CTDPA : Simplification de la loi du Connecticut sur la protection des données personnelles et la surveillance en ligne

La nouvelle loi du Connecticut sur la protection des données personnelles des consommateurs est la dernière loi d'un État qui réglemente la protection de la vie privée des consommateurs en ligne. Comme les lois de quatre autres États - la Californie, le Colorado, la Virginie et, plus récemment, l'Utah - la loi du Connecticut sur la protection des données personnelles et la surveillance en ligne(CTDPA) vise à protéger la vie privée des consommateurs et à leur accorder un meilleur accès à leurs données en ligne.

Bien qu'elle ait été promulguée le 10 mai 2022, la nouvelle loi sur la confidentialité des données du Connecticut entrera en vigueur le 1er juillet 2023. Ce délai donne aux entreprises le temps de développer des processus et des procédures conformes à la nouvelle loi.

Que doit faire votre entreprise dans l'intervalle ? Comment déterminer si la loi CTDPA s'applique à votre entreprise ? Et dans l'affirmative, que devez-vous faire ?

Poursuivez votre lecture pour en savoir plus sur la loi du Connecticut relative à la protection de la vie privée, sur ses différences avec les lois américaines similaires en la matière et sur les conséquences qu'elle peut avoir pour votre entreprise.

Qu'est-ce que la loi du Connecticut sur la protection des données personnelles et la surveillance en ligne ?

En l'absence de législation fédérale, les législateurs ont conçu la loi du Connecticut sur la confidentialité des données pour protéger la confidentialité des données en ligne des consommateurs du Connecticut et leur donner un plus grand contrôle sur l'utilisation de leurs données.

En vertu de la loi CTDPA, les consommateurs du Connecticut ont désormais le droit de.. :

• Demander des informations sur le traitement de leurs données
• refuser que leurs données soient traitées pour certaines activités de traitement telles que la publicité ciblée
• Obtenir des copies portables de leurs données
• Demander des corrections à leurs données

Bien que la loi du Connecticut sur la protection des données des consommateurs ne soit pas aussi favorable aux entreprises que celle de l'Utah, elle ne s'applique pas à tous les types d'entités et de données, ce qui empêche la CTDPA d'être trop exigeante pour les entreprises.

Que couvre le CTDPA ?

La LTECD s'applique aux données personnelles d'un consommateur et réglemente les entités qui contrôlent ou traitent les données personnelles.

En vertu de la loi du Connecticut sur la protection de la vie privée des consommateurs, un :

• Le sous-traitant est "une personne physique ou morale qui traite des données à caractère personnel pour le compte d'un responsable du traitement".
• Le responsable du traitement est "une personne physique ou morale qui, seule ou conjointement avec d'autres, détermine les finalités et les moyens du traitement des données à caractère personnel".

Comment la loi CTDPA définit-elle le consommateur ?

La nouvelle loi du Connecticut sur la protection de la vie privée des consommateurs limite la définition du consommateur. Elle définit largement le consommateur comme un résident du Connecticut, mais exclut les personnes agissant dans certains contextes, notamment dans le cadre d'un emploi ou d'une activité commerciale.

Comment la loi CTDPA définit-elle les données à caractère personnel ?

En vertu de la loi CTDPA, les données à caractère personnel sont définies comme "toute information liée ou pouvant raisonnablement être liée à une personne physique identifiée ou identifiable". Toutefois, la loi ne couvre pas les données dépersonnalisées et les informations accessibles au public, qu'elle définit de manière large.

Selon le CTDPA, les "informations accessibles au public" ne se limitent pas aux informations mises à disposition par les entités gouvernementales ; elles comprennent également les informations rendues publiques par des particuliers sur des supports médiatiques largement diffusés, tels que les médias sociaux.

Les responsables du traitement des données doivent toujours avoir une base raisonnable pour croire que les personnes ont rendu leurs informations publiques.

Quels sont les processeurs et contrôleurs couverts par la loi CTDPA ?

La loi du Connecticut sur la protection des données personnelles peut ne pas s'appliquer même si votre entreprise traite ou contrôle des données personnelles.

