- Le CCPA exige la transparence et l’application des droits des personnes concernées, mais ne constitue pas un substitut identique au RGPD.
- Applicable aux entreprises à but lucratif basées en Californie si des seuils de chiffre d’affaires ou de volume de données sont dépassés.
- Les personnes concernées ont des droits d’accès, d’information, d’effacement et d’opposition, ainsi que le droit à la non-discrimination et à des dommages et intérêts.
Le 1er janvier 2020, la loi californienne sur la protection des consommateurs (CCPA) est entré en vigueur. Le CCPA exige en premier lieu la transparence et le respect des droits des personnes concernées. Il ne s’agit pas d’une sorte de “mini-RGPD”, mais il s’inspire du RGPD sur certains points. Le CCPA peut s’appliquer à des entreprises situées en dehors de la Californie. Voir à ce sujet le Fiche d’information de l’Office of the Attorney General).
Champ d’application
Le CCPA s’applique aux entités juridiques situées en dehors de la Californie si l’entreprise (1) est responsable d’un traitement de données et (2) est à but lucratif, (3) opère en Californie et (4) dépasse l’un des seuils suivants :
- Chiffre d’affaires annuel brut de 25 millions de dollars (seuil à adapter à l’indice des prix à la consommation) ;
- Achat, collecte, vente ou communication à des fins commerciales de données personnelles (non disponibles publiquement pour le traitement) de 50 000 consommateurs dans des calories, des ménages ou des appareils connectés à un réseau.
- 50 % du chiffre d’affaires annuel provient de la vente de données personnelles de consommateurs en calories (non disponibles publiquement pour le traitement).
Sur le fond, le CCPA s’applique aux “informations personnelles” des “consommateurs”. Cela concerne les informations “que identifie, relates to, describes, is capable d’être associé avec, ou pourraient raisonnablement être liés, directement ou indirectementavec un consommateur ou un ménage particulier”. Il s’agit notamment de
- “Identifiants tels qu’un nom réel, un alias, une adresse postale, identifiant personnel unique, online identifier Adresse du protocole Internet, adresse électronique, nom de compte, numéro de sécurité sociale, numéro de licence du conducteur, numéro de passeport, ou autres identifiants similaires”, mais aussi “toute autre information financière, information médicale ou information relative à l’assurance maladie”.
- „Internet ou autres informations d’activité de réseau électroniquey compris, mais sans s’y limiter, l’historique de la navigation, l’historique des recherches et les informations relatives à l’interaction d’un consommateur avec un site web, une application ou une publicité sur Internet”.
Les données disponibles publiquement sont toutefois exclues, à condition que ces données ne soient utilisées qu’aux fins pour lesquelles elles ont été publiées.
Sont également exclues, entre autres, les données soumises à la loi HIPAA (Health Insurance Portability and Availability Act).
Contenu réglementaire
En premier lieu, le CCPA confère des droits aux personnes concernées :
- Le droit Renseignements de demander des informations sur les catégories et les différentes données personnelles collectées ;
- le droit d’être informé des catégories de données collectées et des finalités du traitement, ainsi que d’autres points être informéet l’exigence que les données traitées uniquement conformément à leur destination être ;
- du droit (sous certaines réserves, entre autres la réutilisation conforme à l’usage interne de l’entreprise) Suppression des données personnelles que l’entreprise a collectées auprès du consommateur ;
- le droit de refuser à une entreprise active dans le commerce de données le Interdire la vente de données personnelles. De telles entreprises doivent proposer un lien correspondant “Do Not Sell My Personal Information” sur leur site web ;
- le droit, en relation avec l’exercice des droits des personnes concernées non discriminé (par ex. en refusant de conclure un contrat ou en pratiquant des prix différents de manière injustifiée). Les incitations financières pour la divulgation de données personnelles et les modèles commerciaux basés sur les données avec une tarification correspondante restent toutefois autorisés ;
- Le droit, en cas de violation de la sécurité due à des mesures de sécurité insuffisantes, entre autres Dommages et intérêts d’au moins 100 USD.
Relation avec le RGPD
Le respect du RGPD ne signifie pas que l’entreprise concernée respecte également le CCPA. Le CCPA contient certaines obligations plus étendues.