Alors que de nombreuses nouvelles lois sur la confidentialitĂ© deviennent effectives au niveau d’un État, les États-Unis n’ont toujours pas adoptĂ© de loi fĂ©dĂ©rale globale sur la confidentialitĂ© et la protection des DonnĂ©es personnelles. Alors, si Bill H.R. 8152, l’American DonnĂ©es Privacy Protection Act (ADPPA), forte d’un soutien bipartisan, devait ĂŞtre adoptĂ©e, elle deviendrait la première loi sur la confidentialitĂ© fĂ©dĂ©rale après presque deux dĂ©cennies de discussions.
Dans ce billet, nous allons passer en revue les principales définitions et exigences du projet de loi, afin d’avoir une idée plus claire de ce qui se passerait si l’ADPPA était appliquée.
En bref:
Qu’est-ce que l’American DonnĂ©es Privacy Protection Act (ADPPA)?
Selon le texte officiel, l’ADPPA est:
Projet de loi visant à accorder aux Consommateurs des droits fondamentaux en matière de confidentialité des Données, à créer de solides mécanismes de surveillance et à établir une application efficace.
L’ADPPA accorderait Ă tous les Consommateurs amĂ©ricains d’importants droits en matière de confidentialitĂ© des DonnĂ©es, tout en Ă©tablissant un système de surveillance pour la collecte et le traitement des DonnĂ©es effectuĂ©es par les entitĂ©s couvertes.
En tant que loi fĂ©dĂ©rale, l’ADPPA prĂ©empterait gĂ©nĂ©ralement d’autres lois sur la confidentialitĂ© au niveau des États qui sont couvertes par ses dispositions, telles que la CPRA californienne ou la VCDPA vietnamienne. Cela signifie que les entitĂ©s qui font des affaires aux États-Unis devraient se conformer Ă l’ADPPA, puisque la plupart des lois des États ne s’appliqueraient plus.
Préemption des lois des États
Aucun État ou subdivision politique d’un État ne peut adopter, maintenir, appliquer, prescrire ou maintenir en vigueur une loi, un règlement, une règle, une norme, une exigence ou une autre disposition ayant force de loi d’un État ou d’une subdivision politique d’un État visĂ© par les dispositions de la prĂ©sente loi, ou une règle, un règlement ou une exigence promulguĂ©s en vertu de la prĂ©sente loi.
The U.S. Federal Trade Commission serait principalement responsable de l’application du projet de loi. Selon le projet, la FTC est tenue de crĂ©er un nouveau bureau appelĂ© « Bureau de la protection de la vie privĂ©e », qui serait chargĂ© de superviser et d’appliquer le projet de loi.
Ă€ qui s’applique la LPADA?
La loi amĂ©ricaine sur la protection des DonnĂ©es personnelles s’appliquerait aux entitĂ©s visĂ©es.
Le projet de texte définit une entité visée comme " toute entité ou personne autre qu ' une personne agissant dans un contexte non commercial, qui détermine seule ou conjointement avec d ' autres les finalités et les moyens de la collecte, du traitement ou du transfert des Données visées " . Cette définition large couvre la grande majorité des entreprises.
La définition ne comprend pas les entités fédérales, étatiques, tribales, territoriales ou locales, ni toute personne ou entité collectant et traitant des Données pour leur compte.
Quelles Données personnelles ConS dans le cadre de la LPDPA?
L’ADPPA définit les « Données couvertes » comme des informations qui – seules ou combinées à d’autres informations – peuvent permettre l’identification d’un individu ou de son appareil, ou qui sont liées ou raisonnablement liées à ceux-ci. Cette définition inclut également les Identifiants uniques, comme les adresses IP.
En revanche, la définition des « Données couvertes » ne comprend pas :
- Données anonymisées;
- Données salariés;
- les informations accessibles au public; ou
- infĂ©rences faites Ă partir de multiples sources indĂ©pendantes d’information accessible au public qui ne rĂ©vèlent pas de DonnĂ©es sensibles visĂ©es concernant une personne.
La loi américaine sur la protection des Données personnelles comprend également une section spécifique dédiée aux « Données sensibles couvertes » : numéros de sécurité sociale et de passeport ; informations de santé ; numéros de compte financier, de carte de débit et de carte de crédit ; informations biométriques et génétiques ; communications privées ; identifiants de connexion à tout compte ou appareil, pour ne citer qu’eux.
Les grands principes de l’American DonnĂ©es Privacy and Protection Act
Au titre I – Devoir de loyauté, l’ADPPA définit ses grands principes :
- Réduction des Données: une entreprise devrait limiter sa collecte, son traitement et son transfert de Données couvertes uniquement à ce qui est raisonnablement Nécessaires et proportionnés pour atteindre une finalité autorisée ou fournir un Produit ou Service spécifique demandé par la personne à laquelle les Données appartiennent.
