Vie privée et protection des données : Ce à quoi il faut s’attendre en 2023

L’année 2023 apportera de nombreux changements dans le paysage de la protection de la vie privée et des données : de nouvelles lois sur la protection de la vie privée seront appliquées, des changements seront apportés aux anciennes directives et aux nouvelles lignes directrices, de nouvelles tendances en matière de confidentialité des données.

Dans ce billet, nous allons passer en revue les principaux changements et tendances à surveiller en 2023 !

États-Unis 🇺🇸

Même si l’on est encore loin d’une loi fédérale globale sur la protection de la vie privée et des données, le paysage américain de la protection de la vie privée va considérablement changer cette année, avec l’entrée en vigueur de nombreuses nouvelles lois au niveau des États.

La CPRA de Californie

Le 1er janvier 2023, la Loi californienne sur les droits à la vie privée (CPRA) est officiellement devenu une loi et sera pleinement applicable le 1er juillet 2023.

La CPRA s’appuie sur les dispositions existantes de la CCPA, établit de nouveaux droits pour les consommateurs et ajoute de nouvelles exigences pour les entreprises qui recueillent des données personnelles auprès des utilisateurs californiens.

La LRPC introduit également une autre catégorie de données protégées : les informations personnelles sensibles (IPS). Cela pose de nouvelles exigences aux entreprises. Par exemple, une entreprise qui traite des informations personnelles sensibles doit disposer d’un lien clair et visible sur son site web, intitulé « Limiter l’utilisation de mes informations personnelles sensibles », qui permet aux clients de limiter ce traitement.

L’APCD de la Virginie

Parallèlement à la CPRA californienne, le 1er janvier, la Virginia Consumer Data Protection Act (VCDPA) est également entrée en vigueur.. La Virginie est ainsi devenue le deuxième État des États-Unis à adopter une loi complète sur la confidentialité des données, après la Californie.

Le VCDPA concerne les organisations qui font des affaires en Virginie ou qui fournissent des produits/services à des personnes en Virginie. En d’autres termes, il n’est pas nécessaire que votre organisation soit située en Virginie pour être concernée par la VCDPA.

La loi VCDPA de Virginie accorde aux utilisateurs de nouveaux droits concernant la collecte et le traitement de leurs données et oblige les entreprises à effectuer des évaluations de la sécurité des données lorsqu’elles traitent des données personnelles à des fins de publicité et de vente ciblées, entre autres.

L’ACP du Colorado

Le Colorado Privacy Act (CPA) entrera en vigueur en juillet 2023. Elle s’appliquera aux entités juridiques qui font des affaires dans le Colorado ou qui produisent des produits ou des services qui ciblent intentionnellement les résidents du Colorado.

En vertu de la LPC, les consommateurs disposeront de droits accrus en ce qui concerne leurs données personnelles. Certains des droits proposés incluent le droit de refuser :

• la publicité ciblée ;
• la vente de données personnelles ; et
• certains types de profilage.

La loi précise également les obligations que les responsables du traitement doivent respecter en ce qui concerne les données sensibles.

La loi UCPA de l’Utah

Le Utah Consumer Privacy Act (UCPA) sera mis en application à la fin de l’année, le 31 décembre 2023. La loi s’appliquera aux contrôleurs ou aux processeurs qui exercent des activités dans l’Utah ou qui produisent un produit ou un service destiné aux résidents de l’Utah.

Par rapport aux lois précédentes, la loi UCPA adopte une approche plus légère et plus favorable aux entreprises en matière de protection de la vie privée des consommateurs, mais elle leur confère également des droits accrus en ce qui concerne leurs données personnelles.

Europe 🇪🇺🇺

En 2023, de nombreuses nouvelles lois, actuellement en cours de discussion, seront appliquées en Europe. Examinons de plus près chacune d’entre elles.

Loi sur les services numériques

La La loi sur les services numériques (DSA) a été publié au Journal officiel de l’Union européenne le 27 octobre 2022 et est entré en vigueur à la mi-novembre. Cependant, étant donné que bon nombre de ses exigences seront pleinement appliquées à partir de 2024, au cours de cette année, les entreprises devront commencer à se mettre en conformité..

L’objectif de l’AVD est de fixer de nouvelles règles pour créer un espace numérique plus sûr et plus ouvert dans l’UE. Par exemple, elle renforce la transparence en ligne, limite la publicité ciblée, interdit les modèles sombres et bien plus encore.

