Synthèse de la loi du Colorado sur la vie privée (CPA)

La loi du Colorado sur la protection de la vie privée (Colorado Privacy Act, « CPA ») a été adoptée en juillet 2021, sur la voie ouverte par la Californie et la Virginie, qui ont adopté les deux premières lois complètes de protection des données personnelles aux États-Unis. Le CPA entre en vigueur le 1er juillet 2023 et le texte intégral du CPA est disponible ici.

À qui s’applique le Colorado Privacy Act ?

Le CPA s’applique aux entreprises qui destinent des produits ou services aux résidents du Colorado et qui :

• contrôlent ou traitent les données personnelles d’au moins 100 000 consommateurs du Colorado au cours d’une année civile ; ou
• contrôlent ou traitent les données personnelles d’au moins 25 000 consommateurs du Colorado tout en tirant un revenu quelconque de la vente de données personnelles

Le CPA s’applique aux organisations à but non lucratif, mais pas aux entités publiques, y compris les établissements scolaires.

Principales définitions du CPA

Une grande partie de la terminologie du CPA est empruntée au RGPD, notamment :

• « Consommateur » désigne les résidents du Colorado ; contrairement au CCPA, le CPA exclut les salariés et les candidats à un emploi.
• « Responsable du traitement » désigne toute personne qui, seule ou conjointement avec d’autres, détermine les finalités et les moyens du traitement des données personnelles.
• « Données personnelles » désigne toute information liée ou raisonnablement rattachable à une personne identifiée ou identifiable. Comme dans le RGPD et contrairement au CCPA californien, la définition du CPA ne concerne que les personnes physiques et exclut les « foyers ». Les données personnelles excluent également toute donnée désidentifiée ou accessible au public (c’est-à-dire issue de registres publics ou que le responsable du traitement a des raisons de croire rendue publique par le consommateur lui-même).
• « Sous-traitant » désigne toute personne qui traite des données personnelles pour le compte d’un responsable du traitement.
• « Vente d’informations personnelles » désigne l’échange par un responsable du traitement de données personnelles contre de l’argent ou une autre contrepartie de valeur avec un tiers, à l’exclusion des communications : (1) à un sous-traitant ; (2) à un tiers afin de fournir un produit ou service demandé par le consommateur ; (3) à une société affiliée du responsable du traitement ; (4) dans le cadre d’une fusion, d’une acquisition, d’une faillite ou de toute autre opération portant sur tout ou partie des actifs du responsable du traitement ; (5) sur instruction du consommateur, y compris via une interaction intentionnelle avec un tiers ; des données intentionnellement rendues publiques par le consommateur via les médias de masse.
• « Données sensibles » désigne : (1) les données révélant l’origine raciale ou ethnique, les convictions religieuses, la santé mentale ou physique, la vie sexuelle, l’orientation sexuelle ou la nationalité ; (2) les données génétiques ou biométriques utilisées pour identifier une personne de manière unique et (3) les données concernant un enfant de moins de 13 ans dont l’âge est connu.

Avant de faire appel à un sous-traitant, le responsable du traitement doit conclure avec lui un contrat qui lui impose les obligations décrites ci-dessous ; surtout, un tel contrat ne peut exonérer ni le responsable du traitement ni le sous-traitant de leur responsabilité en cas de violation du CPA.

Obligations imposées aux sous-traitants par le CPA du Colorado

Le CPA impose généralement moins d’obligations aux sous-traitants qu’aux responsables du traitement ; parmi les plus importantes, les sous-traitants doivent :

Suivre les instructions de leurs responsables du traitement et les assister dans le respect de leurs obligations au titre du CPA.

• Prendre les mesures techniques et organisationnelles appropriées pour aider les responsables du traitement à répondre aux demandes des consommateurs relatives à leurs données
• Informer les responsables du traitement de toute violation de sécurité ;
• Veiller à ce que chaque personne traitant les données personnelles soit soumise à une obligation de confidentialité ;
• Informer les responsables du traitement et leur donner la possibilité de s’opposer avant de faire appel à un sous-traitant ultérieur, et imposer à tout sous-traitant ultérieur les exigences du CPA applicables aux sous-traitants.

