Qu'est-ce qu'une vente au sens de la CCPA ?

En vertu de la CCPA, une "vente" est définie au sens large comme "la vente, la location, la libération, la divulgation, la diffusion, la mise à disposition, le transfert ou toute autre forme de communication orale, écrite, électronique ou autre, des données à caractère personnel d'un consommateur". d'un consommateur par une entreprise à une autre entreprise ou à un tiers" en échange d'une "somme d'argent" ou d'une "autre contrepartie de valeur". Cela signifie que, dans certains cas, vous pouvez "vendre" des informations personnelles en vertu de la CCPA lorsque vous partagez ces données avec un tiers, même si vous ne recevez pas de compensation financière.

Plus précisément, la "contrepartie valable" comprend des éléments tels que le développement, l'amélioration, la modification ou l'amélioration des technologies, des outils, des méthodologies, des services et des offres, ou le développement ou la réalisation d'une analyse de données ou d'une autre génération d'idées au-delà du service commercial contractuel.

La CCPA prévoit également des exceptions limitées à ce qui constitue une vente. En vertu de la CCPA, une entreprise peut ne pas "vendre" des informations à caractère personnel dans les cas suivants :

1. un résident californien (un "consommateur") utilise ou ordonne à l'entreprise de divulguer intentionnellement des informations personnelles ;
2. une entreprise facilite le retrait des consommateurs ;
3. une entreprise transfère les informations personnelles d'un consommateur à un tiers en tant qu'actif dans le cadre d'une fusion, d'une acquisition, d'une faillite ou d'une autre transaction ; ou 
4. lorsqu'une entreprise partage des informations à caractère personnel avec un "prestataire de services" à des fins commerciales spécifiques, pour autant que des restrictions contractuelles, des certifications et des avis aux consommateurs appropriés aient été établis.  

Comment savoir si je vends des informations personnelles dans le cadre de la CCPA ?

Si votre entreprise s'engage dans la vente de données personnelles d'un consommateur au sens de la CCPA, celle-ci exige que votre entreprise mette en place des mécanismes pour que consommateurs de refuser de la vente de leurs informations personnelles. Il est donc essentiel de comprendre ce qui est considéré comme une vente et ce qui ne l'est pas, et de savoir si une exception peut s'appliquer, pour se conformer à la loi sur la protection des données.

Si votre entreprise est soumise à la CCPA et qu'elle partage avec des tiers des informations personnelles concernant des résidents californiens, vous êtes presque toujours en train de "divulguer à des fins professionnelles" ou de "vendre" ces informations, selon la définition de ces termes dans la loi. Déterminer si vous "vendez" des données est l'une des considérations les plus importantes pour déterminer vos obligations et les droits de vos clients en vertu de la CCPA. Pour ce faire, vous devrez déterminer si vos pratiques de collecte et de partage de données relèvent de la définition de la vente (définie de manière plus large que ce que vous considérez généralement comme une vente) ou d'une exception à la définition de la vente en vertu de la loi CCPA. Si vous évaluez vos pratiques de partage de données avec des tiers et déterminez qu'elles ne correspondent pas à la définition de la vente ou qu'elles relèvent d'une exception à la définition de la vente, il est probable que vous "divulguiez" des données à des fins professionnelles. Cependant, votre entreprise aura toujours certaines obligations liées à cette divulgation. Pour vous aider à déterminer si vous effectuez une vente au sens de la CCPA, nous vous proposons ci-dessous des définitions et des exemples.

La "divulgation à des fins professionnelles" est un concept très large. Les divulgations à un tiers comprennent généralement des éléments tels que la détection d'incidents de sécurité, la gestion ou l'entretien des comptes clients, les services à la clientèle, le traitement des commandes et les paiements. Par exemple, vous divulguez des informations à des fins professionnelles si vous partagez des données avec un tiers uniquement afin qu'il puisse traiter ces informations en votre nom et que le tiers ne conserve pas les données plus longtemps que nécessaire pour fournir ces services ou les utiliser à d'autres fins.

Toutefois, étant donné que le terme "vente" est défini de manière plus large que l'idée que l'on se fait généralement d'une vente, si vous partagez des informations avec des tiers, vous pourriez "vendre" des informations en vertu de la loi CCPA, même dans certains cas où vous n'échangez pas de données contre une compensation monétaire. Une vente au sens de la CCPA est définie comme toute forme de divulgation à une autre entreprise ou à un tiers en échange d'une contrepartie monétaire ou d'une autre valeur. Voici quelques exemples de vente : collecte d'informations personnelles par le biais de cookies à des fins de publicité ciblée ; partage d'informations personnelles avec un tiers dans le cadre de partenariats marketing ; ou partage de données avec un prestataire de services lorsque ce dernier utilise des informations personnelles pour enrichir ses propres ensembles de données, former des modèles d'apprentissage automatique ou mener des recherches technologiques. 

Ainsi, si vous partagez des informations avec un tiers dans un but précis, par exemple pour le traitement d'un paiement, vous devez examiner les accords que vous avez conclus avec ce tiers afin de déterminer s'il traite les informations uniquement dans ce but précis ou s'il les utilise d'une autre manière.