Conformité à l'Oregon Consumer Data Privacy Act (OCDPA)
Pandectes GDPR Compliance aide les boutiques Shopify à respecter les exigences de l'OCDPA en scannant les cookies, en générant des rapports et en assurant leur conformité en matière de protection des données.
Commencer gratuitement
L'application de consentement aux cookies n° 1 sur Shopify, adoptée par 185k boutiques
Qu’est-ce que l’OCDPA ?
L’Oregon Consumer Data Privacy Act (OCDPA) accorde aux résidents de l’Oregon certains droits sur leurs données et impose des obligations à ceux qui contrôlent et traitent ces données. Il présente des similitudes avec d’autres lois d’État, comme le California Privacy Rights Act (CPRA) et le Consumer Data Protection Act (CDPA) de Virginie, et s’inspire aussi du Règlement général sur la protection des données (RGPD) de l’UE.
Malgré ces ressemblances, comme la présence de dispositions d’opposition (opt-out) à la collecte et au traitement des données, de garanties pour les données sensibles et l’intégration des principes de protection de la vie privée dès la conception, les différences importantes se trouvent dans les détails. C’est l’analyse de Kirk Nahra, avocat chevronné spécialiste de la vie privée et coprésident chez Wilmer Hale.
Par exemple, le CPRA (Californie) et l’OCDPA (Oregon) ne définissent pas les « données sensibles » de la même manière. Comme l’a souligné Kirk Nahra, se conformer à la loi exigera de bien prendre en compte ces distinctions. Dans la suite, nous examinons la définition des données sensibles selon l’OCDPA, ainsi que ses autres dispositions.
À qui s’applique l’OCDPA ?
L’Oregon Consumer Data Privacy Act (OCDPA) s’applique aux « responsables du traitement » (controllers) qui exercent une activité en Oregon ou qui produisent ou fournissent des produits ou services commerciaux délibérément destinés aux résidents de l’Oregon.
Que se passe-t-il si je ne respecte pas l’OCDPA ?
L’OCDPA ne précise pas les sanctions ni les amendes que devront payer les contrevenants. Toutefois, les infractions au règlement sont considérées comme une pratique commerciale trompeuse. Elles seront donc traitées conformément à l’Oregon Unlawful Trade Practices Act.
Le montant des amendes par infraction peut varier selon les caractéristiques de l’infraction. Les infractions à l’OCDPA pourraient aussi donner lieu à des poursuites pénales.
L’application de l’OCDPA est confiée au procureur général (Attorney General) de l’Oregon et aux procureurs de district, chargés de prononcer injonctions, sanctions et transactions. Il faut toutefois noter que l’OCDPA ne prévoit pas de droit d’action privé : les personnes ne peuvent donc pas poursuivre une entreprise en justice pour atteinte à leurs droits.
Avant que le procureur général ou les procureurs de district puissent engager une mesure d’application, ils doivent adresser un avis d’infraction à l’entreprise concernée. Cet avis accorde aux contrevenants un délai de régularisation de 60 jours, pendant lequel ils peuvent corriger les infractions.
Si l’entreprise n’est toujours pas en conformité à l’issue de ce délai, les procureurs de district ou le procureur général peuvent engager des mesures d’application.
À compter du 1er janvier 2025, le délai de régularisation de 60 jours ne s’appliquera plus. Les contrevenants pourront en revanche demander des orientations interprétatives et des avis écrits au bureau du procureur général.
Quand l’OCDPA entrera-t-il en vigueur ?
L’OCDPA charge le procureur général de l’Oregon de mettre en œuvre et de faire appliquer l’OCDPA, notamment en adoptant de nouvelles règles. L’OCDPA fait partie de l’Unlawful Trade Practices Act de l’État de l’Oregon et entre en vigueur le 1er juillet 2025.
Se conformer à l’OCDPA
L’OCDPA figure parmi les lois les plus complètes sur la protection des données, et d’autres États, comme l’Indiana, l’Iowa, le Tennessee et le Colorado, adoptent aussi leurs propres projets de loi sur la vie privée. Les entreprises opérant dans plusieurs États ont de plus en plus de mal à s’y retrouver dans le réseau complexe des lois des États sur la protection des données et à les respecter.
Rester conforme commence par se tenir informé de l’évolution des lois susceptibles de concerner votre entreprise. Il est essentiel de suivre ces textes tout au long de leur parcours devant les parlements des États. S’abonner aux newsletters et ressources spécialisées peut vous y aider.
Lorsqu’une nouvelle loi est adoptée mais pas encore en vigueur, il est conseillé d’en examiner le texte avec un conseiller juridique. Il pourra évaluer votre niveau de conformité et vous indiquer les mesures à prendre.
Pour simplifier votre mise en conformité, pensez à utiliser une plateforme de gestion du consentement (CMP) comme Pandectes GDPR Compliance. Une CMP allège la charge de votre équipe grâce à une gestion du consentement personnalisable, à l’automatisation des demandes d’accès des personnes concernées et à des outils de gestion des cookies et des fournisseurs. Pandectes GDPR Compliance est conçue spécialement pour les boutiques Shopify et vous aide à atteindre et à maintenir votre conformité dans un paysage de la protection des données en constante évolution.