Recollective et le CCPA

Qu'est-ce que le CCPA ?

Le 28 juin 2018, la législature de Californie a adopté la Loi californienne sur la confidentialité des consommateurs (CCPA). Il a été promulgué le 11 octobre 2019 et est entré en vigueur le 1er janvier 2020.

La législation crée de nouvelles exigences importantes pour l'identification, la gestion, la sécurisation, le suivi, la production et la suppression des informations de confidentialité des consommateurs. Il est très similaire au Règlement général sur la protection des données (RGPD) introduit en mai 2018 par l'Union européenne.

Entre autres choses, le CCPA subventionne Consommateurs californiens nouveaux droits en matière de confidentialité :

• Le droit de savoir quelles informations personnelles les entreprises collectent à leur sujet et de demander une copie de ces informations ou de les supprimer
• Le droit de refuser la vente d'informations personnelles
• Le droit de tenir les entreprises responsables de la non-protection de leurs informations personnelles, y compris le droit d'intenter une action en justice pour violation de données

Qui doit s'y conformer ?

En tant que seuil, le CCPA s'applique aux entreprises à but lucratif qui collectent et contrôlent les informations personnelles des résidents de Californie, font des affaires dans l'État de Californie et répondent à l'une de ces trois exigences :

1. Avoir des revenus annuels bruts supérieurs à 25 millions de dollars américains; ou
2. Recevoir ou divulguer les informations personnelles de 50 000 ou plus Résidents, ménages ou appareils de Californie sur une base annuelle ; ou
3. Dériver 50 pour cent ou plus de leurs revenus annuels provenant de la vente Résidents de Californie informations personnelles.

Les organisations exemptées de cette loi comprennent les petites entreprises qui ne répondent à aucune des exigences ci-dessus, ainsi que les agences publiques et les organisations à but non lucratif. En outre, toute information collectée lors d'une activité commerciale « entièrement en dehors de la Californie » est exemptée. En outre, la Loi s'applique à toute entité qui contrôle ou est contrôlée par une entreprise visée ou qui partage une marque commune avec une entreprise visée, telle qu'un nom partagé, une marque de service ou une marque de commerce.

Pourquoi le CCPA est-il important ?

Bien que la CCPA touche principalement les résidents de Californie, toute entreprise qui exerce une activité importante en Californie et collecte, vend ou divulgue les informations personnelles des consommateurs californiens peut être soumise à la CCPA. La Californie est également considérée comme un pionnier en matière de lois américaines sur la protection de la vie privée, de sorte que d'autres États suivront probablement son exemple. Depuis l'adoption de la CCPA en juin 2018, de nombreux États ont introduit de nouvelles lois et projets de loi similaires.

Opt-In ou Désinscription

Contrairement au Règlement général sur la protection des données (RGPD) de l'Europe, le CCPA n'oblige pas les consommateurs à « accepter » la vente ou l'utilisation de leurs informations personnelles. Cependant, le CCPA exige des politiques de confidentialité très spécifiques et prévoit le droit de refuser la vente ou l'utilisation d'informations personnelles. En outre, il est interdit aux entreprises de « discriminer » les consommateurs lorsqu'ils exercent ces droits de retrait.

Ces notifications doivent informer les consommateurs sur les informations personnelles catégories seront collectées et l'utilisation ou la finalité prévue pour chaque catégorie. Le CCPA exige que les entreprises fournissent des informations spécifiques aux consommateurs et établit des exigences de livraison. Les tiers doivent également informer explicitement les consommateurs et leur donner la possibilité de se désinscrire avant de revendre les informations personnelles qu'ils ont acquises auprès d'une autre entreprise.

Définitions clés

Informations personnelles

Le CCPA définit les informations personnelles de manière très large comme « des informations qui identifient, concernent, décrivent, sont susceptibles d'être associées ou pourraient raisonnablement être liées, directement ou indirectement, à un consommateur ou à un ménage en particulier ».

