N'oubliez pas que le mois d'octobre apporte de nouvelles obligations pour le programme de sécurité des données du DOJ.
Comme indiqué précédemment, le 6 octobre 2025 marque la dernière échéance pour la mise en œuvre du programme de sécurité des données (PSD) du ministère de la justice (DOJ). À partir de cette date, les entreprises traitant des données personnelles américaines en vrac ou des données gouvernementales devront se conformer aux exigences en matière de diligence raisonnable, d'audit, de tenue de registres et de rapports. Les mesures de conformité suivantes seront attendues de toute entreprise s'engageant dans des transactions de données couvertes :
Exigences en matière de diligence raisonnable et d'audit
Diligence raisonnable pour les transactions restreintes[1]
D'ici le 6 octobre 2025, les entreprises doivent au minimum mettre en œuvre un programme de conformité des données qui comprend les éléments suivants :
- des procédures fondées sur les risques pour vérifier les flux de données pour toute transaction restreinte afin d'inclure les types et les volumes de données gouvernementales ou de données personnelles américaines en vrac, l'identité des parties à la transaction, l'utilisation finale des données et la méthode de transfert ;
- Procédures de vérification de l'identité des fournisseurs fondées sur les risques ;
- une politique écrite décrivant le programme de conformité des données de l'entreprise, certifiée chaque année par un responsable de la conformité ; et
- Une politique écrite qui décrit la mise en œuvre des exigences de sécurité nécessaires qui sont certifiées annuellement par un responsable de la conformité.
Audits pour les transactions restreintes[2]
Les ressortissants américains effectuant des transactions restreintes doivent également faire réaliser chaque année un audit par un auditeur indépendant. L'audit doit consister en un examen complet des transactions restreintes de l'année écoulée et du programme de conformité des données de la personne américaine. L'auditeur doit préparer et soumettre un rapport écrit dans les 60 jours suivant l'achèvement de l'audit.
Exigences en matière de déclaration et d'archivage
Les personnes américaines qui effectuent des transactions restreintes doivent conserver tous les documents relatifs à ces transactions et les tenir à disposition pour examen pendant au moins dix ans après la date de la transaction. Les rapports devront également être produits sur demande pour le ministère de la Justice dans un format utilisable.
Rapports annuels[3]
À partir du 6 octobre 2025, toute personne américaine engagée dans une transaction restreinte impliquant des services d'informatique en nuage et dont 25 % ou plus des actions de la personne américaine sont détenues par un pays préoccupant ou une personne couverte, devra déposer un rapport annuel auprès du DOJ. Les rapports annuels devront contenir les informations suivantes :
- Le nom et l'adresse de la personne américaine effectuant la transaction de données couverte, ainsi que le nom, le numéro de téléphone et l'adresse électronique d'une personne de contact auprès de laquelle des informations supplémentaires peuvent être obtenues ;
- Une description de la transaction de données couverte ;
- Une copie de la documentation créée en référence à la transaction ; et
- Toute autre information que le DOJ pourrait demander.
Rapports sur les transactions interdites rejetées[4]
Toute personne américaine qui a reçu et refusé une offre d'effectuer une transaction interdite impliquant le courtage de données doit déposer un rapport dans les 14 jours suivant le refus de la transaction. Les rapports doivent contenir des informations similaires à celles requises dans les rapports annuels pour les transactions restreintes couvertes.
[2] Voir § 202.1002.
[3] Voir § 202.1103.
[4] Voir § 202.1104.