Obligations imposées aux responsables du traitement par le CPA du Colorado

Le CPA impose aux responsables du traitement plusieurs obligations inspirées du RGPD et du CCPA :

• Obligation de transparence : une politique de confidentialité raisonnablement accessible, claire et compréhensible, qui précise :

  • Les catégories de données personnelles collectées ou traitées par le responsable du traitement ou ses sous-traitants ;
  • Les finalités du traitement ; si des données sont traitées ou vendues à des fins de publicité ciblée, le responsable du traitement doit l’indiquer de manière visible et proposer un mécanisme d’opposition ;
  • La manière dont les consommateurs peuvent exercer leurs droits et contester toute décision du responsable du traitement ;
  • Les catégories d’informations personnelles partagées avec des tiers ;
  • Les catégories de tiers avec lesquels des données sont partagées.

• Obligation de spécification des finalités : préciser les finalités explicites pour lesquelles les données personnelles sont collectées et traitées (cette obligation semble englobée dans l’obligation de transparence).

• Obligation de minimisation des données : la collecte doit être adéquate, pertinente et raisonnablement nécessaire aux finalités de traitement identifiées. Fait intéressant, la mention « adéquate » laisse entendre que les responsables du traitement pourraient devoir collecter un minimum de données pour atteindre leur finalité, ce qui va à l’encontre du concept même de « minimisation ».

• Obligation d’éviter les usages secondaires : le traitement ne peut viser que des finalités raisonnablement nécessaires ou compatibles avec celles précisées au moment de la collecte. Cette limite peut être levée avec le consentement du consommateur obtenu après la collecte. En pratique, le CPA devient une loi fondée sur l’opt-in plutôt que sur l’opt-out pour toute finalité nouvelle ou imprévue.

• Obligation de sécurité : les responsables du traitement doivent prendre des mesures raisonnables pour sécuriser les données personnelles lors de leur stockage et de leur utilisation, adaptées au volume, à la portée et à la nature des données traitées.

• Obligation d’éviter toute discrimination illicite : le responsable du traitement ne doit pas traiter de données personnelles en violation des lois anti-discrimination de l’État ou fédérales. Les responsables du traitement peuvent donc voir leur responsabilité engagée à la fois au titre de la loi anti-discrimination principale et du CPA pour un même comportement discriminatoire.

• Obligation relative aux données sensibles : pour traiter des données sensibles, les responsables du traitement doivent obtenir un consentement explicite (opt-in), qui doit émaner d’un parent dans le cas des données d’enfants. (Toutes les données concernant un enfant de moins de 13 ans sont considérées comme sensibles.) Tout consentement exigé par le CPA doit être libre, spécifique, éclairé et univoque.

• Analyses d’impact relatives à la protection des données : les responsables du traitement doivent réaliser une analyse d’impact avant tout traitement présentant un risque accru de préjudice pour un consommateur. Ces analyses doivent identifier et mettre en balance les bénéfices, directs et indirects, que le traitement peut apporter au responsable du traitement, au consommateur, aux autres parties prenantes et au public, et les risques potentiels pour les droits du consommateur liés au traitement, en tenant compte des garanties mises en place par le responsable du traitement pour réduire ces risques. Le CPA donne plusieurs exemples de situations nécessitant une analyse d’impact, notamment (1) la vente de données personnelles, (2) le traitement de données sensibles et (3) le ciblage ou le profilage de consommateurs lorsqu’il existe un risque prévisible : de traitement injuste ou trompeur ou d’impact disparate illicite sur les consommateurs ; de préjudice financier ou physique ; d’intrusion, physique ou autre, dans la solitude, l’isolement ou la vie privée, si elle est choquante pour une personne raisonnable ; ou de tout autre préjudice substantiel

Droits des consommateurs au titre du CPA

Outre les obligations décrites ci-dessus, les responsables du traitement doivent également veiller à ce que les consommateurs puissent exercer les droits que leur confère le CPA :

