La CCPA est l’acronyme de California Consumer Privacy Act. C’est une loi de l’État de Californie qui protège les données personnelles des consommateurs, mais aussi des foyers (« households »). Elle définit à la fois des droits pour les personnes concernées et des obligations pour les entreprises.
Elle s’applique aux entreprises à but lucratif, même si elles ne sont pas installées en Californie, dès lors qu’elles répondent à certains critères, par exemple :
- Traiter les données de plus de 100 000 consommateurs ou foyers.
- Réaliser plus de 25 millions de dollars de chiffre d’affaires annuel.
- Tirer plus de 50 % de leurs revenus de la vente ou du partage de données personnelles.
CCPA en Californie : entrée en vigueur et évolutions
La CCPA est entrée en vigueur le 1er janvier 2020. Trois ans plus tard, la CPRA (California Privacy Rights Act) est venue renforcer et élargir ce cadre.
Il ne s’agit pas de deux lois séparées, mais d’un même texte qui a été modifié. Donc, les parties de la CCPA qui n’ont pas été changées restent applicables. En pratique, on parle souvent de « CCPA » ou de « CCPA modifiée ».
Parmi les évolutions apportées par la CPRA, on retrouve de nouveaux droits pour les consommateurs, comme la correction d’informations inexactes. Elle impose aussi des exigences plus strictes aux entreprises, par exemple l’obligation d’obtenir un accord spécifique pour vendre ou partager les données personnelles de mineurs de moins de 16 ans.
Si l’utilisateur a moins de 13 ans, la loi exige le consentement des parents. En revanche, entre 13 et 15 ans, le mineur peut donner son accord directement.
En plus, la réglementation introduit la notion de « données sensibles » (numéro de sécurité sociale, données biométriques, géolocalisation précise, santé, orientation sexuelle, origine ethnique, contenu des communications, etc.). Les consommateurs peuvent demander à limiter l’usage et le partage de ces informations.
Comment la CCPA protège-t-elle les personnes évaluées ?
En Californie, la CCPA protège les consommateurs concernant la collecte et l’usage de leurs données personnelles par les entreprises. Cela peut s’appliquer, par exemple, lorsqu’un candidat passe une épreuve en ligne avec un système de surveillance fourni par un prestataire externe.
La CCPA donne aux utilisateurs, comme des étudiants, des candidats ou des employés qui passent un examen digital avec SMOWL, plusieurs droits (présentés dans la section suivante). Pour les exercer, ils doivent en général :
- Consulter la politique de confidentialité de l’entreprise.
- Contacter l’organisation via les canaux proposés (formulaire, e-mail, téléphone, etc.).
- Fournir une identité vérifiable.
Les entreprises doivent répondre dans un délai défini. Et si une demande est jugée infondée ou excessive, elles peuvent en limiter la fréquence, en général à deux demandes par an.
ABONNEZ-VOUS À LA NEWSLETTER
Découvrez les dernières tendances du secteur.
Droits prévus par la CCPA
La loi californienne sur la protection des données reconnaît plusieurs droits aux consommateurs :
- Droit d’accéder aux informations collectées par une entreprise sur la période récente et d’en connaître les finalités.
- Droit de demander la suppression des données collectées, avec certaines exceptions.
- Droit de rectification, pour corriger des informations inexactes détenues par une entreprise.
- Droit de refuser la vente ou le partage des données personnelles à des tiers (opt-out).
- Droit de limiter l’usage et la divulgation des données sensibles.
- Droit à la non-discrimination pour avoir exercé ses droits en matière de confidentialité.
- Droit d’engager une action en justice si des données sont exposées à la suite d’un manquement à la sécurité.
Obligations prévues par la CCPA
De leur côté, les entreprises doivent respecter plusieurs obligations :
- Permettre l’exercice des droits des personnes concernées.
- Informer les consommateurs sur les données collectées, les raisons et les finalités.
- Mettre en place une politique de confidentialité claire, avec une option permettant de refuser la vente ou le partage des données personnelles.
- Répondre aux demandes des consommateurs dans les délais prévus.*
- Mettre en place des mesures pour éviter les accès non autorisés et les violations de données.**
- S’assurer que les prestataires, sous-traitants et partenaires respectent aussi la réglementation, avec des clauses contractuelles qui limitent l’usage des données.
- Ne pas pénaliser un consommateur parce qu’il exerce ses droits prévus par la CCPA.
*Délais prévus : 10 jours ouvrables pour confirmer la réception / 45 jours (avec une possible extension de 45 jours) pour les demandes d’accès (« know »), de suppression et de rectification / 15 jours ouvrables pour les demandes d’opposition (opt-out) et de limitation de l’usage des données.
Dans tous les cas, la demande doit inclure une vérification de l’identité du demandeur pour être traitée.
** Ces mesures incluent le chiffrement des données en transit et au repos, des contrôles d’accès, des audits de sécurité réguliers, des tests de vulnérabilité, un plan de réponse aux incidents et un registre des violations.
SMOWL est-il conforme à la California Consumer Privacy Act (CCPA) ?
Oui. Smowltech met en place des procédures et des contrôles internes, comme des accords de traitement des données (DPA), des audits et des politiques de sécurité, afin de respecter les exigences de la CCPA/CPRA.
Les établissements et organisations qui utilisent SMOWL peuvent ainsi s’appuyer sur un cadre clair pour la protection des données des utilisateurs situés en Californie. Et lorsque l’organisation est soumise à la FERPA (par exemple si elle reçoit des fonds fédéraux du Department of Education), ces exigences s’ajoutent au dispositif.
Dans ce cas, SMOWL intervient dans un cadre contractuel, avec des règles qui encadrent l’usage des données et protègent les dossiers éducatifs des étudiants conformément à la FERPA.Pour en savoir plus, vous pouvez consulter notre politique de confidentialité.
Et si vous avez une question sur le traitement des données ou sur les informations collectées, vous pouvez nous contacter.
