Guide de conformité au CCPA : exigences et réglementations

Les entreprises d’aujourd’hui s’appuient invariablement sur les données des consommateurs pour mieux comprendre qui sont leurs clients et obtenir un avantage concurrentiel. Ces données, qui peuvent aller des informations démographiques de base aux comportements de navigation en ligne, sont souvent utilisées pour améliorer la personnalisation sur les propriétés web et les applications, et pour développer des produits et services pertinents. Les données des consommateurs sont également particulièrement précieuses pour les professionnels du marketing qui les utilisent pour la publicité ciblée. Mais à mesure que les consommateurs prennent conscience de la quantité de leurs données collectées, ils s’inquiètent à juste titre de la manière dont ces informations sont utilisées, partagées et protégées.

En 2018, la Californie est devenue le premier État des États-Unis à introduire une politique complète de confidentialité des données, le California Consumer Privacy Act (CCPA), conçue pour protéger et faire respecter les droits des résidents californiens concernant la confidentialité de leurs informations personnelles. Aujourd’hui, 20 États disposent de lois similaires sur la confidentialité des données, mais le CCPA reste le plus remarquable, en partie en raison de l’importante population de l’État.

L’impact du CCPA sur les entreprises ne cesse de croître. Protéger les données des consommateurs n’est pas seulement une obligation légale : en règle générale, cela rassure les clients, renforce leur fidélité et préserve votre marque ainsi que votre réputation. Dans cet article, nous examinerons plus en détail les réglementations établies par le CCPA, qui doit s’y conformer et pourquoi il est essentiel tant pour les consommateurs que pour les entreprises.

Afin de donner aux consommateurs californiens plus de contrôle sur leurs informations privées, le CCPA a défini les droits de confidentialité suivants :

1. Le droit de savoir quelles données sont collectées
2. Le droit de supprimer ses informations personnelles
3. Le droit de s’opposer à la vente de ses données personnelles
4. Le droit à la non-discrimination
5. Le droit à la portabilité des données

En 2020, les électeurs californiens ont approuvé un amendement au CCPA qui incluait des protections supplémentaires, notamment :

1. Le droit de corriger des informations inexactes
2. Le droit de limiter l’utilisation et la divulgation des informations personnelles sensibles collectées à leur sujet

Bien que toute organisation collectant des données sur les résidents californiens doive confirmer les réglementations de conformité spécifiques avec l’État, le CCPA s’applique aux entreprises à but lucratif qui exercent leurs activités en Californie et répondent à l’un des critères suivants :

• Avoir un chiffre d’affaires annuel brut d’au moins 26 625 000 USD
• Acheter, vendre ou partager les informations personnelles d’au moins 100 000 résidents, foyers ou appareils californiens
• Tirer 50 % ou plus de leur chiffre d’affaires annuel de la vente d’informations personnelles de résidents californiens

Le CCPA a une portée extraterritoriale : il s'applique à toute entreprise à but lucratif, quelle que soit sa nationalité ou son lieu d'établissement, dès lors qu'elle exerce des activités en Californie et remplit les critères ci-dessus. Une entreprise française ou européenne vendant en ligne à des clients californiens peut donc être soumise au CCPA. La conformité au RGPD ne dispense pas de la conformité au CCPA : les deux réglementations coexistent et imposent des obligations distinctes, notamment en matière de consentement, d'opt-out et de droits des consommateurs. Les organisations européennes doivent évaluer leur exposition au CCPA indépendamment de leur programme de conformité RGPD.

Il est important de noter que le California Consumer Privacy Act ne s’applique pas aux organisations gouvernementales ou à but non lucratif, telles que les associations caritatives et les établissements d’enseignement, car elles ne sont pas considérées comme des « entreprises » au sens de la loi. Cependant, les organisations à but non lucratif doivent tout de même se conformer au CCPA si elles sont :

• Affiliées à une entreprise réglementée par le CCPA, avec laquelle elles partagent des informations personnelles et une image de marque
• Dans un partenariat ou une coentreprise avec une participation d’au moins 40 % de chaque entreprise

Si votre entreprise répond aux critères énoncés ci-dessus, voici quelques-unes des principales exigences à respecter pour vous mettre en conformité avec le CCPA :

1. Mettre à jour les politiques de confidentialité

Créez une politique de confidentialité facilement accessible qui indique clairement quelles données sont collectées, dans quel but, et comment les clients peuvent exercer leurs droits concernant leurs informations privées.

2. Fournir des mécanismes d'opposition (opt-out) clairs

Offrez aux clients un moyen de s’opposer facilement à la vente ou au partage de leurs données.

3. Permettre les demandes d’accès et de suppression des données

Offrez aux clients un moyen simple et clair de demander l’accès à leurs données ou leur suppression.

4. Former le personnel à la conformité

Assurez-vous que les employés sont formés à la conformité au CCPA et savent comment traiter les demandes des clients concernant leurs données.

5. Tenir des inventaires détaillés des données

Effectuez régulièrement des inventaires des données et créez des cartographies des données pour savoir exactement quelles informations personnelles votre entreprise détient, où elles sont stockées et comment elles sont utilisées.

6. Établir des processus de vérification de l’identité

Assurez-vous de mettre en place des mesures de sécurité solides pour protéger les informations personnelles et empêcher tout accès non autorisé.

La collecte et la vente de données des consommateurs représentent une activité très lucrative. Les habitudes en ligne des consommateurs génèrent des données extrêmement précieuses pour les entreprises qui souhaitent optimiser leurs efforts marketing et créer de nouvelles opportunités commerciales. La Californie accorde aux individus un plus grand contrôle sur leurs données personnelles, ce qui inclut la sanction des entreprises qui violent les dispositions du CCPA.

Appliquées par le procureur général de Californie, certaines sanctions du CCPA courantes incluent des amendes par infraction, telles que 2 663 $ pour chaque infraction involontaire et 7 988 $ pour chaque infraction intentionnelle, ainsi que pour les infractions impliquant les informations personnelles de mineurs de moins de 16 ans (notez que ces chiffres sont ajustés en fonction de l’inflation et peuvent changer chaque année).

L’ampleur des infractions peut rapidement se multiplier : Une seule infraction peut correspondre à une violation de données impliquant un seul individu. Cependant, étant donné que les violations de données impliquent rarement une seule personne (elles concernent généralement des milliers de clients), les sanctions peuvent rapidement atteindre des montants considérables. Outre les amendes, le non-respect des réglementations du CCPA peut entraîner des recours collectifs en cas de violation de données et des poursuites privées donnant lieu à des sanctions civiles.

Voici des exemples de sanctions récentes illustrant la rigueur de l'application du CCPA :

• Sephora (2022) : amende de 1,2 million de dollars pour n'avoir pas respecté le droit d'opt-out sur la vente de données et pour avoir omis de traiter les signaux de désinscription via le Global Privacy Control (GPC).
• DoorDash (2024) : accord à l'amiable pour avoir partagé les données de clients avec un groupement marketing sans les en informer correctement ni leur offrir la possibilité de s'y opposer.
• Honda (2024) : 632 500 dollars pour avoir conditionné l'exercice des droits CCPA à la fourniture d'informations supplémentaires par les consommateurs, ce qui constitue une pratique discriminatoire prohibée.