• Droit d’accès : confirmer si un responsable du traitement traite des données personnelles et y « accéder » (remarque : on ne voit pas bien en quoi ce droit diffère du droit à la portabilité décrit ci-dessous).
• Droit de rectification : corriger les inexactitudes des données personnelles du consommateur.
• Droit à l’effacement : supprimer les données personnelles concernant le consommateur. En l’absence d’exceptions légales à ce droit, on peut s’attendre à ce que des exceptions, par exemple pour le respect des lois et la prévention de la fraude, soient précisées par voie réglementaire.
• Droit à la portabilité des données : obtenir une copie de ses données personnelles, si possible dans un format facilement réutilisable permettant leur transfert à une autre entité. Un consommateur ne peut exercer ce droit plus de deux fois par année civile.
• Droit d’opposition : s’opposer au traitement de ses données personnelles à des fins : (1) de publicité ciblée ; (2) de vente de données personnelles ; ou (3) de profilage donnant lieu à des décisions produisant des effets juridiques ou d’une importance similaire pour le consommateur. À compter du 1er juillet 2024, les responsables du traitement doivent proposer aux consommateurs un mécanisme d’opposition universel pour refuser la publicité ciblée et la vente de données. Le procureur général publiera une réglementation à ce sujet. On ignore encore si ce mécanisme d’opposition universel obligera les entreprises à respecter les signaux « Do Not Track » des navigateurs ou un autre mécanisme similaire. Cependant, le CPA prévoit qu’un consentement explicite ou un opt-in prévaut sur tout choix par défaut exprimé via le mécanisme d’opposition universel : on peut donc soutenir que l’opposition universelle sera neutralisée par une simple case à cocher d’acceptation des conditions d’utilisation d’un site.
• Droit de recours : contester toute inaction d’un responsable du traitement dans la mise en œuvre des choix du consommateur en matière de vie privée. La procédure de recours doit être simple et visible et, en cas de rejet du recours, le responsable du traitement doit informer le consommateur de son droit de contacter le procureur général au sujet de cette décision.

Comme avec le CCPA, le CPA impose aux responsables du traitement de traiter les demandes d’exercice de droits dans un délai de 45 jours à compter de leur réception ; ils peuvent porter ce délai à 90 jours lorsque cela est raisonnablement nécessaire, en informant les consommateurs de la prolongation pendant le délai initial de 45 jours. Les exigences relatives à la vérification des demandes avant leur traitement sont également absentes du texte et devraient figurer dans la réglementation du procureur général.

Comment CCPA Toll Free aide les entreprises à se conformer au CPA

CCPA Toll Free aide les entreprises à se conformer au CPA grâce à des outils de workflow automatisés, économiques et faciles à déployer. Nos fonctionnalités prêtes pour les grands comptes comprennent :

• Un gestionnaire interactif de demandes d’exercice de droits à proposer à vos consommateurs
• Un Toll-Free Number provisionné instantanément pour recevoir également les demandes d’exercice de droits
• Des outils pour authentifier les demandes d’exercice de droits, suivre et démontrer votre conformité
• Un cadre de sécurité robuste avec chiffrement en transit et au repos, authentification à deux facteurs, SSO et intégrations par API

CCPA Toll Free propose un essai gratuit sans moyen de paiement requis. Cliquez sur Démarrer l’essai gratuit ci-dessus pour découvrir comment nous pouvons vous accompagner dans votre conformité au CPA.

Application du CPA et conclusion

Le respect du CPA peut être imposé non seulement par le procureur général du Colorado, mais aussi par tout procureur de district. Entre la date d’entrée en vigueur du CPA en juillet 2023 et le 1er janvier 2025, avant d’engager toute action, le procureur général ou le procureur de district doit notifier au responsable du traitement toute violation du CPA et lui accorder un délai de 60 jours pour y remédier.

Le CPA ne prévoit pas d’amendes spécifiques, mais une violation du CPA étant considérée comme une pratique commerciale trompeuse au sens de la loi du Colorado sur la protection des consommateurs (Colorado Consumer Protection Act), une entreprise peut se voir infliger une amende allant jusqu’à 20 000 $ par violation du CPA.

Il reste largement le temps d’ici mi-2023 pour se préparer à la conformité au CPA. Bonne nouvelle : les entreprises qui ont mis en place des programmes de conformité au RGPD et au CCPA seront très bien placées pour respecter la loi du Colorado. En substance, accorder aux résidents du Colorado l’ensemble des droits prévus par le RGPD et le CCPA permettra d’atteindre une conformité substantielle au CPA. Même si cette approche accorde quelques droits supplémentaires aux résidents du Colorado, c’est la voie que de nombreuses entreprises devraient emprunter.