Le CCPA est la loi sur la vie privée des États-Unis. Si votre entreprise opère n'importe où aux États-Unis, vous avez probablement des visiteurs de Californie. Si vous collectez leurs données par des formulaires, le CCPA s'applique. Mais le CCPA n'est pas la seule loi sur la vie privée. Plus d'une douzaine d'États américains ont désormais des réglementations similaires, et de nouvelles arrivent.
Le CCPA et les autres lois des États sont les équivalents américains du RGPD européen. Comprendre quelles lois sur la vie privée s'appliquent à vos formulaires et ce que chacune exige est essentiel pour rester en conformité dans les différentes régions des États-Unis.
Ce que vous allez apprendre : ce qu'est le CCPA et en quoi il diffère du RGPD, quels autres États américains ont des lois sur la vie privée, ce que ces lois exigent des formulaires, comment savoir quelles lois s'appliquent à votre entreprise et comment créer des formulaires conformes à plusieurs réglementations à la fois.
Qu'est-ce que le CCPA ?
Le CCPA (California Consumer Privacy Act) est une loi sur la vie privée qui s'applique aux entreprises à but lucratif qui collectent des informations personnelles auprès de résidents de Californie. Il est entré en vigueur le 1er janvier 2020 et a depuis été renforcé par des règlements supplémentaires.
Le CCPA s'applique à vos formulaires si :
- Votre entreprise collecte des données de personnes en Californie
- Vous réalisez un chiffre d'affaires annuel supérieur à 25 millions de dollars, ou
- Vous collectez les données de 100 000 résidents (ou foyers) ou plus, ou
- Vous vendez des données de consommateurs dans le cadre de votre activité
Même les petites entreprises atteignent souvent ces seuils sans s'en rendre compte. Si vous avez un formulaire de contact et que vous avez collecté des informations auprès de quelques centaines de résidents de Californie, vous êtes probablement concerné.
Principales exigences du CCPA pour les formulaires
Information dans une notice de confidentialité
Vous devez fournir une notice de confidentialité qui informe les visiteurs californiens sur :
- Les catégories d'informations personnelles que vous collectez (nom, e-mail, historique d'achats, etc.)
- Pourquoi vous les collectez (répondre aux demandes, fournir des services, marketing)
- D'où viennent les données (directement du consommateur dans un formulaire, de tiers, d'outils de statistiques)
- Combien de temps vous les conservez
- Avec qui vous les partagez (prestataires de services, autres entreprises, etc.)
La notice de confidentialité doit être facile à trouver. Un lien en pied de page ou une page de politique enfouie ne suffit pas. Placez-la là où les visiteurs la verront avant de remplir votre formulaire.
Le droit de savoir
Les résidents de Californie peuvent demander à savoir quelles informations personnelles vous avez collectées sur eux. Vous devez pouvoir fournir ces informations sous 45 jours. Il vous faut donc des systèmes pour suivre les données que vous avez sur chaque personne et un processus pour répondre à ces demandes.
Le droit de suppression
Les résidents de Californie peuvent vous demander de supprimer leurs informations personnelles. Vous devez vous y conformer, sauf raison légale de les conserver (comme des documents fiscaux ou la prévention de la fraude). Cela concerne tous les envois de formulaires et les données clients que vous avez sur eux.
Le droit de refuser la vente
Si vous vendez des données personnelles à d'autres entreprises (même si vous ne pensez pas à cela comme à une « vente »), les résidents de Californie peuvent s'y opposer. Selon le CCPA, « vendre » inclut le partage de données avec des tiers contre de l'argent, des services ou d'autres avantages de valeur. Vous devez afficher sur votre site un lien « Do Not Sell My Personal Information » (ne pas vendre mes informations personnelles).
Le droit de rectification
Les consommateurs peuvent demander que vous corrigiez des informations personnelles inexactes les concernant. Vous n'êtes pas obligé de tout modifier, mais vous devez avoir un processus pour examiner ces demandes et y répondre.
Pas de discrimination
Vous ne pouvez pas discriminer quelqu'un parce qu'il exerce ses droits CCPA. Si une personne demande la suppression de ses données, vous ne pouvez pas refuser de la servir ni lui faire payer plus cher vos services.
CCPA et RGPD : les principales différences
Le CCPA et le RGPD protègent tous deux les données personnelles, mais ils présentent des différences importantes :
| Critère | RGPD | CCPA | |-|-|-| | S'applique à | Données de résidents de l'UE, par toute entreprise | Données de résidents de Californie, par les grandes entreprises | | Consentement | Consentement explicite requis (sauf données essentielles) | Modèle d'opposition (les données sont collectées sauf demande contraire) | | Droit à l'oubli | Oui | Oui, mais avec plus d'exceptions | | Amendes | Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires | Jusqu'à 2 500 par infraction, jusqu'à 7 500 par infraction intentionnelle | | Vente de données | Interdite sans consentement | Autorisée sauf opposition du consommateur |La différence essentielle : le RGPD exige de demander la permission avant de collecter des données. Le CCPA exige d'informer les gens qu'ils peuvent s'y opposer.
