Loi du Montana sur la protection des données des consommateurs : Premier aperçu et résumé

Le Montana est devenu un autre État américain à adopter une loi sur la confidentialité des données.

Le Montana Consumer Data Privacy Act (MCDPA) est entré en vigueur le 1er octobre 2024 et a été récemment amendé, élargissant le champ d'application de la loi.

Dans ce guide, je résume la loi MCDPA et les modifications à venir, en indiquant notamment à qui elle s'applique, qui elle concerne, quels sont les droits des consommateurs qu'elle crée et quelles sont les sanctions en cas de violation de ses dispositions.

Qu'est-ce que la loi du Montana sur la protection des données des consommateurs (MCDPA) ?

La loi du Montana sur la protection des données des consommateurs (Montana Consumer Data Privacy Act ou MCDPA) fait partie d'un nombre croissant de lois sur la protection des données adoptées aux États-Unis.

Elle établit les droits des consommateurs en ce qui concerne la manière dont les informations personnelles sont utilisées par les entités et décrit les exigences, les lignes directrices et les obligations pour les entreprises qui souhaitent collecter et traiter ces données.

Il explique également les sanctions et les mesures d'application en cas de violation d'une partie de la loi.

Date d'entrée en vigueur de l'AMPCD

Montana’s data privacy law entered into force on October 1, 2024 and was amended.

The changes took effect October 1, 2025 and included:

• Un champ d'application juridique plus large qui touche un plus grand nombre d'entreprises ;
• Renforce la protection des données pour les mineurs ;
• Des exemptions plus étroites pour les assureurs et les tiers administrateurs ;
• Exigences claires et bien visibles en matière d'opt-out

Les entreprises avaient également jusqu'au 1er janvier 2025 pour se conformer à certaines dispositions relatives à la reconnaissance des contrôles globaux de la protection de la vie privée par les navigateurs des consommateurs.

The law also provides an initial cure period for entities that violate it, but this grace period ends on April 1, 2026.

Termes clés et définitions du MCDPA

Vous devez comprendre les définitions juridiques de certains termes clés pour répondre aux exigences de la loi sur la protection des données des consommateurs du Montana (Montana Consumer Data Privacy Act).

J'ai repris ci-dessous les expressions et définitions essentielles telles qu'elles figurent dans l'AMPCD.

Que couvre la loi du Montana sur la protection des données des consommateurs ?

La MCDPA couvre les informations personnelles des consommateurs qui résident dans l'État du Montana. Elle ne protège pas les personnes agissant dans un contexte commercial ou professionnel.

En revanche, les personnes suivantes, qui agissent au nom d'une société, d'un partenariat, d'une entreprise individuelle, d'un organisme à but non lucratif ou d'une agence gouvernementale et dont les communications avec le responsable du traitement ont lieu uniquement dans le cadre de leur rôle, ne sont pas couvertes :

• Salariés
• Propriétaires
• Directeurs
• Agents
• Entrepreneurs

Exigences de la loi du Montana sur la protection des données des consommateurs

Pour vous aider à vous conformer à cette loi, vous trouverez ci-dessous les différentes exigences commerciales prévues par la loi sur la protection des données des consommateurs du Montana (Montana Consumer Data Privacy Act).

Lignes directrices du contrôleur pour le traitement des données

Le texte de la LPMD décrit les lignes directrices du contrôleur pour le traitement des données à caractère personnel à la section 7.

Vous pouvez traiter des informations à caractère personnel tant que vous

• Limiter la collecte des données à ce qui est adéquat, pertinent et raisonnablement nécessaire au regard des finalités du traitement des informations telles qu'elles ont été communiquées au consommateur.
• Établir, mettre en œuvre et maintenir des pratiques de sécurité raisonnables pour protéger la confidentialité et l'intégrité des données à caractère personnel en fonction du volume et de la nature des informations.

Bien que les motifs de traitement des données soient très larges, la loi MCDPA exige que vous obteniez un consentement si vous souhaitez collecter des données personnelles sensibles, des données concernant des enfants connus, ou si vous souhaitez collecter des informations supplémentaires auprès de vos utilisateurs au-delà de ce qui peut être considéré comme raisonnablement nécessaire.

