Liste de contrôle de la conformité à CCPA et à l'ACPR pour la gestion des risques liés aux tiers

Adoptée initialement en juin 2018 et en vigueur depuis janvier 2020, la loi californienne sur la protection de la vie privée des consommateurs (CCPA) réglemente la collecte et la vente des données des consommateurs par les entreprises, dans le but de protéger les informations personnelles sensibles des résidents californiens et de permettre aux consommateurs de contrôler l'utilisation de ces informations.

Le site CCPA a été élargi en 2023 par la loi californienne sur les droits à la vie privée (California Privacy Rights Act - CPRA), qui ajoute de nouvelles obligations de conformité imposant des accords stricts avec des tiers pour garantir la collecte, l'utilisation et l'élimination en toute sécurité des informations relatives aux consommateurs. Bien que largement identique au site CCPA, le CPRA :

• Ajout d'un contenu visant à l'aligner davantage sur le règlement général sur la protection des données (RGPD ) de l'UE.
• Augmentation des sanctions en cas d'infraction
• Autorise la création de l'Agence californienne de protection de la vie privée

Ce post examine les exigences clés de CCPA, à qui il s'applique, et comment les organisations peuvent s'assurer que leurs tiers protègent les données de leurs clients. Pour simplifier, ce billet fait référence aux deux règlements - CCPA et CPRA - sous le nom de CCPA.

Comment le site CCPA définit-il les renseignements personnels ?

Commençons par la définition des "informations personnelles". Le site CCPA définit les informations personnelles sensibles comme "des informations qui identifient, concernent, décrivent, peuvent raisonnablement être associées ou pourraient raisonnablement être liées, directement ou indirectement, à un consommateur ou un ménage particulier".

Qu'est-ce que le site CCPA oblige les entreprises (et leurs tiers) à faire ?

Le site CCPA exige des entreprises qu'elles informent les résidents californiens des données recueillies avant de les collecter. Elle permet aux consommateurs d'accéder à toutes les données personnelles détenues par une entreprise et de recevoir des informations sur les personnes ou les organisations avec lesquelles ces données ont été partagées. Elle permet également aux consommateurs de se retirer et d'empêcher que leurs données personnelles soient vendues ou partagées avec un tiers.

À qui s'applique le site CCPA ?

Bien que le site CCPA soit techniquement une loi de l'État de Californie, sa portée se fait sentir bien au-delà des frontières de l'État d'or. La surveillance du site CCPA ne se limite pas aux entreprises dont le siège social est situé en Californie, ni même aux entreprises qui exercent physiquement leurs activités en Californie - le site CCPA s'applique aux données des consommateurs recueillies auprès de tout résident de Californie.

Étant donné que la Californie compte environ 40 millions d'habitants et qu'elle serait la cinquième économie mondiale si elle était son propre pays, il y a de fortes chances que si votre entreprise recueille des données sur les consommateurs, vous ayez recueilli les données d'un résident californien. En fait, de nombreuses entreprises choisissent de traiter chaque consommateur comme s'il s'agissait d'un résident californien, et se préparent donc à la mise en conformité de leurs activités avec le site CCPA .

Quelles sont les sanctions en cas de non-conformité sur le site CCPA ?

Si une entreprise est jugée responsable d'une sanction civile en vertu du site CCPA, la sanction peut atteindre 7 500 dollars par violation intentionnelle et 2 500 dollars par violation non intentionnelle. Le tribunal peut également ordonner des dommages-intérêts légaux pour les consommateurs.