Les États-Unis n'ont pas de loi fédérale complète sur la vie privée, mais plusieurs lois d'État exigent désormais des statistiques conformes à la vie privée. Le CCPA en Californie (et son successeur, le CPRA) a fait école. Des lois similaires existent maintenant en Virginie, dans le Colorado, le Connecticut, l'Utah, le Montana et le Delaware. Pour les sites américains, en supposant que vous avez des visiteurs dans plusieurs États, vous devez probablement respecter plusieurs de ces lois en même temps.
Comment fonctionne le CCPA/CPRA
Le CCPA (California Consumer Privacy Act) s'applique aux entreprises à but lucratif qui collectent des données de résidents de Californie. Il exige l'information sur la collecte de données, la divulgation des données collectées et de leur finalité, et des droits pour les utilisateurs d'accéder à leurs données, de les supprimer et de refuser leur vente. Le CPRA (California Privacy Rights Act), qui a modifié le CCPA, ajoute des exigences de consentement plus strictes et le droit des consommateurs de faire corriger des données inexactes.
Ce qui déclenche le CCPA
Le CCPA s'applique si votre entreprise remplit l'un de ces critères : 25 M$ ou plus de chiffre d'affaires annuel, achat, vente ou partage de données de 100 000 personnes ou foyers ou plus, ou 50 % ou plus du chiffre d'affaires tiré de la vente de données de consommateurs. De nombreuses entreprises de taille intermédiaire le déclenchent sans s'en rendre compte.
Le CCPA s'applique aux « informations personnelles », c'est-à-dire les données qui identifient une personne précise, se rapportent à elle ou pourraient lui être liées. C'est plus large que le RGPD. Cela inclut les déductions sur les préférences, la localisation, le comportement commercial, et plus encore. Pour les statistiques, la plupart du suivi est concerné.
Les droits du CCPA que vous devez respecter
Droit de savoir : les utilisateurs peuvent demander quelles informations personnelles vous avez collectées et comment vous les avez utilisées. Vous devez répondre sous 45 jours (prolongeable jusqu'à 90). La divulgation doit être complète.
Droit de suppression : les utilisateurs peuvent demander la suppression de leurs informations personnelles. Vous devez vous y conformer sous 45 jours. Vous pouvez toutefois conserver des données pour des finalités commerciales légitimes (par exemple la détection de fraude) ou pour respecter la loi.
Droit de refuser la vente : les utilisateurs peuvent demander que vous cessiez de vendre leurs données. Vous devez y donner suite sous 15 jours ouvrables. À noter : la « vente » au sens du CCPA inclut le partage contre toute contrepartie de valeur, pas seulement de l'argent.
Droit de correction : avec le CPRA, les utilisateurs peuvent demander que vous corrigiez des données inexactes. C'est nouveau et simple : si une donnée est fausse, corrigez-la.
Opt-in ou opt-out
Le CCPA utilise l'opt-out pour la vente de données : les utilisateurs peuvent voir leurs données vendues sauf s'ils refusent. Le CPRA et les lois d'État plus récentes utilisent l'opt-in pour les données sensibles : il faut une autorisation explicite avant de collecter des informations sensibles (localisation précise, numéros de sécurité sociale, données financières, etc.). Pour les statistiques, partez du principe qu'il vous faut un consentement opt-in sous les lois plus récentes.
Les autres lois d'État sur la vie privée
La Virginie (VCDPA), le Colorado (CPA), le Connecticut (CTDPA), l'Utah (UCPA), le Montana (MTDPA) et le Delaware (DPDPA) ont tous adopté des lois complètes sur la vie privée. Elles suivent le modèle CCPA/CPRA : elles donnent aux utilisateurs des droits de savoir, de supprimer et de refuser. Les détails varient selon l'État, mais le schéma général est cohérent.
Faut-il respecter toutes ces lois ?
Cela dépend de votre public. Si vous servez surtout la Californie, concentrez-vous sur le CCPA/CPRA. Si vous servez plusieurs États, la plupart des entreprises adoptent une norme de confidentialité de niveau RGPD (qui dépasse la plupart des exigences des lois d'État américaines) et l'appliquent à tous les visiteurs. C'est plus simple qu'une conformité État par État.
La réalité du multi-États
La plupart des sites ont des visiteurs de plusieurs États. Certains servent les 50 États. Plutôt que de maintenir des pratiques statistiques différentes par État, la plupart des entreprises adoptent la norme la plus stricte à laquelle elles sont soumises et l'appliquent partout. Cela réduit la complexité et garantit que vous n'êtes jamais en défaut.
La conformité CCPA/CPRA en pratique
La conformité exige : une politique de confidentialité qui explique quelles données vous collectez et pourquoi ; des mécanismes de refus clairs pour la vente de données (le cas échéant) ; la capacité de répondre aux demandes d'accès sous 45 jours ; des systèmes pour supprimer les données d'un utilisateur sur demande ; et un marketing honnête sur vos pratiques de données (ne pas mentir sur ce que vous collectez ou sur la façon dont vous l'utilisez).
Sanctions et application du CCPA
Le procureur général de Californie peut infliger jusqu'à 2 500 $ par infraction (ou 7 500 $ par infraction intentionnelle). Les consommateurs peuvent engager des actions privées en cas de fuite de données (dommages et intérêts légaux de 100 à 750 $ par personne et par incident). Les actions collectives sont courantes. Impact pratique : une infraction au CCPA peut facilement coûter de 1 à 10 M$ si elle touche beaucoup d'utilisateurs.
