CCPA

Le California Consumer Privacy Act (CCPA) a été promulgué en juin 2018 et est entré en vigueur le 1er janvier 2020. C'était la première loi globale sur la vie privée des consommateurs aux États-Unis. Il donne aux résidents de Californie, appelés consommateurs dans la loi, des droits directs sur les informations personnelles que les entreprises détiennent à leur sujet. Un bureau en Californie n'est pas nécessaire : une entreprise est concernée si elle fait des affaires dans l'État et atteint un seuil.

En novembre 2020, les électeurs californiens ont approuvé le California Privacy Rights Act (CPRA), qui a modifié et étendu le CCPA. Il a ajouté de nouveaux droits, la catégorie des informations personnelles sensibles, des règles plus strictes pour les prestataires de services et les sous-traitants, ainsi que des limites de minimisation et de conservation des données. Le CPRA a aussi créé la California Privacy Protection Agency (CPPA), premier régulateur américain dédié à la vie privée. La CPPA adopte les règlements d'application et fait respecter la loi avec le procureur général de Californie.

Le CCPA s'applique à une entreprise à but lucratif qui fait des affaires en Californie et atteint au moins un des trois seuils. Il couvre aussi les entités qui contrôlent cette entreprise ou sont contrôlées par elle et partagent sa marque.

Le CCPA donne sept droits aux consommateurs. Le CPRA en a ajouté deux : le droit de rectification et le droit de limitation.

Les demandes suivent une procédure fixe avec des délais légaux. Le délai court à partir du jour où l'entreprise reçoit la demande.

1. 1

   Recevoir la demande

   Le consommateur peut envoyer sa demande par au moins deux canaux désignés.

2. 2

   Vérifier le demandeur

   L'entreprise confirme l'identité du demandeur avant de communiquer, supprimer ou corriger des données.

3. 3

   Répondre sous 45 jours

   L'entreprise répond dans les 45 jours suivant la réception de la demande.

4. 4

   Prolonger une fois si besoin

   Si c'est raisonnablement nécessaire, le délai peut être prolongé une seule fois de 45 jours. Le consommateur doit en être informé dans les 45 premiers jours.

Une entreprise concernée doit fournir un avis au moment de la collecte, publier une politique de confidentialité et signer des contrats écrits qui limitent l'usage des informations personnelles par les prestataires de services et les sous-traitants. Les règlements de la CPPA introduisent progressivement d'autres obligations : analyses de risques et audits de cybersécurité pour les traitements à risque plus élevé, et informations sur la prise de décision automatisée.

Une entreprise qui vend ou partage des informations personnelles doit, en règle générale, placer sur sa page d'accueil un lien clair portant la formule fixée par la loi :

La CPPA et le procureur général de Californie font respecter la loi. Chaque consommateur touché peut compter comme une violation distincte : les montants grimpent vite lors d'incidents de grande ampleur. Les montants ci-dessous sont fixés par la loi et indexés sur l'inflation.

Les organisations internationales gèrent souvent le CCPA et le Règlement général sur la protection des données de l'UE (RGPD) comme un seul programme. Les deux textes reposent pourtant sur des modèles différents.

Pour aller plus loin : Comment protéger mes données personnelles ?; Utiliser le système DLP Anexet Ultimate pour la conformité au RGPD.