Informations personnelles sensibles : comparaison entre différents États américains

Toute information pouvant être utilisée pour identifier une personne physique constitue une information personnelle. La plupart des législations en matière de protection de la vie privée distinguent un type particulier de données personnelles, les informations personnelles sensibles. Cette distinction s’explique par le fait que ce type de données présente un risque de discrimination plus élevé pour la personne à laquelle il se rapporte.

👀 Nous nous sommes intéressés de près aux obligations qui vous incombent à l’égard des données sensibles (et bien plus) en vertu des lois CPRA et VCDPA.

Cliquez ici pour découvrir comment gérer les informations personnelles sensibles →

🔎 Le tableau ci-dessous présente plus en détail la manière dont différents États américains définissent les informations personnelles sensibles 👇

	Californie (CCPA/CPRA)	Virginie (VCDPA)	Colorado (CPA)	Connecticut (CTDPA)	Utah (UCPA)
Informations personnelles qui révèlent des données relatives à la citoyenneté	Numéro de sécurité sociale, de permis de conduire, de carte d’identité ou de passeport	Citoyenneté ou statut d’immigration	Citoyenneté ou statut de citoyenneté	Citoyenneté ou statut d’immigration	Citoyenneté ou statut d’immigration
Informations personnelles qui révèlent des données relatives aux comptes	Identifiant de connexion à un compte, numéro de compte bancaire ou numéro de carte de crédit/débit associé à tout code de sécurité, code d’accès, mot de passe ou autre information nécessaire pour accéder à un compte.*	❌	❌	❌	❌
Informations personnelles qui révèlent l’emplacement	Géolocalisation précise	Données de géolocalisation précises	❌	Données de géolocalisation précises	Données de géolocalisation précises
Informations personnelles qui révèlent l’origine	Origine raciale ou ethnique	Origine raciale ou ethnique	Origine raciale ou ethnique	Origine raciale ou ethnique	Origine raciale ou ethnique
Informations personnelles qui révèlent les croyances	Croyances religieuses ou philosophiques	Croyances religieuses	Croyances religieuses	Croyances religieuses	Croyances religieuses
Informations personnelles qui révèlent l’appartenance syndicale	Appartenance syndicale	❌	❌	❌	❌
Informations personnelles qui révèlent des données relatives à la santé	Santé	Diagnostic de santé mentale ou physique	Problème ou diagnostic de santé mentale ou physique	Problème ou diagnostic de santé mentale ou physique	Historique médical, problème de santé mentale ou physique, traitement médical prescrit ou diagnostic réalisé par un professionnel de santé
Informations personnelles qui révèlent le sexe	Vie ou orientation sexuelle	Orientation sexuelle	Vie ou orientation sexuelle	Vie ou orientation sexuelle	Orientation sexuelle
Informations personnelles qui révèlent le contenu des emails ou SMS du consommateur	Contenu d’un email ou message textuel du consommateur, sauf lorsqu’il est expressément destiné à l’entreprise	❌	❌	❌	❌
Informations personnelles qui révèlent des données génétiques ou biométriques	Données génétiques et informations biométriques visant à identifier un consommateur de façon unique	Données génétiques ou biométriques visant à identifier une personne physique de façon unique	Données génétiques ou biométriques pouvant être traitées afin d’identifier une personne de façon unique	Données génétiques ou biométriques visant à identifier une personne de façon unique	Données personnelles génétiques ou données biométriques, lorsque le traitement vise à identifier une personne précise
Informations personnelles qui révèlent des données relatives à des mineurs	❌	Données personnelles recueillies auprès d’un enfant connu	Données personnelles d’un enfant connu	Données personnelles recueillies auprès d’un enfant connu	❌

🎯 Ressources et textes officiels

California Privacy Rights Act (CCPA) → 1798.140
Virginia Consumer Data Protection Act (VCDPA) → § 59.1-575.
Colorado Privacy Act (CPA) → 6-1-1303. (24)
Connecticut Data Privacy Act (CTDPA) → Section 1. (NOUVEAU) (en vigueur le 1er juillet 2023) (27)
Utah Consumer Privacy Act (UCPA) → 13-61-101 (32)

* Veuillez noter qu’en vertu de la CPRA, les informations de connexion à un compte, les mots de passe et les identifiants des consommateurs sont considérés comme des informations personnelles sensibles. Lors du traitement de ce type d’informations à des fins autres que celles mentionnées à la Sec. 1798.121., subdivision (a) du Code civil californien, vous êtes tenu d’informer et de permettre aux consommateurs d’exercer le droit de limiter l’utilisation ou la divulgation de leurs informations personnelles sensibles à ces fins. Les exceptions incluent, mais sans s’y limiter, le traitement dans le finalité de fournir des services ou de fournir des biens demandés par un consommateur ou à des fins qui ne déduisent pas de caractéristiques sur le consommateur. Veuillez vérifier si vos activités de traitement d’informations personnelles sensibles entrent dans le champ d’application de ces exceptions.

