CPRA : présentation du CCPA 2.0 et de son impact

CPRA : présentation du CCPA 2.0 et de son impact. En 2020, le « California Consumer Protection Act » ou CCPA a été adopté pour faire face aux inquiétudes grandissantes à propos de la vente et de la collecte d’informations personnelles en Californie.

Le CCPA actuel accorde divers droits aux résidents de Californie et réglemente les opérations d’entreprises qui vendent ou collectent des informations personnelles. En revanche, les conséquences d’un traitement de données consommateur par un tiers sont quelque peu laissées à libre interprétation. Cela a donné lieu à une modification du CCPA, qui est désormais connu sous le nom de « California Privacy Rights Act » (CPRA).

💡 Le CPRA se base sur les dispositions existantes du CCPA, établit de nouveaux droits pour les consommateurs et inclut de nouvelles exigences pour les entreprises qui collectent les données de résidents californiens.

📌 Modifications apportées à la définition d’une société d’après le CPRA

Les critères qui qualifient une société ont été revus ; répondez aux questions ci-dessous afin d’évaluer si vous êtes considéré comme société d’après la définition :

1. Êtes-vous une entité juridique à but lucratif ?
2. Collectez-vous des informations personnelles de consommateurs californiens ?
3. Déterminez-vous les finalités et moyens de traitement des informations personnelles ?

Votre organisation répond-elle à l’une des conditions suivantes ?

(A) Possède un chiffre d’affaires brut de plus de 25 millions de dollars au cours de l’année civile précédente.

(B) Achète, vend ou commercialise les informations personnelles de 100 000 consommateurs/ménages ou plus chaque année, par elle-même ou en association.

(C) Obtient 50% ou plus de son chiffre d’affaires annuel de la vente ou du partage d’informations personnelles à propos de clients.

Si votre réponse est oui, cela signifie qu’en vertu du CPRA votre organisation pourrait être considérée comme une société.

📌 Informations personnelles sensibles d’après le CPRA

Le CPRA a présenté une autre catégorie de données protégées : les informations personnelles sensibles (« SPI » pour « Sensitive Personal Information » en anglais). Ce concept est assez similaire à l’article 9 du Règlement général sur la protection des données (RGPD), qui exige un niveau plus élevé de protection des données en fonction de la sensibilité des informations personnelles.

Qu’est-ce qui est considéré comme une donnée personnelle sensible d’après le CPRA ? Cliquez ici pour la liste complète (révision de 2020). Les SPI qui sont « accessibles au public » ne peuvent être considérées comme des informations personnelles sensibles ou des informations personnelles.

Le CPRA impose des normes et des limites spécifiques aux SPI, offrant ainsi aux consommateurs un plus grand contrôle sur la façon dont les organisations utilisent leurs informations personnelles.

Veuillez vérifier si vos activités de traitement des informations personnelles sensibles entrent dans le cadre de ces exceptions.

📌 Renforcement des droits en matière de confidentialité du consommateur

Ci-dessous sont listés 5 droits à la vie privée repris du CCPA et modifiés par le CPRA.

1. Droit de s’opposer au partage et à la vente à des tiers (« Right to Opt-Out of Third-Party Sales and Sharing ») :
   • CCPA – En vertu du CCPA, les clients ont le droit de s’opposer aux entreprises qui vendent des données personnelles.
   • CPRA – En plus de la vente, le CPRA accroît ce droit en incluant également le partage d’informations personnelles.
2. Droit de savoir (« Right to know ») :
   • CCPA – En vertu du CCPA, les entreprises doivent répondre aux demandes des consommateurs concernant les informations personnelles obtenues durant les 12 derniers mois.
   • CPRA – Sous certaines conditions, le CPRA élargit cette durée, permettant aux consommateurs de solliciter des informations personnelles datant de plus de 12 mois. Les entreprises doivent informer les consommateurs de leur droit de savoir quelles informations personnelles sont vendues ou partagées à/avec qui.
3. Droit de suppression ( « Right to delete »)
   • CCPA – Les résidents californiens peuvent demander qu’une entreprise supprime leurs données personnelles si elles ne sont plus requises pour satisfaire l’un des objectifs spécifiés dans Cal. Civ. Code Sec. 1798.105.
   • CPRA – Les entreprises doivent informer les consommateurs de leur droit de demander la suppression de leurs informations personnelles et doivent par ailleurs donner lieu à ces demandes, sauf si les informations sont raisonnablement nécessaires à l’entreprise pour mener à bien la transaction, remplir une garantie, rappeler un produit ou assurer un niveau de sécurité et d’intégrité.
4. Droit au transfert de données (« Right to data transfer »)
   • CCPA – Contient un droit d’information, qui implique que les clients ont le droit de recevoir une copie de leurs informations personnelles par courrier ou en ligne.
   • CPRA – Un client peut désormais demander qu’une entreprise transfert certaines informations personnelles à une autre organisation.