Loi sur les marchés numériques

Parallèlement à la loi sur les services numériques, la Commission européenne a également publié la loi sur les marchés numériques (DMA), qui commencera à s’appliquer à partir du 2 mai 2023.

La DMA vise à réglementer l’activité de ceux que l’on appelle les « gardiens », c’est-à-dire les organisations qui opèrent en tant que « services de plateforme de base » (magasins d’applications, moteurs de recherche, plateformes de médias sociaux) et qui ont un grand impact sur leur marché intérieur.

Loi sur la gouvernance des données

L’UE La loi sur la gouvernance des données (DGA) est entrée en vigueur le 23 juin 2022, mais elle sera applicable à partir de septembre 2023. La DGA permet un meilleur accès aux données du secteur public afin que les entreprises et les start-ups puissent construire de nouveaux biens et services.

La loi vise à accroître la confiance dans le partage des données en le rendant plus sûr et plus facile tout en maintenant la conformité avec la législation sur la protection des données.

Le cadre transatlantique UE-États-Unis pour la protection des données personnelles

Cette année apportera très probablement un nouvel accord UE-USA sur la protection de la vie privée, qui facilitera le flux de données entre ces pays.

En 2020, le Privacy Shield a été invalidé après l’arrêt Schrems II. Après près de deux ans de négociations approfondies, la Commission européenne et les États-Unis se sont mis d’accord sur un nouveau cadre transatlantique de protection des données. L’accord garantit que les données transférées aux États-Unis sont protégées de manière adéquate, répondant ainsi aux préoccupations de l’arrêt Schrems II.

Le président Joe Biden a déjà signé un décret pour faire avancer le débat. La Commission européenne doit maintenant prendre une décision d’adéquation, qui légitimera enfin les transferts de données entre l’UE et les États-Unis. Le processus de décision pourrait prendre jusqu’à six mois.

Suisse 🇨🇭

Le 1er janvier 2023, la nouvelle Loi fédérale sur la protection des données (LPD) est entrée en vigueur.

La Suisse dispose d’une loi régissant la confidentialité des données, connue sous le nom de loi fédérale sur la protection des données, qui date de 1992 et a été partiellement mise à jour en 2019. Le Parlement suisse vient d’adopter une version entièrement révisée de la loi pour qu’elle soit plus conforme au GDPR. L’intention est qu’elle corresponde aux normes de confidentialité et de sécurité du reste de l’UE, même si elle conserve les concepts originaux et varie légèrement dans certains domaines.

Cette loi s’applique au traitement des données à caractère personnel concernant des personnes physiques par des particuliers et des organismes fédéraux, mais pas au traitement des données à caractère personnel par des particuliers pour un usage exclusivement personnel.

Canada 🇨🇦

La loi actuelle sur la protection de la vie privée au Canada est la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE). Cependant, un nouveau projet de loi est en cours de discussion à la Chambre des communes : le projet de loi C-27, le Consumer Privacy Protection Act (CPPA). Elle remplacera la partie I de la LPRPDE, qui régit la manière dont le secteur privé traite les données des utilisateurs.

La CPPA s’appliquera à toute entreprise qui recueille, utilise ou divulgue des données personnelles au Canada ou à l’étranger.

L’objectif de l’ACPP est d’aligner la législation canadienne sur la protection de la vie privée sur les normes internationales en la matière, afin de garantir la protection de la vie privée des Canadiens et de permettre aux entreprises de bénéficier de règles claires à mesure que la technologie évolue.

Bien que le projet de loi soit encore à l’état de projet, on peut s’attendre à ce qu’un texte définitif soit prêt d’ici la fin de 2023.

Brésil 🇧🇷

Après que le LGPD soit devenu officiellement applicable en 2020, l’ANPD a publié en 2022 de nouvelles orientations sur les cookies et leur utilisation.

En 2023, nous pouvons alors nous attendre à ce que l’autorité brésilienne de protection des données (ANPD) continue d’aligner le cadre brésilien de protection de la vie privée sur les normes internationales.

Australie 🇦🇺

Les lois australiennes sur la protection des données remontent à plus de 30 ans, avec l’Australian Privacy Act de 1988.

Cependant, comme ces derniers mois, il y a eu un pic de violations de données, le gouvernement a décidé de mettre en œuvre certaines nouvelles règles et d’introduire le Privacy Legislation Amendment Bill 2022.

Le projet d’amendement augmente les sanctions en cas de violations répétées de la loi sur la protection de la vie privée de 1988 et confère également des pouvoirs accrus au commissaire australien à l’information en cas de violation de la vie privée.