Le terme face à la loi
Le CCPA (California Consumer Privacy Act) est une loi. Entré en vigueur le 1er janvier 2020, il a été modifié par la California Privacy Rights Act (CPRA) et est appliqué par le procureur général de Californie et par la California Privacy Protection Agency. La « conformité au CCPA » n’est pas la loi elle-même, mais la réponse à celle-ci : le travail continu pour rester dans le cadre de ses exigences.
La loi définit des obligations, la conformité définit le travail. Les régulateurs jugent une entreprise sur ses propres documents : politique de confidentialité, journaux des demandes et contrats avec les prestataires.
La loi: un texte qui définit les entreprises concernées, les droits des consommateurs et les sanctions, où que l’entreprise soit établie. La conformité: le programme côté entreprise : inventaire, traitement des demandes, information, gestion des prestataires et formation.
Qui est concerné
Le CCPA dépasse largement la Californie. Toute entreprise à but lucratif qui collecte des informations personnelles de consommateurs californiens est concernée dès qu’elle atteint l’un des trois seuils .
Le résultat est un cadre de marché mondial. Une entreprise sans bureau aux États-Unis peut être concernée si son site dessert des consommateurs californiens à l’échelle requise. Les exemptions visant les données des salariés et les données interentreprises ont expiré : les dossiers RH et les contacts professionnels sont donc couverts.
| Seuil | Condition |
|---|---|
| Chiffre d’affaires brut annuel | Supérieur à 25 millions de dollars |
| Informations personnelles | Achat, vente ou partage des données de 100 000 consommateurs ou foyers par an |
| Revenu tiré des données | 50 % ou plus du chiffre d’affaires issu de la vente ou du partage |
Première étape : inventaire et cartographie des flux
Rien d’autre ne fonctionne sans cette étape. Une entreprise ne peut pas traiter une demande de suppression tant qu’elle ne sait pas quelles informations personnelles elle détient. L’inventaire consigne chaque catégorie, sa source, sa finalité, ses systèmes, sa durée de conservation et ses destinataires externes.
La cartographie des flux prolonge l’inventaire vers le mouvement : comment les données circulent entre systèmes, sous-traitants et canaux comme la messagerie, le stockage cloud et les supports amovibles. C’est là qu’apparaissent les lacunes. Des données peuvent sortir du système de référence par un canal que l’inventaire n’a jamais décrit.
Rechercher dans les données capturées
La console permet de rechercher dans les données capturées du courrier, des messageries, du web et d’autres canaux, ce qui aide à vérifier ce qui a réellement circulé.
Procédures de traitement des demandes
Le CCPA accorde aux consommateurs des droits opposables. La conformité suppose une procédure documentée pour chacun .
Les demandes doivent recevoir une réponse sous 45 jours, prorogeable une fois de 45 jours, et couvrir au minimum les 12 mois précédents. La vérification doit être proportionnée : assez forte pour prévenir la fraude, sans collecter de données supplémentaires. Les entreprises doivent accepter les demandes des mandataires autorisés et ne peuvent pénaliser, par le prix ou le service, les consommateurs qui exercent leurs droits.
| Droit | Ce qu’il couvre |
|---|---|
| Droit de savoir | Communication des informations personnelles collectées, avec leurs sources, finalités et destinataires |
| Droit de suppression | Effacement des informations personnelles, étendu aux prestataires, sous réserve d’exceptions légales |
| Droit de rectification | Correction des informations personnelles inexactes, ajouté par la CPRA |
| Droit d’opposition | À la vente et au partage pour la publicité comportementale, signaux du navigateur respectés |
| Droit de limitation | Usage des informations sensibles limité aux finalités permises par la loi |
| Droit à la portabilité | Réception des informations personnelles dans un format aisément exploitable |
Politique de confidentialité, formation et prestataires
La politique de confidentialité est la vitrine publique du programme. Elle doit énumérer les catégories d’informations personnelles collectées, leurs sources, finalités et durées de conservation, les tiers avec lesquels les données sont partagées et la manière d’exercer chaque droit. Une entreprise qui vend ou partage des informations personnelles doit aussi afficher sur son site le lien « Do Not Sell or Share My Personal Information ».
En interne, la conformité repose sur les personnes et les contrats. Le personnel doit être formé pour reconnaître et transmettre les demandes des consommateurs, car une réponse tardive constitue déjà une violation. Les prestataires qui agissent comme prestataires de services ou sous-traitants doivent être liés par les clauses exigées par le CCPA, qui limitent l’usage des informations personnelles.
Sanctions
Les régulateurs peuvent infliger les amendes suivantes, comptées par consommateur. Les consommateurs disposent également d’une action privée pour certaines violations de données causées par une sécurité insuffisante.
| Infraction | Amende ou dommages-intérêts |
|---|---|
| Chaque violation | 2 500 dollars |
| Violation intentionnelle ou impliquant des mineurs | 7 500 dollars |
| Violation causée par une sécurité insuffisante | Dommages-intérêts légaux de 100 à 750 dollars |
Ce que cela donne dans Anexet
Ces captures montrent comment une couche de DLP sur les postes reconnaît les informations personnelles par leur contenu, avec des listes de mots-clés et des empreintes numériques.
1 / 4
Cycle continu
La conformité est donc continue, ce n’est pas un projet : les inventaires vieillissent, les prestataires changent et chaque demande est un test grandeur nature. Les programmes matures conduisent le CCPA comme un cycle : inventorier les données, cartographier les flux, répondre, informer et vérifier les prestataires.
Pour aller plus loin : Utiliser le système DLP Anexet Ultimate pour la conformité au RGPD.
Aucun outil ne rend une entreprise conforme. Anexet aide sur deux étapes : voir où circulent les informations personnelles et garder une trace de qui les a traitées.
Anexet TeamComment Anexet traite ce sujet
Aucun outil ne rend une entreprise conforme au CCPA. Il n’existe aucune certification à acheter, et Anexet n’en détient ni n’en délivre. Une couche de surveillance des postes et de prévention de la perte de données contribue à deux étapes du processus décrit plus haut : voir où circulent réellement les informations personnelles et tenir un registre imputable de la personne qui les a traitées.
L’architecture on-premise compte aussi. Les enregistrements produits par l’observation des flux, comme le contenu capturé, les journaux d’audit et l’historique des risques, restent dans l’infrastructure de l’organisation. Cela correspond à la confidentialité qu’exige le travail sur la vie privée.
Visibilité des flux de données
Les agents installés sur les postes observent le courriel, le web, le stockage cloud, la messagerie, les périphériques amovibles, l’impression et le presse-papiers. Ce sont les canaux par lesquels les informations personnelles quittent les systèmes de référence. La cartographie des flux montre donc des mouvements observés, et pas seulement des systèmes documentés.
Détection fondée sur le contenu
Les dictionnaires de sécurité, les bases de hachages, les bibliothèques d’empreintes numériques et les étiquettes de sensibilité repèrent les informations personnelles dans les transferts à partir de leur contenu. Cela fait apparaître les copies échappées à l’inventaire.
Piste d’audit imputable
Chaque événement enregistré porte l’utilisateur, l’horodatage, le canal et la classification. Ces journaux permettent de reconstituer comment les données d’une personne ont été traitées lorsqu’une demande ou une enquête le demande.
Anexet DLP
En savoir plus