Nous avons récemment mis à jour notre Générateur de politique de confidentialité pour couvrir 11 lois supplémentaires sur la protection de la vie privée :
Ces lois s'ajoutent aux législations suivantes que notre générateur et nos modèles couvrent déjà :
Notre générateur comprend désormais des clauses et des détails pour aider les entreprises à se conformer à 26 lois sur la confidentialité des données dans le monde entier.
Je décrirai brièvement chacune des 11 lois, leur date d'application et les personnes auxquelles elles s'appliquent.
Résumé rapide de la mise à jour de Termly: les 11 lois
Nous avons mis à jour notre Générateur de politique de confidentialité pour tenir compte des 11 nouvelles lois sur la confidentialité des données au niveau des États américains décrites ci-dessous.
Vous pouvez ajouter ces lois à votre police en les sélectionnant individuellement dans un onglet déroulant qui apparaît lorsque vous répondez aux questions posées par notre site Générateur de politique de confidentialité.
Loi du Delaware sur la protection des données personnelles (DPDPA)
Date d'entrée en vigueur : 1er janvier 2025
La DPDPA protège les informations personnelles des individus dans l'État américain du Delaware et exige les détails suivants dans une politique de confidentialité conforme :
- Les catégories de données personnelles traitées.
- La finalité du traitement.
- Comment les consommateurs peuvent exercer leurs droits et faire appel des décisions du responsable du traitement concernant leurs demandes.
- Les catégories de données à caractère personnel partagées avec des tiers, le cas échéant.
- les catégories de tiers avec lesquels les données sont partagées, le cas échéant.
- Une adresse électronique active ou un mécanisme en ligne que les consommateurs peuvent utiliser pour contacter le responsable du traitement.
- Indiquer si le responsable du traitement vend des données à caractère personnel ou les utilise à des fins de publicité ciblée et préciser comment le consommateur peut s'opposer à ces activités de traitement.
- Un ou plusieurs moyens sûrs par lesquels les consommateurs peuvent demander à exercer leurs droits.
- Un lien vers votre site web dans votre avis de confidentialité menant à une page web où les consommateurs peuvent refuser la publicité ciblée et la vente de leurs données.
Quelles sont les entreprises concernées ?
Selon la section 12D-103 de la DPDPA, les entreprises doivent se conformer à cette loi si elles exercent des activités dans l'État ou si elles produisent des produits ou des services destinés aux résidents et répondent à l'une des conditions suivantes au cours d'une année civile :
- contrôler ou traiter les données à caractère personnel d'au moins 35 000 consommateurs (à l'exclusion des données à caractère personnel traitées uniquement pour effectuer des opérations de paiement) ou
- Contrôler ou traiter les données à caractère personnel d'au moins 10 000 consommateurs et tirer plus de 20 % de votre revenu annuel brut de la vente de données à caractère personnel.
Charte des droits numériques de Floride (FDBR)
Date d'entrée en vigueur : 1er juillet 2024
Le FDBR protège les données personnelles des habitants de Floride et oblige les entreprises à inclure les informations suivantes dans leur politique de confidentialité :
- Les catégories d'informations personnelles et d'informations personnelles sensibles traitées.
- La finalité du traitement des données.
- Comment les consommateurs peuvent-ils exercer leurs droits et faire appel des décisions prises par un responsable du traitement sur la base de leurs demandes ?
- Les catégories de données à caractère personnel qu'un responsable du traitement partage avec des tiers, le cas échéant.
- les catégories de tiers avec lesquels le responsable du traitement partage les données, le cas échéant.
- Une description des méthodes permettant aux consommateurs d'introduire des demandes d'exercice de leurs droits.
Quelles sont les entreprises concernées ?
Selon la section 6. Section 501.703, le FDBR s'applique aux entités qui font des affaires en Floride ou qui fournissent des biens et des services aux résidents de l'État qui répondent à la définition de la Section 5. Section 501.702 de la définition d'un contrôleur.
