La loi du Delaware sur la protection des données personnelles est la première loi complète sur la protection de la vie privée des consommateurs qui existe dans cet État.
Elle est entrée en vigueur le 1er janvier 2025 et définit les exigences et les restrictions applicables à la collecte et au traitement légaux des données à caractère personnel des consommateurs.
Dans ce guide, vous apprendrez si le DPDPA a un impact sur votre entreprise, quels sont les droits qu'il accorde aux consommateurs et comment il se compare à toutes les autres lois américaines en vigueur sur la confidentialité des données.
- Qu'est-ce que la loi du Delaware sur la protection des données personnelles (DPDPA) ?
- Termes clés et définitions de la DPDPA
- Que couvre la loi du Delaware sur la protection des données personnelles ?
- Exigences de la DPDPA
- La loi du Delaware sur la protection des données personnelles par rapport à d'autres États : Similitudes et différences
- Quel sera l'impact de la DPDPA sur les consommateurs ?
- Quel sera l'impact du DPDPA sur les entreprises ?
- Qui doit se conformer à la nouvelle loi du Delaware sur la protection des données personnelles ?
- Comment les entreprises peuvent-elles se préparer au RGPD ?
- Comment la DPDPA sera-t-elle appliquée ?
- Amendes et sanctions en vertu de la loi du Delaware sur la protection des données personnelles
- Comment le site Termly peut-il contribuer à la mise en conformité avec la directive DPDPA ?
- Existe-t-il d'autres lois relatives à la protection de la vie privée au Delaware ?
- Résumé
Qu'est-ce que la loi du Delaware sur la protection des données personnelles (DPDPA) ?
Le Delaware Personal Data Privacy Act (DPDPA), à l'origine House Bill 154, est une loi sur la confidentialité des données couvrant l'État américain du Delaware.
Elle décrit les droits et les options dont disposent les consommateurs en ce qui concerne leurs informations personnelles, ainsi que les exigences que les entités doivent respecter pour collecter, traiter et utiliser ces informations en toute légalité.
En outre, elle explique qui a le pouvoir de faire appliquer la loi et de demander des sanctions si quelqu'un la viole.
Date d'entrée en vigueur de la DPDPA
La loi du Delaware sur la protection des données personnelles est entrée en vigueur le 1er janvier 2025.
Termes clés et définitions de la DPDPA
La loi du Delaware sur la protection des données personnelles (Personal Data Privacy Act) introduit plusieurs termes clés que vous devez comprendre pour vous conformer correctement à ses différentes exigences.
Vous trouverez ci-dessous une liste compilée de ces termes et de leurs définitions, tels qu'ils apparaissent dans le texte de la DPDPA:
Que couvre la loi du Delaware sur la protection des données personnelles ?
Le DPDPA couvre les données personnelles des résidents de l'État du Delaware agissant à titre personnel ou domestique.
Les données à caractère personnel qu'il couvre comprennent tout ce qui est lié ou peut raisonnablement être lié à une personne identifiée ou identifiable, y compris les informations personnelles sensibles.
Exigences de la DPDPA
La DPDPA exige des entités qu'elles respectent des normes spécifiques pour collecter, traiter, utiliser et partager légalement des données à caractère personnel, que j'examine ci-dessous.
Exigences relatives au traitement des données à caractère personnel
En vertu de l'article 12D-106 du RGPD, les responsables du traitement doivent limiter la collecte de données à caractère personnel à ce qui est considéré comme raisonnable, adéquat et pertinent au regard des finalités du traitement telles qu'elles sont présentées à l'utilisateur.
Vous devez également mettre en place et maintenir des mesures de sécurité techniques, administratives et physiques raisonnables pour protéger la confidentialité et l'intégrité des informations.
Le responsable du traitement doit obtenir le consentement du consommateur pour collecter et traiter des données qui vont au-delà de ce qui est nécessaire.
