Loi américaine sur la confidentialité et la protection des données : ce que les marques doivent savoir

Un projet de loi majeur protégeant les droits à la vie privée des consommateurs dans les 50 États a fait son chemin devant un comité de la Chambre des représentants des États-Unis, marquant la première fois qu'un projet de loi aussi radical a progressé aussi loin.

La loi américaine sur la protection des données et de la vie privée (ADPPA) a encore un long chemin à parcourir avant de devenir loi, mais les marques doivent être conscientes de ses dispositions et de leur impact potentiel sur les entreprises.

Qu'est-ce que la loi américaine sur la confidentialité et la protection des données ?

L'ADPPA établit des exigences sur la manière dont les entreprises et les organisations, y compris les organisations à but non lucratif, doivent traiter les données personnelles, y compris les informations qui identifient une personne ou qui peuvent être raisonnablement liées à une personne.

Le projet de loi toucherait la plupart des entités de collecte de données. Elle s'applique également aux entités qui traitent les « données couvertes » et sont soumises à la Federal Trade Commission Act (FTC Act). Toute entreprise ou organisation à but non lucratif qui collecte, traite ou transfère des données pouvant être raisonnablement liées à des individus est susceptible d'être redevable à la loi. Cela ne s'appliquerait pas aux entités gouvernementales.

L'ADPPA limite l'utilisation commerciale des données personnellement identifiables. Il interdit en grande partie aux organisations de collecter, traiter ou transférer des données personnelles au-delà de ce qui est raisonnablement nécessaire pour fournir un service demandé par l'individu.

Cependant, le projet de loi comprend 17 exceptions autorisées, couvrant des activités telles que la nécessité d'authentifier les utilisateurs et de prévenir la fraude.

Les courtiers en données seraient confrontés à davantage d'obligations en vertu de l'ADPPA, y compris l'enregistrement auprès de la FTC, qui établirait et maintiendrait un registre en ligne consultable contenant les noms de ces entités. Il y aurait également un registre « Ne pas collecter » qui permettrait aux utilisateurs de demander aux courtiers en données de supprimer leurs informations dans les 30 jours.

Protection de la vie privée des consommateurs et sécurité des données

Les défenseurs de la vie privée cherchent depuis longtemps à donner aux consommateurs plus de visibilité et de contrôle sur leurs informations personnelles. En vertu du projet de loi américaine sur la confidentialité et la protection des données, les entreprises doivent autoriser les utilisateurs à accéder, corriger et supprimer leurs données personnelles.

Les entreprises devraient mettre en place des mécanismes pour répondre à toutes les demandes des utilisateurs afin de voir et d'ajuster les données que les organisations possèdent à leur sujet.

Avec ADPPA, les législateurs visent à réduire le nombre de violations de données en rendant la sécurité des données obligatoire. Au cours du premier semestre de cette année seulement, il y a eu près de 2 000 violations de données, dont beaucoup concernaient des informations personnellement identifiables, ou PII.

Les entreprises qui ne peuvent pas démontrer qu'elles ont fait tout leur possible pour protéger les données des clients pourraient éventuellement faire face à de lourdes amendes et pénalités, bien que l'application n'ait pas encore été complètement élaborée (le projet de loi comprend une clause indiquant que la FTC devra créer un bureau de la confidentialité pour gérer cela).

Les entreprises de plus de 15 employés devraient également avoir un responsable de la confidentialité et un responsable de la sécurité des données.

Dispositions supplémentaires de l'ADPPA

Tel qu'il est rédigé, le projet de loi sur la confidentialité des données exigerait que les entreprises soient transparentes sur ce qu'elles font avec les données des consommateurs et sur la manière dont elles les protègent. Il faudrait qu'ils divulguent publiquement leurs politiques de confidentialité « d'une manière claire, visible, non trompeuse et facilement accessible.

Les politiques devraient détailler les types de données qu'une organisation collecte ainsi que comment et quand elle les collecte, les traite et les transfère.

L'ADPPA limite ou interdit de nombreuses formes de publicité ciblée, en particulier pour les mineurs . Certains disent que cela imposerait les restrictions les plus strictes aux États-Unis et, peut-être, dans le monde.

Les entreprises devraient être extrêmement prudentes pour éviter de faire pression sur les mineurs pour qu'ils divulguent des données personnelles inutiles ou leur adressent directement du marketing ou de la publicité.

Les consommateurs peuvent poursuivre les entreprises pour des violations présumées de la vie privée. À partir de deux ans après l'adoption de l'ADPPA, les utilisateurs pourraient intenter une action en justice pour obtenir des mesures correctives telles qu'une injonction, des dommages-intérêts compensatoires et des honoraires d'avocat raisonnables s'ils pensaient qu'une organisation avait mal géré leurs données privées.

Loi fédérale sur la protection des données : Pas de pari sûr

Malgré un désir bipartite de faire quelque chose au sujet de la confidentialité des données et du soutien des consommateurs aux dispositions du projet de loi, des obstacles considérables à l'adoption du projet de loi subsistent.

Par exemple, les législateurs des États dotés de règles de confidentialité existantes, notamment le Connecticut, le Colorado, l'Utah, le Vermont et la Californie, ont exprimé leur inquiétude que l'ADPPA puisse l'emporter sur les protections qu'ils ont déjà adoptées pour leurs citoyens. Les législateurs californiens, en particulier, craignent que cela ne sape leur loi californienne de 2018 sur la protection de la vie privée des consommateurs (CCPA) ainsi qu'une autre initiative qui entrera en vigueur l'année prochaine.

Après une campagne de répression des entreprises en ligne, le procureur général de Californie, Rob Bonta, a annoncé un règlement de 1,2 million de dollars avec Sephora en août pour avoir prétendument omis d'informer les consommateurs qu'il vendait leurs données, pour ne pas avoir traité les demandes des utilisateurs de se retirer de ces pratiques, et pour ne pas remédier assez rapidement à ses violations. D'autres détaillants ont reçu des avis leur demandant de remédier à leurs violations du CCPA.

Alors qu'un amendement à l'ADPPA tente d'apaiser les législateurs californiens avec un langage appelant spécifiquement le CCPA comme restant en vigueur, certains considèrent toujours la loi de l'État comme menacée et s'opposent à la législation fédérale.

Sans surprise, les courtiers en données s'y opposent et la Chambre de commerce des États-Unis l'a qualifié d'« irréalisable ».

Indépendamment de ces batailles, il y a un sentiment d'optimisme à Capitol Hill, l'ADPPA trouvera suffisamment de soutien pour le passage. Après d'intenses négociations, le projet de loi est sorti relativement indemne du comité de l'énergie et du commerce de la Chambre. Cependant, avec les élections de mi-mandat à venir en novembre, il est possible que les législateurs préfèrent laisser le prochain Congrès décider de l'avenir de l'ADPPA.

Même s'il n'est pas ratifié, l'élan derrière l'ADPPA suggère qu'il y aura une loi fédérale sur la confidentialité des données, et les entreprises devraient être prêtes et capables de réagir.