Les entreprises doivent être à but lucratif, réaliser un chiffre d'affaires annuel brut supérieur à 1 milliard de dollars et remplir l'une des conditions supplémentaires suivantes :
- Vous tirez 50 % ou plus de vos revenus de la vente d'annonces publicitaires en ligne ou
- Exploiter un service de haut-parleur intelligent ou de composant de commande vocale (mais ceux qui sont connectés à des véhicules sont exemptés ) ou
- Exploiter un magasin d'applications ou une plateforme numérique proposant au moins 250 000 applications logicielles différentes.
Loi de l'Indiana sur la protection des données des consommateurs (Indiana CDPA)
Date d'entrée en vigueur : 1er janvier 2026
La CDPA de l'Indiana s'applique aux données personnelles des habitants de l'Indiana et oblige les entreprises à inclure les informations suivantes dans leur politique de confidentialité :
- Les catégories de données personnelles collectées.
- La finalité du traitement des données personnelles.
- Comment les consommateurs peuvent exercer leurs droits et faire appel de la décision du responsable du traitement concernant leur demande.
- Les catégories de données partagées avec des tiers, le cas échéant.
- les catégories de tiers avec lesquels les données sont partagées, le cas échéant.
Quelles sont les entreprises concernées ?
Selon la section 1 de la loi, les entreprises doivent se conformer à la CDPA de l'Indiana si elles exercent des activités dans l'Indiana ou si elles produisent des produits ou des services destinés aux résidents de l'État et si, au cours d'une année civile, elles remplissent l'une des conditions suivantes :
- contrôle ou traite les données à caractère personnel d'au moins 100 000 résidents de l'Indiana ou
- contrôle ou traite les données personnelles d'au moins 25 000 résidents de l'Indiana et tire plus de 50 % de son revenu annuel brut de la vente de données personnelles.
Loi de l'Iowa sur la protection des données des consommateurs (Iowa CDPA)
Date d'entrée en vigueur : 1er janvier 2025
La CDPA de l'Iowa protège les informations personnelles des habitants de l'Iowa et oblige les entreprises à présenter aux utilisateurs une politique de confidentialité expliquant les points suivants :
- Les catégories de données personnelles traitées.
- La finalité du traitement des données.
- Une description de la manière dont les consommateurs peuvent exercer leurs droits et faire appel de la décision d'un responsable du traitement.
- Les catégories de données partagées avec des tiers, le cas échéant.
- les catégories de tiers avec lesquels les données sont partagées, le cas échéant.
- L'entreprise doit indiquer si elle vend des données à caractère personnel à des tiers ou si elle fait de la publicité ciblée, et préciser comment les utilisateurs peuvent refuser ces activités.
- Établir et décrire les moyens sûrs et fiables permettant aux consommateurs de soumettre des demandes d'exercice de leurs droits.
Quelles sont les entreprises concernées ?
Selon le texte de la CDPA de l'Iowa, cette loi s'applique aux entités qui exercent des activités dans l'Iowa ou qui produisent des produits et des services destinés aux résidents de l'État et qui atteignent l'un des seuils suivants au cours d'une année civile :
- contrôle ou traite les données à caractère personnel de 100 000 consommateurs ou plus , ou
- contrôle ou traite les données à caractère personnel d'au moins 25 000 consommateurs et tire plus de 50 % de son revenu annuel brut de la vente de données à caractère personnel.
Loi du Kentucky sur la protection des données des consommateurs (KCDPA)
Date d'entrée en vigueur : 1er janvier 2026
La loi KCDPA protège les données personnelles des habitants du Kentucky et oblige les entreprises concernées à fournir aux utilisateurs une politique de protection de la vie privée qui explique :
- Les catégories de données personnelles traitées.
- La finalité du traitement.
- Comment les consommateurs peuvent-ils exercer leurs droits et faire appel de la décision d'un responsable du traitement concernant une demande.
- Les catégories de données à caractère personnel que le responsable du traitement partage avec des tiers.
- Les catégories des tiers eux-mêmes.
- Si le responsable du traitement vend des données à caractère personnel à des tiers ou traite des données à des fins de publicité ciblée.