Exigences en matière de consentement
Selon la loi du Delaware sur la protection des données personnelles, le consentement d'un consommateur doit être donné :
- Affirmatif
- Librement consentie
- Spécifique
- Informé
- Sans ambiguïté
Vous devez utiliser une déclaration écrite ou d'autres moyens électroniques pour signifier l'action positive.
La demande de consentement ne peut pas inclure des conditions générales d'utilisation ou des documents similaires avec les détails du traitement des données.
En outre, la nouvelle loi du Delaware sur la confidentialité des données stipule que l'utilisation de motifs sombres, le survol, la mise en sourdine, la mise en pause ou la fermeture d'un contenu ne sont pas des signes de consentement.
Évaluation de la protection des données
La DPDPA exige que certaines entités effectuent des évaluations de la protection des données, comme l'explique la section 12D-108.
En particulier, les responsables du traitement qui traitent les données de 100 000 consommateurs (à l'exclusion des données traitées uniquement pour effectuer des opérations de paiement) doivent effectuer des évaluations et les documenter s'ils :
- Traiter des données à caractère personnel à des fins de publicité ciblée.
- Vendre des données personnelles.
- Traiter les données à des fins de profilage.
- Traiter des données sensibles.
Le responsable du traitement doit mettre en balance les avantages du traitement des données des consommateurs et les risques potentiels pour les droits des consommateurs.
Toutes les garanties en place - comme l'utilisation de données dépersonnalisées - doivent également être prises en compte.
Vous pouvez utiliser une seule évaluation pour documenter plusieurs activités de traitement et pour répondre aux exigences d'une autre loi sur la protection de la vie privée ayant un champ d'application similaire.
Obligations contractuelles avec des sous-traitants tiers
Conformément à la section 12D-107 du DPDPA, les responsables du traitement et les sous-traitants doivent conclure des contrats spécifiques pour satisfaire aux obligations de cette éventuelle loi.
Le contrat juridiquement contraignant doit
- Indiquer clairement les instructions pour le traitement des données.
- Expliquer la nature et la finalité du traitement.
- Énumérer les types de données faisant l'objet d'un traitement.
- Expliquez la durée du traitement.
- énoncer les droits et les obligations des deux parties.
En outre, le contrat doit exiger que le transformateur :
- Veille à ce que chaque personne traitant les informations soit soumise à un devoir de confidentialité.
- Supprime ou renvoie toutes les données au responsable du traitement comme demandé à la fin des services ou sur instruction du responsable du traitement (sauf si la conservation est requise par la loi).
- met toutes les informations en sa possession à la disposition du responsable du traitement, sur demande raisonnable, afin de démontrer le respect du RGPD.
- Oblige tout sous-traitant à s'engager dans un contrat avec les mêmes lignes directrices après avoir donné au responsable du traitement la possibilité de s'opposer au sous-traitant.
- permettre au responsable du traitement, à son évaluateur désigné ou à un évaluateur indépendant qualifié désigné par le sous-traitant de procéder à des évaluations raisonnables et de coopérer avec eux.
Contrôles globaux de la protection de la vie privée
En vertu de la section 12D-105 du DPDPA, les consommateurs peuvent désigner un "paramètre de navigateur, une extension de navigateur ou un paramètre global de dispositif" pour indiquer qu'ils refusent certains types de traitement.
Les responsables du traitement visés par cette loi potentielle doivent configurer leurs sites web de manière à répondre de manière adéquate aux contrôles globaux de la protection de la vie privée (CGP) et aux autres mécanismes universels de retrait (MURD) d'ici au 1er janvier 2026.
La loi du Delaware sur la protection des données personnelles par rapport à d'autres États : Similitudes et différences
La DPDPA présente de nombreuses similitudes avec les lois des États américains qui ont été récemment signées ou qui sont en cours d'application.