Dans la section suivante, vous en apprendrez davantage sur le consentement dans le cadre de la loi MCDPA.

Consentement

En vertu de la LPMD, les responsables du traitement ne peuvent traiter des données à caractère personnel pour des raisons qui ne sont pas raisonnablement nécessaires ou compatibles avec les objectifs divulgués, à moins d'obtenir le consentement du consommateur, comme l'explique la section 7, partie (2)(a).

La loi du Montana sur la protection des données personnelles définit précisément ce qu'est le consentement et ce qu'il n'est pas.

Plusieurs conditions doivent être remplies pour que le consentement soit conforme :

• Le consentement doit être une action claire, affirmative et non implicite.
• Les consommateurs doivent le donner librement, c'est-à-dire sans contrainte ni force.
• Il peut s'agir d'une déclaration écrite, d'un moyen électronique ou d'une autre action affirmative non ambiguë.

En ce qui concerne ce qui n'est pas considéré comme un consentement en vertu de la MCDPA, le texte de la loi stipule clairement qu'aucune des actions suivantes n'est considérée comme une compétence :

• Accepter des conditions d'utilisation ou tout autre document similaire contenant des descriptions de données à caractère personnel ainsi que d'autres détails non liés.
• survoler, mettre en sourdine, mettre en pause ou fermer un élément de contenu
• Obtention d'accords par l'utilisation de motifs sombres

Évaluation de la protection des données

La MCDPA exige des responsables du traitement qu'ils effectuent et documentent des évaluations de la protection des données pour toute activité susceptible de présenter un risque accru de préjudice pour le consommateur.

Plus précisément, la section 9, partie (1) de la loi stipule que les activités suivantes présentent un tel risque accru :

• Traitement des données personnelles à des fins de publicité ciblée
• Vente de données à caractère personnel
• Le traitement de données à caractère personnel à des fins de profilage qui (1) présente un risque raisonnablement prévisible de traitement déloyal ou trompeur ayant un impact disparate illégal sur les consommateurs, (2) porte atteinte aux finances, à l'intégrité physique ou à la réputation des consommateurs, (3) constitue une intrusion physique ou autre dans l'isolement, la solitude, les affaires privées ou les préoccupations des consommateurs, dans la mesure où une telle intrusion serait choquante pour une personne raisonnable.
• Autres préjudices importants subis par les consommateurs
• Le traitement des données sensibles

La partie (2) décrit ensuite ce que doit comporter l'évaluation de la protection des données :

• Identifier et mettre en balance les avantages qui peuvent résulter du traitement des données, tant directement qu'indirectement, et les risques potentiels pour les droits du consommateur, tels qu'ils sont atténués par les garanties mises en place par le responsable du traitement.
• La prise en compte de l'utilisation de données dépersonnalisées et des attentes raisonnables des consommateurs, y compris le contexte du traitement et la relation entre le responsable du traitement et le consommateur.

Le MCDPA vous permet d'utiliser une seule évaluation de la protection des données pour traiter un ensemble comparable d'activités de traitement, pour autant que leur portée soit similaire.

La loi permet également que des évaluations similaires requises pour se conformer à d'autres lois ou règlements applicables soient potentiellement prises en compte dans le MCDPA.

Obligations contractuelles avec des sous-traitants tiers

Tout responsable du traitement des données qui fait appel à un sous-traitant tiers doit utiliser un contrat conforme à certains aspects de la LPMD, comme indiqué dans la section 8, partie (2).

Le responsable du traitement doit exiger que les sous-traitants fassent ce qui suit s'ils traitent des données à caractère personnel pour le compte du responsable du traitement :

• Veiller à ce que chaque personne traitant les données soit soumise à un devoir de confidentialité.
• Supprimer ou renvoyer toutes les données à caractère personnel au responsable du traitement comme demandé à la fin de la prestation de services, selon les instructions du responsable du traitement, à moins que la conservation ne soit requise par la loi.
• Mettre toutes les informations à la disposition du responsable du traitement, à sa demande raisonnable, afin de démontrer que le sous-traitant respecte la LPMD.
• Veiller à ce que les sous-traitants auxquels le sous-traitant fait appel soient soumis à un contrat écrit respectant les mêmes obligations en matière de données à caractère personnel.
• Autoriser les évaluations raisonnables de la protection des données effectuées par le responsable du traitement ou son délégué désigné, et coopérer avec eux.
• Le sous-traitant peut également demander à un évaluateur indépendant qualifié d'évaluer ses politiques et ses mesures techniques et organisationnelles et de fournir un rapport d'évaluation au responsable du traitement sur demande.

