Conformité au Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA)

Qu’est-ce que le RIDTPPA ?

Le Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA) est la loi globale du Rhode Island sur la protection de la vie privée des consommateurs. Il donne aux résidents du Rhode Island des droits sur leurs données personnelles et fixe des obligations aux entreprises qui les collectent et les traitent. La loi suit de près le modèle adopté par des États comme le Connecticut et la Virginie.

En vertu du RIDTPPA, les résidents du Rhode Island ont le droit :

• De savoir si une entreprise traite leurs données personnelles, et d’y accéder
• De faire rectifier des données personnelles inexactes
• De faire supprimer leurs données personnelles
• D’obtenir une copie portable de leurs données personnelles
• De s’opposer (opt-out) à la publicité ciblée, à la vente de leurs données personnelles et au profilage servant à des décisions entièrement automatisées produisant des effets juridiques ou des effets similaires importants

Les entreprises doivent aussi obtenir le consentement avant de traiter des données sensibles, comme les données de santé, la géolocalisation précise, les données biométriques, les données révélant l’origine raciale ou ethnique, ou les données collectées auprès d’un enfant dont l’âge est connu.

La loi accorde une importance particulière à la transparence. Les sites web qui collectent et vendent les données personnelles de clients du Rhode Island doivent publier un avis de confidentialité qui décrit les catégories de données personnelles collectées et identifie les tiers auxquels ces données ont été ou peuvent être vendues. Cette obligation d’information est rédigée de façon plus large que le reste de la loi : elle peut donc s’appliquer même aux sites web qui n’atteignent pas les seuils ci-dessous.

Que se passe-t-il si je ne respecte pas le RIDTPPA ?

Une infraction au RIDTPPA est considérée comme une pratique commerciale trompeuse au regard du droit du Rhode Island. Les points clés de son application :

• Le procureur général (Attorney General) du Rhode Island a seul compétence pour faire appliquer la loi.
• Les infractions peuvent entraîner des sanctions civiles au titre de la loi du Rhode Island sur les pratiques commerciales trompeuses, qui peuvent atteindre 10 000 $ par infraction.
• Quiconque communique intentionnellement des données personnelles en violation de la loi peut aussi se voir infliger une amende de 100 $ à 500 $ pour chaque communication.
• La loi ne prévoit pas de délai de régularisation : les entreprises n’ont donc aucune garantie de pouvoir corriger un problème avant le début des poursuites.
• Il n’existe pas de droit d’action privé : les consommateurs ne peuvent donc pas poursuivre directement les entreprises en vertu de la loi.

Se conformer au RIDTPPA

Si votre boutique en ligne vend à des résidents du Rhode Island, l’essentiel du travail concret concerne les cookies et le suivi. Les pixels marketing, les balises d’analyse et les cookies publicitaires relèvent souvent de la publicité ciblée ou d’une « vente » de données personnelles au sens des lois des États sur la vie privée : ils doivent donc respecter les choix de chaque visiteur.

Pour une boutique Shopify, les étapes concrètes sont notamment les suivantes :

• Proposez une option d’opposition claire. Donnez aux visiteurs un moyen simple de s’opposer à la publicité ciblée et à la vente de leurs données personnelles, par exemple un lien « Do not sell or share my personal information », et assurez-vous que le suivi s’arrête dès qu’ils l’ont fait.
• Envisagez de respecter le Global Privacy Control. Contrairement à plusieurs autres États, le RIDTPPA n’oblige pas expressément les entreprises à reconnaître les signaux d’opposition universels. Traiter un signal Global Privacy Control (GPC) comme une opposition reste toutefois un bon moyen de respecter les choix des visiteurs de façon cohérente d’un État à l’autre.
• Obtenez le consentement pour les données sensibles. Ne traitez pas de données sensibles sans le consentement du consommateur, et vérifiez vos applications et formulaires pour repérer tout ce qui en collecte.
• Mettez à jour votre avis de confidentialité. Décrivez les données personnelles que vous collectez, pourquoi vous les collectez, comment les consommateurs peuvent exercer leurs droits, et les tiers auxquels des données personnelles ont été ou peuvent être vendues. Votre liste de cookies est un bon point de départ pour identifier vos partenaires publicitaires et d’analyse.
• Traitez les demandes des consommateurs. Mettez en place un moyen fiable permettant aux clients de demander l’accès, la rectification, la suppression ou une copie de leurs données, et répondez dans le délai imparti.

Une plateforme de gestion du consentement facilite grandement le suivi de ces étapes. Pandectes GDPR Compliance est conçue pour les boutiques Shopify et propose une bannière de cookies avec des options d’opposition pour les États américains, un lien « Do not sell or share my personal information » et la prise en charge du signal Global Privacy Control. Elle scanne et classe automatiquement les cookies de votre boutique, génère une déclaration de cookies, conserve des journaux de consentement et vous aide à traiter les demandes des personnes concernées. Les paramètres de bannière par région s’appuient sur la géolocalisation pour offrir la bonne expérience aux visiteurs du Rhode Island et des autres États.

Pour en savoir plus sur l’origine de la loi, lisez notre article Rhode Island implements the Data Transparency and Privacy Protection Act (en anglais).

Les lois sur la vie privée diffèrent dans leurs détails et continuent d’évoluer : faites vérifier votre configuration par un conseiller juridique si nécessaire.