Qu'est-ce que la CCPA ?
Aux États-Unis, il n'existe pas de loi fédérale uniforme sur la protection des données. Historiquement, les lois fédérales en la matière ont été sectorielles ; on peut citer comme exemples des secteurs tels que la santé, la finance et l'éducation, respectivement régis par la loi HIPAA (Health Insurance Portability and Accountability Act), la loi GLBA (Gramm-Leach-Bliley Act) et la loi FERPA (Family Educational Rights and Privacy Act).
Au niveau des États, plusieurs lois étatiques sur la protection de la vie privée des consommateurs datent de 2018, comme la loi BIPA (Biometric Information Privacy Act) de l'Illinois et la loi sur la protection de l'information de Floride. La Californie a promulgué la loi californienne sur la protection de la vie privée des consommateurs (CCPA) le 28 juin 2019, entrée en vigueur le 1er janvier 2020. La CCPA est la première loi étatique exhaustive sur la protection des données aux États-Unis.
La loi CCPA confère plusieurs nouveaux droits aux consommateurs californiens concernant leurs informations personnelles, notamment :
- Demander des informations sur les renseignements personnels recueillis, notamment sur les sources et les finalités de la collecte de ces renseignements et sur les tiers avec lesquels ils sont partagés;
- Demander la suppression des informations personnelles et ;
- Refuser la « vente » de leurs informations personnelles.
Quelles informations sont protégées ?
L’objectif de cette loi est de protéger les droits des consommateurs californiens en matière de données personnelles. À ce titre, elle définit les « données personnelles » comme toute information collectée et utilisée auprès des utilisateurs et relative à leur identité ou à leurs données personnelles. Autrement dit, toute information permettant d’identifier ou pouvant raisonnablement être associée à un consommateur (par exemple, un résident californien) ou à un foyer en particulier. Cela inclut :
- Nom du consommateur (prénom et nom) ;
- Données biométriques ;
- Activité sur Internet ;
- Géolocalisation (GPS) ;
- Adresse e-mail;
- Numéro de sécurité sociale;
- Historique de la consommation commerciale ;
- Informations sur le ménage.
Les informations accessibles au public via les archives gouvernementales sont pas inclus dans la définition de la loi.
Qui doit se conformer à la loi ?
La CCPA s'applique à toute entreprise exerçant ses activités en Californie et qui remplit l'une des trois conditions suivantes :
- Réaliser un chiffre d'affaires annuel de 25 000 000 $ ou plus ;
- Le traitement des données personnelles de plus de 50 000 « consommateurs, ménages ou appareils » ; ou
- Elle tire plus de 50 % de son chiffre d'affaires annuel de la vente des informations personnelles des consommateurs.
Elle s'applique également aux entreprises situées hors de l'État qui : sont des entreprises à but lucratif ; exercent leurs activités en Californie ; et collectent des données auprès des consommateurs. Selon les critères définis par la loi, on estime qu'environ 500 000 entreprises devront se conformer à la CCPA d'ici 2020.
Quels sont les droits accordés aux consommateurs ?
Comme indiqué précédemment, voici quelques-uns des droits accordés aux consommateurs :
- Droit de savoir et d’accès – les types d’informations qui ont été collectées ;
- Droit de demander l’effacement – de toute information que la personne ne souhaite pas que l’entreprise possède ;
- Droit de refuser la vente de ses informations – par une entreprise qui vend des informations sur les utilisateurs à d’autres entreprises ;
- Droit d’être informé des incitations financières – lorsqu’une entreprise offre des incitations pour la collecte de données personnelles des utilisateurs ;
- Droit d'intenter des actions individuelles ou collectives – les dommages-intérêts légaux s'appliquent
- Droit d'avoir un bouton « Ne vendez pas mes informations »
Comment les organisations peuvent-elles se conformer ?
Les impacts opérationnels de la conformité au CCPA se répartissent en quatre (4) catégories :
- Avis de confidentialité ;
- Cartographie des données ;
- Contrats;
- Demandes de données des consommateurs.
En matière de politique de confidentialité, les organisations doivent mettre à jour leurs avis de confidentialité afin qu'ils soient bien visibles pour les consommateurs (également définis comme « services et ressources destinés aux consommateurs »). Un exemple courant est l'inclusion de liens clairs et visibles permettant de refuser la collecte de données.
La cartographie des données, similaire aux exigences du RGPD européen, oblige les organisations à identifier les systèmes qui traitent les informations des consommateurs et à évaluer l'usage qui en est fait, notamment la vente de données personnelles. Une méthode courante de cartographie des données consiste à élaborer des schémas des flux de données illustrant le cycle de vie de l'information : collecte, traitement, stockage, transmission et suppression.
En matière de contrats, les organisations doivent identifier les catégories de données personnelles transférées à des tiers et mettre à jour leurs contrats fournisseurs et leurs accords-cadres de services. Parmi les dispositions courantes à revoir figurent les procédures de notification des violations de données.
Concernant les demandes des consommateurs – c’est-à-dire les demandes formulées par les consommateurs au sujet de l’utilisation et de la collecte de leurs données – les organisations doivent mettre en place des solutions permettant de suivre et de traiter ces demandes dans un délai de 45 jours suivant leur réception. Une solution efficace consiste à fournir un numéro vert et/ou des liens vers des sites web permettant de contacter l’organisation.
Quels sont les risques liés à la non-conformité ?
Les violations du CCPA peuvent s'accumuler et représenter des risques coûteux pour les entreprises concernées par la loi. Voici quelques-uns des risques liés à la non-conformité :
- Perte de relations d'affaires ;
- Actions ou poursuites privées ;
- Mesures d'exécution et amendes prononcées par le procureur général de Californie.
La perte de relations commerciales concerne les relations avec d'autres organisations soumises à la conformité au CCPA. Ces organisations pourraient ne plus être en mesure de faire affaire avec des parties qui ne respectent pas ou ignorent tout simplement les exigences du CCPA.
Les actions privées concernent les consommateurs qui bénéficient de droits d'action privés en vertu de la CCPA et peuvent intenter une action en dommages-intérêts légaux pouvant atteindre 750 $ par violation, ou des dommages-intérêts réels, y compris une injonction et/ou un jugement déclaratoire, ou toute autre réparation que le tribunal juge appropriée. De plus, si un consommateur s'est opposé à la vente de ses données, mais que celles-ci sont vendues sciemment et volontairement par une entreprise sans son consentement, des dommages-intérêts légaux de 1 000 $ à 3 000 $ ou des dommages-intérêts réels, le montant le plus élevé étant retenu, peuvent lui être accordés.
Les mesures d'exécution désignent le pouvoir conféré au procureur général de l'État et/ou aux municipalités de faire appliquer la loi. Dans ce cas, ils peuvent intenter une action civile contre toute entreprise, société ou partie qui ne se conforme pas aux directives du CCPA dans les 30 jours suivant la notification de cette infraction. Les entreprises disposent alors de 30 jours pour remédier à la non-conformité présumée dans les 30 jours suivant la notification de l'État, sous peine d'amendes pouvant atteindre 7 500 $ par infraction.
