Conformité à l'Indiana Consumer Data Protection Act (ICDPA)

Qu’est-ce que l’ICDPA ?

L’Indiana Consumer Data Protection Act (ICDPA) est la loi complète de l’Indiana sur la protection de la vie privée des consommateurs. Adoptée en 2023 sous le nom de Senate Enrolled Act 5, elle est codifiée au titre 24-15 de l’Indiana Code. Elle suit de près le Virginia Consumer Data Protection Act : elle donne aux résidents de l’Indiana des droits sur leurs données personnelles et fixe des règles aux entreprises qui les collectent.

En vertu de l’ICDPA, les consommateurs de l’Indiana ont le droit de :

• Savoir si une entreprise traite leurs données personnelles et obtenir une copie ou un résumé représentatif des données qu’ils ont fournies
• Faire corriger les inexactitudes dans les données personnelles qu’ils ont fournies
• Faire supprimer les données personnelles qu’ils ont fournies ou qui ont été obtenues à leur sujet
• Recevoir leurs données personnelles dans un format portable et facilement réutilisable
• S’opposer (opt-out) à la publicité ciblée, à la vente de leurs données personnelles et au profilage produisant des effets juridiques ou des effets significatifs similaires

La loi définit aussi les données sensibles, qui comprennent l’origine raciale ou ethnique, les convictions religieuses, les diagnostics médicaux, l’orientation sexuelle, la citoyenneté ou le statut migratoire, les données génétiques ou biométriques utilisées pour identifier une personne, la géolocalisation précise et les données personnelles d’un enfant identifié comme tel.

Que se passe-t-il si je ne respecte pas l’ICDPA ?

L’Attorney General de l’Indiana est seul compétent pour faire appliquer l’ICDPA. Les points essentiels sont les suivants :

• Délai de régularisation : avant d’engager une action, l’Attorney General doit adresser un avis écrit et accorder 30 jours pour remédier à l’infraction et confirmer par écrit qu’elle ne se reproduira pas. Ce délai de régularisation est permanent et n’expire pas.
• Sanctions civiles : jusqu’à 7 500 $ par infraction, assorties d’une injonction de faire cesser l’infraction.
• Frais : l’Attorney General peut obtenir le remboursement des frais d’enquête raisonnables et des honoraires d’avocat.
• Pas de droit d’action privé : les consommateurs ne peuvent pas poursuivre directement une entreprise sur le fondement de l’ICDPA. Ils peuvent déposer une plainte auprès de l’Attorney General.

Se conformer à l’ICDPA

Si votre boutique en ligne atteint les seuils de l’ICDPA, voici les tâches les plus importantes pour les cookies et le suivi :

1. Proposez un opt-out de la publicité ciblée et de la vente. Les pixels et balises publicitaires qui suivent les visiteurs sur d’autres sites web relèvent généralement de la publicité ciblée. Si vous vendez des données personnelles ou les utilisez pour de la publicité ciblée, vous devez l’indiquer de manière claire et visible et expliquer comment les consommateurs peuvent exercer leur opt-out. Un lien d’opt-out bien visible et une bannière de cookies proposant des choix clairs sont le moyen habituel d’y parvenir. L’ICDPA n’oblige pas les entreprises à respecter les signaux d’opt-out universels comme Global Privacy Control.
2. Obtenez un consentement opt-in pour les données sensibles. Vous ne devez pas traiter de données sensibles, comme la géolocalisation précise, sans le consentement du consommateur. Les données d’un enfant identifié comme tel doivent être traitées conformément au Children’s Online Privacy Protection Act fédéral.
3. Publiez une politique de confidentialité claire. Elle doit décrire les catégories de données personnelles que vous traitez, les raisons de ce traitement, les catégories que vous partagez avec des tiers et l’identité de ces tiers, ainsi que la manière dont les consommateurs peuvent exercer leurs droits et contester vos décisions.
4. Traitez les demandes des consommateurs dans les délais. Proposez au moins un moyen sûr et fiable de soumettre une demande, sans exiger la création d’un compte. Répondez dans un délai de 45 jours, prolongeable une fois de 45 jours supplémentaires lorsque c’est raisonnablement nécessaire, et répondez aux recours dans un délai de 60 jours.
5. Limitez la collecte au nécessaire. Limitez les données personnelles à ce qui est adéquat, pertinent et raisonnablement nécessaire aux finalités que vous annoncez, et protégez-les par des pratiques de sécurité raisonnables.

Pour vous faciliter la tâche, pensez à une plateforme de gestion du consentement (CMP) comme Pandectes GDPR Compliance. Conçue pour les boutiques Shopify, elle fournit une bannière de cookies avec des options d’opt-out pour les États américains, un lien « Ne pas vendre ni partager mes informations personnelles », le scan et la classification automatiques des cookies, une déclaration de cookies, des registres de consentement et le traitement des demandes des personnes concernées. Les paramètres de bannière propres à chaque région vous permettent de proposer aux visiteurs de l’Indiana l’expérience adaptée à leur localisation.

Chaque entreprise est différente : faites vérifier vos obligations au titre de l’ICDPA par un conseiller juridique si nécessaire.