Questions fréquemment posées sur la CCPA et la CPRA

Objectif de cet article

Découvrez les questions fréquemment posées concernant la CCPA (California Consumer Privacy Act) et la CPRA (California Privacy Rights Act).

Qu’est-ce que la CCPA ?

La CCPA est une loi entrée en vigueur le 1er janvier 2020 qui régit la façon dont les entreprises traitent les informations personnelles des résidents californiens.

Le CCPA est une réponse à une lacune perçue dans les protections de la vie privée aux États-Unis. Les entreprises couvertes par le CCPA sont tenues d’informer les résidents de Californie de leurs pratiques en matière de vie privée et des droits des résidents en matière de vie privée, y compris le droit de :

• Être informé des informations personnelles qu’une entreprise collecte à leur sujet et de la manière dont elles sont utilisées
• Supprimer les informations personnelles collectées (avec quelques exceptions)
• Refuser la vente de ses informations personnelles
• Absence de discrimination pour l’exercice de leurs droits en vertu de la CCPA

Qu’est-ce que la CPRA ?

La CPRA est une loi qui modifie et étend les exigences de la CCPA, notamment :

• Ajout d’une catégorie « informations personnelles sensibles »
• Établissement du droit de limiter l’utilisation et la divulgation d’informations personnelles sensibles
• Établissement du droit de corriger des informations personnelles inexactes
• Élargissement de l’exigence de désinscription « Do Not Sell » au partage d’informations personnelles à des fins de publicité comportementale inter-contexte

Les modifications du CPRA sont entrées en vigueur le 1er janvier 2023.

Qui doit se conformer au CCPA et au CPRA ?

Entreprises

La plupart des exigences du CCPA s’appliquent aux « entreprises », définies comme des entités à but lucratif qui collectent les informations personnelles des consommateurs californiens, soit directement, soit par l’intermédiaire de prestataires, et qui déterminent les finalités et les moyens du traitement de ces informations.

Le CCPA, tel que modifié par le CPRA, s’applique généralement aux entreprises qui remplissent toutes les conditions suivantes :

• Gère les informations personnelles des résidents de Californie
• Exerce une « activité commerciale » en Californie (y compris en interagissant avec des personnes situées en Californie via un site Web ou une application d’e-commerce ou interactive)
• Répond à un ou plusieurs des seuils suivants :
  • Avoir eu des revenus bruts annuels supérieurs à 26 625 000 $ au cours de l’année civile précédente
  • Achète, vend, ou partage chaque année les informations personnelles de 100 000 résidents californiens ou plus, ou de ménages californiens
  • Tire 50 % ou plus de ses revenus annuels de la vente ou du partage des informations personnelles des résidents de Californie. La vente comprend la divulgation, la mise à disposition, le transfert ou la communication d’informations personnelles à des tiers, moyennant une contrepartie monétaire ou une autre contrepartie de valeur. Le partage comprend ces activités à des fins de publicité comportementale inter-contexte, qu’un paiement ou une autre contrepartie de valeur soit échangé(e) ou non.

Le seuil de revenu est ajusté tous les 2 ans. Examinez les seuils monétaires actuels lorsque vous évaluez si votre entreprise est concernée.

Fournisseurs de services et sous-traitants

Pour être considérée comme un prestataire de services, une personne physique ou morale doit :

• Traiter des informations personnelles pour le compte d’une entreprise
• Être lié par un contrat écrit imposant des restrictions et des obligations concernant l’utilisation d’informations personnelles, notamment en interdisant :
  • Vendre ou partager des informations personnelles
  • Conserver, utiliser ou divulguer les Informations personnelles à des fins autres que les finalités commerciales précisées dans le contrat, sauf si cela est autrement autorisé par la CCPA
  • Conserver, utiliser, ou divulguer les informations personnelles en dehors de la relation commerciale directe
  • Combiner des informations personnelles de l’entreprise avec des informations provenant d’autres sources, sauf aux fins autorisées par la CCPA et ses règlements

À l’instar des prestataires de services, l’exception à une vente ou à un partage s’applique également aux sous-traitants en vertu de la CPRA. Les sous-traitants sont des personnes ou des entités auxquelles une entreprise met des informations personnelles à disposition, conformément à un contrat écrit qui impose des restrictions et des obligations similaires à celles qui s’appliquent à un prestataire de services. Les sous-traitants doivent également disposer d’une certification indiquant que le sous-traitant comprend les restrictions et s’y conformera.

