Conformité CCPA, CPRA et CIPA pour les boutiques Shopify

Que sont le CCPA, le CPRA et le CIPA ?

La Californie dispose de deux types de lois sur la vie privée qui concernent une boutique en ligne.

California Consumer Privacy Act (CCPA) : en vigueur depuis le 1er janvier 2020, le CCPA donne aux résidents de Californie des droits sur les informations personnelles que les entreprises collectent à leur sujet :

• Droit de savoir : savoir quelles informations personnelles sont collectées, utilisées, vendues ou partagées.
• Droit à l’effacement : demander à une entreprise de supprimer leurs informations personnelles.
• Droit d’opposition (opt-out) : s’opposer à la vente ou au partage de leurs informations personnelles, y compris au partage à des fins de publicité comportementale intercontextuelle.
• Droit à la non-discrimination : exercer ces droits sans faire l’objet d’un traitement différent.

California Privacy Rights Act (CPRA) : le CPRA a modifié le CCPA à compter du 1er janvier 2023. Il a ajouté le droit de faire rectifier des informations inexactes et de limiter l’utilisation des informations personnelles sensibles, et a créé la California Privacy Protection Agency pour faire appliquer la loi. Les entreprises doivent aussi respecter les signaux de préférence d’opt-out, comme Global Privacy Control (GPC), en tant que demandes d’opt-out valables.

California Invasion of Privacy Act (CIPA) : le CIPA est une loi de 1967 intégrée au Code pénal californien (article 630 et suivants), conçue pour empêcher les écoutes téléphoniques et l’interception de communications. Les tribunaux et les plaignants l’appliquent désormais aux sites web. Sa disposition sur les écoutes exige le consentement de toutes les parties à une communication, et les plaignants soutiennent que les widgets de chat, les outils de session replay et les pixels publicitaires permettent à des tiers d’« écouter » l’interaction d’un visiteur avec une boutique. Comme le CIPA prévoit des dommages et intérêts légaux de 5 000 $ par infraction, il est devenu l’une des sources les plus fréquentes de poursuites et de mises en demeure en matière de vie privée visant les entreprises en ligne.

Que se passe-t-il si je ne respecte pas le CCPA, le CPRA et le CIPA ?

Les conséquences diffèrent selon les deux lois :

• Amendes CCPA et CPRA : jusqu’à 2 663 $ par infraction, ou 7 988 $ par infraction intentionnelle ou par infraction concernant des consommateurs de moins de 16 ans (montants ajustés au 1er janvier 2025). La California Privacy Protection Agency et l’Attorney General font tous deux appliquer la loi.
• Actions en justice CCPA pour violation de données : après certaines violations de données, les consommateurs peuvent réclamer de 107 $ à 799 $ par consommateur et par incident, ou le préjudice réel s’il est supérieur.
• Actions en justice CIPA : les particuliers peuvent réclamer 5 000 $ par infraction, ou trois fois le préjudice réel. La plupart des plaintes prennent la forme d’actions collectives, si bien que l’exposition augmente avec le nombre de visiteurs.
• Plaintes CIPA relatives aux « pen registers » : à compter du 1er janvier 2027, les plaintes fondées sur l’article 638.51 concernant le suivi sur les sites web et les applications ne pourront être engagées que par l’Attorney General, et non plus par des plaignants privés. Les plaintes pour écoute fondées sur l’article 631, par exemple au sujet d’outils de chat ou de session replay, ne sont pas concernées.

Se conformer au CCPA, au CPRA et au CIPA

Pour une boutique Shopify, l’essentiel du travail consiste à contrôler les cookies, pixels et scripts qui s’exécutent sur votre site :

• Proposez un opt-out clair. Ajoutez un lien « Ne pas vendre ni partager mes informations personnelles » et assurez-vous que les balises publicitaires cessent de partager des données dès qu’un visiteur exerce son opt-out.
• Respectez Global Privacy Control. Traitez un signal GPC envoyé par le navigateur du visiteur comme un opt-out de la vente et du partage.
• Demandez le consentement avant tout suivi. Le CIPA repose sur le consentement : l’approche la plus sûre est donc l’opt-in pour les visiteurs californiens. Bloquez les outils d’analyse, les pixels publicitaires, le session replay et les outils de chat qui envoient des données à des tiers jusqu’à ce que le visiteur donne son accord.
• Conservez la preuve du consentement. Les traces indiquant quand et comment chaque visiteur a donné son consentement sont votre meilleure preuve si vous recevez une mise en demeure fondée sur le CIPA.
• Mettez à jour votre politique de confidentialité. Expliquez ce que vous collectez, pourquoi, qui le reçoit et comment les consommateurs peuvent exercer leurs droits.
• Traitez les demandes des consommateurs. Répondez aux demandes d’accès, d’effacement et de rectification dans un délai de 45 jours.

Une plateforme de gestion du consentement (CMP) comme Pandectes GDPR Compliance couvre ces étapes sur votre boutique. Elle fournit une bannière de cookies avec un lien « Ne pas vendre ni partager mes informations personnelles » et la prise en charge de Global Privacy Control, et vous pouvez la configurer pour exiger un consentement opt-in des visiteurs californiens, en bloquant les outils d’analyse, les pixels et les scripts de session replay jusqu’à ce qu’ils donnent leur accord. Elle scanne et classe automatiquement vos cookies, génère une déclaration de cookies, conserve des registres de consentement horodatés avec les choix effectués comme preuve du consentement, et vous aide à traiter les demandes des personnes concernées.

La jurisprudence relative au CIPA évolue rapidement : faites vérifier votre configuration par un conseiller juridique si nécessaire.