Qu'est-ce que le CCPA ?

La CCPA est entrée en vigueur le 1er janvier 2020. Il s’agit de la première loi moderne complète sur la protection des données aux États-Unis. La loi californienne sur les droits à la vie privée (CPRA) est entrée en vigueur le 1er janvier 2023, modifiant et étendant la CCPA. En savoir plus sur la CPRA.

Quand la CCPA s’applique-t-elle ?

La CCPA s’applique aux entreprises à but lucratif, où qu’elles se trouvent dans le monde, qui :

traitent les informations personnelles de plus de 50 000 résidents californiens par an, ou
ont un chiffre d’affaires annuel brut de plus de 25 millions de dollars américains, ou
tirent plus de 50 % de leurs chiffres d’affaires annuels de la vente d’informations personnelles de résidents californiens.

La vente d’IP est définie par la CCPA comme « vendre, louer, publier, divulguer, diffuser, rendre disponible, transférer, ou sinon communiquer oralement, à l’écrit, par voie électronique ou autre, des informations personnelles d’un consommateur par l’entreprise à une autre entreprise ou un tiers pour une contrepartie monétaire ou un autre bénéfice. » (1798.140.t1) (Ceci n’est pas une traduction officielle de la CCPA)

En vertu de la CCPA, les résidents californiens (« consommateurs ») ont le droit de refuser la vente de leurs données à des tiers, le droit de demander la divulgation des données déjà collectées (droit d’accès), et le droit de demander la suppression de données collectées.

De plus, les résidents californiens ont le droit d’être informés et le droit de ne pas être discriminés s’ils souhaitent exercer leurs droits.

Le non-respect de la CCPA peut valoir aux entreprises des amendes de 7 500 dollars américains par violation et de 750 dollars américains par utilisateur affecté en dommages et intérêts.

Comment rendre votre site web conforme à la CCPA ?

Si votre entreprise répond à l’un des trois seuils de la CCPA mentionnés ci-dessus et dispose d’un site web, vous êtes tenus de mettre en œuvre certaines notifications et fonctionnalités.

Votre site web doit informer les utilisateurs, avant ou au moment de la collecte des données, des catégories d’informations personnelles qu’il collecte et à quelles fins.

Votre site web doit inclure un lien Ne pas vendre mes informations personnelles que les utilisateurs peuvent utiliser pour refuser la vente de données à des tiers. (Remarque : depuis l’entrée en vigueur de la CPRA, l’avis doit désormais porter la mention « Ne pas vendre ou partager mes informations personnelles »).

Si votre site web accueille des visiteurs ou des clients mineurs de moins de 16 ans, vous devez obtenir leur consentement (opt-in) avant que vous ne soyez autorisés à vendre ou divulguer leurs données personnelles à des tiers. Si le mineur est âgé de moins de 13 ans, un parent ou un tuteur légal doit consentir à leur place.

Votre entreprise doit aussi mettre à jour la politique de confidentialité de son site web pour y inclure une description des droits du consommateur et de la manière d’exercer ces droits. Votre politique de confidentialité doit aussi contenir une liste mise à jour annuellement des catégories d’informations personnelles que votre société collecte, vend et/ou divulgue.

Si votre entreprise reçoit une demande vérifiable de la part d’un consommateur vous demandant la divulgation de ses informations personnelles collectées, vous devez lui procurer gratuitement les enregistrements de ses données personnelles collectées dans les 12 derniers mois,y compris les sources, les objectifs commerciaux et les catégories de tiers avec qui ses données ont été partagées.

Votre entreprise n’a pas le droit de discriminer un consommateur sur la base de son choix d’exercer son droit de retrait, de demander la divulgation, la correction ou la suppression des données.

Comment définir les informations personnelles ?

Les données personnelles ou informations personnelles sont définies par la CCPA comme « des informations qui identifient, se rapportent, décrivent, peuvent être raisonnablement associées à, ou pourraient être raisonnablement liées, directement ou indirectement, à un consommateur ou un ménage. » (1798.140.o1) (Ceci n’est pas une traduction officielle de la CCPA)

Les informations personnelles, conformément à la CCPA, incluent :

les identifiants directs tels que le vrai nom, l’adresse postale ou les numéros de sécurité sociale, les identifiants uniques tels que les cookies, les adresses IP ou les noms de compte,
les données biométriques telles que les enregistrements de visages ou de voix,
les données de géolocalisation telles que l’historique de localisation,
l’activité Internet telle que l’historique de navigation, l’historique de recherche, les données sur l’interaction sur une page web ou une application,
les informations sensibles telles que les données de santé, les caractéristiques personnelles, le comportement, les convictions religieuses ou politiques, les préférences sexuelles, les données d’embauche et d’éducation, les informations financières et médicales.

