Le 7 avril, le Congrès a surpris les Américains en publiant un projet de loi fédérale sur la protection des données personnelles, l'American Privacy Rights Act(APRA), ainsi qu'un projet de discussion connexe.
Elle permettrait aux Américains de contrôler leurs données personnelles et de réglementer le patchwork actuel de législations nationales.
Dans ce guide, je parlerai de l'APRA et de l'impact qu'elle peut avoir sur les consommateurs et les entreprises.
Principaux enseignements
Voici un bref aperçu de tout ce que vous devez savoir sur l'APRA :
- L'APRA est une proposition de loi fédérale américaine sur la confidentialité des données qui donne aux Américains des contrôles sur la vie privée et des droits de retrait.
- Les entités couvertes doivent présenter aux utilisateurs une politique de protection de la vie privée et des mécanismes leur permettant de faire valoir leurs droits.
- Elle donne aux consommateurs le droit d'intenter une action privée, de refuser les publicités ciblées et de transférer leurs données couvertes.
Qu'est-ce que la loi américaine sur les droits à la vie privée (APRA) ?
L'American Privacy Rights Act (APRA) est la dernière itération d'une loi fédérale potentielle sur la confidentialité des données en cours d'élaboration au sein du gouvernement américain.
Elle donne aux Américains des droits uniformes et un contrôle sur la manière dont leurs informations personnelles sont collectées, traitées et utilisées par des tiers, et confère aux consommateurs un droit d'action privé.
Date d'entrée en vigueur de l'APRA
Si elle est adoptée, l'APRA entrera en vigueur 180 jours après sa promulgation.
Termes clés et définitions de l'APRA
Pour vous aider à mieux comprendre l'APRA, lisez nos définitions simplifiées de certains termes clés introduits par la loi potentielle :
- Entité concernée : L'entité qui détermine l'objectif et les moyens de la collecte, du traitement et du transfert des données couvertes.
- Données couvertes : Informations permettant d'identifier ou de relier une personne ou un dispositif, à l'exclusion des informations telles que les données dépersonnalisées, les données relatives aux employés et les informations accessibles au public.
- Données sensibles couvertes : Il s'agit d'un sous-ensemble de données comprenant des détails tels que les identifiants de connexion, la géolocalisation précise, l'identification gouvernementale, la race, l'ethnicité, la religion et les activités de navigation en ligne.
- Grand détenteur de données : Entités couvertes dont le chiffre d'affaires annuel est supérieur ou égal à 250 millions de dollars et qui collectent et traitent les données couvertes de plus de 5 000 000 d'individus (ou 15 000 000 d'appareils portables, ou 35 000 000 d'appareils connectés) ou les données sensibles de plus de 200 000 individus (ou 300 000 d'appareils portables, ou 700 000 d'appareils connectés).
- Les petites entreprises : Les entreprises dont le chiffre d'affaires annuel est inférieur ou égal à 40 millions de dollars, qui collectent et traitent les données couvertes de 200 000 personnes ou moins (à l'exclusion des données relatives aux cartes de crédit et autres données transitoires) et qui ne tirent pas de revenus du transfert de ces données à des tiers (ces entreprises sont exemptées de l'application de la loi).
Quel est l'objectif de l'APRA ?
L'APRA vise à fournir aux citoyens américains une loi uniforme et complète sur la protection de la vie privée des consommateurs et à établir des protections pour les données couvertes.
Elle fixe des normes de minimisation des données afin que les entreprises ne collectent et n'utilisent les données nécessaires qu'à des fins limitées.
Qui soutient l'APRA ?
L'APRA a été présentée par :
- La présidente de la commission de l'énergie et du commerce de la Chambre des représentants, Cathy McMorris Rodgers (R-Wash)
- La présidente de la commission sénatoriale du commerce, des sciences et des transports, Maria Cantwell (D-Wash)
Que comprend l'APRA ?
Vous trouverez ci-dessous quelques-unes des principales exigences figurant dans le projet actuel de loi américaine sur les droits à la vie privée :
- La minimisation des données : Les entités couvertes ne doivent collecter que les données nécessaires, proportionnées et limitées à la fourniture d'un produit ou d'un service.
- Transparence : Les entités doivent disposer d'une politique de protection de la vie privée détaillant leurs pratiques en matière de protection de la vie privée et de sécurité, ainsi que la manière dont les consommateurs peuvent exercer leurs contrôles en matière de protection de la vie privée et leurs droits de retrait.
- Contrôle des consommateurs : Les consommateurs ont le droit d'accéder, de corriger et de supprimer leurs données couvertes et de connaître tout tiers auquel leurs données ont été transférées.
- Droits d'opposition : Les consommateurs peuvent refuser le transfert de données non sensibles, la publicité ciblée et les algorithmes utilisés pour les décisions conséquentes.
- Interférence avec les droits des consommateurs : L'APRA interdit d'utiliser des motifs sombres pour détourner l'attention d'une personne d'un avis relatif à la protection de la vie privée.