- Des précisions sur la manière dont les consommateurs peuvent exercer leur droit de refuser un tel traitement.
- Un ou plusieurs moyens sûrs et fiables permettant aux consommateurs d'introduire des demandes pour faire valoir leurs droits.
Quelles sont les entreprises concernées ?
Les entreprises doivent se conformer à la loi KCDPA si elles exercent des activités commerciales dans l'État ou si elles destinent leurs produits et services aux résidents de l'État et si elles remplissent l'une des conditions suivantes au cours d'une année civile :
- Traite et contrôle les données à caractère personnel d'au moins 100 000 consommateurs ou
- Traite et contrôle les données à caractère personnel d'au moins 25 000 consommateurs et tire 50 % de son revenu annuel brut de la vente de données à caractère personnel.
Loi du Montana sur la protection des données des consommateurs (MCDPA)
Date d'entrée en vigueur : 1er octobre 2024
La MCDPA s'applique aux données personnelles des habitants du Montana et oblige les entreprises à présenter aux consommateurs une note d'information sur la protection de la vie privée qui explique ce qui suit :
- Les catégories de données personnelles traitées.
- La finalité du traitement des données.
- Les catégories de données à caractère personnel que le responsable du traitement partage avec des tiers, le cas échéant.
- les catégories de tiers avec lesquels le responsable du traitement partage les données, le cas échéant.
- Une adresse électronique ou un autre mécanisme que les consommateurs peuvent utiliser pour contacter le responsable du traitement.
- Une description de la manière dont les consommateurs peuvent exercer leurs droits, y compris la manière de faire appel des décisions du responsable du traitement concernant leurs demandes.
- Deux façons ou plus pour les consommateurs de soumettre des demandes d'action concernant leurs droits en matière de protection des données personnelles.
Quelles sont les entreprises concernées ?
Selon la section 3 de la loi, les entreprises doivent se conformer à la MCDPA si elles exercent des activités dans le Montana ou si elles produisent des produits ou des services destinés aux résidents de l'État et qu'elles atteignent l'un des seuils suivants :
- contrôle ou traite les données à caractère personnel d'au moins 50 000 consommateurs, à l'exclusion des données à caractère personnel contrôlées ou traitées dans le seul but d'effectuer une opération de paiement , ou
- contrôle ou traite les données à caractère personnel d'au moins 25 000 consommateurs et tire plus de 25 % de son revenu annuel brut de la vente de données à caractère personnel.
Loi sur la protection des données du New Hampshire (SB 255)
Date d'entrée en vigueur : 1er janvier 2025
La future loi sur la confidentialité des données du New Hampshire protège les données personnelles des résidents de l'État et oblige les entreprises à présenter aux utilisateurs une politique de confidentialité qui explique :
- Les catégories de données personnelles traitées.
- Les finalités du traitement des données.
- Comment les consommateurs peuvent-ils exercer leurs droits et faire appel de la décision d'un responsable du traitement concernant ces demandes ?
- Les catégories de données partagées avec des tiers, le cas échéant.
- les catégories de tiers avec lesquels les données sont partagées, le cas échéant.
- Une adresse électronique active ou un autre mécanisme en ligne que le consommateur peut utiliser pour contacter le responsable du traitement.
- Si vous vendez des données à des tiers ou si vous traitez des données à des fins de publicité ciblée.
- Comment le consommateur peut s'opposer à ce type de traitement des données.
Quelles sont les entreprises concernées ?
Les organisations qui exercent des activités dans le New Hampshire ou qui produisent des produits ou des services destinés aux résidents de l'État et qui répondent aux critères suivants au cours d'une année civile doivent se conformer à la loi :
- contrôle ou traite les données à caractère personnel d'au moins 35 000 consommateurs uniques (à l'exclusion des données traitées uniquement pour effectuer une transaction de paiement) ou
- contrôle ou traite les données à caractère personnel d'au moins 10 000 consommateurs uniques et tire plus de 25 % de son revenu annuel brut de la vente de données à caractère personnel.