Notez également que des exceptions similaires s’appliquent également aux autres lois, y compris la VCDPA, la CPA, la CTDPA et l’UCPA. Cependant, il y a une petite différence :

Pour le CPRA, les exceptions concernent le traitement des informations personnelles sensibles exclusivement ;
En vertu des autres lois d’États américains, des exceptions s’appliquent au traitement des n’importe quel type d’informations personnelles.

En d’autres termes, cela signifie que chaque fois que les responsables traitent des données personnelles afin d’effectuer l’une des activités qui constituent une exception sur la liste, ils ne sont pas tenus de suivre les exigences légales applicables.

La plupart des exceptions sont communes à toutes les législations et comprennent (entre autres) :

se conformer aux lois, règles ou réglementations fédérales, étatiques ou locales ;
se conformer à une demande civile, pénale ou réglementaire, une enquête, une citation à comparaître ou une convocation par les autorités fédérales, étatiques, locales ou autres autorités gouvernementales ;
effectuer des recherches internes pour améliorer, réparer ou développer des produits, des services ou des technologies ;
effectuer des opérations internes auxquelles le consommateur pourrait s’attendre, sur la base de sa relation existante avec le responsable du traitement ;
fournir un produit ou un service spécifiquement demandé par un consommateur, exécuter un contrat avec un consommateur ou avant de conclure un contrat ;
protéger les intérêts vitaux du consommateur ou d’une autre personne physique ;
prévenir, détecter, protéger contre ou répondre aux incidents de sécurité, au vol d’identité, à la fraude, au harcèlement ou aux activités malveillantes, trompeuses ou illégales ;
préserver l’intégrité ou la sécurité des systèmes ; ou enquêter sur, signaler ou poursuivre les responsables d’une telle action.

Comment iubenda peut vous aider à gérer les informations personnelles sensibles

Vous devez bien sûr manipuler les informations personnelles sensibles avec précaution, d’autant plus que leur traitement est généralement soumis à des exigences supplémentaires.

👋 Saviez-vous qu’une Politique de confidentialité générée avec iubenda est automatiquement connectée à Privacy Controls and Cookie Solution ?

Comment ça ?

Une fois que vous avez configuré votre Politique de confidentialité, notre solution « détecte » si vous avez déclaré des informations personnelles sensibles et configure Privacy Controls and Cookie Solution en conséquence.

Dans le Générateur de Politique de Confidentialité et de Cookies, sélectionnez « Activer les clauses pour les utilisateurs résidant aux États-Unis ».

🚀 Encore mieux : notre Générateur de Politique de Confidentialité propose des options propres aux États-Unis.

Lorsqu’une certaine information personnelle constitue également une information personnelle sensible en vertu de la législation d’un État américain, elle apparait automatiquement dans la section correspondante de votre Politique de confidentialité.

Pensez à activer « Lois d’États américains » dans Privacy Controls and Cookie Solution : celle-ci adoptera automatiquement la bonne configuration pour vous aider à respecter les nouvelles exigences des États-Unis.

⚠️ Important : notre solution est actuellement compatible avec trois catégories d’informations personnelles sensibles (d’autres viendront bientôt s’y ajouter). Si vous avez déclaré d’autres catégories que ces trois-là dans votre Politique de confidentialité, vous ne pouvez pas les gérer par le biais de Privacy Controls and Cookie Solution pour le moment.

Comme toujours, iubenda vous informera de tout changement. Nous vous préviendrons dès que d’autres catégories seront disponibles pour vous permettre d’ajuster votre configuration en conséquence.

Vous n’avez pas généré votre Politique de confidentialité avec notre générateur, ou vous voulez simplement la personnaliser vous-même ?

Dans le générateur Privacy Controls and Cookie Solution, il vous suffit d’activer l’option « Lois d’États américains » et la gestion du consentement aux informations personnelles sensibles (le cas échéant).

Pour ce faire, activez « Lois d’États américains » et cliquez sur le bouton « Modifier ».

Cliquez ensuite sur « Configuration manuelle » et cochez la case « Demander aux utilisateurs de consentir au traitement de leurs informations personnelles sensibles ».

🚀 Au passage, Privacy Controls and Cookie Solution est compatible avec les signaux GPC et avec la Global Privacy Platform (GPP) de l’IAB !

Vous voyez alors apparaitre des options supplémentaires qui vous permettent de gérer le consentement aux informations personnelles sensibles.

Lorsque vous avez terminé, cliquez sur le bouton de retour. Vos préférences sont automatiquement enregistrées. À présent, il ne vous reste plus qu’à terminer votre configuration en cliquant d’abord sur « Confirmer et poursuivre ».

Cliquez enfin sur « Terminer la configuration ». Nous vous redirigeons alors vers les instructions d’intégration !

🎉 Félicitations, votre conformité avec les exigences des États-Unis est au point ! Et ensuite ?

Nos solutions s’intègrent facilement, vous n’avez qu’à suivre le guide ! Retrouvez dans nos guides détaillés une description précise des étapes à suivre.