Ces lois sont notamment les suivantes :
- Loi californienne sur la protection des consommateurs (CCPA), telle que modifiée par la loi californienne sur les droits à la vie privée (CPRA)
- Loi du Colorado sur la protection de la vie privée (CPA)
- Loi du Connecticut sur la protection des données (CTDPA)
- Charte des droits numériques de Floride (FDBR)
- Loi de l'Indiana sur la protection des données des consommateurs (Indiana CDPA)
- Loi de l'Iowa sur la protection des données des consommateurs (Iowa CDPA)
- Loi du Kentucky sur la protection des données des consommateurs (KCDPA)
- Loi du Minnesota sur la protection des données des consommateurs (MCDPA)
- Loi du Maryland sur la protection des données en ligne (MODPA)
- Loi du Montana sur la protection des données des consommateurs (MCDPA)
- Loi du Nebraska sur la protection des données (NDPA)
- Loi sur la protection des données du New Hampshire (NHDPL)
- Loi sur la protection des données du New Jersey (NJDPA)
- Loi de l'Oregon sur la protection de la vie privée des consommateurs (OCPA)
- Loi sur la protection des informations du Tennessee (TIPA)
- Loi du Texas sur la confidentialité et la sécurité des données (TDPSA)
- Loi de l'Utah sur la protection de la vie privée des consommateurs (UCPA)
- Loi sur la protection des données des consommateurs de Virginie (VCDPA)
Dans le tableau ci-dessous, vous pouvez comparer la DPDPA à toutes ces autres lois des États américains.
| Droit national | Consentement explicite pour certains types de traitement de données | Consentement négatif pour certains types de traitement de données | Doit présenter aux utilisateurs un politique de confidentialité (ou un avis) | Nécessité d'une évaluation de la protection des données | L'obligation contractuelle avec les sous-traitants tiers est précisée | Permet des poursuites civiles ou un droit d'action privé | Doit respecter les contrôles globaux de confidentialité/les paramètres de confidentialité du navigateur |
| DPDPA | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | |
| CCPA/CPRA | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ |
| CPA | ✓ | ✓ | ✓ | ✓ | ✓ | ||
| CTDPA | ✓ | ✓ | ✓ | ✓ | ✓ | ||
| FDBR | ✓ | ✓ | ✓ | ✓ | |||
| CDPA de l'Indiana | ✓ | ✓ | ✓ | ✓ | |||
| CDPA de l'Iowa | ✓ | ✓ | ✓ | ||||
| KCDPA | ✓ | ✓ | ✓ | ✓ | ✓ | ||
| MN CDPA | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | |
| MT CDPA | ✓ | ✓ | ✓ | ✓ | ✓ | ||
| MODPA | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | |
| NHDPL | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | |
| NJDPA | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | |
| OCPA | ✓ | ✓ | ✓ | ✓ | ✓ | ||
| TIPA | ✓ | ✓ | ✓ | ✓ | ✓ | ||
| TDPSA | ✓ | ✓ | ✓ | ✓ | ✓ | ||
| UCPA | ✓ | ✓ | ✓ | ||||
| VCDPA | ✓ | ✓ | ✓ | ✓ |
* Un droit d'action privé n'est accordé par la CCPA que si une entité compromet ou expose l'adresse électronique d'un consommateur en combinaison avec un mot de passe ou une question de sécurité, ou des informations personnelles non cryptées et non expurgées, en raison d'une négligence.
Quel sera l'impact de la DPDPA sur les consommateurs ?
La nouvelle loi du Delaware sur la protection de la vie privée a un impact positif sur les consommateurs en leur accordant de nouveaux droits et en leur permettant de mieux contrôler la manière dont les entités concernées traitent leurs données personnelles.
Plus précisément, la partie 12D-104 de la DPDPA accorde aux consommateurs le droit de.. :
- Confirmer si un responsable du traitement traite leurs données à caractère personnel et accéder à cette information.
- Corriger les inexactitudes dans leurs données.