- Interdiction du refus de service et de la renonciation aux droits : Les entités couvertes ne peuvent pas exercer de représailles à l'encontre des personnes qui exercent leurs droits en matière de protection de la vie privée en vertu de la loi.
- Sécurité des données : Les entités couvertes doivent établir des pratiques de sécurité pour atténuer les risques prévisibles pour les données des consommateurs.
- Responsabilités des dirigeants : Les entités couvertes doivent choisir un ou plusieurs responsables de la protection de la vie privée et/ou de la sécurité des données, et les grands détenteurs de données doivent procéder à des évaluations de l'impact sur la vie privée.
- Les prestataires de services et les tiers : Les fournisseurs de services doivent adhérer à la loi et cesser leurs pratiques en matière de données s'ils savent qu'une entité couverte la viole.
- Les courtiers en données : Les courtiers en données doivent disposer d'un site web public les identifiant comme tels et fournir un outil permettant aux individus de suivre leurs contrôles et leurs droits de retrait.
- Mise en œuvre et droit à des poursuites privées : La loi serait appliquée par les procureurs généraux des États, la Commission fédérale du commerce et les particuliers, qui peuvent intenter des actions privées contre les entités qui violent leurs droits.
- La préemption : La loi préempte les lois des États, à l'exception d'une liste énumérée. Conformément à la loi californienne sur la protection de la vie privée des consommateurs(CCPA), les résidents californiens conservent le droit d'intenter une action privée si leurs données font partie d'une violation de données.
Impact de l'APRA sur les entreprises et les consommateurs
L'APRA aurait un impact sur les entreprises et les consommateurs de la manière suivante :
L'impact sur les entreprises
L'APRA a notamment pour effet d'obliger les entreprises couvertes à.. :
- Mettre en place une politique de protection de la vie privée conforme.
- Mettre en place un mécanisme permettant aux consommateurs de demander à ce que leurs droits soient respectés.
- Effectuer des évaluations de l'impact sur la vie privée si nécessaire.
- Veiller à ce que leurs sites web intègrent les spécifications du mécanisme d'opt-out universel deux ans après l'entrée en vigueur de la loi.
- Mettre en œuvre des mesures de sécurité pour protéger les données contre tout accès non autorisé.
L'impact sur les consommateurs
Dans le cadre de l'APRA, les consommateurs auraient les droits suivants concernant leurs données couvertes :
- Accéder aux données couvertes qu'une entité a collectées auprès d'eux, aux noms des tiers auxquels les données ont été transférées et à une description de la finalité pour laquelle les données ont été transférées.
- Corriger les inexactitudes dans leurs données.
- Effacer leurs données.
- Exporter leurs données dans un format portable.
- Refuser la publicité ciblée, le transfert de leurs données et les algorithmes utilisés pour les décisions conséquentes.
- Accepter la collecte de données sensibles.
- intenter une action privée contre les entités couvertes qui violent leurs droits.
APRA vs. ADPPA
L'APRA est similaire à l'ADPPA dans la mesure où les deux :
- Donner aux utilisateurs le droit d'accéder à leurs données couvertes, de les corriger et de les supprimer.
- Disposer de lignes directrices axées sur la minimisation des données.
- Exiger un consentement explicite pour la collecte de données sensibles couvertes.
- Permettre aux consommateurs de refuser le transfert de leurs données couvertes.
- Appeler à la mise en place d'un mécanisme centralisé d'opt-out.
Toutefois, il existe des différences notables entre les lois proposées :
- L'APRA a une définition légèrement plus large que l'ADPPA de ce qu'est un grand détenteur de données.
- L'APRA supplanterait les lois des États, mais prévoirait des dispositions pour des éléments plus stricts de la législation, comme la CCPA.
- L'APRA donne aux consommateurs un droit d'action en matière de protection de la vie privée.
Perspectives d'avenir de l'APRA
Il est encore trop tôt pour savoir de quoi l'avenir sera fait pour l'APRA, mais la proposition de loi semble actuellement bénéficier d'un soutien bipartisan et bicaméral.
Les législateurs vont très probablement remanier la loi et ont été cités par des sources telles que l'IAPP, qui a déclaré qu'ils étaient "ouverts à des commentaires constructifs".
Ne manquez pas de consulter les prochaines mises à jour sur l'APRA.
Natasha Piirainen est une rédactrice spécialisée dans la protection de la vie privée. Elle est titulaire d'une licence en anglais et philosophie du Wheaton College et possède plus de 10 ans d'expérience professionnelle dans le développement de contenus axés sur la recherche.
Lire tous les articles de Natasha Piirainen
Révisé par Masha Komnenic CIPP/E, CIPM, CIPT, FIP
Masha Komnenic est conseillère juridique et directrice mondiale de la confidentialité Termly. Elle est titulaire d'un diplôme en droit de l'université de Belgrade. Elle est spécialisée dans la mise en œuvre, le contrôle et l'audit de la conformité des entreprises aux réglementations en matière de confidentialité (HIPAA, PIPEDA, directive ePrivacy, RGPD, CCPA, POPIA, LGPD).
Lire tous les articles révisés par Masha Komnenic CIPP/E, CIPM, CIPT, FIP