Le responsable du traitement et le sous-traitant doivent tous deux signer le contrat écrit. L 'article 8, paragraphe 3, souligne qu'aucune disposition de cet article ne libère le responsable du traitement ou le sous-traitant des responsabilités imposées à l'une ou l'autre des parties en raison de leur rôle dans la relation de traitement.

Selon l'article 8, partie (4), la détermination de la qualité de responsable du traitement ou de sous-traitant d' une entité est basée sur les faits et dépend de ces contextes :

• Si une personne ne se limite pas à traiter des données à caractère personnel conformément aux instructions d'un responsable du traitement ou n'adhère pas aux instructions d'un responsable du traitement, elle est considérée comme un responsable du traitement et non comme un sous-traitant.
• Un sous-traitant qui continue à se conformer aux instructions du responsable du traitement concernant le traitement des données à caractère personnel reste un sous-traitant.
• Si un sous-traitant commence, seul ou avec d'autres, à déterminer la finalité et les moyens du traitement des données à caractère personnel, il est considéré comme un responsable du traitement et peut faire l'objet de mesures d'exécution.

Obligations relatives aux données dépersonnalisées et pseudonymes

En vertu de la LPMD, les responsables du traitement en possession de données dépersonnalisées ont plusieurs responsabilités. L 'article 10 stipule que vous devez

• Prendre des mesures raisonnables pour s'assurer que les données sont dépersonnalisées et ne peuvent être associées à une personne.
• S'engager publiquement à conserver et à utiliser les données dépersonnalisées sans tenter de les réidentifier.
• Obliger contractuellement tous les destinataires des données dépersonnalisées à se conformer à toutes les dispositions de la LPMD.

Mais la loi précise que rien de tout cela ne doit être utilisé pour exiger d'un responsable du traitement ou d'un sous-traitant qu'il.. :

• Ré-identifier des données dépersonnalisées ou pseudonymes.
• Conserver les données sous une forme identifiable.
• être capable d'associer une demande authentifiée d'un consommateur à des données à caractère personnel.

Contrôles globaux de la protection de la vie privée

En vertu de la nouvelle loi du Montana sur la protection de la vie privée, votre entreprise doit reconnaître et respecter les extensions de navigateur ou les paramètres globaux des appareils des consommateurs, généralement appelés "contrôles globaux de confidentialité" (CGP), qui indiquent leur souhait de refuser certains types de traitement de données.

Selon l'article 6 de la loi, un consommateur peut légalement utiliser un CPG pour indiquer qu'il souhaite refuser que ses données soient utilisées pour de la publicité ciblée ou pour la vente de ses données.

Ces exigences sont entrées en vigueur le 1er janvier 2025.

La loi du Montana sur la protection des données personnelles par rapport à d'autres États : Similitudes et différences

À l'heure actuelle, plusieurs États américains ont adopté des lois sur la confidentialité des données.

Si elles présentent toutes des similitudes, elles présentent également quelques différences notables que les entreprises doivent comprendre pour se conformer à ces textes législatifs.

