Loi californienne sur la protection de la vie privée des consommateurs (CCPA)
Définition du California Consumer Privacy Act (CCPA)
Le California Consumer Privacy Act (CCPA) est une loi de l'État destinée à renforcer les droits en matière de protection de la vie privée et la protection des consommateurs pour les résidents de Californie, États-Unis. Il accorde aux consommateurs plus de contrôle sur les informations personnelles que les entreprises collectent à leur sujet.
Le CCPA a été signé en loi le 28 juin 2018 et est entré en vigueur le 1er janvier 2020. Il est considéré comme l'une des lois sur la vie privée les plus étendues aux États-Unis et présente des similitudes avec le Règlement Général sur la Protection des Données (GDPR) de l'Union Européenne.
Concepts clés et dispositions du CCPA
Droit du consommateur à l'information: Le CCPA accorde aux consommateurs le droit de savoir quelles informations personnelles les entreprises collectent à leur sujet et comment ces informations sont utilisées. Les entreprises sont tenues de divulguer les catégories d'informations personnelles qu'elles collectent, les sources de cette collecte, les objectifs de l'utilisation des informations et les catégories de tiers avec lesquels les informations sont partagées.
Droit du consommateur à la suppression: Les consommateurs ont le droit de demander aux entreprises de supprimer leurs informations personnelles, sous réserve de certaines exceptions. Lorsqu'une demande vérifiée est reçue, les entreprises doivent supprimer les informations personnelles du consommateur de leurs dossiers et demander à leurs prestataires de services de faire de même, sauf si une exception s'applique.
Droit du consommateur à l'opt-out: Les entreprises qui vendent des informations personnelles doivent fournir un lien "Ne pas vendre mes informations personnelles" sur leurs sites Web, permettant aux consommateurs de refuser la vente de leurs informations personnelles. Les consommateurs peuvent exercer ce droit à tout moment, et les entreprises ne peuvent discriminer les consommateurs qui exercent ce droit.
Droit du consommateur à la non-discrimination: Le CCPA interdit aux entreprises de discriminer les consommateurs qui exercent leurs droits en vertu du CCPA. Les entreprises ne peuvent pas refuser des biens ou des services, facturer des prix différents ou offrir un niveau ou une qualité de services différents aux consommateurs qui exercent leurs droits en matière de vie privée.
Protection des enfants: Le CCPA inclut des protections spécifiques pour les enfants de moins de 16 ans. Les entreprises doivent obtenir le consentement des parents ou des tuteurs avant de vendre les informations personnelles des enfants de moins de 13 ans. Pour les enfants âgés de 13 à 16 ans, le consentement affirmatif doit être donné par l'enfant lui-même.
Obligations des entreprises: En plus des droits des consommateurs, le CCPA impose certaines obligations aux entreprises. Les entreprises doivent mettre en œuvre des mesures de sécurité raisonnables pour protéger les informations personnelles qu'elles collectent contre l'accès non autorisé, la destruction, l'utilisation, la modification ou la divulgation. Elles doivent également fournir aux consommateurs au moins deux méthodes pour soumettre des demandes pour exercer leurs droits en matière de vie privée, incluant un numéro de téléphone gratuit et une adresse de site Web.
Conformité avec le CCPA
Les entreprises doivent s'assurer qu'elles se conforment au CCPA en comprenant ses exigences et en mettant en œuvre les changements nécessaires à leurs politiques de confidentialité et à leurs pratiques de gestion des données. Voici quelques conseils pour aider les entreprises à éviter toute violation :
Comprendre la portée de la loi : Les entreprises doivent évaluer si le CCPA s'applique à elles en fonction de leurs revenus bruts annuels, de la quantité de données de consommateurs californiens qu'elles traitent et si elles remplissent d'autres critères définis par la loi.
Mettre à jour les politiques de confidentialité : Les entreprises doivent revoir et mettre à jour leurs politiques de confidentialité pour inclure les divulgations requises concernant les catégories d'informations personnelles collectées, les objectifs pour lesquels les informations sont utilisées et les droits disponibles pour les consommateurs.
Mettre en œuvre des mesures de protection des données : Les entreprises doivent mettre en œuvre des mesures de sécurité raisonnables pour protéger les informations personnelles qu'elles collectent. Cela peut inclure le cryptage, les contrôles d'accès, les sauvegardes régulières des données et la formation des employés sur les meilleures pratiques en matière de sécurité des données.
Fournir des mécanismes pour les droits des consommateurs : Les entreprises devraient établir des processus pour gérer les demandes des consommateurs pour savoir, supprimer et refuser la vente de leurs informations. Cela peut impliquer de créer des adresses e-mail dédiées ou des numéros gratuits pour recevoir et traiter les demandes des consommateurs.
Former les employés : Les entreprises devraient sensibiliser et former leurs employés sur les exigences du CCPA, y compris comment gérer les demandes des consommateurs, protéger les informations personnelles et se conformer aux dispositions de la loi.
Relation avec le GDPR
Le CCPA partage des similitudes avec le Règlement Général sur la Protection des Données (GDPR) de l'Union Européenne, mis en œuvre en mai 2018. Les deux réglementations visent à renforcer les droits des individus en matière de vie privée et à imposer des obligations aux entreprises qui collectent et traitent des informations personnelles. Cependant, il existe des différences clés entre les deux :
Portée territoriale : Le GDPR s'applique aux entreprises qui traitent les données personnelles des individus dans l'Union Européenne, quel que soit l'emplacement de l'entreprise. En revanche, le CCPA s'applique aux entreprises qui collectent les informations personnelles des résidents de Californie, quel que soit l'emplacement de l'entreprise.
Exigences en matière de consentement : Le GDPR met l'accent sur l'obtention du consentement explicite des personnes pour le traitement de leurs données personnelles, tandis que le CCPA se concentre sur le droit des consommateurs de refuser la vente de leurs informations personnelles.
Pénalités et application : Le GDPR permet des amendes importantes pour non-conformité, avec des pénalités pouvant atteindre 4 % du chiffre d'affaires annuel mondial d'une entreprise. Le CCPA prévoit des sanctions civiles allant jusqu'à 2 500 $, ou jusqu'à 7 500 $ en cas de violations intentionnelles.
Malgré les différences, il est important pour les entreprises de comprendre et de se conformer aux deux réglementations si elles traitent des informations personnelles de personnes en Californie et dans l'Union Européenne.
Termes associés
- General Data Protection Regulation (GDPR): Un règlement de l'Union Européenne qui traite de la protection des données et de la vie privée des individus au sein de l'UE et de l'Espace Économique Européen.
- Informations personnelles: Toute information qui identifie, se rapporte à, décrit ou peut être associée à un individu particulier.