Maintenant que nous avons passé en revue les 4 changements apportés aux droits des consommateurs par le CCPA, voyons les 4 droits supplémentaires ajoutés par le CPRA : (non inclus dans le CCPA)

1. Droit à la correction des informations (« Right to Correct Information ») : un consommateur a le droit de demander la correction de toute information personnelle erronée fournie par une entreprise.
2. Droit de restreindre l’utilisation et la divulgation de données personnelles sensibles (« Right to Restrict Use and Disclosure of Sensitive Personal Information ») : un consommateur a le droit de limiter l’utilisation et la divulgation de ses données sensibles à une simple utilisation nécessaire pour fournir les services ou délivrer les produits attendus par un consommateur ordinaire qui exige ces biens ou services.
3. Accès aux informations relatives à la prise de décision automatisée (« Access to Information On Automated Decision Making ») : un consommateur a le droit d’obtenir des informations pertinentes à propos de la logique derrière de tels processus décisionnels, ainsi qu’une description du résultat attendu par rapport au consommateur.
4. Droit de retirer son consentement aux technologies de prise de décision automatisée (Right to Opt-Out of Automated Decision-Making Technology) : un consommateur a le droit de retirer son consentement pour ce type de technologie.

📌 Droits des mineurs

Vous êtes tenu par le CPRA de vous conformer à COPPA, qui régit les droits des enfants en matière de protection de la vie privée, avec une référence spécifique à la vente et au partage des informations personnelles des enfants.

Par conséquent, si votre entreprise vend ou partage des informations personnelles de consommateurs :

• pour les enfants de moins de 13 ans, votre entreprise doit obtenir et conserver des documents attestant que le consentement à la vente ou au partage des informations personnelles des enfants provient de leurs parents ou tuteurs.
• pour les enfants âgés de 13 à 16 ans, votre entreprise doit offrir aux utilisateurs la possibilité d’accepter (opt-in) la vente ou le partage de leurs informations personnelles et conserver des preuves de cette acceptation. Lorsque votre entreprise reçoit une demande d’opt-in, vous êtes tenu d’informer l’utilisateur de son droit d’opt-out (de retirer son consentement).

📌 Incorporation des principes du RGPD

Les concepts suivants ne font pas partie du CCPA, mais ils sont maintenant codifiés dans le cadre du CPRA :

• minimisation des données ;
• limitation de la finalité ;
• limitation de la conservation.

📌 Élargissement du groupe des personnes concernées par une action en justice en cas d’infraction

CCPA – Dans le cas d’une violation de données, les consommateurs ont le droit d’intenter une action en justice si leurs informations personnelles non cryptées ou non expurgées sont divulguées en raison de l’incapacité d’une entreprise à mettre en place des mesures et des pratiques de sécurité adéquates compte tenu de la nature des informations traitées.

CPRA – Le droit en lui-même ne change pas. Sont ajoutés les mots de passe de connexion des consommateurs à la liste de catégories d’informations personnelles qui peuvent être l’objet d’une poursuite en justice en vertu de cette loi.

📌 Obligations légales liées à l’opt-out 

En vertu de la CPRA, il convient de noter que les entreprises doivent également autoriser et traiter les préférences de refus exprimées par les consommateurs.

💡 Le signal de préférence opt-out est un signal envoyé par une plateforme, une technologie ou un mécanisme, au nom du consommateur, qui communique son choix d’exclusion de la vente et du partage d’informations personnelles. Ce signal permet de refuser automatiquement les activités de l’ensemble des sites web que l’utilisateur visite sans qu’il ait à faire de demande à chaque fois.

📌 Politique de confidentialité

Le CPRA complète les exigences du CCPA. Voici la liste complète des informations que vous devez inclure dans votre politique de confidentialité (en anglais).

Comment se préparer au CPRA ?

Le CPRA entre en vigueur le 1er janvier 2023 et sera en application à partir du 1er juillet 2023.

Si vous avez déjà mis en place des procédures dans le cadre du CCPA, il est recommandé de commencer à revoir vos processus et à prendre note de ces éléments :

1. définissez toute donnée que vous traitez et qui rentre dans la définition d’information personnelle du CPRA ;
2. évaluez votre mode de communication envers les utilisateurs lors de modifications de votre politique de confidentialité, assurez-vous d’avoir un système en place. Une fois la politique mise à jour, vous devrez alerter vos utilisateurs ;
3. si vous travaillez avec des sous-traitants ou avez des sous-traitants qui travaillent pour votre compte, vous devriez envisager de leur communiquer tout changement dans les obligations légales (surtout s’ils sont basés hors des États-Unis).

Comme pour toute nouvelle loi, il est bon de se tenir informé de ses évolutions afin de pouvoir prendre les mesures appropriées. Comme toujours, nous sommes là pour veiller au bon déroulement de ces changements et nous vous tiendrons informés au cours des prochains mois.