Actuellement, les autres lois sur la confidentialité des données des États américains sont les suivantes :

• California Consumer Protection Act (CCPA), as amended by the California Privacy Rights Act (CPRA)
• Loi du Colorado sur la protection de la vie privée (CPA)
• Loi du Connecticut sur la protection des données (CTDPA)
• Loi du Delaware sur la protection des données personnelles (DPDPA)
• Charte des droits numériques de Floride (FDBR)
• Loi de l'Iowa sur la protection des données des consommateurs (Iowa CDPA)
• Loi de l'Indiana sur la protection des données des consommateurs (Indiana CDPA)
• Loi du Kentucky sur la protection des données des consommateurs (KCDPA)
• Loi du Minnesota sur la protection des données des consommateurs (MCDPA)
• Loi du Maryland sur la protection des données en ligne (MODPA)
• Loi du Nebraska sur la protection des données (NDPA)
• Loi sur la protection des données du New Hampshire (NHDPL)
• Loi sur la protection des données du New Jersey (NJDPA)
• Loi de l'Oregon sur la protection de la vie privée des consommateurs (OCPA)
• Loi sur la protection des informations du Tennessee (TIPA)
• Loi du Texas sur la confidentialité et la sécurité des données (TDPSA)
• Loi de l'Utah sur la protection de la vie privée des consommateurs (UCPA)
• Loi sur la protection des données des consommateurs de Virginie (VCDPA)

Voici un tableau comparant toutes ces lois à la MCDPA :

Quel sera l'impact de la MCDPA sur les consommateurs ?

La loi MCDPA a un impact sur les consommateurs en leur accordant plus de droits et de contrôle sur la manière dont les entités externes traitent et utilisent leurs données personnelles.

Plus précisément, l'article 5 de la loi stipule que les résidents du Montana peuvent

• Confirmer si un responsable du traitement traite leurs données à caractère personnel et donner accès à ces données, sauf si la confirmation ou l'accès obligerait le responsable du traitement à révéler un secret commercial.
• Corriger les inexactitudes dans les données personnelles du consommateur
• Supprimer les données personnelles les concernant.
• Obtenir une copie des données à caractère personnel précédemment fournies par l'individu dans un format portable et utilisable.
• Refuser le traitement des données personnelles à des fins de publicité ciblée, de vente de données personnelles ou de profilage dans le cadre de décisions uniquement automatisées produisant des effets juridiques ou significatifs pour les consommateurs.

Les consommateurs peuvent également faire appel de toute décision prise par les responsables du traitement des données concernant leurs demandes vérifiables.

À qui s'applique la MCDPA ?

Conformément à la définition du terme "consommateur" décrite à la section 2, le MCDPA ne s'applique qu'aux données à caractère personnel des résidents du Montana.

Toute personne ne résidant pas dans le Montana n'est pas protégée par cette loi.

Cela signifie notamment que ces personnes sont couvertes par la MCDPA même si elles quittent l'État et utilisent l'internet dans d'autres parties du monde.

Quel sera l'impact de la MCDPA sur les entreprises ?

La loi du Montana sur la protection des données des consommateurs (Montana Consumer Data Privacy Act) a plusieurs répercussions sur les entreprises, au-delà des évaluations de la protection des données, des obligations contractuelles et des bases juridiques pour le traitement des données mentionnées précédemment dans cet article.

Elle peut également avoir une incidence sur certaines parties de vos politiques en matière de confidentialité et de cookies. Les sections suivantes décrivent précisément ce que la loi MCDPA exige des entreprises pour ces deux politiques.

Comment le MCDPA affectera-t-il mon site politique de confidentialité?

Conformément à l'article 7, paragraphe 5, de la loi, les responsables du traitement doivent présenter aux consommateurs un avis de confidentialité "raisonnablement accessible, clair et significatif".

Votre avis doit contenir toutes les informations suivantes :

• Les catégories de données à caractère personnel traitées par le responsable du traitement
• La finalité du traitement des données
• Les catégories de données à caractère personnel que le responsable du traitement a partagées avec des tiers, le cas échéant
• Les catégories de tiers avec lesquels le responsable du traitement a partagé les données, le cas échéant
• une adresse électronique active ou un autre mécanisme que les consommateurs peuvent utiliser pour contacter le responsable du traitement
• une description de la manière dont les consommateurs peuvent exercer les droits que leur confère la LPMD, y compris la manière dont ils peuvent faire appel des décisions d'un responsable du traitement concernant leurs demandes

Votre site politique de confidentialité doit établir et décrire au moins deux moyens "sûrs et fiables" par lesquels les consommateurs peuvent soumettre des demandes d'action concernant leurs droits en matière de protection des données à caractère personnel :

• Les modes d'interaction habituels entre les utilisateurs et vous
• les mesures de communication sûres et fiables mises en place concernant la demande
• Votre capacité à vérifier l'identité des consommateurs qui soumettent la demande

Vous ne pouvez pas exiger d'une personne qu'elle crée un nouveau compte pour faire valoir ses droits. En revanche, vous pouvez demander à un consommateur d'utiliser un compte existant.