- Supprimer les informations personnelles fournies par le consommateur ou obtenues à son sujet.
- Obtenir une copie portable de leurs données dans un format facilement utilisable, dans la mesure où cela est techniquement possible.
- Obtenir une liste des catégories de tiers auxquels le responsable du traitement communique leurs données.
- Refuser la publicité ciblée.
- S 'opposer à la vente des données (avec quelques exceptions).
- refuser le profilage dans le cadre de décisions uniquement automatisées qui produisent des effets juridiques (ou des effets significatifs similaires) sur la personne.
Ces droits des consommateurs sont très similaires à ceux accordés par d'autres lois des États américains qui sont déjà en vigueur ou qui ont été adoptées récemment.
À qui s'applique la DPDPA ?
La loi du Delaware sur la confidentialité des données personnelles s'applique aux informations personnelles des résidents du Delaware vivant dans un contexte personnel ou domestique.
Toutefois, elle ne s'applique pas aux personnes agissant à titre commercial ou professionnel.
Elle ne s'applique pas non plus aux propriétaires, administrateurs, dirigeants ou entrepreneurs d'une société, d'un partenariat, d'une entreprise individuelle, d'un organisme à but non lucratif, d'une organisation ou d'une agence gouvernementale.
Quel sera l'impact du DPDPA sur les entreprises ?
Le RGPD a un impact sur les entreprises de plusieurs façons, au-delà des évaluations de la protection des données et des obligations contractuelles mentionnées précédemment.
Il affecte également votre politique de confidentialité et politique de cookies.
Comment la DPDPA affectera-t-elle mon site politique de confidentialité?
La DPDPA décrit plusieurs exigences susceptibles d'avoir un impact sur votre site actuel politique de confidentialité.
Par exemple, la section 12D-106 stipule que les responsables du traitement doivent présenter aux consommateurs une note d'information sur la protection de la vie privée "raisonnablement accessible, claire et significative" qui comporte tous les éléments suivants :
- Les catégories de données à caractère personnel traitées
- La finalité du traitement des données
- Comment les consommateurs peuvent-ils exercer leurs droits et faire appel des décisions du responsable du traitement concernant leurs demandes ?
- Les catégories de données à caractère personnel que le responsable du traitement partage avec des tiers, le cas échéant
- Les catégories de tiers avec lesquels le responsable du traitement partage les données, le cas échéant
- une adresse électronique active ou un mécanisme en ligne que le consommateur peut utiliser pour contacter le responsable du traitement
- Si le responsable du traitement vend des données à caractère personnel ou les utilise à des fins de publicité ciblée, et comment le consommateur peut s'opposer à ces activités de traitement.
- Un ou plusieurs moyens sûrs et fiables par lesquels les consommateurs peuvent soumettre des demandes pour exercer leurs droits en vertu de la DPDPA.
En outre, vous devez inclure dans votre avis de confidentialité un lien vers votre site web qui mène à une page web où le consommateur peut refuser la publicité ciblée et la vente de ses données.
Comment la DPDPA affectera-t-elle mon site politique de cookies?
La loi du Delaware sur la protection des données personnelles peut avoir un impact sur votre site politique de cookies si vous utilisez des cookies Internet pour des activités de traitement spécifiques ou si vous collectez certains types de données personnelles.
Par exemple, en vertu de cette loi potentielle, les consommateurs ont le droit de se désinscrire :
- Publicité ciblée
- La vente de leurs données
- Profilage
Si votre entreprise utilise des cookies et effectue l'une de ces activités de traitement, vous devez mettre à jour votre site politique de cookies afin d'en informer clairement vos clients. Vous devez également prévoir un mécanisme de retrait facile.
En outre, pour collecter des informations personnelles sensibles par le biais de cookies Internet, vous devez obtenir un consentement actif avant de placer des cookies sur les navigateurs des utilisateurs.
