Conformité CCPA
La loi californienne sur la protection de la vie privée des consommateurs (California Consumer Privacy Act), désormais élargie par la CPRA, confère aux résidents californiens des droits concrets sur leurs données personnelles : le droit de savoir quelles données sont collectées, de les supprimer, de les corriger, de s’opposer à leur vente ou à leur partage, et de limiter l’utilisation des données personnelles sensibles. Cette loi s’applique à bien plus d’entreprises que celles qui se considèrent comme « implantées en Californie », car elle s’applique dès lors qu’une entreprise entretient des relations commerciales avec des résidents californiens, et non en fonction du lieu où se trouve son siège social.
La partie que les entreprises ignorent
La plupart des problèmes liés à la loi CCPA trouvent leur origine dans la même lacune : une politique de confidentialité qui formule des promesses concernant le traitement des données que l’entreprise n’est en réalité pas en mesure de tenir, car personne n’a répertorié où se trouvent réellement les informations personnelles. Vous ne pouvez pas donner suite à une demande de suppression sur l’ensemble de vos systèmes si vous ne connaissez pas tous les systèmes qui contiennent ces données. Vous ne pouvez pas répondre avec précision à une demande d’accès si les données de vos clients sont dispersées entre un CRM, une plateforme marketing, un entrepôt de données et trois outils de fournisseurs, sans source unique de vérité.
Comment je développe cela
Je commence par une cartographie des données réelles — non pas un schéma théorique, mais un suivi des flux réels des informations personnelles au sein de vos systèmes et chez vos fournisseurs, y compris les prestataires de services et les tiers avec lesquels vous les partagez. À partir de là, je vous aide à mettre en place l’aspect opérationnel : un processus opérationnel permettant de traiter les demandes des consommateurs visant à connaître, supprimer, corriger et se désinscrire, dans les délais de réponse prévus par la loi, ainsi qu’un examen des contrats avec les prestataires afin de m’assurer que vos accords avec les prestataires de services et les tiers incluent bien les clauses requises par la loi CCPA.
J’examine également de près les mécanismes de désinscription, car c’est sur ce point que se concentre l’attention des autorités de contrôle : je vérifie si votre lien « Ne pas vendre ni partager mes informations personnelles » fonctionne réellement de bout en bout, si les signaux de préférence de désinscription sont respectés et si les informations personnelles sensibles sont utilisées d’une manière nécessitant une désinscription distincte. Tout cela n’a aucun intérêt s’il s’agit d’un projet ponctuel ; je mets en place le processus de manière à ce qu’il continue de fonctionner à mesure que votre liste de fournisseurs et vos flux de données évoluent.
À qui s'adresse ce document ?
Les entreprises qui collectent des données sur les consommateurs californiens et n’ont jamais procédé à un véritable exercice de cartographie des données, les entreprises dont la politique de confidentialité s’est éloignée de leurs pratiques réelles, ainsi que toute personne ayant reçu une demande relative aux droits des consommateurs et s’étant rendu compte qu’elle ne disposait pas d’un véritable processus pour y répondre.
Si vous souhaitez obtenir un bilan honnête de l’état actuel de votre programme CCPA, contactez-moi.