Comment le MCDPA affectera-t-il mon site politique de cookies?

La nouvelle loi du Montana sur la confidentialité des données peut affecter votre vie privée. politique de cookiesLa nouvelle loi sur la protection des données du Montana peut avoir une incidence sur votre activité, en particulier si vous utilisez des informations collectées à partir de cookies Internet pour faire de la publicité ciblée ou si vous vendez ces données.

En vertu de l'article 5 de la loi, les consommateurs ont le droit de refuser que leurs données soient traitées de l'une ou l'autre de ces manières.

Vous devez mettre à jour votre site politique de cookies et expliquer aux consommateurs si vous utilisez des cookies ciblés ou publicitaires et leur fournir un moyen raisonnable de refuser ou de s'opposer à l'utilisation de ces cookies ou d'autres traceurs internet similaires.

Qui doit se conformer à la nouvelle loi du Montana sur la protection des données personnelles ?

Selon la section 3, vous devez vous conformer à la MCDPA si vous exercez une activité commerciale dans le Montana ou si vous produisez des produits ou des services destinés aux résidents de l'État et si vous remplissez l'un des critères suivants :

• contrôle ou traite les données à caractère personnel d'au moins 50 000 consommateurs, à l'exclusion des données à caractère personnel contrôlées ou traitées dans le seul but d'effectuer une opération de paiement
• contrôle ou traite les données à caractère personnel d'au moins 25 000 consommateurs et tire plus de 25 % de son revenu annuel brut de la vente de données à caractère personnel

Un nouveau seuil légal plus large sera applicable à partir du 1er octobre 2025.

Qui est exempté de la MCDPA ?

Toutes les entités suivantes sont exemptées des exigences de la MCDPA :

• Organes politiques, autorités, conseils, bureaux, commissions, districts ou agences de l'État ou de toute subdivision politique.
• Organisations à but non lucratif
• Établissements d'enseignement supérieur
• National Securities Association enregistrée sous 15 U.S.C. 78o-3 du Federal Securities Exchange Act de 1934, tel que modifié.
• Institutions financières ou affiliés d'institutions financières régies par, ou données à caractère personnel collectées, traitées, vendues ou divulguées en vertu du titre V de la loi Gramm Leach Bliley (GBLA)
• Entités ou entreprises couvertes, telles que définies dans le règlement sur la protection de la vie privée de la loi fédérale sur la portabilité et la responsabilité en matière d'assurance maladie (Health Insurance Portability and Accountability Act - HIPAA)

Comment les entreprises peuvent-elles se préparer à la MCDPA ?

Les entreprises doivent prévoir de mettre à jour leur site politique de confidentialité et d'y inclure au moins deux moyens permettant aux consommateurs de faire valoir leurs droits en matière de protection des données, notamment en refusant la publicité ciblée et la vente de leurs informations.

Il est également temps de préparer votre site web à honorer les GPC des navigateurs de vos utilisateurs.

En outre, les entreprises devraient envisager d'utiliser un site plateforme de gestion du consentement (CMP) qui fournit aux utilisateurs une bannière de consentement conforme aux exigences d'exclusion énoncées par cette loi.

Vous devez également prévoir d'effectuer des évaluations adéquates de la protection des données pour certains types de traitement de données, conformément à l'article 9 de la loi.

Si vous faites appel à des tiers pour traiter les données à caractère personnel de vos consommateurs, préparez-vous à utiliser des accords de traitement des données conformes aux obligations décrites à l'article 8, paragraphe 2, de la loi.

Comment le MCDPA sera-t-il appliqué ?

Le procureur général du Montana a le droit exclusif de faire appliquer la MCDPA, comme l'explique l'article 12 de la loi.

Si un contrôleur enfreint la loi, le procureur général l'en informera et lui accordera un délai de 60 jours pour remédier à la situation.