Qui doit se conformer à la nouvelle loi du Delaware sur la protection des données personnelles ?
Selon la section 12D-103 de la DPDPA, vous devez vous conformer à cette loi si vous exercez une activité commerciale dans l'État ou si vous produisez des produits ou des services destinés aux résidents du Delaware et que vous remplissez l'une des conditions suivantes au cours d'une année civile :
- contrôler ou traiter les données à caractère personnel d'au moins 35 000 consommateurs (à l'exclusion des données à caractère personnel traitées uniquement pour effectuer des opérations de paiement)
- Contrôler ou traiter les données à caractère personnel d'au moins 10 000 consommateurs et tirer plus de 20 % de votre revenu annuel brut de la vente de données à caractère personnel.
Il est intéressant de noter que le seuil actuel de la DPDPA est numériquement inférieur à celui des autres lois des États américains et qu'il est plus susceptible de s'appliquer aux petites et moyennes entreprises.
Qui est exempté de l'application de la DPDPA ?
Toutes les entités suivantes sont exemptées de l'obligation de se conformer à la DPDPA :
- Tout organe réglementaire, administratif, consultatif, exécutif, nominatif, législatif ou judiciaire de l'État ou d'une subdivision politique de l'État.
- Les institutions financières ou leurs affiliés soumis à la loi Gramm Leach Bliley (GLBA).
- Organisations à but non lucratif qui se consacrent exclusivement au traitement et à la prévention des délits d'assurance.
- Associations nationales de valeurs mobilières, conformément au Securities Exchange Act de 1934.
Comment les entreprises peuvent-elles se préparer au RGPD ?
Les entreprises peuvent se préparer à l'entrée en vigueur de la loi du Delaware sur la protection des données personnelles en mettant à jour leur site politique de confidentialité afin de répondre aux exigences de la nouvelle loi en matière de notification.
Les entités couvertes doivent également fournir aux consommateurs plusieurs moyens d'exprimer leurs droits en matière de confidentialité des données, comme la mise en place d'une bannière de consentement et l'ajout d'un formulaire de demande d'accès à la base de données sur votre site ou votre application.
Si votre organisation traite les données de plus de 100 000 consommateurs, prévoyez de procéder à des évaluations de la protection des données.
De même, veillez à ce que les contrats conclus avec des sous-traitants ou des responsables du traitement tiers répondent aux spécifications définies par le DPDPA.
Enfin, certaines parties de cette loi exigent que les sites web des entités couvertes respectent les contrôles globaux de confidentialité ; vous devez donc également préparer votre plateforme à ces obligations.
Comment la DPDPA sera-t-elle appliquée ?
La DPDPA donne au ministère de la justice le pouvoir de faire appliquer la loi dans la section 12D-111 du projet de loi, contrairement à d'autres lois sur la protection de la vie privée des États américains qui donnent le pouvoir de faire appliquer la loi à leurs procureurs généraux respectifs.
Le ministère de la justice accorde aux contrôleurs qui enfreignent la loi un délai de 60 jours pour remédier à la situation.
Toutefois, la période de cure se termine le 31 décembre 2025.
Après cette date, le ministère de la Justice examinera les éléments suivants afin de déterminer si le contrôleur bénéficiera ou non d'une période de guérison :
- Le nombre d'infractions
- La taille et la complexité du contrôleur ou du processeur
- La nature et l'étendue de leurs activités de traitement
- La probabilité d'un préjudice pour le public
- La sécurité des personnes ou des biens
- Si une erreur humaine ou technique est susceptible d'être à l'origine de la violation alléguée
- la mesure dans laquelle le responsable du traitement ou le sous-traitant a violé des lois similaires dans le passé
Amendes et sanctions en vertu de la loi du Delaware sur la protection des données personnelles
La version actuelle de la DPDPA stipule que le ministère de la justice peut engager des poursuites en cas de violation du sous-chapitre II du chapitre 25 du titre 29, une loi sur la protection des consommateurs.