Pour être couvert par le CTDPA, vous devez remplir les deux conditions suivantes :

• Vous exercez une activité commerciale dans le Connecticut, ou votre entreprise destine ses services ou ses produits aux résidents du Connecticut.
• Au cours de l'année civile précédente, votre entreprise a soit
  • Traitement ou contrôle des données à caractère personnel de 100 000 consommateurs ou plus
  • Traiter ou contrôler les données à caractère personnel de 25 000 consommateurs ou plus si votre entreprise a réalisé plus de 25 % de son chiffre d'affaires total grâce à la vente de données à caractère personnel.
    • Cette exigence ne s'applique pas aux "données à caractère personnel contrôlées ou traitées dans le seul but d'effectuer une opération de paiement").

Cependant, certaines entités qui remplissent les deux conditions sont toujours exemptées de la loi du Connecticut sur la protection de la vie privée:

• Établissements d'enseignement supérieur
• Organismes à but non lucratif
• Les entreprises publiques qui traitent des données pour le compte du gouvernement
• Entités soumises à la loi Gramm-Leach-Bliley de 1999 ("GLBA") ou à la loi de 1996 sur la portabilité et la responsabilité en matière d'assurance maladie ("HIPAA")

Quelles sont les exigences de la loi CTDPA ?

La LCDP a deux objectifs principaux : protéger la confidentialité des données des consommateurs et leur donner la possibilité de limiter l'utilisation de leurs données.

Il atteint ces objectifs en trois parties principales :

1. Oblige les responsables du traitement à prendre des mesures de sécurité pour les données des consommateurs.
2. Elle donne aux consommateurs le droit de demander aux responsables du traitement et aux sous-traitants des informations sur les personnes qui détiennent leurs données et d'en obtenir des copies.
3. Elle empêche les responsables du traitement de collecter et d'utiliser des données sensibles, telles que les données relatives à l'origine raciale et ethnique, à moins que les individus ne donnent leur consentement
4. Elle donne aux consommateurs le droit de refuser le traitement de leurs données personnelles dans certaines circonstances.

Mesures de sécurité

En vertu de la loi du Connecticut sur la protection de la vie privée des consommateurs, les responsables du traitement doivent mettre en œuvre et maintenir des mesures de sécurité pour protéger la confidentialité des données personnelles des consommateurs.

La loi CTDPA exige seulement que les mesures de sécurité soient raisonnables.

Toutefois, différentes mesures de sécurité peuvent être considérées comme "raisonnables" dans diverses circonstances, selon qu'il s'agit d'une petite ou d'une grande entreprise, selon la nature des données à caractère personnel et selon le volume de ces données.

Contrats

La loi CTDPA exige l'existence d'un contrat écrit entre le responsable du traitement et le sous-traitant, qui doit contenir certaines dispositions, notamment les suivantes :

• Instructions pour le traitement des données
• Le type de données à traiter
• Informations spécifiques sur le type de traitement qui sera effectué et dans quel but
• La durée du traitement

Demande de droits

En plus d'exiger des responsables du traitement et des sous-traitants qu'ils protègent la vie privée des consommateurs, la loi du Connecticut sur la protection de la vie privée donne aux consommateurs plusieurs moyens de s'engager auprès d'un responsable du traitement ou d'un sous-traitant pour contrôler et accéder à leurs données, y compris le droit d'adresser certaines demandes à un responsable du traitement ou à un sous-traitant.

Le contrôleur détermine comment un consommateur peut faire une demande, et les demandes peuvent porter sur les éléments suivants :

• Les consommateurs peuvent savoir si leurs données sont traitées.
• Les consommateurs peuvent avoir accès à leurs données et, si possible, à une copie portable.
• Les consommateurs ont le droit de demander la correction de toute inexactitude liée à leurs données.
• Les consommateurs peuvent demander la suppression de leurs données.
• Les consommateurs ont le droit de refuser la publicité ciblée ou la vente ou le traitement de leurs données dans certaines circonstances.

