Conformité au Tennessee Information Protection Act (TIPA)

Qu’est-ce que le TIPA ?

Le Tennessee Information Protection Act (TIPA) est la loi globale du Tennessee sur la protection de la vie privée des consommateurs. Adopté sous le nom de House Bill 1181 et promulgué en mai 2023, il est codifié à la section 47-18-3201 et suivantes du Tennessee Code Annotated (§ 47-18-3201). Comme les lois sur la vie privée de la Virginie et d’autres États américains, il donne aux résidents des droits sur leurs informations personnelles et fixe des règles aux entreprises qui les collectent.

En vertu du TIPA, les consommateurs du Tennessee ont le droit :

• De savoir si une entreprise traite leurs informations personnelles, et d’y accéder
• De faire corriger les inexactitudes de leurs informations personnelles
• De faire supprimer les informations personnelles qu’ils ont fournies ou qui ont été obtenues à leur sujet
• D’obtenir une copie portable des informations personnelles qu’ils ont fournies
• De s’opposer (opt-out) à la vente de leurs informations personnelles, à la publicité ciblée et au profilage produisant des effets juridiques ou des effets similaires importants

Le TIPA considère aussi certaines informations comme des données sensibles, notamment l’origine raciale ou ethnique, les convictions religieuses, les diagnostics de santé, l’orientation sexuelle, la nationalité ou le statut d’immigration, les données génétiques ou biométriques utilisées pour identifier une personne, la géolocalisation précise et les informations personnelles collectées auprès d’un enfant dont l’âge est connu.

Que se passe-t-il si je ne respecte pas le TIPA ?

Le procureur général (Attorney General) du Tennessee a seul compétence pour faire appliquer le TIPA. Les points essentiels :

• Délai de régularisation : avant d’engager une action, le procureur général doit adresser un avis écrit et accorder 60 jours pour corriger l’infraction. Ce délai de régularisation est permanent et n’expire pas.
• Sanctions civiles : un tribunal peut infliger jusqu’à 7 500 $ par infraction.
• Triples dommages-intérêts : en cas d’infraction délibérée ou commise en connaissance de cause, un tribunal peut accorder le triple des dommages-intérêts.
• Frais : le procureur général peut obtenir le remboursement de frais d’avocat raisonnables et des frais d’enquête.
• Aucun droit d’action privé : les consommateurs ne peuvent pas poursuivre directement une entreprise en vertu du TIPA.

Le TIPA offre aussi aux entreprises un moyen de défense (affirmative defense) si elles appliquent un programme de protection de la vie privée écrit, raisonnablement conforme au NIST Privacy Framework ou à des normes documentées comparables, le tiennent à jour et accordent aux consommateurs les droits prévus par la loi.

Se conformer au TIPA

Si votre boutique en ligne atteint les seuils du TIPA, voici le travail le plus important en matière de cookies et de suivi :

1. Proposez une option d’opposition à la publicité ciblée et à la vente. Les pixels et balises publicitaires qui suivent les visiteurs sur d’autres sites web relèvent généralement de la publicité ciblée. Le TIPA vous impose d’indiquer ce traitement de manière claire et visible, ainsi que la façon dont les consommateurs peuvent s’y opposer. Un lien d’opposition visible et une bannière de cookies proposant des choix clairs sont le moyen habituel d’y parvenir. Le TIPA n’oblige pas les entreprises à respecter les signaux d’opposition universels comme le Global Privacy Control.
2. Obtenez un consentement explicite (opt-in) pour les données sensibles. Vous ne devez pas traiter de données sensibles, comme la géolocalisation précise, sans le consentement du consommateur. Les données d’un enfant dont l’âge est connu doivent être traitées conformément à la loi fédérale Children’s Online Privacy Protection Act.
3. Publiez un avis de confidentialité clair. Il doit indiquer les catégories d’informations personnelles que vous traitez, pourquoi vous les traitez, les catégories que vous vendez et les tiers auxquels vous les vendez, ainsi que la manière dont les consommateurs peuvent exercer leurs droits et contester vos décisions.
4. Traitez les demandes des consommateurs dans les délais. Proposez au moins un moyen sûr et fiable de soumettre des demandes, sans exiger la création d’un compte. Répondez sous 45 jours, délai prolongeable une fois de 45 jours supplémentaires lorsque cela est raisonnablement nécessaire, et répondez aux recours sous 60 jours.
5. Documentez votre programme de protection de la vie privée. L’aligner sur le NIST Privacy Framework peut vous permettre de bénéficier du moyen de défense décrit ci-dessus.

Pour vous faciliter la tâche, pensez à une plateforme de gestion du consentement (CMP) comme Pandectes GDPR Compliance. Conçue pour les boutiques Shopify, elle propose une bannière de cookies avec des options d’opposition pour les États américains, un lien « Do not sell or share my personal information », le scan et la classification automatiques des cookies, une déclaration de cookies, des journaux de consentement et le traitement des demandes des personnes concernées. Les paramètres de bannière par région vous permettent d’offrir aux visiteurs du Tennessee la bonne expérience selon leur localisation.

Pour en savoir plus sur l’origine de la loi, lisez notre article Adoption of the Information Protection Act in Tennessee (en anglais).

Chaque entreprise est différente : faites vérifier vos obligations au titre du TIPA par un conseiller juridique si nécessaire.