Loi sur la protection des données du New Jersey (NJDPA)
Date d'application : 16 janvier 2025
La NJDPA s'applique aux données personnelles des habitants du New Jersey et exige des entreprises qu'elles présentent aux utilisateurs un avis de confidentialité expliquant :
- Les catégories d'informations personnelles identifiables collectées par le biais du service en ligne.
- Les catégories de tous les tiers auxquels l'opérateur peut divulguer les informations.
- Si le tiers recueille des informations personnellement identifiables au fil du temps dans le cadre de différents services en ligne.
- Une description de la manière dont les personnes peuvent consulter ou demander à modifier les informations collectées.
- La manière dont l'opérateur informera les utilisateurs des modifications apportées à la politique de protection de la vie privée et la date d'entrée en vigueur.
- Une ou plusieurs méthodes que les consommateurs peuvent utiliser pour soumettre des demandes vérifiables de respect de leurs droits en matière de protection de la vie privée.
Quelles sont les entreprises concernées ?
Selon la version officielle de la NJDPA, celle-ci s'applique aux entités qui exercent des activités dans le New Jersey ou qui produisent des produits et des services destinés aux résidents de l'État et qui atteignent l'un des seuils suivants au cours d'une année civile :
- contrôle ou traite les données à caractère personnel de 100 000 personnes, à l'exclusion des données traitées dans le seul but d'effectuer une opération de paiement , ou
- contrôle ou traite les données à caractère personnel d'au moins 25 000 personnes et tire des revenus de la vente de ces informations ou bénéficie d'une remise à cet effet.
Loi de l'Oregon sur la protection de la vie privée des consommateurs (OCPA)
Date d'entrée en vigueur : 1er juillet 2024
L'OCPA protège les informations personnelles des habitants de l'Oregon et oblige les entreprises à présenter aux utilisateurs une politique de confidentialité les informant des détails suivants :
- Les catégories de données à caractère personnel traitées, y compris les données sensibles.
- La finalité du traitement des informations.
- Une explication de la manière dont les consommateurs peuvent exercer leurs droits et faire appel du refus d'un responsable du traitement de ces demandes.
- Une liste de toutes les catégories de données à caractère personnel partagées avec des tiers, y compris les données sensibles.
- Une description des catégories de tiers avec lesquels vous partagez des données à caractère personnel.
- Une adresse électronique active ou une méthode en ligne que les consommateurs peuvent utiliser pour contacter le responsable du traitement.
- Tout nom commercial enregistré par le contrôleur auprès du secrétaire d'État et tout nom commercial présumé utilisé par le contrôleur.
- Une description de tout traitement de données à caractère personnel à des fins de publicité ciblée ou de profilage à laquelle le consommateur peut renoncer.
- Une description des méthodes mises en place par le responsable du traitement pour permettre aux consommateurs d'introduire des demandes de suivi de leurs droits.
Quelles sont les entreprises concernées ?
Selon la section 2(1) de l'OCPA, les entreprises doivent se conformer à cette loi si elles exercent des activités dans l'Oregon ou fournissent des produits ou des services aux résidents de l'État et remplissent l'une des conditions suivantes au cours d'une année civile :
- contrôle ou traite les données à caractère personnel de 100 000 consommateurs ou plus, à l'exclusion des données contrôlées ou traitées dans le seul but d'effectuer des opérations de paiement , ou
- contrôle ou traite les données à caractère personnel de 25 000 consommateurs ou plus et tire 25 % ou plus de son revenu annuel brut de la vente de données à caractère personnel.
Loi sur la protection des informations du Tennessee (TIPA)
Date d'entrée en vigueur : 1er juillet 2025
La TIPA protège les informations personnelles des habitants du Tennessee et oblige les entreprises à présenter aux utilisateurs une politique de protection de la vie privée :
- Quelles sont les catégories de données à caractère personnel traitées par le responsable du traitement.
- La finalité du traitement des informations personnelles.
- la manière dont ils peuvent exercer leurs droits, y compris la manière de faire appel de la décision d'un responsable du traitement concernant une demande.
- Les catégories d'informations personnelles que le responsable du traitement partage avec des tiers, le cas échéant.