En d'autres termes, l'État reconnaît une « large liste de caractéristiques et de comportements, personnels et commerciaux, ainsi que les déductions tirées de ces informations » qui peuvent être utilisées pour identifier un individu.

Voici des exemples d'informations personnelles couvertes :

• Informations personnelles identifiables telles que nom, adresse, numéro de téléphone, adresse e-mail, numéro de sécurité sociale, numéro de permis de conduire, etc.
• Informations biométriques, telles que l'ADN ou les empreintes digitales.
• Informations sur l'activité sur Internet ou sur d'autres réseaux électroniques, y compris, mais sans s'y limiter, l'historique de navigation, l'historique des recherches et les informations concernant l'interaction d'un consommateur avec un site Web, une application ou une publicité Internet.
• Données de géolocalisation.
• Informations audio, électroniques, visuelles, thermiques, olfactives ou similaires.
• Informations professionnelles ou liées à l'emploi.
• Informations sur l'éducation, définies comme des informations qui ne sont pas accessibles au public.
• Déductions tirées de l'un des exemples ci-dessus qui peuvent créer un profil sur un consommateur reflétant ses préférences, ses caractéristiques, ses tendances psychologiques, ses prédispositions, son comportement, ses attitudes, son intelligence, ses capacités et ses aptitudes.

Le CCPA ne restreint pas la capacité d'une entreprise à collecter, utiliser, conserver, vendre ou divulguer des informations sur les consommateurs anonymisées ou agrégées. Cependant, il place la barre très haut pour prétendre que les données sont anonymisées ou anonymisées. Les données pseudonymisées peuvent toujours être considérées comme des informations personnelles selon la définition large des informations personnelles du CCPA, car elles peuvent toujours être associées à un consommateur ou à un ménage en particulier.

Vendre

Le CCPA définit « définit »vente» comme « la location, la divulgation, la diffusion, la mise à disposition, le transfert ou la communication de toute autre manière d'informations personnelles pour une contrepartie monétaire ou autre contrepartie valable ». Notez que la vente n'implique pas nécessairement un paiement à effectuer en échange d'informations personnelles.

Traitement

Le CCPA définit »En traitement» comme « toute opération ou ensemble d'opérations effectuées sur des données personnelles » par des moyens automatisés ou non automatisés. Cependant, le terme « traitement » n'est utilisé que dans la section des définitions.

Droits des consommateurs

Le CCPA considère que les consommateurs sont « propriétaires » de leurs informations personnelles et leur confère cinq « droits » généraux concernant leurs informations personnelles. En vertu de cette loi, les consommateurs californiens auront le droit de :