La divulgation à un prestataire de services ou à un sous-traitant admissible à des fins commerciales n’est pas considérée comme une vente ou un partage lorsque les conditions contractuelles requises sont remplies.

Qu’est-ce qui est classé comme informations personnelles ?

La CCPA définit les informations personnelles très largement, afin d’inclure les informations qui identifient ou décrivent un consommateur ou un foyer particulier, ou qui peuvent raisonnablement y être associées. En pratique, cette définition large signifie que des informations telles que les coordonnées, les données de transaction, les adresses IP (Internet Protocol), les identifiants d’appareils mobiles, les données de parcours de clics et les détails de commande peuvent entrer dans le champ d’application de la définition des informations personnelles selon la CCPA, et être soumises aux exigences de la CCPA.

La CPRA a ajouté une catégorie de renseignements personnels appelée « renseignements personnels sensibles ». Les consommateurs ont le droit d’en limiter l’utilisation et la divulgation à des fins allant au-delà de celles autorisées par la CCPA.

Les informations personnelles sensibles relevant de la CCPA, telle que modifiée, comprennent :

• Numéro de sécurité sociale
• Numéro de permis de conduire ou de carte d’identité délivrée par l’État
• Numéro de passeport
• Identifiant de connexion au compte, compte financier, numéro de carte de débit ou de carte de crédit, combiné à des identifiants permettant d’accéder à un compte
• Géolocalisation précise
• Origine raciale ou ethnique
• Citoyenneté ou statut d’immigration
• Croyances religieuses ou philosophiques
• Adhésion syndicale
• Informations biométriques traitées afin d’identifier de manière unique un consommateur
• Données génétiques
• Données neuronales générées par la mesure de l’activité dans le système nerveux central ou périphérique
• Informations personnelles collectées et analysées concernant la santé d’un consommateur
• Informations personnelles collectées et analysées concernant la vie sexuelle ou l’orientation sexuelle d’un consommateur
• Le contenu du courrier, des e-mails et de la messagerie texte d’un consommateur, sauf si l’entreprise est le destinataire prévu de la communication

Que dois-je faire pour me préparer ?

Le CCPA et le CPRA sont des lois complexes. Cet article présente les principales obligations au titre du CCPA et du CPRA, dans la mesure où elles peuvent s’appliquer à l’utilisation de Klaviyo Service, mais il ne tient pas compte de toutes les exigences susceptibles de s’appliquer à votre entreprise. Veuillez contacter votre conseiller juridique pour obtenir des conseils spécifiques.

Si la CCPA et la CPRA s’appliquent à votre entreprise, vous devriez prendre en compte les droits et divulgations suivants.

Avis

Votre entreprise doit fournir un avis au moment de la collecte de renseignements personnels ou avant, y compris via des formulaires d’inscription, et rendre sa politique de confidentialité accessible sur son site web. L’avis au moment de la collecte doit inclure un lien vers la politique de confidentialité. La politique doit inclure, entre autres :

• Catégories d’informations personnelles qu’elle collecte, vend, partage et divulgue autrement à des fins commerciales
• Catégories de sources des informations personnelles
• Finalités professionnelles ou commerciales de collecte, de vente, ou de partage d’informations personnelles
• Description des droits des consommateurs suivants et des méthodes désignées pour soumettre des demandes :
  • Le droit de supprimer les informations personnelles
  • Le droit d’accéder aux catégories et à des éléments spécifiques d’informations personnelles
  • Le droit de refuser la vente ou le partage de renseignements personnels
  • Le droit à l’absence de représailles

La CPRA élargit cette liste de droits des consommateurs pour inclure :

• Le droit de corriger des renseignements inexacts
• Le droit de limiter l’utilisation et la divulgation d’informations personnelles sensibles
• Droits concernant certaines utilisations de la technologie de prise de décision automatisée. Les entreprises qui l’utilisent pour prendre des décisions importantes, telles que des décisions relatives à l’emploi, au logement ou aux services financiers, doivent se conformer aux exigences de notification, d’opposition et d’accès propres à l’ADMT d’ici le 1er janvier 2027. Consultez un conseiller juridique afin de déterminer si ces exigences s’appliquent à votre utilisation.