- les catégories de tiers avec lesquels le responsable du traitement partage les informations à caractère personnel, le cas échéant.
Quelles sont les entreprises concernées ?
Selon la section 2, partie 47-18-3202. Champ d'application du TIPA, il s'applique aux entités qui font des affaires au Tennessee ou qui produisent des produits ou des services destinés aux résidents de l'État, dont le chiffre d'affaires annuel est supérieur à 25 millions de dollars, et qui soit :
- contrôle ou traite les informations personnelles d'au moins 25 000 consommateurs du Tennessee et tire 50 % de son revenu annuel brut de la vente de ces informations ou
- Traite ou contrôle les informations personnelles d'au moins 175 000 consommateurs du Tennessee au cours d'une année civile.
Loi du Texas sur la confidentialité et la sécurité des données (TDPSA)
Date d'entrée en vigueur : 1er juillet 2024
La TDPSA s'applique aux données personnelles des habitants du Texas et oblige les entreprises à fournir aux utilisateurs un avis de confidentialité expliquant les informations suivantes :
- Les catégories de données à caractère personnel traitées, y compris les données sensibles.
- La finalité du traitement des données.
- La manière dont les consommateurs peuvent exercer leurs droits et la procédure d'appel de la décision.
- Les catégories de données partagées avec des tiers, le cas échéant.
- les catégories de tiers avec lesquels les données sont partagées, le cas échéant.
- Une description de la manière dont les consommateurs peuvent introduire des demandes pour exercer leurs droits.
Quelles sont les entreprises concernées ?
Selon la section 541.002 de la TDPSA, les entreprises doivent se conformer à cette loi si elles atteignent les seuils suivants :
- exerce une activité commerciale au Texas ou produit des biens ou des services consommés par des résidents de l'État et
- traite ou vend des données à caractère personnel et
- n'est pas une petite entreprise au sens de la définition de la Small Business Administration(SBA) des États-Unis - c'est-à-dire une entreprise comptant moins de 500 employés - à moins que l'entreprise ne vende des données à caractère personnel sensibles.
Termly Est toujours à jour
Notre mission est d'aider les petites et moyennes entreprises à simplifier la mise en conformité avec les lois sur la protection de la vie privée, et nous nous efforçons de nous tenir au courant des nouveaux textes législatifs, de ceux à venir et de ceux qui sont en cours d'évolution.
Notre équipe juridique, nos ingénieurs produits et nos experts en protection de la vie privée collaborent pour mettre à jour nos générateurs de politiques en fonction des besoins, afin de garantir que nous offrons à nos utilisateurs les produits dont ils ont besoin.
Nous informons nos utilisateurs de ces mises à jour en envoyant des courriels d'information, en créant des communiqués de presse et en publiant des articles de soutien.
Nous nous engageons à continuer d'améliorer notre offre en intégrant d'autres textes législatifs au fur et à mesure de leur entrée en vigueur.
Résumé
Notre Générateur de politique de confidentialité peut désormais aider les entreprises à répondre aux exigences de 26 lois différentes sur la confidentialité des données.
Il faut s'attendre à ce que ce chiffre continue d'augmenter au fur et à mesure que de nouvelles lois sur la protection de la vie privée seront adoptées dans le monde.
En savoir plus sur l'auteur
Écrit par Masha Komnenic CIPP/E, CIPM, CIPT, FIP
Masha est spécialiste en sécurité de l'information et en protection des données, ainsi que déléguée à la protection des données certifiée. Depuis six ans, elle aide les petites et moyennes entreprises à se conformer aux réglementations et accompagne de nombreux accélérateurs internationaux en tant que mentor en conformité. Elle est spécialisée dans la mise en œuvre, le suivi et l’audit de la conformité des entreprises aux réglementations sur la protection des données (HIPAA, LPRDE, Directive ePrivacy, RGPD, CCPA, POPIA, LGPD). Masha a étudié le droit à l’Université de Belgrade et a obtenu son examen du barreau en 2016. En savoir plus sur l'auteur
