Pour les organisations qui servent des résidents californiens
CCPA et CPRA : les signaux qu'un résident californien peut vérifier lui-même.
La loi suit les résidents dont vous traitez les données, et non le lieu où vous êtes établi. Une organisation britannique ayant des clients ou des donateurs californiens peut être concernée, et une partie de ce qu'elle exige est visible sur n'importe quel site web public.
Les résultats d'analyse et l'application sont en anglais pour le moment.
Le CCPA, tel que modifié par le CPRA, donne aux résidents californiens des droits sur la manière dont les entreprises traitent leurs informations personnelles. Une partie de ce qu'il exige est visible sur tout site web qui s'adresse à eux, y compris les sites établis ailleurs. Cette page explique quels signaux un tiers peut vérifier depuis l'extérieur et ce qu'il faut généralement corriger.
Qui est concerné
La loi vise les entreprises qui servent des résidents californiens et atteignent l'un de ses seuils, fondés sur le chiffre d'affaires, le volume d'informations personnelles traitées ou la part du chiffre d'affaires issue de leur partage. Être établi hors des États-Unis ne vous place pas hors de sa portée : ce qui compte, ce sont les personnes dont vous traitez les données. Une organisation britannique ayant des clients ou des donateurs californiens peut être concernée.
- Le lieu où se trouvent vos clients compte davantage que le vôtre
- Les seuils portent sur le chiffre d'affaires et le volume de données, pas sur l'effectif
- La vente et le partage sont définis de façon large et incluent certains dispositifs publicitaires
Ce que cette vérification examine
Tous les éléments ci-dessous sont lus sur le site web public, et chacun correspond à une attente qu'un résident californien pourrait raisonnablement vérifier lui-même.
- Application du HTTPS : les informations personnelles transmises en HTTP simple ne sont pas protégées pendant leur transport
- Politique de confidentialité présente et accessible : la loi attend que certaines informations précises soient faciles à trouver
- Un moyen « Do Not Sell or Share My Personal Information » (ne pas vendre ni partager mes informations personnelles) : obligatoire lorsqu'une entreprise vend ou partage des informations personnelles
- Mécanisme de consentement aux cookies : la voie pratique par laquelle la plupart des partages sont autorisés ou refusés
- Prise en charge de Global Privacy Control : un signal de refus émis par le navigateur, que les entreprises sont de plus en plus tenues de respecter
Les lacunes habituelles des sites
Le moyen de refus (opt-out) est la lacune la plus courante : une politique de confidentialité décrit le droit par écrit, mais aucun lien ni aucune commande réelle ne permet au visiteur de l'exercer. Global Privacy Control est la deuxième : c'est un signal envoyé silencieusement par le navigateur, si bien que rien sur la page ne révèle s'il est respecté, à moins de le vérifier.
- Décrire un droit dans une politique ne revient pas à fournir un moyen de l'exercer
- Un refus plus difficile à exprimer qu'une acceptation attire l'attention
- Global Privacy Control est invisible lors d'un examen rapide et facile à négliger
Questions fréquentes
›Nous sommes une organisation britannique. Le CCPA peut-il s'appliquer à nous ?
C'est possible. La loi suit les résidents dont les données sont traitées, et non le lieu d'établissement de l'entreprise. Si vous servez des résidents californiens et atteignez l'un des seuils, elle peut s'appliquer où que vous soyez établi.
›Une politique de confidentialité suffit-elle ?
Pas à elle seule. Lorsqu'une entreprise vend ou partage des informations personnelles, la loi attend un moyen utilisable de refuser, et pas seulement une description du droit. C'est une commande visible et fonctionnelle qui est vérifiée.
›Qu'est-ce que Global Privacy Control ?
Un signal qu'un navigateur ou une extension envoie au nom du visiteur pour indiquer qu'il ne souhaite pas que ses informations soient vendues ou partagées. Comme il est envoyé silencieusement, un site peut paraître conforme tout en l'ignorant complètement : c'est pourquoi il vaut la peine de le vérifier directement.
Indicatif uniquement. Il s'agit d'une vérification externe de signaux visibles publiquement, et non d'une évaluation juridique de la conformité au CCPA ou au CPRA. Les seuils, les définitions et les obligations relèvent de votre propre conseil juridique.
Également utile : le socle de l'article 32 du RGPD.