«Quatre d’entre elles admettent ouvertement envoyer des données personnelles d’Européens en Chine, les deux autres disent transférer des données vers des ‘pays tiers’ non divulgués. Étant donné qu’aucune des entreprises n’a répondu de manière adéquate aux demandes d’accès des plaignants, nous devons supposer que la Chine fait partie de ces pays», explique Noyb dans un communiqué. «Mais la législation européenne est claire: les transferts de données en dehors de l’UE ne sont autorisés que si le pays de destination ne porte pas atteinte à la protection des données. Étant donné que la Chine est un État de surveillance autoritaire, les entreprises ne peuvent pas, de manière réaliste, protéger les données des utilisateurs de l’UE contre l’accès du gouvernement chinois. Après les problèmes liés à l’accès du gouvernement américain, l’essor des applications chinoises ouvre un nouveau front pour la législation européenne en matière de protection des données.»
TikTok et Xiaomi en Grèce, Shein en Italie, AliExpress en Belgique, WeChat aux Pays-Bas et Temu en Autriche ont reçu ce courrier.
Par exemple, «confirment le risque que les autorités chinoises demandent et obtiennent un accès (illimité) aux données personnelles dans la pratique. Selon ces documents, les autorités demandent l’accès aux données à caractère personnel à très grande échelle, alors qu’au cours de la même période, les autorités de l’UE/EEE n’ont reçu qu’une poignée de demandes. En outre, Xiaomi se conforme (ou doit se conformer) presque toujours aux demandes des autorités chinoises. En outre, il est presque impossible pour les utilisateurs étrangers d’exercer leurs droits en vertu de la législation chinoise sur la protection des données. Le pays ne dispose pas d’une autorité de protection des données spécialisée et indépendante, ni d’un autre tribunal pour soulever les questions de surveillance gouvernementale, et la portée et l’application des lois ne sont pas claires.»
Noyb demande également aux entreprises de mettre leur traitement en conformité avec le RGPD et aux autorités de protection des données d’imposer une amende administrative afin d’éviter que des violations similaires ne se reproduisent à l’avenir. Cette amende peut atteindre jusqu’à 4% du chiffre d’affaires global, soit 147 millions d’euros (chiffre d’affaires annuel de 3,68 milliards d’euros) pour AliExpress ou 1,35 milliard (revenus annuels de 33,84 milliards d’euros) pour Temu.