Le CCPA et le RGPD sont les deux réglementations sur la vie privée les plus influentes au niveau mondial, mais ils adoptent des approches fondamentalement différentes pour protéger les données personnelles. Comprendre ces différences est essentiel pour les organisations opérant dans les deux juridictions.

Approche philosophique

Le RGPD est prescriptif : il fixe des règles strictes sur ce que les organisations peuvent et ne peuvent pas faire avec les données personnelles, exigeant une base juridique avant tout traitement. Le CCPA donne du pouvoir aux consommateurs : il accorde aux individus des droits de contrôle sur leurs données mais laisse aux entreprises une liberté considérable, à moins que les consommateurs n'exercent activement ces droits.

Champ d'application et applicabilité

Le RGPD s'applique à toute organisation traitant les données de résidents de l'UE/EEE, quelle que soit sa taille. Le CCPA ne s'applique qu'aux entreprises à but lucratif atteignant certains seuils de revenus ou de volume de données. Le RGPD couvre tout traitement de données personnelles ; le CCPA exempte les données des employés et certaines autres catégories.

Consentement et bases juridiques

Selon le RGPD, les organisations ont besoin d'une base juridique spécifique pour traiter les données personnelles, le consentement n'étant qu'une des six options. Le CCPA autorise généralement le traitement des données par défaut mais donne aux consommateurs le droit de refuser la vente et le partage des données.

Données sensibles

Les deux réglementations reconnaissent des catégories de données sensibles, mais le RGPD impose des restrictions de traitement strictes nécessitant un consentement explicite, tandis que le CCPA permet aux consommateurs de limiter l'utilisation des données sensibles -- une approche moins restrictive.

Application et sanctions

Les amendes RGPD peuvent atteindre 4 % du chiffre d'affaires annuel mondial ou 20 millions d'euros. L'application du CCPA est assurée par le procureur général et la California Privacy Protection Agency, avec des sanctions supplémentaires pour les violations non résolues après un délai de correction de 30 jours. Le CCPA prévoit également un droit d'action privé en cas de violation de données.

Règles de transfert de données

Le RGPD comporte des règles élaborées pour les transferts internationaux de données qui ont conduit à des actions d'application contre des services basés aux États-Unis. Le CCPA ne restreint pas les transferts de données transfrontaliers de la même manière.