Les entreprises qui relèvent du seuil légal du Montana Consumer Data Privacy Act (MCDPA) ont jusqu'au 1er octobre 2024 pour se préparer à la mise en conformité.
C'est pourquoi j'ai élaboré cette liste de contrôle en six étapes pour aider les entreprises à satisfaire aux exigences de la loi MCDPA.
Prêt à suivre ?
Liste de contrôle de la conformité à la MCDPA : Étape par étape
Pour simplifier les exigences de la MCDPA, j'ai établi cette liste de contrôle en six étapes.
Partie 1 : Réaliser un audit sur la protection de la vie privée
Pour se conformer à la loi MCDPA, votre entreprise doit d'abord procéder à un audit de la protection de la vie privée afin d'identifier toutes les données à caractère personnel qu'elle recueille auprès des consommateurs, les raisons de leur collecte et la manière dont elles sont utilisées.
Appelé également inventaire des données, ce processus peut être complété par l'une des méthodes suivantes :
Partie 2 : Exigences en matière de notification de la protection de la vie privée
La MCDPA impose aux entreprises de présenter aux consommateurs du Montana une politique de protection de la vie privée raisonnablement accessible, claire et significative, qui explique les informations suivantes :
- Quelles sont les catégories de données à caractère personnel que vous collectez.
- La raison pour laquelle vous traitez les données.
- Comment les consommateurs peuvent-ils exercer leurs droits et faire appel des décisions prises à la suite d'une demande ?
- les catégories de données que vous partagez avec des tiers, le cas échéant.
- les catégories de tiers avec lesquels vous partagez des données, le cas échéant.
- Une adresse électronique active ou un autre mécanisme que les consommateurs peuvent utiliser pour vous contacter.
Partie 3 : Gestion du consentement pour un traitement spécifique des données
Les entreprises soumises à la loi MCDPA doivent gérer le consentement des utilisateurs afin de leur permettre de refuser différents types de traitement de données, notamment
- La vente de données à caractère personnel
- Traitement de leurs données à des fins de publicité ciblée
- Traitement de leurs données à des fins de profilage
Vous pouvez respecter cette directive en utilisant un site plateforme de gestion du consentement (CMP) et en présentant aux visiteurs de votre site web une bannière de consentement conforme.
Partie 4 : Obligations contractuelles pour le partage ou la vente de données à caractère personnel
En vertu de la loi MCDPA, les entreprises qui agissent en tant que responsables du traitement des données et qui travaillent avec des sous-traitants tiers doivent utiliser un contrat contraignant définissant les exigences suivantes :
- Inclure les instructions pour le traitement des données, sa nature, sa durée et sa finalité.
- Exiger un devoir de confidentialité concernant les données.
- Exiger du transformateur qu'il démontre qu'il respecte la LPMD.
- Exiger du sous-traitant qu'il supprime ou renvoie toutes les données à caractère personnel au responsable du traitement, à la discrétion de ce dernier.
- Exiger du sous-traitant qu'il supprime ou restitue toutes les données à la fin du contrat.
- exiger du sous-traitant qu'il coopère aux évaluations raisonnables du responsable du traitement.
- Exiger de tout sous-traitant qu'il signe un contrat énonçant les mêmes obligations.
Partie 5 : Droits des consommateurs et demandes vérifiables des consommateurs
Si votre entreprise est soumise à la MCDPA, vous devez proposer aux consommateurs du Montana au moins deux moyens de soumettre des demandes vérifiables de la part des consommateurs afin de donner suite à leurs droits :
- Confirmez si vous traitez leurs données.
- Demander l'accès à leurs données
- Corriger les inexactitudes dans leurs données.
- Obtenez une copie portable si possible.
- Demander la suppression de leurs données personnelles.
- refuser que leurs données soient vendues.
- refuser que leurs données soient traitées à des fins de publicité ciblée.
- Refuser le profilage.
Pour répondre à cette exigence légale, vous pouvez mettre en œuvre les solutions suivantes sur votre site web :
- Utilisez un formulaire de demande d'accès à la base de données(DSAR).
- Fournir une adresse électronique à laquelle les utilisateurs peuvent soumettre des demandes.
- Publier un politique de cookies si votre site utilise des cookies qui collectent des données sensibles, des données que vous vendez ou des données utilisées pour la publicité ciblée.
- Utiliser une bannière de consentement pour que les consommateurs puissent exercer leur droit de retrait.
En vertu de la loi MCDPA, les sites web devront, d'ici le 1er janvier 2025, respecter les mécanismes de renonciation universels (UOOM), qui constituent une demande vérifiée de la part des consommateurs de donner suite à leurs droits de renonciation.