Authentification des demandes

Après avoir reçu la demande, le responsable du traitement doit tenter de l'authentifier en déployant des efforts raisonnables. Si le responsable du traitement ne peut pas authentifier la demande, il n'est pas tenu de l'accepter.

La loi prévoit toutefois une exception : Les responsables du traitement ne sont pas tenus d'authentifier les demandes de retrait.

Lorsqu'il tente d'authentifier une demande, le responsable du traitement doit prendre l'une des mesures suivantes sans "retard injustifié" et au plus tard 45 jours après la demande :

• Prendre des mesures: Vous pouvez accepter ou refuser la demande et vous devez en informer le consommateur en lui fournissant une explication. Si vous refusez la demande, vous devez informer le consommateur de ses droits de recours. Si vous refusez une demande autre qu'une demande de non-participation parce que vous ne pouvez pas l'authentifier, vous devez informer le consommateur que vous n'avez pas pu authentifier la demande. En outre, vous devez l'informer que vous n'accéderez pas à sa demande tant que vous n'aurez pas reçu les informations supplémentaires raisonnablement nécessaires pour l'authentifier.
• Obtenir un délai supplémentaire: Vous pouvez bénéficier d'un délai supplémentaire de 45 jours pour répondre si ce délai est raisonnablement nécessaire. La question de savoir si une prolongation est "raisonnablement nécessaire" dépend du nombre de demandes formulées par le consommateur et de leur complexité. Vous devez informer le consommateur au cours de cette période de 45 jours si vous bénéficiez d'un délai supplémentaire et expliquer pourquoi vous avez besoin de ce délai.

Honoraires

La loi CTDPA exige que vous répondiez gratuitement aux demandes des consommateurs.

Toutefois, des frais pour répondre à une demande d'un consommateur sont autorisés dans des situations particulières, mais même dans ce cas, le prix ne peut couvrir que les coûts administratifs raisonnables pour répondre à la demande.

Pour percevoir une redevance, vous devez être en mesure de démontrer ce qui suit :

• Le consommateur a déjà fait au moins une autre demande au cours des 12 derniers mois.
• Les demandes du consommateur sont "manifestement infondées, excessives ou répétitives".

Enfin, le consommateur a le droit de faire appel du refus de sa demande, et le responsable du traitement doit répondre par écrit à l'appel dans un délai de 60 jours. Si le responsable du traitement rejette le recours, il doit fournir au consommateur un mécanisme en ligne ou un autre moyen de contacter le procureur général.

Avis aux consommateurs et droit de retrait

La loi CTDPA exige que les entités concernées donnent aux consommateurs le droit de refuser le traitement de leurs données à certaines fins. Elle oblige également les entreprises à fournir un avis contenant des informations sur le traitement des données.

La loi CTDPA exige que les entreprises concernées donnent aux consommateurs le droit de refuser le traitement de leurs données personnelles :

• Publicité ciblée
• Vendre les données personnelles du consommateur
• Le profilage dans certaines circonstances

Il est à noter que dès que la loi entrera en vigueur, le droit de retrait devra faire l'objet d'un lien "clair et visible" sur le site web de l'entreprise.

Le 1er janvier 2025, les droits de retrait seront encore plus étendus.

Le responsable du traitement doit reconnaître le "signal de préférence" universel du consommateur. La loi CTDPA exige qu'une entité couverte fournisse au consommateur les moyens de révoquer son consentement, même après qu'il l'a donné. Lorsque le consommateur révoque son consentement, l'entreprise doit cesser de traiter les données dans les 15 jours suivant la réception de la révocation du consommateur.

Avis de confidentialité aux consommateurs

En outre, une entité soumise à la loi du Connecticut sur la confidentialité des données doit fournir un avis contenant des informations sur les points suivants :

• Les catégories de données à caractère personnel traitées
• La finalité du traitement des données à caractère personnel
• Comment les consommateurs peuvent-ils exercer leurs droits, y compris leur droit de recours ?
• Le type de données personnelles partagées avec des tiers ainsi que des informations sur les tiers.
• Un moyen pour le consommateur de contacter le responsable du traitement en ligne

Données sur les enfants

La loi CTDPA intègre la loi sur la protection de la vie privée des enfants en ligne (Children's Online Privacy Protection Act - COPPA). Si l'on sait qu'un consommateur est un enfant au sens de la COPPA (âgé de moins de 13 ans), ses parents ou son tuteur légal doivent donner un consentement vérifiable avant qu'une entreprise puisse traiter les informations de l'enfant.

