Conformité au Colorado Privacy Act avec ConsentX

Le Colorado Privacy Act (CPA) est la loi générale du Colorado sur la vie privée des consommateurs. Il confère aux consommateurs du Colorado des droits sur leurs données à caractère personnel et impose des obligations aux organisations qui contrôlent ou traitent ces données.

Le CPA s'applique généralement aux organisations qui exercent une activité au Colorado ou qui ciblent les résidents du Colorado et qui dépassent les seuils prévus par la loi en matière de contrôle ou de traitement de données à caractère personnel. Certaines entités, données et activités sont exemptées.

Les consommateurs du Colorado disposent notamment du droit d'accéder à leurs données à caractère personnel, de faire rectifier des données inexactes, d'en obtenir l'effacement, d'en demander la portabilité, de s'opposer à la vente de leurs données, de s'opposer à la publicité ciblée et de s'opposer à certaines activités de profilage. Ces droits s'exercent sous réserve des conditions et exceptions applicables.

Le CPA exige le consentement pour certaines activités de traitement, en particulier le traitement de données sensibles. Tous les traitements ne requièrent pas le consentement : les organisations doivent donc déterminer la base légale appropriée et les exigences applicables à chaque activité de traitement.

Les données sensibles regroupent certaines catégories de données à caractère personnel, telles que les informations révélant l'origine raciale ou ethnique, les convictions religieuses, l'état ou le diagnostic de santé mentale ou physique, la vie sexuelle ou l'orientation sexuelle, la nationalité ou le statut migratoire, certaines données génétiques ou biométriques et certaines données relatives aux enfants. Le cadre de protection de la vie privée du Colorado a également été modifié pour couvrir des catégories supplémentaires, dont les données de géolocalisation précise.

Un mécanisme d'opt-out universel (UOOM) permet aux consommateurs de communiquer certains choix de confidentialité à plusieurs entreprises sans adresser une demande d'opposition individuelle à chacune d'elles. Le Colorado impose aux organisations concernées de respecter les signaux UOOM applicables pour certains droits d'opposition.

Oui. Le Global Privacy Control (GPC) est actuellement reconnu par le Colorado Department of Law comme un mécanisme d'opt-out universel valide. Les organisations concernées doivent respecter le GPC pour les droits d'opposition applicables, notamment l'opposition à la vente de données à caractère personnel et à leur utilisation à des fins de publicité ciblée.

Oui. Les consommateurs du Colorado ont le droit de s'opposer au traitement de leurs données à caractère personnel à des fins de publicité ciblée.

Oui. Le CPA confère aux consommateurs un droit d'opposition à certaines activités de profilage, en particulier le profilage servant à des décisions produisant des effets juridiques ou des effets significatifs similaires les concernant.

Le CPA encadre le traitement des données à caractère personnel plutôt que les cookies en tant que tels. Lorsque des cookies, traceurs ou technologies similaires collectent ou traitent des informations qualifiées de données à caractère personnel, les organisations doivent évaluer les exigences applicables du CPA et mettre en place les contrôles de confidentialité appropriés.

Oui. Les responsables du traitement doivent réaliser des analyses de protection des données pour certains traitements présentant un risque accru de préjudice pour les consommateurs. Cela peut inclure les traitements impliquant la publicité ciblée, le profilage, la vente de données à caractère personnel et les données sensibles.

Une organisation concernée doit généralement répondre à une demande de consommateur dans un délai de 45 jours. Ce délai peut être prolongé de 45 jours supplémentaires lorsque cela est raisonnablement nécessaire, à condition que le consommateur soit informé de la prolongation et de ses motifs.

ConsentX fournit une technologie qui prend en charge des opérations essentielles au titre du Colorado Privacy Act : gestion du consentement, consentement aux données sensibles, oppositions des consommateurs, prise en charge du GPC, découverte des traceurs, blocage préalable des scripts, flux de traitement des droits et preuves de confidentialité. Toutefois, ConsentX seul ne garantit pas la conformité au CPA. Les organisations doivent évaluer l'ensemble de leurs traitements de données, leurs informations de confidentialité, leurs mesures de sécurité, leurs contrats, leurs analyses de protection des données et leurs autres obligations légales applicables.