Partie 6 : Procédures et pratiques de sécurité
La loi MCDPA exige des entreprises qu'elles mettent en œuvre des mesures de sécurité administratives, techniques et physiques adéquates pour protéger la confidentialité et l'accessibilité des informations personnelles collectées.
Voici quelques mesures courantes de sécurité des données que vous pourriez envisager :
- Anonymisation et dépersonnalisation des données
- Cryptage des informations
- Contrôles d'accès
- Création d'un plan de sauvegarde ou de récupération des données
FAQ sur les exigences MCDPA
Vous avez encore des questions sur la loi MCDPA ? Ci-dessous, je réponds aux questions les plus fréquemment posées sur la future loi.
La MCDPA s'applique-t-elle à mon entreprise ?
La MCDPA s'applique à votre entreprise si vous êtes situé dans le Montana ou si vous destinez vos biens et services aux résidents de l'État et si vous remplissez l'un des critères suivants :
- contrôle ou traite les données à caractère personnel d'au moins 50 000 consommateurs, à l'exclusion des données traitées uniquement pour effectuer des opérations de paiement.
- contrôle ou traite les données à caractère personnel d'au moins 25 000 consommateurs et tire plus de 25 % de son revenu annuel brut de la vente de données.
Quand le MCDPA entre-t-il en vigueur ?
La MCDPA entre en vigueur le 1er octobre 2024.
Qui fait respecter la loi MCDPA ?
Le procureur général du Montana conserve le pouvoir de faire appliquer tous les aspects de la MCDPA.
Quelles sont les peines encourues en cas de violation de la MCDPA ?
Aucun montant n'est fixé pour les amendes en cas de violation de la MCDPA.
Toutefois, d'autres lois adoptées au niveau des États américains prévoient des amendes pouvant aller jusqu'à 7 500 dollars par infraction, et les amendes possibles dans le cadre de la MCDPA pourraient être similaires.
Le site Termly peut-il contribuer à la mise en conformité avec la loi MCDPA ?
Termly offre un Générateur de politique de confidentialité qui peut aider à simplifier la mise en conformité des entreprises avec des lois telles que la MCDPA.
Il pose des questions simples sur votre entreprise et élabore une police unique et complète sur la base de vos réponses. Le générateur comprendra toutes les clauses nécessaires, comme l'exige la MCDPA avant que la loi n'entre en vigueur.
Nous fournissons également un site plateforme de gestion du consentement (CMP) configurable pour aider les sites web à répondre aux exigences d'exclusion définies par la loi du Montana sur la protection de la vie privée des consommateurs.
Il est accompagné d'un formulaire DSAR gratuit, ce qui vous permet de fournir une méthode fiable pour que les utilisateurs puissent soumettre des demandes de suivi de leurs droits.
Résumé
Les entreprises qui doivent se conformer à la LPMD avant son entrée en vigueur le 1er octobre 2024 peuvent utiliser ma liste de contrôle en six étapes, facile à suivre, pour les aider à respecter les exigences légales :
- Réalisez un audit de la protection de la vie privée afin de déterminer toutes les données à caractère personnel que votre entreprise recueille, les raisons pour lesquelles elle les recueille et la manière dont elles sont utilisées.
- Élaborer une politique de protection de la vie privée qui réponde à toutes les exigences de notification prévues par la loi.
- Gérer le consentement des utilisateurs et leur proposer une méthode pour exercer leur droit de retrait.
- Lorsque vous travaillez avec des sous-traitants, assurez-vous que vous établissez et signez des contrats conformes aux lignes directrices décrites dans la LPDM.
- Présenter aux utilisateurs au moins deux façons de soumettre des demandes vérifiables de la part des consommateurs afin de donner suite à leurs nouveaux droits en matière de protection de la vie privée.
- Mettre en œuvre des mesures de sécurité appropriées pour protéger l'intégrité de toutes les données à caractère personnel en votre possession.
Vous pouvez utiliser des solutions telles que Termly's Générateur de politique de confidentialité et CMP pour simplifier encore davantage le respect de lois telles que la MCDPA.
Écrit par Natasha Piirainen
Natasha Piirainen est une rédactrice spécialisée dans la protection de la vie privée. Elle est titulaire d'une licence en anglais et philosophie du Wheaton College et possède plus de 10 ans d'expérience professionnelle dans le développement de contenus axés sur la recherche.
Lire tous les articles de Natasha Piirainen
Révisé par Josh Langeland, CIPM
Josh Langeland est ingénieur en protection de la vie privée et titulaire d'une licence en informatique de l'université du Minnesota. Il se passionne pour l'utilisation de la technologie au service du respect de la vie privée des utilisateurs et s'épanouit à la croisée des technologies complexes et des lois en constante évolution en matière de protection de la vie privée.
Lire tous les articles révisés par Josh Langeland, CIPM
