Conformité au Maryland Online Data Privacy Act (MODPA)

Qu’est-ce que le MODPA ?

Le Maryland Online Data Privacy Act (MODPA) est la loi complète du Maryland sur la protection de la vie privée des consommateurs. Il donne aux résidents du Maryland des droits sur leurs données personnelles et fixe des règles aux entreprises qui les collectent et les utilisent. Le MODPA suit le modèle général des autres lois des États américains sur la vie privée, mais il est largement considéré comme l’un des plus stricts, principalement en raison de ses règles de minimisation des données et de ses restrictions sur les données sensibles.

En vertu du MODPA, les résidents du Maryland ont le droit de :

• Savoir si une entreprise traite leurs données personnelles, et accéder à ces données
• Faire corriger des données personnelles inexactes
• Faire supprimer leurs données personnelles
• Obtenir une copie portable de leurs données personnelles
• Obtenir la liste des catégories de tiers auxquels leurs données ont été communiquées
• S’opposer (opt-out) à la publicité ciblée, à la vente de leurs données personnelles et à certains types de profilage

La loi fixe aussi des règles plus strictes que la plupart des États dans plusieurs domaines. Une entreprise doit limiter les données personnelles qu’elle collecte à ce qui est raisonnablement nécessaire et proportionné pour fournir le produit ou le service demandé par le consommateur. Les données sensibles, comme les données de santé, la géolocalisation précise, les données biométriques ou les données révélant l’origine raciale ou ethnique, ne peuvent être collectées ou traitées que si elles sont strictement nécessaires au produit ou au service demandé, et la vente de données sensibles est purement et simplement interdite. Les entreprises ne peuvent pas vendre de données personnelles ni les utiliser pour de la publicité ciblée lorsqu’elles savent, ou auraient dû savoir, que le consommateur a moins de 18 ans.

Que se passe-t-il si je ne respecte pas le MODPA ?

Une infraction au MODPA est considérée comme une pratique commerciale déloyale, abusive ou trompeuse au sens du Maryland Consumer Protection Act. Les points essentiels en matière d’application sont les suivants :

• L’Attorney General du Maryland, par l’intermédiaire de sa Consumer Protection Division, fait appliquer la loi.
• Les sanctions civiles prévues par le Consumer Protection Act peuvent atteindre 10 000 $ par infraction, et jusqu’à 25 000 $ pour chaque infraction répétée.
• Le MODPA n’accorde pas aux consommateurs de droit d’action privé leur permettant d’agir en justice sur le fondement de la loi elle-même.
• Pour les infractions commises jusqu’au 1er avril 2027 inclus, l’Attorney General peut adresser un avis d’infraction et accorder au moins 60 jours pour remédier au problème, s’il estime qu’une régularisation est possible. Cette faculté est discrétionnaire et non garantie, et elle prend fin après cette date.

Se conformer au MODPA

Si votre boutique en ligne vend à des résidents du Maryland et atteint les seuils ci-dessus, l’essentiel du travail concret porte sur les cookies et le suivi. Les pixels marketing, les balises d’analyse et les cookies publicitaires relèvent souvent de la publicité ciblée ou d’une « vente » de données personnelles au sens des lois des États sur la vie privée : ils doivent donc respecter les choix de chaque visiteur.

Pour une boutique Shopify, les mesures concrètes sont notamment les suivantes :

• Proposez un opt-out clair. Offrez aux visiteurs un moyen simple de s’opposer à la publicité ciblée et à la vente de leurs données personnelles, comme un lien « Ne pas vendre ni partager mes informations personnelles », et assurez-vous que le suivi s’arrête dès qu’ils l’utilisent.
• Respectez les signaux de préférence d’opt-out. Le MODPA reconnaît les signaux de préférence d’opt-out envoyés par un navigateur ou un appareil, comme Global Privacy Control (GPC). Traiter un signal GPC comme un opt-out valable est l’approche la plus sûre pour les visiteurs du Maryland.
• Collectez moins de données. Passez en revue vos applications, pixels et formulaires, et supprimez tout ce qui collecte des données personnelles dont vous n’avez pas besoin pour traiter les commandes ou fournir le service demandé par vos clients.
• Soyez prudent avec les données sensibles. Ne vendez pas de données sensibles et ne les collectez que lorsqu’elles sont strictement nécessaires. Évitez la publicité ciblée envers les visiteurs dont vous savez, ou devriez savoir, qu’ils ont moins de 18 ans.
• Mettez à jour votre politique de confidentialité. Expliquez quelles données personnelles vous collectez, pourquoi, quelles catégories de tiers les reçoivent et comment les consommateurs peuvent exercer leurs droits.
• Traitez les demandes des consommateurs. Mettez en place un moyen fiable permettant aux clients de demander l’accès à leurs données, leur rectification, leur suppression ou une copie, et répondez dans les délais impartis.

Une plateforme de gestion du consentement facilite grandement le suivi de ces mesures dans la durée. Pandectes GDPR Compliance est conçue pour les boutiques Shopify et fournit une bannière de cookies avec des options d’opt-out pour les États américains, un lien « Ne pas vendre ni partager mes informations personnelles » et la prise en charge du signal Global Privacy Control. Elle scanne et classe automatiquement les cookies de votre boutique, génère une déclaration de cookies, conserve des registres de consentement et vous aide à traiter les demandes des personnes concernées. Les paramètres de bannière propres à chaque région utilisent la géolocalisation pour proposer l’expérience adaptée aux visiteurs du Maryland et des autres États.

Les lois sur la vie privée diffèrent dans leurs détails et continuent d’évoluer : faites vérifier votre configuration par un conseiller juridique si nécessaire.