Le CPRA exige également que les entreprises incluent les divulgations supplémentaires suivantes :

• Si les informations personnelles de la personne sont vendues ou partagées
• La durée pendant laquelle l’entreprise prévoit de conserver chaque catégorie d’informations personnelles ou les critères qu’elle utilisera pour déterminer la durée de conservation de ces informations
• Si l’entreprise collecte des « informations personnelles sensibles » :
  • Une divulgation distincte identifiant les catégories de renseignements sensibles collectés
  • L’utilisation et l’objectif de ces données
  • Que ces informations soient vendues ou partagées

Droits de désabonnement

Les consommateurs ont le droit, à tout moment, de refuser la vente ou le partage de leurs informations personnelles. Si votre entreprise vend ou partage des informations personnelles, elle doit respecter ces demandes et ne doit pas reprendre la vente ou le partage, sauf si le consommateur l’y autorise ultérieurement. Vous devez attendre au moins 12 mois avant de demander à un consommateur de se réinscrire. Pour soutenir ce droit, les entreprises doivent, entre autres :

• Fournissez un lien « Ne pas vendre ou partager mes informations personnelles » clair et visible, permettant au consommateur ou à son agent autorisé de refuser. Les règlements autorisent également un lien alternatif intitulé « Vos choix de confidentialité » ou « Vos choix de confidentialité en Californie ». Les entreprises qui traitent les signaux de préférence de refus de la manière fluide requise peuvent utiliser l’exception consistant à ne pas afficher de lien distinct de refus de vente ou de partage.
• N’exigez pas qu’un consommateur crée un compte pour refuser la vente ou le partage de ses informations personnelles.

Les consommateurs ont également le droit de refuser la vente ou le partage de leurs informations personnelles par un tiers qui les a reçues d’une entreprise. Le tiers doit respecter ce refus, sauf si le consommateur autorise ultérieurement la vente ou le partage.

Autres droits des consommateurs

Les entreprises doivent vérifier l’identité d’un résident californien lorsqu’elles répondent à des demandes de consultation, de suppression ou de correction de données personnelles. Une fois la demande vérifiée, fournissez les informations ou effectuez l’action requise pour cette demande, sous réserve des exceptions applicables. N’exigez pas de vérification d’identité pour les demandes visant à refuser la vente ou le partage, ou à limiter l’utilisation des données personnelles sensibles.

Droit de savoir : Un consommateur peut demander que l’entreprise divulgue sa collecte et son traitement des informations personnelles du consommateur, notamment les éléments suivants :

• Catégories d’informations personnelles collectées au sujet de ce consommateur (au cours des 12 derniers mois)
• Catégories de sources auprès desquelles les informations personnelles sont collectées
• Finalité professionnelle ou commerciale de la collecte, de la vente ou du partage d’informations personnelles
• Catégories de tiers auxquels l’entreprise a divulgué des informations personnelles
• Catégories d’informations que l’entreprise vend ou divulgue à des tiers
• Éléments spécifiques des informations personnelles qu’il a collectées à propos de ce consommateur

La CPRA modifie et étend ce droit afin d’exiger :

• Fournir des informations sur les catégories d’informations personnelles « partagées » avec des tiers
• Fournir des informations au-delà des 12 derniers mois lorsque le consommateur en fait la demande, sauf si cela est impossible ou nécessite des efforts disproportionnés. Cette exigence s’applique uniquement aux informations personnelles collectées à compter du 1er janvier 2022.

Droit à l’effacement : L’entreprise doit supprimer les informations du consommateur (sous réserve de certaines exceptions) et informer ses prestataires de services de supprimer les informations du consommateur. En vertu de la CPRA, l’entreprise doit informer ses prestataires de services et ses sous-traitants, et également informer tout tiers à qui l’entreprise a vendu ou partagé (à des fins de publicité intercontextuelle) les informations personnelles du consommateur, sauf si cela « s’avère impossible ou implique des efforts disproportionnés ». En outre, chaque prestataire de services doit également informer ses propres prestataires de services en aval de supprimer les informations du consommateur.

Droit de corriger des informations personnelles inexactes : Une fois qu’une entreprise reçoit une demande vérifiée, elle doit déployer des efforts commercialement raisonnables pour corriger les informations personnelles inexactes conformément aux instructions du consommateur. Les règlements de la California Privacy Protection Agency définissent des exigences pour le traitement de ces demandes.

Si une entreprise sait qu’un consommateur a moins de 16 ans, la CCPA exige une autorisation expresse avant de vendre ou de partager ses informations personnelles. Pour les consommateurs de moins de 13 ans, un parent ou un tuteur doit l’autoriser. Pour les consommateurs âgés de 13 à 15 ans, le consommateur doit l’autoriser. La Politique d’utilisation acceptable de Klaviyo interdit de collecter ou de traiter des informations concernant des enfants de moins de 13 ans (ou de moins de 16 ans dans l’EEE), indépendamment de cette règle d’autorisation de la CCPA.