- Devoirs de loyauté: comprennent principalement les activités que l’ADPPA interdit, à savoir: le traitement de données sensibles, chaque fois que cela n’est pas Nécessaire pour fournir à la personne un Service qu’elle a demandé, ou le transfert de Données personnelles à un tiers sans le ConS de la personne.
- Vie privée: les entités qui collectent et traitent des Données personnelles devraient mettre en œuvre des mesures de protection et des pratiques de sécurité, afin de garantir que leur activité est menée en toute sécurité et conformément aux lois applicables.
- Loyauté envers les particuliers en matière de Tarifs : les entités couvertes sont tenues de s ' abstenir de représailles à l ' encontre d ' un particulier pour avoir exercé l ' un quelconque des droits garantis par la LPDPA, notamment en refusant des biens ou Services, en appliquant des prix ou des tarifs différents ou en fournissant un niveau de qualité différent.
Droits des donnĂ©es des consommateurs selon l’ADPPA
Les droits des Consommateurs prévus au titre II de l’ADPPA comprennent:
- ConSensibilisation : dans les 90 jours suivant la promulgation de la Loi, la FTC serait tenue de publier sur son site Web une description de chaque disposition, droit, obligation et exigence de la Loi.
- Transparence: chaque entité couverte met à la disposition du public, de manière claire, visible, facile à lire et facilement accessible, une Politique de confidentialité qui fournit une représentation détaillée et exacte de ses activités de collecte, de traitement et de transfert de Données.
- DonnĂ©es individuelles PropriĂ©taire et contrĂ´le: les individus ont le droit d’accĂ©der Ă leurs DonnĂ©es, de les corriger, de les supprimer et de les transfĂ©rer.
- Droit de ConS et d’opposition : les entités doivent fournir aux individus un moyen, entre autres, de donner et de retirer leur ConS concernant le traitement ou le transfert de leurs Données couvertes et de refuser les publicités ciblées.
- Protection des Données pour les enfants et les mineurs: les organisations sont personnes concernées par des exigences supplémentaires lorsque des personnes de moins de 17 ans sont concernées. Par exemple, la publicité ciblée est expressément interdite, ainsi que le transfert de Données à des tiers, en l’absence du ConS explicite du mineur couvert ou du parent ou tuteur du mineur couvert.
- EntitĂ©s tierces collectrices: les entitĂ©s tierces collectrices doivent afficher un avis clair et bien en vue sur leur site Web et/ou leur application, informant les personnes qu’elles sont des entitĂ©s tierces collectrices, en utilisant le langage spĂ©cifiĂ© par les règlements de la FTC.
- Sécurité des Données et Protection des Données Couvertes: les organisations doivent mettre en œuvre et maintenir des pratiques et procédures de sécurité des Données qui protègent et sécurisent les Données contre les accès et acquisitions non autorisés.
Exigences légales en vertu de la LPADA
Le projet de loi n ' ayant pas achevé la procédure législative et n ' ayant pas été adopté, il n ' y a pas encore d ' exigences juridiques effectives. Toutefois, si l ' ADPPA prenait effet dans son texte actuel, les entités visées seraient personnes concernées par les obligations suivantes :
- Une Politique de confidentialité: les politiques de confidentialité sont expressément mentionnées dans le texte et devraient au moins inclure:
- les coordonnées de l’entité couverte
; - les coordonnées des tiers destinataires des Données ;
- quels types de Données sont collectées et traitées et pourquoi;
- quels sont les droits des personnes par rapport à leurs Données et comment elles peuvent les exercer;
- combien de temps l’organisation prĂ©voit de stocker les DonnĂ©es.
- les coordonnées de l’entité couverte
- Mécanisme permettant de recueillir le consentement pour le traitement de données sensibles couvertes et pour les personnes physiques de les retirer.
- Mécanisme de refus de Publicité ciblée.
- Si vous êtes une entité collectrice tierce, un avis clair sur votre site Web et/ou votre application informe les individus de votre activité.
Que dois-je faire ?
Pour l’instant, il n’y a rien à faire concernant l’ADPPA : le texte est encore une ébauche et la discussion pourrait prendre des mois. Cependant, notre équipe chez iubenda suivra toujours la situation et vous avertira de tout changement et mise à jour.
👉 Assurez-vous simplement de vous inscrire ici, et ne manquez pas les dernières nouvelles!Une chose que vous pourriez faire, cependant, est de vérifier si l’une des nouvelles lois d’États américains sur la protection de la vie privée s’applique à vous! Si tel est le cas, vous devrez vous conformer à leurs exigences.
About us
Attorney-level solutions to make your websites and apps compliant with the law across multiple countries and legislations.