Les informations personnelles incluent également les données qui par inférence peuvent aboutir à l’identification d’un individu ou d’un ménage.

Les données agrégées et anonymes ne sont pas couvertes par la CCPA, sauf si elles sont d’une quelconque manière ré-identifiables.

Cela signifie que les données qui ne sont pas en elles-mêmes des informations personnelles peuvent le devenir selon la CCPA si elles peuvent être utilisées – par inférence ou par combinaison avec d’autres données – pour identifier un individu ou un ménage.

Que dit la CCPA sur les cookies ?

Les cookies et autres technologies de suivi sur les sites web sont classés comme identifiants uniques, lesquels entrent dans la catégorie des informations personnelles selon la définition de la CCPA. Les cookies sont une des technologies les plus utilisées dans le monde par les sites web pour collecter des informations personnelles sur les utilisateurs finaux.

Les cookies propriétaires, mis en place par le site web lui-même, collectent souvent des données anonymes pour les fonctions de base du site web. Elles sont supprimées dès lors que l’utilisateur ferme le navigateur. Les cookies tiers comme ceux mis en place par les sociétés de technologies et les plateformes de réseaux sociaux, collectent souvent beaucoup d’informations personnelles, parfois sensibles, sur les consommateurs ; celles-ci peuvent être conservées jusqu’à cent ans.

Les données collectées sur votre site web par le biais de cookies peuvent à terme être considérées comme des informations personnelles en vertu de la CCPA. Ces informations ne constituent peut-être pas en elles-mêmes des informations personnelles,par ex. les données d’analyse rendues anonymes, mais elles peuvent permettent d’identifier des personnes par inférence ou combinaison avec d’autres données, dans l’objectif d’identifier et de connecter des appareils, de créer des profils et de diffuser des publicités personnalisées.

Qu’est-ce qui a changé pour les entreprises et les résidents de Californie le 1er janvier 2023 ?

La nouvelle loi californienne sur les droits à la vie privée (CPRA) s’applique également aux organisations à but lucratif :

dont le revenu annuel brut est supérieur à 25 millions de dollars américains, ou
qui tirent plus de 50 % de leur revenu annuel de la vente ou du partage d’informations personnelles des résidents de Californie.

Toutefois, la CPRA a modifié l’un des trois seuils de la CCPA. Le nombre minimum de résidents ou de ménages californiens dont les informations personnelles sont traitées et/ou partagées par ces entreprises est passé à 100 000. En vertu de la CPRA, les données B2B sont également couvertes, et l’Agence californienne de protection de la vie privée (CPPA), l’autorité chargée de la surveillance et de la mise en application, a été créée.

Alors que la CCPA ne portait que sur la vente d’informations personnelles, la CPRA inclut le partage des données. Le texte étend et modifie également les droits existants des consommateurs, tout en ajoutant plusieurs autres :

le droit de correction, pour faire corriger les données inexactes collectées à leur sujet,
le droit de limiter l’utilisation des données classées comme informations personnelles sensibles,
le droit de demander des informations sur la prise de décision automatisée et les résultats probables de l’utilisation de ces processus,
le droit de refuser l’utilisation de technologies de prise de décision automatisée en ce qui concerne leurs informations personnelles.

En savoir plus sur la CPRA et sa portée.

Les organisations qui répondent à l’un des seuils de conformité de la CCPA/CPRA, sont responsables des informations personnelles collectées sur les résidents de Californie via les cookies de leur site web, si ces informations sont vendues ou partagées. Les consommateurs peuvent demander la divulgation de leurs informations personnelles collectées sur un site web au cours des 12 derniers mois, ainsi que demander la correction ou la suppression de ces données (à quelques exceptions près).

Les organisations doivent donc savoir quelles données leur site web collecte, la manière dont il les collecte, à quelles fins, et avec qui (tiers) il partage ces données.

Notre plateforme de gestion du consentement (CMP) permet d’assurer et de maintenir la conformité avec le RGPD européen et la directive ePrivacy, la CCPA et la CPRA, ainsi que d’autres réglementations.

La technologie CMP scanne en profondeur votre site web pour découvrir tous les cookies et autres technologies de suivi, puis les contrôle automatiquement afin que vous et vos utilisateurs finaux sachiez quelles informations personnelles sont collectées, à quelles fins, et avec quels tiers elles sont partagées, si les utilisateurs consentent.

Nous permettons également aux entreprises d’être conformes à la CCPA et à la CPRA en mettant en place le lien requis Ne pas vendre ou partager mes informations personnelles avec la déclaration de cookies générée par le scanner, ainsi qu’en proposant des bandeaux d’opt-in/out nécessaires au consentement des mineurs de moins de 16 ans.

Essayez Cookiebot CMP gratuitement dès aujourd’hui.