Différences entre le CCPA et le CPRA
Le California Consumer Privacy Act (CCPA) et le California Privacy Rights Act (CPRA) sont deux lois majeures qui renforcent la protection des données des consommateurs en Californie. Comprendre ce qui distingue ces deux textes est indispensable pour les entreprises, y compris pour les propriétaires de boutiques Shopify, afin de rester conformes et de préserver la confiance de leurs clients.
Présentation du CCPA et du CPRA
- CCPA : adopté en 2018 et applicable depuis le 1er janvier 2020, le CCPA accorde aux consommateurs californiens des droits sur leurs informations personnelles, notamment le droit de savoir, le droit de supprimer et le droit de s’opposer à la vente de leurs données.
- CPRA : approuvé par les électeurs en novembre 2020 et applicable depuis le 1er janvier 2023, le CPRA modifie et étend le CCPA. Il introduit de nouveaux droits pour les consommateurs et crée la California Privacy Protection Agency (CPPA), chargée de faire respecter la loi.
Principales différences entre le CCPA et le CPRA
Droits des consommateurs élargis
- Droit de rectification : en vertu du CPRA, les consommateurs peuvent demander aux entreprises de corriger des informations personnelles inexactes.
- Droit de limiter l’utilisation des informations personnelles sensibles : les consommateurs peuvent restreindre l’usage de données sensibles, comme l’origine raciale, les données de santé ou la géolocalisation précise, notamment à des fins publicitaires.
- Droit d’accès aux informations sur la prise de décision automatisée : le CPRA permet aux consommateurs de comprendre les technologies de décision automatisée utilisées pour le profilage et de s’y opposer.
Nouvelle catégorie : les informations personnelles sensibles
Le CPRA introduit la notion d’« informations personnelles sensibles », une catégorie distincte qui comprend des données comme les numéros de sécurité sociale, les informations financières ou la géolocalisation précise. Les entreprises doivent appliquer des protections supplémentaires à ce type de données.
Évolution des seuils d’application
Le CPRA modifie les critères qui déterminent les entreprises tenues de se conformer à la loi :
- Volume de données traitées : le seuil applicable aux entreprises qui achètent, vendent ou partagent des informations personnelles passe de 50 000 à 100 000 consommateurs ou foyers.
- Revenus tirés du partage de données : le CPRA vise désormais les entreprises qui tirent 50 % ou plus de leur chiffre d’affaires annuel du partage (et non plus seulement de la vente) des informations personnelles des consommateurs.
Création de la California Privacy Protection Agency (CPPA)
Le CPRA crée la CPPA, une agence dédiée à l’application des lois californiennes sur la vie privée. Elle est chargée de mener des contrôles, de faire respecter la loi et d’informer les entreprises et les consommateurs.
Conséquences pour les entreprises
Les propriétaires de boutiques Shopify doivent notamment retenir les points suivants :
- Obligations de conformité : avec le champ d’application élargi du CPRA, les entreprises peuvent devoir mettre à jour leurs pratiques de traitement des données, leurs politiques de confidentialité et leurs procédures de gestion des droits des consommateurs.
- Cartographie et inventaire des données : identifier et classer les informations personnelles sensibles est indispensable pour répondre aux exigences du CPRA.
- Gestion des droits des consommateurs : mettre en place des mécanismes permettant d’exercer les nouveaux droits, comme la rectification ou la limitation de l’usage des informations sensibles, est essentiel.
En vous appuyant sur des outils comme Pandectes, vous pouvez vous adapter à l’évolution de la réglementation sur la vie privée, remplir vos obligations légales et renforcer la confiance de vos clients.