transfrontalier, de tiers et d'angle mort de journalisation. Les outils en ligne ne sont acceptables que pour les fichiers de niveau public.
• Des journaux traçables sont la garantie. Toutes les activités de traitement doivent être enregistrables et traçables, avec des journaux conservés au moins six mois. C'est un moyen nécessaire pour qu'une entreprise prouve qu'elle a rempli ses obligations.

Atteignez ces trois objectifs, et le cadre de conformité de base du traitement des fichiers en entreprise est en place. La compression de fichiers n'est qu'un maillon de la chaîne de traitement des fichiers, mais elle reflète la maturité globale de la gouvernance de la sécurité des données de l'entreprise — choix d'outil conforme, système de classification clair et cadre de journalisation complet. Les trois sont indispensables.

Lectures associées :

• Guide de conformité du traitement des fichiers entreprise sous la Loi sur la sécurité des données
• Guide complet de la compression de fichiers : principes et méthodes de compression PDF/image/vidéo/document