La loi du Connecticut sur la confidentialité des données étend également cette exigence aux enfants de moins de 16 ans.

Comparaison avec d'autres législations nationales

Le Connecticut est le cinquième État à adopter une législation sur la protection de la vie privée des consommateurs. Plusieurs autres États américains - la Californie, Colorado, Utahet de la Virginie - ont tous des lois sur la protection des données des consommateurs qui varient légèrement.

Heureusement, la loi du Connecticut sur la protection de la vie privée des consommateurs a de nombreux points communs avec les lois d'autres États, de sorte que si la loi d'un autre État sur la protection de la vie privée des consommateurs s'applique déjà à votre entreprise, il se peut que vous soyez déjà largement en conformité avec la loi du Connecticut.

Cependant, la législation de chaque État étant légèrement différente, les entreprises sont confrontées à un réseau croissant de réglementations nationales divergentes, un problème que les représentants des entreprises ont soulevé devant le corps législatif du Connecticut.

Consultez le tableau comparatif ci-dessous pour connaître les différences entre ces lois :

Quel est l'impact de la CTDPA sur les consommateurs ?

Une enquête menée par KPMG en 2021 a révélé que 86 % des Américains considèrent la confidentialité des données comme une préoccupation croissante. De même, une enquête Pew sur le sujet a révélé que plus de 80 % des Américains se sentent mal à l'aise face au manque de contrôle qu'ils exercent sur leurs données.

Le CTDPA répond à ces préoccupations de plusieurs manières :

• Les entités couvertes devront mettre en place des mesures de sécurité plus importantes pour protéger la confidentialité des données des consommateurs.
• Les consommateurs du Connecticut pourront demander à en savoir plus sur la manière dont les entreprises utilisent leurs données personnelles.
• Les consommateurs du Connecticut pourront demander que leurs données soient effacées dans certains cas.
• Les consommateurs du Connecticut auront le droit de refuser que leurs données soient traitées à certaines fins.

Quel est l'impact de la loi CTDPA sur les entreprises ?

La loi CTDPA peut nécessiter des dépenses importantes de la part des entreprises concernées. À titre d'exemple, avant l'adoption de la loi californienne sur la protection des données personnelles des consommateurs, un rapport économique estimait que les entreprises concernées par la loi dépenseraient 55 milliards de dollars en coûts de mise en conformité initiaux.

Toutefois, de nombreuses entreprises peuvent déjà être en grande partie en conformité, selon qu'elles exercent ou non leurs activités dans l'un des quatre autres États dotés de lois similaires sur la protection des données des consommateurs.

Si votre entreprise a déjà apporté des modifications pour se conformer à la législation de l'un de ces États, vous devez donc rechercher des exigences supplémentaires dans le cadre de la loi CTDPA.

Comme la loi n'entrera pas en vigueur avant juillet 2023 et ne sera pas appliquée avant 2025, vous avez le temps de vous préparer à l'impact significatif de cette loi.

D'un autre côté, les entreprises concernées peuvent tirer certains avantages de la loi CTDPA. Par exemple, comme de plus en plus de modèles d'entreprise impliquent la collecte de données sur les consommateurs, le fait de renforcer la confiance des consommateurs en respectant les lois sur la protection des données peut être un avantage net.

Qui doit se conformer à la CTDPA ?

