L’année 2023 sera synonyme d’importants changements dans le secteur des données personnelles (DP) à travers le monde. Les États-Unis ne font pas exception : la nouvelle année vient tout juste de débuter que quatre États américains, c.-à-d. le Kentucky, le Tennessee, l’Oklahoma et New York, ont déjà proposé un projet de loi visant à adopter leur propre nouvelle loi détaillée sur la protection des DP. Nous vous proposons d’examiner le projet de loi new-yorkais dans cet article, donnant suite à notre précédente publication sur le sujet.
Le 4 janvier 2023, le projet de « New York Privacy Act » (NYPA) a été présenté au Parlement de l’État et est actuellement examiné par le Comité de la protection des consommateurs, le Consumer Protection Departement of State.
D’emblée, le préambule du NYPA édicte que « la vie privée est un droit fondamental et un élément essentiel de la liberté [traduction libre] » et que la loi vise à aider les consommateurs new-yorkais à recouver le contrôle sur leur vie privée. Le NYPA leur accorde de nombreux droits à cet effet et impose aux sociétés de lourdes obligations les forçant à traiter les DP de façon responsable, réfléchie et transparente.
Qui est visé par la nouvelle loi ?
Le texte prévoit présentement que les entreprises qui satisfont à un ou plusieurs des seuils suivants devront se conformer avec le NYPA :
- Elles génèrent un revenu annuel brut de 25 millions de dollars ou plus (environ 23,5 millions €);
- Elles contrôlent ou traitent des données personnelles de 100 000 personnes ou plus;
- Elles contrôlent ou traitent des données personnelles de 500 000 personnes ou plus aux États-Unis, et contrôle ou traitent des données personnelles de 10 000 consommateurs ou plus;
- Elles tirent plus de 50% de leurs revenus bruts de la vente de données à caractère personnel, et contrôlent ou traitent des DP de 25 000 consommateurs ou plus 1 .
Que prévoit le NYPA?
Voici quelques changements notoires qui seraient apportés par le NYPA:
- Les consommateurs bénéficieront de droits étendus en lien avec leurs DP. Cela inclut entre autres le droit d’être notifié lorsque leurs DP sont traitées par une société 2 . Cette dernière devra notamment leur communiquer tous les droits dont disposent concernant leurs DP, les catégories de DP traitées par la société elle-même ou par un tiers pour son compte, les sources de collecte des DP, les objectifs du traitement des DP, etc. De plus, les consommateurs auront le droit d’exiger que leurs DP ne soient plus traitées à des fins de publicité ciblée, de vente de DP, ou de profilage 3 . Les compagnies qui comptent traiter des DP sensibles devront désormais obtenir le consentement express de la personne concernée (« opt-in ») 4 . Les résidents new-yorkais dont les DP sont traitées pourront aussi accéder à leurs DP traitées par une société 5 et bénéficieront du droit à la portabilité 6 , c.-à-d. du droit d’obtenir une copie de leurs DP détenues par une organisation assujettie à la loi, ainsi que le droit de requérir que lesdites DP soient transmises à un tiers. Le NYPA introduira également le droit pour un individu de demander qu’une organisation corrige les DP qu’elle détient à son sujet 7 . Finalement, les résidents new-yorkais bénéficieront du droit à la suppression de leurs DP détenues par une organisation s’ils en font la demande.
- La publicité ciblée et la vente de DP ne pourront plus être considérées comme des finalités de traitement nécessaires à la fourniture de services ou de biens demandés par un consommateur
- Les organisations assujetties à la nouvelle loi devront effectuer et documenter de façon régulière une évaluation de la protection des DP pour les activités de traitement qui présentent un risque élevé de préjudice pour le consommateur (« Data protection assessment ») .
- La vente de DP ne sera plus limitée au concept d’échange monétaire, mais incluera également d’autres contreparties de valeur par le responsable du traitement à un tiers . Ainsi, la définition de « vente » sera élargie, ce qui aura pour conséquence d’élargir également le champ d’application de la loi.
- NYPA introduira l’obligation pour les organisations soumises à la loi de mettre sur pied une voie de recours contre les décisions automatiques et l’obligation d’évaluer si le système automatisé de prise de décision produit des résultats discriminatoires .
Attention ! La NYA prévoira d’importantes amendes allant jusqu’à 15 000 dollars pour chaque violation à l’encontre d’un consommateur, ce qui laisse envisager une multiplication de ce montant, en cas d’infractions répétées par une entreprise sur l’ensemble de ses clients .
Ainsi, d’importants changements dans le secteur de la protection des DP sont à prévoir dans l’État de New York et, plus largement, aux États-Unis. Cabinet d’avocat franco-américain pratiquant aussi bien le droit français que le droit américain, L’Avocat transatlantique dispose en outre d’une expertise particulière dans le secteur de la protection des DP. En conséquence, si vous souhaitez vous assurer que votre organisation se conforme aux obligations lui incombant dans ses traitements de données à caractère personnel aux Etats-Unis, n’hésitez pas à nous contacter, nous serons ravis de vous accompagner !
NYPA, art. 1101 (1).
NYPA, art. 1102 (1).
NYPA, art. 1102 (2).
NYPA, art. 1102 (3).
NYPA, art. 1102 (4).
NYPA, art. 1102 (5).
NYPA, art. 1102 (6).
NYPA, art. 1102 (2) (d).
NYPA, art. 1103.
NYPA, art. 1100 (22).
NYPA, art. 1102 (8) (ii).
NYPA, art. 1106.
