Êtes-vous prêt à respecter les exigences « Do Not Track » (Ne pas suivre) de Californie ?

Au cours des derniers mois, la Californie a adopté plusieurs nouvelles lois sur la confidentialité et la protection des données qui ont un impact sur les exploitants de sites Web, de services en ligne et d'applications mobiles dans tout le pays, notamment une loi établissant un « effaceur Internet » pour les mineurs et des modifications aux exigences de l'État en matière de notification des violations de données. Le dernier projet de loi, qui modifie la loi californienne sur la protection de la vie privée en ligne (California Online Privacy Protection Act, « CalOPPA »), donne aux opérateurs de sites Web jusqu'au 1er janvier 2014 pour mettre à jour leurs politiques de confidentialité afin de divulguer la manière dont ils répondent aux mécanismes « Do Not Track » (Ne pas suivre) dans les navigateurs Web. Êtes-vous prêt pour ces nouvelles exigences « Do Not Track » ?

Que prévoit la nouvelle loi ?

En vertu de la loi CalOPPA, les exploitants de sites Web étaient déjà tenus, entre autres, d'afficher de manière visible une politique de confidentialité décrivant les catégories d'informations personnelles identifiables collectées par le site Web ou l'application mobile, ainsi que les entités avec lesquelles ces informations sont partagées. Conformément à la modification apportée par le projet de loi 370 de l'Assemblée, les exploitants de sites Web et d'applications mobiles sont désormais tenus d'informer les utilisateurs de la manière dont le site réagit aux mécanismes dits « Do Not Track » (ne pas suivre), qui sont généralement de petits morceaux de code, similaires aux cookies, qui signalent aux sites Web ou aux applications mobiles que l'utilisateur ne souhaite pas que l'exploitant du site Web suive sa visite sur le site, y compris par le biais d'outils d'analyse, de réseaux publicitaires et d'autres types de pratiques de collecte et de suivi de données.

Ces exigences s'appliquent-elles à moi ?

La loi s'applique à toutes les entreprises qui collectent des informations de suivi auprès des résidents californiens, et s'applique donc aux entreprises qui exercent leurs activités en Californie et suivent les résidents californiens, même si l'entreprise n'a pas de présence physique en Californie.

Dois-je respecter les préférences « Ne pas suivre » d'un utilisateur ?

Il convient de noter que la Californie n'a pas imposé aux exploitants de sites Web et d'applications mobiles de respecter l'utilisation par les utilisateurs des mécanismes « Do Not Track » (ne pas suivre), mais seulement de fournir aux utilisateurs des informations sur la manière dont le site Web réagira à ces mécanismes.

Comment puis-je me conformer ?

Un exploitant de site Web peut satisfaire à la nouvelle exigence en fournissant « un lien hypertexte clair et bien visible dans la politique de confidentialité de l'exploitant vers un emplacement en ligne contenant une description, y compris les effets, de tout programme ou protocole suivi par l'exploitant qui offre aux consommateurs ce choix [de ne pas être suivis] ». Le programme d'autorégulation de la Digital Advertising Alliance pour la publicité comportementale en ligne est un programme d'autorégulation couramment utilisé pour aider les entreprises à permettre aux consommateurs de refuser la publicité ciblée basée sur le suivi de leur activité sur le web.

Remarque : La date limite pour se conformer à cette exigence est le 1er janvier 2014.

Y a-t-il des sanctions si je ne mets pas à jour ma politique de confidentialité ?

Le non-respect des nouvelles exigences pourrait entraîner des amendes de 2 500 dollars par infraction. En ce qui concerne les applications mobiles, le procureur général de Californie a indiqué que chaque téléchargement d'une application mobile non conforme aux nouvelles exigences constitue une infraction et peut donner lieu à une amende.

Meilleures pratiques en matière de conformité

Dans le cadre de la mise à jour de leurs politiques de confidentialité afin de se conformer aux nouvelles exigences « Do Not Track » (Ne pas suivre) de la CalOPPA, les propriétaires et exploitants de sites Web doivent adopter les meilleures pratiques suivantes :

1. Identifier les mécanismes de suivi mis en place sur ses sites Web et ses services en ligne, y compris (a) les types spécifiques d'informations personnelles collectées par le mécanisme de suivi et (b) si les utilisateurs ont la possibilité de contrôler si et comment les mécanismes sont utilisés et si l'opérateur respectera le choix de l'utilisateur. La liste doit inclure les mécanismes de suivi utilisés par l'opérateur lui-même, ainsi que tous les mécanismes de suivi mis en place par des tiers, y compris les annonceurs et les services d'analyse.
2. Dans le cas des mécanismes de suivi utilisés par des tiers, l'opérateur doit déterminer si le mécanisme collecte des informations personnelles sur les utilisateurs. Même si les mécanismes ne collectent pas d'informations personnelles, l'opérateur peut souhaiter identifier les mécanismes dans sa politique de confidentialité au cas où l'opérateur tiers combinerait les données de suivi avec des informations personnelles sur les utilisateurs qu'il a collectées à partir d'une autre source.
3. Identifiez tout autre mécanisme qui collecte des informations personnelles auprès des utilisateurs, y compris les plug-ins de réseaux sociaux. Bien que les modifications apportées à la CalOPPA ne visent pas nécessairement ce type de mécanismes de collecte de données, les opérateurs devraient envisager de les divulguer aux utilisateurs dans leurs politiques de confidentialité.
4. Intégrez les informations identifiées ci-dessus dans les mentions relatives à la politique de confidentialité du site web, y compris les informations collectées auprès des utilisateurs dans le cadre du suivi de l'activité du site web, et la manière dont l'utilisateur peut refuser la collecte de ces informations et/ou la réception de publicités ciblées basées sur les informations de suivi.

Une copie intégrale du projet de loi 370 de l'Assemblée est disponible ici.