Les amendes et les pénalités peuvent atteindre jusqu'à 10 000 dollars par infraction.
La DPDPA stipule que les consommateurs ne disposent pas d'un droit d'action privé en vertu de cette loi, mais qu'ils peuvent déposer des plaintes auprès du ministère de la justice.
Comment le site Termly peut-il contribuer à la mise en conformité avec la directive DPDPA ?
Termly propose des générateurs de politiques et un site plateforme de gestion du consentement (CMP) qui peut aider les entités à respecter les lignes directrices définies par la DPDPA.
Notre équipe juridique et nos experts en confidentialité des données ont validé nos solutions de conformité, et nous les mettons régulièrement à jour pour suivre l'évolution de la législation en matière de confidentialité des données dans le monde entier.
Par exemple, le site Termly's Générateur de politique de confidentialité vous pose des questions simples sur les activités de traitement des données de votre entreprise et crée une politique unique en fonction de vos réponses.
Voir une capture d'écran ci-dessous.
En outre, nous proposons un plateforme de gestion du consentement qui vous fournit une bannière de consentement. Vous pouvez la configurer de manière à ce qu'elle réponde aux exigences en matière d'opt-out décrites dans des lois telles que la DPDPA.
Voyez ce que cela donne dans la capture d'écran ci-dessous.
Existe-t-il d'autres lois relatives à la protection de la vie privée au Delaware ?
La DPDPA est la première loi complète du Delaware sur la protection des données des consommateurs, mais d'autres lois du code du Delaware affectent la vie privée des résidents de l'État.
Notamment, le Delaware Online Privacy and Protection Act(DOPPA) décrit des lignes directrices spécifiques pour les entités qui exploitent des sites internet, des services de conseil et d'informatique en ligne ou en nuage, et des applications en ligne ou mobiles destinées aux enfants.
En outre, la loi sur la protection des données personnelles des étudiants(SDPPA) protège les informations personnelles des étudiants dans l'État et empêche les entités de :
- Utilisation des données des élèves pour une publicité ciblée.
- Vendre des informations sur les étudiants, sauf dans des circonstances spécifiques.
- La création d'un profil publicitaire de l'étudiant, à moins qu'il ne s'agisse d'un usage scolaire (de la maternelle à la 12e année).
Résumé
La loi du Delaware sur la protection des données personnelles est désormais en vigueur, et les exigences concernant les UOOM entreront en vigueur en 2026.
Pour se conformer à cette nouvelle législation, les entreprises doivent mettre à jour leurs politiques en matière de cookies et de protection de la vie privée afin de respecter les obligations de notification.
Vous devez également fournir aux consommateurs plusieurs moyens de faire valoir leurs droits, comme un formulaire DSAR et une bannière de consentement avec un centre de préférences.
N'oubliez pas que vous devez donner aux consommateurs un moyen facile de refuser les publicités ciblées, la vente de leurs données et certains types de profilage.
Donnez une longueur d'avance à votre entreprise en utilisant Termly's Générateur de politique de confidentialité et CMP, et éliminez certains des problèmes liés à la conformité en matière de protection de la vie privée.
En savoir plus sur l'auteur
Écrit par Anokhy Desai CIPP/US, CIPT, CIPM
Anokhy est une avocate spécialisée dans la protection de la vie privée qui a acquis une expérience dans le domaine de la protection de la vie privée et de la cybersécurité dans les secteurs public et privé. En tant qu'ancienne Westin Fellow à l'IAPP, elle a publié plusieurs articles, livres blancs et infographies, et a dirigé, coordonné et modéré des webinaires et des panels, tous concernant la protection de la vie privée aux États-Unis et les technologies de protection de la vie privée. Anokhy a obtenu une maîtrise à l'université Carnegie Mellon et un doctorat en droit à l'université de Pittsburgh. En savoir plus sur l'auteur