1. Pour savoir quelles informations personnelles sont collectées à leur sujet: Les consommateurs auront le droit de savoir, par le biais d'une politique ou d'un avis général de confidentialité (et de plus amples informations sont disponibles sur demande), quelles informations personnelles une entreprise a collectées à leur sujet, leur source et les fins pour lesquelles elles sont utilisées.
2. Pour savoir si et à qui leurs informations personnelles sont vendues/divulguées, et pour refuser leur vente : Les entreprises qui fournissent ou mettent des données sur les consommateurs à la disposition de tiers moyennant une contrepartie monétaire ou autre sont réputées avoir vendu les données et devront les divulguer. Sous réserve de certaines exceptions, les consommateurs auront alors le droit supplémentaire de refuser la vente de ces informations en utilisant le lien « Ne pas vendre mes informations personnelles » sur la page d'accueil de l'entreprise, comme l'exige la Loi. De plus, les personnes âgées de 16 ans et moins doivent s'inscrire pour que leurs informations soient vendues. Notez que le terme « vendu » ne se limite pas à la vente effective d'informations de confidentialité, mais peut être interprété au sens large pour inclure le partage d'informations de confidentialité avec d'autres parties.
3. Pour accéder à leurs informations personnelles qui ont été collectées : Les consommateurs auront le droit de demander certaines informations aux entreprises, notamment les sources auprès desquelles une entreprise a collecté les informations personnelles du consommateur, les éléments spécifiques des informations personnelles qu'elle a collectées sur le consommateur et les tiers avec lesquels elle a partagé ces informations. La Loi exige que les entreprises fournissent aux consommateurs des moyens spécifiques pour soumettre ces demandes, généralement un numéro gratuit et un lien Web. Une fois la demande faite, les entreprises doivent divulguer les informations demandées gratuitement dans un délai de 45 jours, avec des prolongations de délai dans certaines circonstances.
4. Pour demander à une entreprise de supprimer ses informations personnelles : Les consommateurs peuvent demander que les informations personnelles collectées par une entreprise soient supprimées. Certaines informations personnelles sont exemptées des demandes de suppression, y compris les informations faisant l'objet d'une suspension légale (jusqu'à ce que l'affaire soit jugée ou jusqu'à ce que la suspension soit levée) et les informations qui doivent être conservées conformément aux exigences légales ou réglementaires en matière de conservation des dossiers.
5. Pour ne pas être victimes de discrimination dans l'exercice de leurs droits en vertu de la Loi : La CCPA donne aux consommateurs le droit de bénéficier d'un service et d'un prix égaux de la part d'une entreprise, même s'ils exercent leur droit à la vie privée en vertu de la Loi. Par conséquent, les entreprises ne peuvent pas « discriminer » les consommateurs pour l'exercice de ces droits à la vie privée. Ils ne peuvent pas refuser des biens ou des services, facturer des prix différents ou fournir une qualité de biens ou de services différente à ces consommateurs. Il existe toutefois quelques exceptions en ce qui concerne les niveaux de service qui peuvent être fournis.

Comparaison avec le RGPD

Le Règlement général sur la protection des données (RGPD) et le California Consumer Privacy Act (CCPA) visent tous deux à garantir une protection renforcée des personnes concernant leurs données personnelles et s'appliquent aux entreprises qui collectent, utilisent ou partagent des données sur les consommateurs, que ces informations aient été obtenues en ligne ou hors ligne.

Le RGPD, qui est entré en vigueur le 25 mai 2018, est l'une des lois de protection des données les plus complètes au monde à ce jour. En l'absence d'une loi fédérale complète sur la protection de la vie privée aux États-Unis, la CCPA est considérée comme l'une des évolutions législatives les plus importantes du pays en matière de protection de la vie privée.

À l'instar du RGPD, l'impact du CCPA devrait être mondial, étant donné le statut de la Californie en tant que cinquième plus grande économie mondiale.

Principales différences

• Exigences de divulgation : Le RGPD a eu des conséquences importantes et imprévues pour le secteur des études de marché, notamment en exigeant l'identification complète du sponsor de la recherche (à savoir la marque qui a commandé l'étude). Comme l'industrie le sait, la reconnaissance initiale du sponsor peut créer des biais de réponse. En comparaison, la conformité au CCPA ne nécessite que l'identification des catégories.
• Exigences relatives à l'inscription : Contrairement au RGPD, qui exige effectivement une base légale pour collecter des données personnelles, la nouvelle loi californienne prévoit en fait un « opt-out » car elle ne nécessite pas de consentement explicite (opt-in) pour collecter des données et ne dispose d'aucun fondement juridique défini pour le traitement.
• Définition des informations personnelles : Le CCPA couvre les résidents de Californie et protège les informations personnelles raisonnablement liées à un consommateur individuel ou à un ménage, tandis que le RGPD couvre les personnes concernées de l'UE (utilisateurs professionnels et consommateurs) sans tenir compte des exigences de citoyenneté ou de résidence et protège les données personnelles relatives à un individu uniquement.
• Entités couvertes : Le CCPA s'applique uniquement aux entreprises à but lucratif qui atteignent certains seuils minimaux, tandis que le RGPD s'applique à tous les types d'organisations, y compris les organismes publics et les organisations à but non lucratif.
• Données couvertes : Le CCPA exclut spécifiquement les informations personnelles couvertes par les lois fédérales en vigueur sur la confidentialité, telles que la loi HIPAA (Health Information Portability and Accountability Act) ou la Gramm-Leach-Bliley Act (GLBA), tandis que le RGPD s'applique à toutes les catégories de données personnelles.
• Droits des consommateurs : Le CCPA et le RGPD accordent aux consommateurs le droit d'accéder à une copie de leurs données personnelles ou de demander à une entreprise de supprimer leurs données personnelles. Le droit de suppression du CCPA s'applique uniquement aux informations personnelles collectées auprès du consommateur, tandis que le droit de suppression du RGPD couvre toutes les données personnelles concernant une personne concernée, quelle que soit leur source.
• Vente de données : Le CCPA permet aux résidents de Californie de refuser la vente de leurs informations personnelles, tandis que le RGPD permet à une personne concernée de demander la suppression de ses données ou la limitation du traitement.
• Failles de sécurité : Contrairement aux exigences européennes en matière de confidentialité prévues par le RGPD, le CCPA n'impose pas directement d'exigences en matière de sécurité des données. Cependant, il établit un droit d'action pour certaines violations de données résultant de violations de l'obligation d'une entreprise de mettre en œuvre et de maintenir des pratiques et des procédures de sécurité raisonnables adaptées au risque découlant de la législation californienne en vigueur.

