Questions fréquemment posées sur la CCPA et la CPRA

Objectif de cet article

Découvrez les questions fréquemment posées concernant la CCPA (California Consumer Privacy Act) et la CPRA (California Privacy Rights Act).

Qu’est-ce que la CCPA ?

La CCPA est une loi entrée en vigueur le 1er janvier 2020 qui régit la façon dont les entreprises traitent les informations personnelles des résidents californiens.

Le CCPA répond à une lacune perçue dans les protections de la vie privée aux États-Unis. Les entreprises qui traitent des informations personnelles de résidents de Californie sont tenues d’informer les résidents des pratiques de confidentialité de l’entreprise et des droits des résidents en matière de confidentialité, y compris le droit de :

• Être informé des informations personnelles qu’une entreprise collecte à leur sujet et de la manière dont elles sont utilisées
• Supprimer les informations personnelles collectées (avec quelques exceptions)
• Refuser la vente de ses informations personnelles
• Absence de discrimination pour l’exercice de leurs droits en vertu de la CCPA

Qu’est-ce que la CPRA ?

La CPRA est une loi qui modifie et étend les exigences de la CCPA, notamment :

• Ajout d’une catégorie « informations personnelles sensibles »
• Établissement du droit de limiter l’utilisation et la divulgation d’informations personnelles sensibles
• Établissement du droit de corriger des informations personnelles inexactes
• Étendre l’exigence de désinscription « Do Not Sell » au « partage » d’informations personnelles à des fins de publicité intercontextuelle (ou de tiers)

La CPRA entre en vigueur le 1er janvier 2023.

Qui doit se conformer au CCPA et au CPRA ?

Entreprises

La plupart des exigences CCPA et CPRA s’appliquent aux « entreprises », définies comme les sociétés qui collectent les informations personnelles des consommateurs californiens, soit par elles-mêmes, soit via des prestataires.

Le CCPA s’applique aux entreprises qui remplissent l’une des conditions suivantes :

• Gère les informations personnelles des résidents de Californie
• Fait-il « des affaires » en Californie (y compris en interagissant avec des personnes situées en Californie via un site web ou une application d’e-commerce ou interactif)
• Répond à un ou plusieurs des seuils suivants :
  • A des revenus annuels bruts supérieurs à 25 millions de dollars
  • Achète, reçoit ou vend les informations personnelles de 50 000 résidents californiens, ménages ou appareils ou plus par an
  • Tire 50 % ou plus de son chiffre d’affaires annuel de la « vente » des informations personnelles de résidents de Californie (c.-à-d. la vente inclut la divulgation, la mise à disposition, le transfert ou la communication d’informations personnelles à des tiers en échange d’une contrepartie financière ou d’une autre contrepartie de valeur)

Le CPRA modifie cette applicabilité comme suit :

• Répond à un ou plusieurs des seuils suivants :
  • A eu des revenus bruts annuels supérieurs à 25 millions de dollars l’année dernière
  • Achète, vend ou partage des informations personnelles de 100 000 résidents ou ménages californiens par an ou plus
  • Tire 50 % ou plus de ses revenus annuels de la vente ou du partage des informations personnelles des résidents de Californie (le partage inclut la divulgation, la mise à disposition, le transfert ou la communication d’informations personnelles à un tiers à des fins de publicité comportementale cross-content, que ce soit ou non en échange d’une contrepartie monétaire ou autre.)

Fournisseurs de services et sous-traitants

Pour être considérée comme un prestataire de services, une personne physique ou morale doit :

• Traiter des informations personnelles pour le compte d’une entreprise
• Être lié par un contrat écrit qui impose certaines restrictions et obligations concernant l’utilisation des informations personnelles, notamment ne pas :
  • Collecte
  • Vente
  • Utiliser les informations personnelles sauf si nécessaire à l’exécution de l’objectif commercial

À l’instar des prestataires de services, l’exception à une vente ou à un partage s’applique également aux sous-traitants en vertu de la CPRA. Les sous-traitants sont des personnes ou des entités auxquelles une entreprise met des informations personnelles à disposition, conformément à un contrat écrit qui impose des restrictions et des obligations similaires à celles qui s’appliquent à un prestataire de services. Les sous-traitants doivent également disposer d’une certification indiquant que le sous-traitant comprend les restrictions et s’y conformera.

Notez que la divulgation de données d’une entreprise à un prestataire de services ou à un sous-traitant n’est pas considérée comme une vente ou un partage lorsqu’elle est nécessaire pour exécuter une finalité commerciale.

Qu’est-ce qui est classé comme conformité personnelle ?

La CCPA définit les informations personnelles très largement, afin d’inclure les informations qui identifient ou décrivent un consommateur ou un foyer particulier, ou qui peuvent raisonnablement y être associées. En pratique, cette définition large signifie que des informations telles que les coordonnées, les données de transaction, les adresses IP (Internet Protocol), les identifiants d’appareils mobiles, les données de parcours de clics et les détails de commande peuvent entrer dans le champ d’application de la définition des informations personnelles selon la CCPA, et être soumises aux exigences de la CCPA.