Les autres lois des États américains sur la vie privée
Plus d'une douzaine d'autres États ont adopté des lois sur la vie privée proches du CCPA. Voici les principales :
Virginie (VCDPA)
Le Virginia Consumer Data Protection Act s'applique aux entreprises à but lucratif qui traitent des données personnelles de résidents de Virginie. Il exige des droits pour les consommateurs : accès aux données, suppression, rectification et opposition à la vente.
Colorado (CPA)
Le Colorado Privacy Act couvre les entreprises qui traitent des données de résidents du Colorado. Proche du CCPA mais avec quelques différences de champ d'application et de contrôle.
Connecticut (CTDPA)
Le Connecticut Data Privacy Act, en vigueur depuis juillet 2024. Droits des consommateurs proches du CCPA et du VCDPA.
Utah (UCPA)
L'Utah Consumer Privacy Act est nettement moins strict que les autres mais exige tout de même un droit d'opposition pour les consommateurs.
Montana, Delaware, Iowa et d'autres
D'autres États ont adopté ou étudient des lois sur la vie privée. La plupart suivent le modèle du CCPA avec droit d'opposition des consommateurs, avec quelques variations d'exigences.
Comment savoir quelles lois s'appliquent à vos formulaires
Pour déterminer à quelles lois sur la vie privée vous devez vous conformer :
- Identifiez d'où viennent vos visiteurs. Utilisez vos statistiques pour voir quels États et quelles régions sont représentés.
- Cherchez la loi de chaque région. Pour les États américains, consultez le site du procureur général de l'État. Pour les autres pays, étudiez leurs lois sur la vie privée.
- Vérifiez les seuils. Votre entreprise atteint-elle les seuils de taille ? Avez-vous assez de clients dans cette région ?
- Consultez un juriste en cas de doute. Le droit de la vie privée est complexe et varie selon les régions. Si votre entreprise collecte beaucoup de données, parlez à un avocat.
Créer des formulaires conformes à plusieurs lois sur la vie privée
Si vos visiteurs viennent de différents États et pays, vous devez suivre les règles les plus strictes qui s'appliquent.
Appliquez les règles du RGPD pour tout le monde
Si vous avez des visiteurs de l'UE, suivez les règles du RGPD. Le RGPD est l'une des lois les plus strictes sur la vie privée : s'y conformer signifie souvent être conforme aux autres lois aussi.
Utilisez un consentement explicite pour les données sensibles
Au lieu d'essayer de suivre des règles différentes selon les visiteurs, utilisez le consentement explicite (la norme du RGPD) pour tout. C'est plus clair et plus protecteur. Rendez les choix de consentement clairs, précis et séparés pour chaque usage des données.
Affichez une notice de confidentialité sur le formulaire
Incluez un résumé clair et lisible de vos pratiques sur la page du formulaire. Ajoutez un lien vers votre politique de confidentialité complète. Cela répond aux obligations d'information de plusieurs lois à la fois.
Facilitez le refus
Donnez aux gens un moyen de se désabonner des e-mails marketing ou de demander la suppression de leurs données. Incluez-le dans chaque e-mail marketing que vous envoyez (obligation légale) et sur votre site (bonne pratique).
Tenez de bons registres
Documentez les données que vous collectez, pourquoi, combien de temps vous les gardez et qui y a accès. Cela vous aide à répondre vite aux demandes sur les données et prouve votre conformité si une autorité vous le demande.
Amendes et sanctions des lois sur la vie privée
Le CCPA et les lois des États prévoient des sanctions financières :
- CCPA (Californie) : jusqu'à 2 500 dollars par infraction, 7 500 dollars par infraction intentionnelle. Le procureur général de l'État applique la loi, et les consommateurs peuvent aussi poursuivre dans certains cas.
- Virginie, Colorado, Connecticut, etc. : les amendes vont de 2 500 à 10 000 dollars par infraction, et certains États permettent aussi aux consommateurs de poursuivre.
Ces amendes sont plus faibles que celles du RGPD, mais elles s'accumulent vite quand il y a plusieurs infractions ou qu'une fuite de données touche des milliers de personnes.
Ce que fait WEMASY pour la conformité aux lois sur la vie privée
Les formulaires WEMASY incluent des outils pour vous aider à respecter les lois des États et fédérales sur la vie privée. Vous pouvez ajouter des mentions de confidentialité à vos formulaires, suivre la version de vos conditions de consentement acceptée par chaque visiteur et donner à votre équipe des processus pour traiter les demandes d'accès et de suppression de données. WEMASY enregistre aussi quelles données sont stockées et quand elles ont été envoyées, ce qui vous aide à tenir les registres nécessaires aux audits de conformité.
Découvrez les fonctions de conformité à la vie privée de votre offre sur la page des tarifs.