RGPD, CCPA et lois d'État : comparaison
Le RGPD est plus strict sur le consentement. Le CCPA est plus large sur ce qui compte comme donnée personnelle. Les lois d'État suivent le modèle CCPA avec des variantes. Si vous respectez le RGPD (fondé sur le consentement, transparence d'abord), vous êtes en grande partie conforme au CCPA et aux lois d'État. L'inverse n'est pas toujours vrai : la conformité au CCPA peut ne pas suffire pour le RGPD.
Est-ce que je déclenche vraiment le CCPA ? Comment savoir si j'atteins le seuil de 25 M$ ?
Vous déclenchez le CCPA si vous remplissez L'UNE des trois conditions : 25 M$ ou plus de chiffre d'affaires annuel, achat, vente ou partage de données de 100 000 personnes ou plus, ou 50 % ou plus du chiffre d'affaires tiré de la vente de données. Le seuil de 25 M$ est simple (chiffre d'affaires de l'an dernier). Le critère des 100 000 personnes est plus délicat : si votre fournisseur de statistiques traite les données de 100 000 visiteurs ou plus, cela peut le déclencher (vous partagez des données). Le critère des 50 % s'applique si la vente de données est votre activité principale (rare). Pour la plupart des entreprises de taille intermédiaire, c'est le seuil de 25 M$ qui compte. Vérifiez : votre chiffre d'affaires de l'an dernier dépassait-il 25 M$ ? Si oui, le CCPA s'applique.
Qu'est-ce qui compte comme donnée personnelle sous le CCPA et sous le RGPD ? Pourquoi le CCPA est-il plus large ?
RGPD : identifie une personne directement (nom, e-mail) ou indirectement (adresse IP). CCPA : plus large, il inclut tout ce que couvre le RGPD PLUS les déductions et les prévisions. Exemple : cinq visites de pages d'une boutique en ligne. RGPD = donnée personnelle (identifiant de session). CCPA = donnée personnelle PLUS préférence déduite (déduction que vous aimez faire du shopping). Le CCPA inclut des données comportementales et prédictives que le RGPD peut ne pas couvrir. Pour les statistiques : une page vue est une donnée personnelle dans les deux cas. Une déduction comportementale (« intéressé par les produits de luxe ») est clairement une donnée personnelle du CCPA, peut-être pas du RGPD. L'étendue du CCPA fait que plus de données déclenchent la conformité, ce qui le rend plus difficile que le RGPD pour certaines entreprises.
Quand un utilisateur demande la suppression, quelles finalités légitimes me permettent de conserver des données ?
La suppression au titre du CCPA a des exceptions. Conservez des données pour : (1) La détection de fraude et la sécurité. (2) Le respect de la loi (fiscalité, contrats, procès). (3) L'amélioration des produits (seulement si anonymisées ou agrégées). (4) Les statistiques internes (seulement si anonymisées). (5) Le respect des attentes de l'utilisateur (si vous avez promis de les conserver). Pour les statistiques : atteinte à la sécurité = conserver. Blocage juridique = conserver. « Pourrait servir plus tard » = supprimer. Test : pourriez-vous l'expliquer à un régulateur et tenir la route ? Si oui, conservez. Si c'est spéculatif, supprimez.
Pourquoi le délai de refus est-il de 15 jours alors que celui d'accès est de 45 jours ?
La complexité est différente. Le refus de vente de données est simple : ajouter l'utilisateur à la liste de non-vente (un changement de configuration, quelques jours de travail). 15 jours ouvrables (3 semaines) est raisonnable. Les demandes d'accès sont plus difficiles : retrouver toutes les données de tous les systèmes, les compiler, les présenter lisiblement, les remettre. Cela demande d'interroger plusieurs bases de données, de repérer les données sensibles, de créer un document lisible. 45 jours (9 semaines) est réaliste pour ce travail. La loi reconnaît la différence de complexité. Pour les statistiques : le refus prend 2 à 3 jours (ajout à la liste de suppression). Une demande d'accès prend 30 jours ou plus (extraction des statistiques, du CRM, du support, etc.).
Le droit d'action privée est de 100 à 750 $ par personne : comment est-ce calculé ?
Dommages et intérêts légaux : un montant fixe par personne et par incident, sans lien avec le préjudice réel. Exemple : une fuite touche 10 000 personnes. 10 000 × 100 $ minimum = 1 M$ de dommages légaux. Réclamer 750 $ par personne = 7,5 M$. Le défendeur transige entre les deux. « Par incident » signifie qu'une fuite = un incident (pas 10 000). Plusieurs fuites cumulent les dommages. Réalité : une fuite touchant 10 000 personnes coûte facilement de 1 à 10 M$ de dommages légaux plus les frais d'avocat. Les défendeurs transigent dans les actions collectives à 50 à 70 % des dommages légaux réclamés. C'est pourquoi la prévention est essentielle : les dommages légaux sont automatiques dès que la fuite est prouvée.
Pour la conformité multi-États, dois-je appliquer les règles propres à chaque État ou la norme RGPD ?
Appliquez la norme RGPD pour tous. Le RGPD est plus strict que toutes les lois d'État américaines. Si vous êtes conforme au RGPD, vous dépassez automatiquement la plupart des exigences des États. Les règles par État sont complexes à gérer (bandeaux, conservation, refus différents selon l'État). La norme RGPD est plus simple : un seul jeu de règles couvre tous les États. Exception : si vous ne servez qu'un ou deux États, optimisez pour ceux-là. Mais pour 5 États ou plus, ou les 50, la norme RGPD est plus facile. Stratégie : construisez selon le RGPD, ajoutez une interface propre à la Californie (lien de refus), configurez les statistiques comme si le RGPD s'appliquait à tous les États. Vous serez sur-conforme pour la plupart des États, ce qui est plus sûr que sous-conforme.