Le CPRA crée une nouvelle catégorie d’informations personnelles, « informations personnelles sensibles », et offre aux consommateurs un nouveau droit de limiter l’utilisation et la divulgation de leurs informations sensibles.

Les informations personnelles sensibles au titre du CPRA comprennent :

• Numéro de sécurité sociale
• Numéro de permis de conduire
• Numéro de passeport
• Identifiants de compte
• Géolocalisation précise
• Origine raciale ou ethnique
• Croyances religieuses
• Données biométriques
• Données génétiques
• Données de santé
• Informations concernant la vie sexuelle ou l’orientation sexuelle d’un consommateur
• Le contenu du courrier, des e-mails et de la messagerie texte d’un consommateur, sauf si l’entreprise est le destinataire prévu de la communication

Que dois-je faire pour me préparer ?

Le CCPA et le CPRA sont des lois complexes. Cet article présente les principales obligations au titre du CCPA et du CPRA, dans la mesure où elles peuvent s’appliquer à l’utilisation de Klaviyo Service, mais il ne tient pas compte de toutes les exigences susceptibles de s’appliquer à votre entreprise. Veuillez contacter votre conseiller juridique pour obtenir des conseils spécifiques.

Si la CCPA et la CPRA s’appliquent à votre entreprise, vous devriez tenir compte des droits et des informations à fournir suivants.

Avis

Votre entreprise doit disposer d’une politique de confidentialité sur votre site web, accessible à tous les endroits où vous collectez des informations personnelles, comme les formulaires d’inscription. La politique doit inclure, entre autres :

• Catégories d’informations personnelles qu’il collecte, vend et divulgue à d’autres fins commerciales
• Catégories de sources des informations personnelles
• Finalités commerciales ou professionnelles de la collecte ou de la vente des informations personnelles
• Description des droits des consommateurs suivants et des méthodes désignées pour soumettre des demandes :
  • Le droit de supprimer les informations personnelles
  • Le droit d’accéder aux catégories et à des éléments spécifiques d’informations personnelles
  • Le droit de refuser la vente ou le partage de renseignements personnels
  • Le droit à l’absence de représailles

La CPRA étend cette liste de droits des consommateurs pour inclure :

• Le droit de corriger des renseignements inexacts
• Le droit de limiter l’utilisation et la divulgation d’informations personnelles sensibles
• Le droit de refuser la technologie de prise de décision automatisée

Le CPRA exige également que les entreprises incluent les divulgations supplémentaires suivantes :

• Si les informations personnelles de la personne sont vendues ou partagées
• La durée pendant laquelle l’entreprise prévoit de conserver chaque catégorie d’informations personnelles ou les critères qu’elle utilisera pour déterminer la durée de conservation de ces informations
• Si l’entreprise collecte des « informations personnelles sensibles » :
  • Une divulgation distincte identifiant les catégories de renseignements sensibles collectés
  • L’utilisation et l’objectif de ces données
  • Que ces informations soient vendues ou partagées

Droits de désabonnement

Les consommateurs ont le droit, à tout moment, de refuser la vente de leurs données personnelles à des tiers. Votre entreprise doit cesser de vendre des informations personnelles dès réception de la demande, sauf si une autorisation expresse ultérieure est fournie par le consommateur. Les entreprises doivent attendre au moins 12 mois avant de demander à un consommateur de se réinscrire à la vente d’informations personnelles. Pour permettre ce droit de refus, les entreprises doivent, entre autres :

• Fournissez un lien clair et visible sur la page d’accueil de l’entreprise, intitulé « Do Not Sell My Personal Information ». Le lien doit permettre à un consommateur, ou à une personne autorisée par le consommateur, de refuser la vente des informations personnelles du consommateur
• Ne pas exiger qu’un consommateur crée un compte afin d’indiquer à l’entreprise de ne pas vendre les informations personnelles du consommateur.

Les consommateurs ont également le droit, à tout moment, de refuser que leurs données personnelles soient vendues par un tiers ayant acheté les données personnelles du consommateur auprès d’une entreprise. Le tiers doit cesser de vendre dès réception de la demande de refus, sauf si une autorisation expresse ultérieure est fournie par le consommateur.

Autres droits des consommateurs

Les entreprises doivent avoir des processus pour vérifier l’identité d’un résident californien lorsqu’elles répondent à des demandes d’accès ou de suppression d’informations personnelles. Une fois qu’une demande est reçue d’un résident californien et que son identité est confirmée, veillez à inclure les éléments suivants lors du traitement de la demande, le cas échéant, afin de respecter ses droits.

