Outil CCPA pour votre conformité

Le texte vise les entreprises à but lucratif qui exercent une activité en Californie, décident des finalités et des moyens du traitement, et franchissent l'un des trois seuils prévus : un chiffre d'affaires annuel brut supérieur à 25 millions de dollars (montant réévalué périodiquement pour tenir compte de l'inflation), l'achat, la vente ou le partage des données personnelles d'au moins 100 000 consommateurs ou foyers californiens par an, ou au moins la moitié du chiffre d'affaires annuel tirée de la vente ou du partage de ces données. Aucun établissement sur le sol américain n'est requis.

Non, même s'il vous rapproche beaucoup du but. Les deux textes divergent dès la logique de base : le RGPD exige une base légale avant tout traitement, là où le CCPA fonctionne principalement par opposition, le consommateur devant pouvoir refuser après coup. Le CCPA ajoute des notions absentes du RGPD, comme le foyer, le partage à des fins de publicité comportementale intersites et la limitation de l'usage des données sensibles. À l'inverse, il n'impose ni DPO ni encadrement des transferts. Le registre des traitements construit pour le RGPD reste la meilleure base de départ.

Beaucoup d'entreprises sont convaincues de ne rien vendre et se trompent, car la définition est volontairement large. Vendre, c'est communiquer des données personnelles à un tiers contre une contrepartie monétaire ou toute autre contrepartie de valeur. Le CPRA y a ajouté le partage, qui vise la transmission à des fins de publicité comportementale intersites même sans argent échangé. En pratique, la plupart des traceurs publicitaires d'un site entrent dans l'une ou l'autre catégorie, ce qui déclenche l'obligation d'offrir un mécanisme d'opposition et d'honorer les signaux émis par le navigateur du visiteur, comme le Global Privacy Control.

Trois délais à ne pas confondre. Une demande vérifiable (accès, suppression, correction) doit être accusée réception dans les dix jours ouvrés, en expliquant comment elle sera traitée, puis recevoir une réponse dans les quarante-cinq jours calendaires suivant sa réception, délai prolongeable une fois de quarante-cinq jours si la complexité le justifie et si le consommateur en est informé. Le décompte court dès l'arrivée de la demande, pas à partir de sa vérification. L'opposition à la vente ou au partage suit une autre horloge : aucune vérification préalable, mais une exécution sous quinze jours ouvrés.

Non. Le CCPA est une loi de l'État de Californie, pas un référentiel certifiable : aucun organisme n'émet de certificat CCPA. Ce qui est contrôlé, ce sont vos pratiques réelles, par le procureur général de Californie et par la California Privacy Protection Agency créée par le CPRA. Cette agence a par ailleurs adopté des règles imposant des analyses de risque pour les traitements présentant un risque significatif pour la vie privée, et des audits de cybersécurité périodiques pour certaines entreprises, avec une entrée en vigueur progressive.

L'amende peut atteindre 2 500 dollars par violation, et 7 500 dollars quand la violation est intentionnelle ou porte sur les données d'un consommateur dont l'entreprise sait qu'il a moins de seize ans. Chaque consommateur concerné peut constituer une violation distincte, ce qui change l'échelle sur un incident de masse. Le CPRA a supprimé le délai de mise en conformité automatique dont bénéficiaient les entreprises face à l'autorité. S'y ajoute une action civile ouverte aux consommateurs, limitée aux fuites de certaines données non chiffrées, avec des dommages forfaitaires de 100 à 750 dollars par personne et par incident.

Parce qu'une demande de consommateur n'est pas un ticket isolé : il faut savoir dans quels systèmes la donnée réside, à quels destinataires elle est partie, si un partage publicitaire est encore actif, puis prouver que la réponse est partie dans les délais. Un tableur perd ces liens dès qu'un traitement change, n'alerte personne pendant que l'horloge tourne et ne garde aucune trace horodatée de ce qui a été fait. Un outil dédié tient le compteur, relie chaque demande aux systèmes concernés et conserve une preuve exploitable en cas de contrôle. Dans Vailor, le CCPA s'intègre sur demande : ses exigences rejoignent les contrôles que vous maintenez déjà.