Répondre aux demandes des consommateurs

Les entreprises qui opèrent exclusivement en ligne et entretiennent une relation directe avec les consommateurs dont elles collectent les données personnelles n’ont qu’à fournir une adresse e-mail pour les demandes de consultation, de suppression ou de correction de données personnelles.

Les autres entreprises doivent fournir au moins 2 méthodes désignées pour ces demandes, notamment :

• Un numéro de téléphone gratuit
• Un moyen d’envoyer des demandes via le site web de l’entreprise, comme un formulaire web, si l’entreprise dispose d’un site web

Pour les demandes visant à connaître, supprimer ou corriger des informations personnelles, confirmez la réception dans un délai de 10 jours ouvrables, et répondez dans un délai de 45 jours calendaires à compter de la réception de la demande. La vérification d’identité ne prolonge pas ce délai. Si cela est raisonnablement nécessaire, vous pouvez prolonger le délai de réponse de 45 jours calendaires supplémentaires, mais vous devez informer le consommateur de la prolongation et de ses motifs dans le délai initial de 45 jours.

Fournir les informations demandées via un compte utilisateur existant, ou par courrier, ou par voie électronique, dans un format que le consommateur peut transférer à une autre entité. Les demandes doivent être gratuites, sauf que la CCPA autorise des frais raisonnables pour les demandes manifestement infondées ou excessives. Votre entreprise doit être en mesure de démontrer que cette exception s’applique.

Pour les demandes visant à refuser la vente ou le partage, ou à limiter l’utilisation et la divulgation des données personnelles sensibles, conformez-vous dès que possible et au plus tard 15 jours ouvrables après réception de la demande.

Les entreprises ne sont pas tenues de fournir des informations en réponse à une demande de prise de connaissance plus de 2 fois par consommateur sur une période de 12 mois. Cette limite ne s’applique pas aux demandes de suppression ou de correction des informations personnelles.

Quel est le rôle de Klaviyo au regard de la CCPA et de la CPRA, en ce qui concerne Klaviyo Service ?

Lorsque Klaviyo traite des informations personnelles pour le compte de votre entreprise en vertu de l’Accord de traitement des données, il agit en tant que prestataire de services. Votre entreprise est responsable de répondre aux demandes d’exercice des droits des consommateurs de vos clients et d’y donner suite.

Les obligations de Klaviyo envers ses clients en tant que prestataire de services sont définies dans notre Accord de traitement des données.

Que fait Klaviyo pour permettre aux clients de se mettre en conformité ?

Klaviyo fournit des outils pour vous aider à répondre aux demandes d’accès, de suppression ou de correction des informations personnelles stockées dans votre compte. Utilisez ces outils dans le cadre de votre réponse, en complément des informations et des actions requises dans vos autres systèmes. Votre rôle utilisateur doit autoriser les exportations de profils et les téléchargements de fichiers pour les demandes d’accès, ainsi que la modification de profils pour les corrections ou les suppressions. Plus précisément :

• Vous pouvez exporter les données d’un profil dans le cadre d’une demande d’accès. Depuis le profil, sélectionnez Actions sur le profil > Exporter le profil, puis Démarrer l’exportation. Sélectionnez Voir tous les téléchargements, puis Télécharger lorsque l’exportation est prête, afin d’enregistrer le fichier .zip .p8.
• Vous pouvez supprimer un profil et enregistrer la demande de confidentialité. La suppression est définitive. Si vous avez également besoin d’une exportation, téléchargez-la avant de supprimer le profil. Sélectionnez Actions de profil > Supprimer le profil, cochez Supprimer le profil conformément à la demande de confidentialité des données, puis confirmez avec Supprimer le profil. Cela enregistre la demande et lance la suppression ; le profil reste accessible jusqu’à ce que la suppression soit terminée.
• Vous pouvez corriger des informations de contact modifiables sur les profils dans Klaviyo. Sélectionnez Actions sur le profil > Modifier les informations de contact, saisissez les informations corrigées, puis sélectionnez Mettre à jour. Examinez le profil pour confirmer la modification.
• Vous devez respecter la Politique d’utilisation acceptable de Klaviyo, qui interdit la collecte, le stockage, le traitement, l’envoi ou la transmission de certaines données, notamment des informations de santé et des numéros d’identification gouvernementaux non publics.

Ressources supplémentaires