Les entités qualifiées de responsables du traitement ou de sous-traitants doivent se conformer à la loi CTDPA. Vous devez vous conformer à la loi si vous remplissez ces deux conditions :

• Vous exercez une activité commerciale dans le Connecticut ou vous proposez des services ou des produits aux résidents du Connecticut.
• Au cours de l'année civile précédente, votre entreprise a traité ou contrôlé au moins 100 000 données à caractère personnel de consommateurs - ou 25 000 ou plus si votre entreprise a réalisé plus de 25 % de son chiffre d'affaires total grâce à la vente de données à caractère personnel. Cela n'inclut toutefois pas les "données à caractère personnel contrôlées ou traitées dans le seul but d'effectuer une transaction de paiement".

Existe-t-il des exemptions ?

Oui, il existe des exemptions dans la loi du Connecticut sur la protection des données personnelles. Les entités suivantes ne sont pas considérées comme des responsables du traitement ou des sous-traitants :

• Entités qui traitent des données en tant que contractants du gouvernement
• Organismes à but non lucratif
• Établissements d'enseignement supérieur

Comment les entreprises peuvent-elles se conformer à la loi CTDPA ?

Voici quelques points essentiels à prendre en compte pour préparer le CTDPA :

• Mettre en place des mesures de sécurité pour protéger la vie privée des consommateurs ou revoir les mesures existantes pour s'assurer qu'elles répondent aux exigences de la LDCP.
• conclure avec votre sous-traitant ou responsable du traitement des contrats qui satisfont à la LDCP ou modifier les contrats existants.
• Rédiger des avis de confidentialité et mettre au point des mécanismes d'exclusion.
• Élaborer des politiques et des procédures pour répondre aux demandes des consommateurs.

Comment la loi CTDPA sera-t-elle appliquée ?

Seul le procureur général du Connecticut peut intenter une action en justice en cas de violation de la CTDPA. La loi ne prévoit pas de droit d'action privé, de sorte que les consommateurs ne peuvent pas intenter eux-mêmes une action en justice.

La loi CTDPA prévoit qu'avant le 1er janvier 2025, le procureur général doit accorder aux entreprises un délai de grâce de 60 jours pour remédier à toute infraction avant d'engager une action en justice. Toutefois, à partir du 1er janvier 2025, le procureur général a la possibilité d'accorder à une entreprise un délai de grâce de 60 jours pour remédier aux infractions, mais la loi ne l'oblige plus à le faire.

Pour déterminer s'il convient d'accorder un délai de grâce à une entreprise, la loi CTDPA prévoit que le procureur général prenne en compte plusieurs facteurs, notamment le nombre d'infractions, la taille et la complexité de l'entreprise, ainsi que la cause de l'infraction.

Amendes et sanctions en vertu de la loi CTDPA

Une violation de la loi du Connecticut sur la protection des données personnelles constitue une pratique commerciale déloyale au sens de la loi du Connecticut sur les pratiques commerciales déloyales (Connecticut Unfair Trade Practices Act).

Les sanctions possibles que le procureur général pourrait chercher à imposer sont les suivantes :

• Jusqu'à 5 000 dollars par infraction délibérée
• Recours équitables, y compris la restitution, le dégorgement et l'injonction.

Pour qu'une entreprise soit sanctionnée en vertu de la loi CTDPA, le procureur général doit gagner une action en justice.

Résumé

La loi sur la protection de la vie privée du Connecticut est la plus récente des lois sur la protection de la vie privée des consommateurs adoptées aux États-Unis. Comme de plus en plus d'États adoptent des lois pour protéger les consommateurs, les entreprises qui contrôlent ou traitent les données des consommateurs doivent évaluer leurs pratiques en matière de protection de la vie privée.

Bien que les lois des États soient similaires, elles ne sont pas identiques. En l'absence d'une législation fédérale complète, de nombreuses entreprises devront se conformer à un nombre croissant de lois étatiques sur la protection de la vie privée des consommateurs.

En savoir plus sur l'auteur

Écrit par Ali Talip Pınarbaşı, CIPP/E, & LLM

Ali est un avocat londonien spécialisé dans le droit de la protection des données personnelles. Il est titulaire d'un Master of Laws en droit européen de la protection des données personnelles obtenu au King's College de Londres. Il a six ans d'expérience dans le conseil aux entreprises sur la manière de se conformer aux lois sur la protection des données. En savoir plus sur l'auteur