Loi sur la Protection de la Vie Privée de Californie, AB 375 : C’est Personnel

Conformité    | 16 juillet 2018

En juin 2018, la Californie a adopté l’une des lois les plus avancées en matière de protection de la vie privée aux États-Unis – La Loi sur la Protection de la Vie Privée des Consommateurs de Californie de 2018 (AB 375). Cette loi est saluée comme une avancée majeure et est comparée au Règlement Général sur la Protection des Données (RGPD) en Europe.

Après examen, la loi AB 375 présente plusieurs difficultés, notamment le fait qu’elle n’entrera en vigueur qu’en 2020 et que de nombreuses grandes entreprises technologiques réclament des modifications de certaines dispositions de la loi.

Ce qui est inscrit dans la loi

La loi AB 375 établit plusieurs droits à la confidentialité des données pour les résidents californiens et, à l’instar du RGPD en Europe, cette loi s’applique à toute entreprise qui vend à des résidents californiens ou possède des données personnelles sur eux.

Ces droits à la confidentialité des données sont :

1. Le droit des Californiens de savoir quelles informations personnelles sont collectées.
2. Le droit des Californiens de savoir si leurs informations personnelles sont vendues ou divulguées et à qui.
3. Le droit des Californiens de refuser la vente de leurs informations personnelles.
4. Le droit des Californiens d’accéder à leurs informations personnelles.
5. Le droit des Californiens à un service et à un prix égaux, indépendamment de leur choix de divulguer des informations personnelles.

En bref, la loi AB 375 donne aux Californiens un moyen de refuser presque toutes les utilisations secondaires de leurs informations personnelles, que ce soit pour la vente à des courtiers en données, le suivi ou d’autres utilisations non liées directement à la fourniture d’un service.

Qui doit se conformer à la loi AB 375 ?

Contrairement au RGPD, la loi californienne AB 375 sur la protection de la vie privée ne s’applique qu’à une catégorie spécifique d’entreprises à but lucratif. Les organisations concernées doivent mener des activités ou être affiliées à une marque en Californie, recevoir ou divulguer les informations personnelles de plus de 50 000 Californiens et produire des revenus bruts de plus de 25 millions de dollars – dont 50 % doivent provenir de la vente d’informations personnelles. Cela signifie que les organismes à but non lucratif, les petites entreprises ou même les grandes sociétés californiennes qui collectent moins que le minimum requis d’informations personnelles ne sont pas concernés par cette loi.

Ce qui n’est pas inclus dans la loi AB 375

Bien que la loi californienne sur la protection de la vie privée prévoie des sanctions pour les violations résultant d’une protection insuffisante des informations, l’AB 375 ne contient pas d’exigences sur la manière dont les entreprises doivent protéger les informations. Cette loi ne contient pas non plus de formulation permettant de guider un tribunal pour analyser si les pratiques de protection des données d’une organisation sont adéquates.

Impact sur le Marché Californien

Contrairement au RGPD Européen, l’AB 375 ne contient pas d’instructions spécifiques à suivre par les entreprises en matière de sécurité du traitement. Mais la loi prescrit la manière dont les entreprises doivent obtenir le consentement pour collecter et utiliser les informations personnelles. Les consommateurs ne peuvent pas faire l’objet de discrimination pour avoir exercé leurs droits.

La loi AB 375 s’appuie largement sur d’autres lois californiennes et fédérales pour fournir des orientations dans ces domaines. Par conséquent, plusieurs conflits existent avec d’autres lois, ce qui nécessite une clarification supplémentaire par le biais d’orientations réglementaires ou de modifications de la loi AB 375 elle-même.

En outre, des questions subsistent quant à la manière dont la loi AB 375 pourrait être modifiée sous la pression des entreprises technologiques et des défenseurs de la vie privée ou quant aux réglementations supplémentaires qui pourraient être adoptées.

Une solution logique

Le cryptage des données sensibles est essentiel pour démontrer que les informations ont été protégées de manière adéquate dans le cadre de toute réglementation ou loi sur la protection de la vie privée.

Echoworx s’engage à respecter les exigences légales et de confidentialité des pays dans lesquels il opère. Echoworx continue d’ajouter des centres de données dans le monde entier pour s’assurer que les données sont résidentes aussi près que possible du pays ou de la région d’origine. Nous exploitons actuellement des centres de données aux États-Unis, au Royaume-Uni, en Irlande, en Allemagne, au Mexique et au Canada afin de garantir que les données puissent être stockées et conservées conformément aux réglementations et législations auxquelles nos clients sont soumis.

Par Brian Cole, Directeur en Chef des Opérations de Sécurité et du Support, Echoworx