Pour une comparaison détaillée des deux lois, nous vous recommandons de télécharger »Comparaison des lois sur la protection de la vie privée : RGPD contre CCPA« (Téléchargement du PDF) par le Forum sur l'avenir de la vie privée. En ce qui concerne les droits des consommateurs, voir les pages 30 à 37.

Recollective et CCPA

Par définition légale, le California Consumer Privacy Act (CCPA) ne s'applique pas directement à Recollective. Nous pouvons parfois travailler avec une organisation qui doit être conforme et nous nous engageons donc à aider activement nos clients à respecter leurs exigences légales.

En 2018, Recollective a procédé à une refonte de la confidentialité en vue du RGPD. Les mesures prises dans le cadre des fonctionnalités et des accords juridiques aideront également nos clients qui souhaitent se conformer au CCPA. Nous avons ajouté des fonctionnalités permettant de recueillir le consentement, de surveiller les désinscriptions, d'exporter des informations personnelles, de supprimer des informations personnelles pour certains utilisateurs, etc. À aucun moment, nous ne revendons des données personnelles de quelque manière que ce soit et nos contrats types le stipulent par écrit.

En fin de compte, la responsabilité de la conformité au CCPA incombe à l'organisation qui utilise Recollective. Ces organisations souhaiteront peut-être réviser leurs politiques de confidentialité, mettre en place des déclarations de consentement (accords) mises à jour, limiter leur collecte de données et documenter soigneusement leur utilisation, leur traitement et leur stockage des données à la fin de l'étude dans Recollective.

Les déclarations de confidentialité mises à jour peuvent être ajoutées sous forme d'accord cliquable dans Recollective et/ou ajoutées sous forme de lien permanent dans le pied de page du site Recollective.

Veuillez consulter notre ressource concernant Recollective et le GDRP pour en savoir plus sur les fonctionnalités spécifiques de Recollective, telles que la possibilité de cibler l'effacement des données personnelles pour un seul utilisateur ou un groupe d'utilisateurs en cas de demande d'oubli.

Vous pouvez également utiliser le Accords fonctionnalité dans Recollective pour obtenir un consentement explicite à la collecte de données personnelles et pour fournir un autre mécanisme permettant aux consommateurs de se désinscrire de l'étude et de l'utilisation de leurs données personnelles.

Si vous envisagez de vendre des informations personnelles, telles que définies par le CCPA, nous vous suggérons d'ajouter un accord facultatif avec la déclaration « Ne pas vendre mes informations personnelles ». L'accord sera présenté à tous les participants inscrits et ne sera pas coché par défaut. Les segments intelligents peuvent être utilisés pour regrouper automatiquement les participants en fonction de leur réponse aux accords.