Le contrôleur doit corriger les violations constatées, fournir une déclaration écrite au procureur général expliquant les corrections, et déclarer qu'aucune autre violation ne se produira.

L'AG ne prendra pas d'autres mesures négatives à l'encontre des contrôleurs qui respectent leurs engagements. Toutefois, cette période de grâce prend fin le 1er avril 2026, après quoi il n'y aura plus de période de 60 jours pour remédier à la situation.

Amendes et pénalités en vertu de la loi du Montana sur la protection des données des consommateurs

La MCDPA ne prévoit pas de montant ou de limite spécifique pour les sanctions. Elle indique simplement que le procureur général est responsable de l'application de la loi.

Toutefois, la loi précise que les consommateurs n'ont pas de droit d'action privé.

Comment le site Termly peut-il contribuer à la mise en conformité avec la loi MCDPA ?

Termly vous fournit des ressources et des outils pour vous aider à simplifier votre démarche de mise en conformité avec la loi MCDPA et plusieurs autres lois importantes sur la protection de la vie privée.

Notre Générateur de politique de confidentialitépar exemple, est conforme à la LPMD et pose des questions simples sur votre entreprise et ses activités de traitement des données.

Il crée ensuite une politique conforme sur la base de vos réponses, que vous pouvez facilement intégrer directement sur votre site web ou votre application mobile. Voyez à quoi cela ressemble ci-dessous.

Nous proposons également un site plateforme de gestion du consentement (CMP) que vous pouvez configurer pour répondre aux exigences de non-participation concernant les droits des consommateurs, comme le stipulent des lois telles que la MCDPA.

En voici un exemple ci-dessous.

Commencer à gérer le consentement

Entrez l'URL de votre site web

Afin de vous aider à créer un site politique de cookies conforme à la législation mondiale, nous devons d'abord rechercher des cookies sur votre site web.

Lancer l'analyse du site web

Existe-t-il d'autres lois relatives à la protection de la vie privée dans le Montana ?

Si la MCDPA est la première loi du Montana à protéger les données personnelles des consommateurs et à définir les obligations des sous-traitants, ce n'est pas la seule loi de l'État qui ait une incidence sur les droits des résidents en matière de protection de la vie privée.

Par exemple, la loi du Montana sur la protection des informations personnelles des élèves en ligne (Montana Pupil Online Personal Information Protection Act) empêche les entités de faire sciemment de la publicité ciblée sur les applications en ligne des élèves de la maternelle à la terminale.

Le MCDPA en toute simplicité

Les entreprises qui doivent se conformer à la MCDPA doivent prendre certaines mesures pour répondre aux normes élevées de la loi. Ce champ d'application sera considérablement élargi dans le courant de l'année, lorsque les nouvelles modifications entreront en vigueur.

Prévoyez de mettre à jour votre politique de protection de la vie privée afin de respecter toutes les obligations décrites par la loi et de fournir deux méthodes ou plus permettant aux consommateurs de faire valoir leurs droits en matière de protection des données, comme une bannière de consentement donnant accès à un centre de préférences en matière de consentement et reliant un formulaire de demande d'accès à des données personnelles(DSAR).

Vous pouvez utiliser les outils de Termlypour faciliter l'ensemble du processus, afin de vous concentrer sur ce qui compte le plus : votre entreprise !

En savoir plus sur l'auteur

Rédigé par Stefani Schmidt, M.S., CIPM, CIPP-US

Stefani est une professionnelle de la confidentialité des données, du risque, de la conformité et de la gestion de programme, avec une expérience dans les secteurs de la communication, de la finance et de l'adtech. Stefani a travaillé en étroite collaboration avec les parties prenantes de différents départements pour faire avancer les initiatives en matière de protection de la vie privée dans les entreprises, y compris les examens de la protection de la vie privée et de la sécurité des nouvelles initiatives commerciales et des nouveaux fournisseurs. Stefani est titulaire d'une maîtrise en technologies de la sécurité de l'Université du Minnesota - Twin Cities et d'une licence en journalisme et sciences politiques. En savoir plus sur l'auteur