CCPA vs CPRA : comment la loi californienne sur la vie privée a évolué et ce qui a changé

Le California Privacy Rights Act (CPRA) de 2020 a considérablement modifié le California Consumer Privacy Act (CCPA) original de 2018. Né d'une initiative populaire démontrant un fort soutien public aux protections de la vie privée, le CPRA a introduit plusieurs changements importants.

Principaux changements introduits par le CPRA

Minimisation des données : Les informations personnelles ne peuvent être traitées et conservées que lorsque c'est raisonnablement nécessaire et proportionné à la finalité de la collecte, ou pour une finalité compatible dont le consommateur a été informé. Ce seul principe couvre efficacement ce que le RGPD traite à travers deux principes distincts (minimisation des données et limitation des finalités).

Protections des informations sensibles : Le CPRA a introduit une définition juridique des informations sensibles couvrant la géolocalisation précise, les croyances religieuses, l'origine ethnique, le contenu des communications, les données génétiques et biométriques, les informations de santé et l'orientation sexuelle. Les consommateurs ont obtenu le droit de limiter l'utilisation de ces données à ce qui est strictement nécessaire.

Droits de désinscription élargis : Le CCPA original permettait aux consommateurs de refuser la « vente » de données. Le CPRA a élargi cette disposition pour couvrir à la fois la vente et le partage, clarifiant explicitement que le partage de données pour la publicité comportementale inter-contextes entre dans le champ d'application. Cela a mis fin au débat sur la question de savoir si l'utilisation de cookies analytiques constituait une vente.

Droit de correction : Le CCPA original incluait les droits de savoir et de supprimer mais omettait curieusement le droit de corriger les informations personnelles. Le CPRA a comblé cette lacune avec un délai de conformité de 45 jours (prolongeable de 45 jours supplémentaires).

Conformité au Global Privacy Control : Les entreprises doivent respecter les signaux GPC des navigateurs, rationalisant le processus de désinscription pour les consommateurs.

Création d'une agence d'application dédiée : La California Privacy Protection Agency (CPPA) a été créée pour appliquer la loi aux côtés du procureur général. L'agence peut adopter des réglementations pour préciser les dispositions du CCPA.

Calendrier d'application

Le CPRA est entré en vigueur le 1er janvier 2023, bien qu'une décision de justice ait retardé l'application des réglementations de la CPPA jusqu'en mars 2024.