Droit de savoir : un consommateur peut demander que l’entreprise divulgue la collecte et le traitement de ses informations personnelles, y compris les :

• Catégories d’informations personnelles collectées au sujet de ce consommateur (au cours des 12 derniers mois)
• Catégories de sources auprès desquelles les informations personnelles sont collectées
• Finalité professionnelle ou commerciale de la collecte ou de la vente de renseignements personnels
• Catégories de tiers auxquels l’entreprise a divulgué des informations personnelles
• Catégories d’informations que l’entreprise vend ou divulgue à des tiers
• Éléments spécifiques des informations personnelles qu’il a collectées à propos de ce consommateur

La CPRA modifie et étend ce droit afin d’exiger :

• Fournir des informations sur les catégories d’informations personnelles « partagées » avec des tiers
• Suppression de la limite de consultation rétrospective de 12 mois en exigeant qu’une entreprise fournisse plus de 12 mois d’informations, tant qu’une telle divulgation ne serait pas « impossible » ou n’« impliquerait pas un effort disproportionné » (cette exigence ne s’appliquerait pas aux données collectées par l’entreprise avant le 1er janvier 2022)

Droit à l’effacement : L’entreprise doit supprimer les informations du consommateur (sous réserve de certaines exceptions) et informer ses prestataires de services de supprimer les informations du consommateur. En vertu de la CPRA, l’entreprise doit informer ses prestataires de services et ses sous-traitants, et également informer tout tiers à qui l’entreprise a vendu ou partagé (à des fins de publicité intercontextuelle) les informations personnelles du consommateur, sauf si cela « s’avère impossible ou implique des efforts disproportionnés ». En outre, chaque prestataire de services doit également informer ses propres prestataires de services en aval de supprimer les informations du consommateur.

Droit de corriger des informations personnelles inexactes : Lorsqu’une entreprise reçoit une demande vérifiée visant à corriger des informations personnelles inexactes, elle doit déployer des « efforts commercialement raisonnables » pour corriger lesdites informations personnelles, conformément aux instructions du consommateur. Des orientations supplémentaires sur cette obligation sont attendues de la part du procureur général de Californie.

Vous devez également noter que si le consommateur a moins de 13 ans, le consentement explicite (opt-in) d’un parent ou d’un tuteur est requis avant de vendre ses informations personnelles. Si le consommateur est âgé de 13 à 16 ans, son consentement explicite est requis avant de vendre ses informations personnelles.

Répondre aux demandes des consommateurs

Vous devez disposer d’au moins 2 méthodes désignées pour permettre aux consommateurs de soumettre des demandes d’informations.

Ceux-ci doivent inclure, au minimum :

• Un numéro de téléphone gratuit (certaines entreprises qui opèrent exclusivement en ligne et ont une relation directe avec le consommateur dont elles collectent des informations personnelles sont exemptées de l’exigence de numéro gratuit)
• Adresse web, si l’entreprise a un site web

Les demandes des consommateurs doivent être traitées dans les 45 jours suivant la réception de la demande, par courrier ou par voie électronique (dans un format qui permet au consommateur de la fournir à une autre entité) ou via un compte utilisateur. Le délai de réponse peut être prolongé de 45 jours supplémentaires si cela est raisonnablement nécessaire en fonction de la complexité et du nombre de demandes, et si le demandeur est informé de la prolongation (en précisant les raisons). La procédure de demande doit également être gratuite.

Les entreprises ne sont pas tenues de traiter plus de deux demandes par consommateur sur une période de 12 mois.

Quel est le rôle de Klaviyo au regard de la CCPA et de la CPRA, en ce qui concerne Klaviyo Service ?

Klaviyo n’a pas de relation directe avec les personnes dont les informations personnelles sont collectées par nos clients et stockées sur notre plateforme. Klaviyo agit en tant que prestataire de services, tandis que nos clients sont les entreprises, car nous traitons les renseignements personnels pour le compte de nos clients.

Les obligations de Klaviyo envers ses clients en tant que prestataire de services sont définies dans notre Accord de traitement des données.

Que fait Klaviyo pour permettre aux clients de se mettre en conformité ?

Les clients de Klaviyo disposent des capacités et des outils nécessaires pour répondre aux demandes des résidents de Californie souhaitant exercer leurs droits de consommateur d’accès, de suppression ou de correction de renseignements personnels en vertu du CCPA et du CPRA. Plus précisément :

• La plateforme permet aux clients de générer des rapports sur les informations personnelles qu’il conserve au sujet des utilisateurs finaux, en réponse aux demandes d’accès.
• La plateforme permet la suppression des informations personnelles qu’elle conserve sur les utilisateurs finaux en réponse à des demandes de suppression, ainsi que la correction d’informations personnelles inexactes sur les profils dans Klaviyo.
• Klaviyo ne prend pas en charge et limite la collecte et le stockage d’informations personnelles sensibles, conformément à notre politique d’utilisation acceptable.