Conformité au Connecticut Data Privacy Act avec ConsentX

Le Connecticut Data Privacy Act (CTDPA) est la loi générale du Connecticut sur la vie privée des consommateurs. Il confère aux résidents du Connecticut des droits sur leurs données à caractère personnel et impose des obligations de confidentialité aux entreprises concernées. La loi est entrée en vigueur le 1er juillet 2023.

Le CTDPA s'applique généralement aux organisations qui exercent une activité au Connecticut ou qui ciblent les résidents du Connecticut et qui dépassent certains seuils de traitement ou de vente de données. La loi comporte également des dispositions spécifiques visant certains responsables du traitement de données de santé des consommateurs, ainsi que des exemptions pour certaines organisations et certains types de données.

Les consommateurs du Connecticut disposent notamment du droit d'accéder à leurs données à caractère personnel, de faire rectifier des données inexactes, d'en obtenir l'effacement, d'en demander la portabilité, d'être informés de certaines ventes à des tiers, de s'opposer à la vente de leurs données, de s'opposer à la publicité ciblée et de s'opposer à certaines activités de profilage. Ces droits s'exercent sous réserve des conditions et exceptions applicables.

Le CTDPA exige le consentement avant tout traitement des données sensibles d'un consommateur. Toutes les activités de traitement ne requièrent pas le consentement : les organisations doivent donc déterminer les exigences légales applicables à chaque traitement.

Les données sensibles regroupent certaines catégories de données à caractère personnel, telles que l'origine raciale ou ethnique, les convictions religieuses, les données de santé, la vie sexuelle ou l'orientation sexuelle, la nationalité ou le statut migratoire, les données génétiques ou biométriques et certaines données de localisation précise. Le CTDPA prévoit également des protections spécifiques concernant les données des enfants et des mineurs.

Oui. Les consommateurs du Connecticut ont le droit de s'opposer au traitement de leurs données à caractère personnel à des fins de publicité ciblée.

Oui. Les consommateurs ont le droit de s'opposer à la vente de leurs données à caractère personnel. Les entreprises concernées doivent mettre à disposition des mécanismes appropriés permettant d'exercer ce droit.

Oui. Les consommateurs peuvent s'opposer au profilage servant à des décisions produisant des effets juridiques ou des effets significatifs similaires les concernant.

Un Universal Opt-Out Preference Signal permet aux consommateurs de communiquer certaines préférences de confidentialité à l'ensemble des sites et des entreprises via leur navigateur ou un autre mécanisme de confidentialité. À compter du 1er janvier 2025, les entreprises soumises au CTDPA doivent respecter les signaux de préférence d'opposition applicables émis par les consommateurs du Connecticut.

Oui. Le procureur général du Connecticut cite le Global Privacy Control (GPC) comme exemple de signal de préférence d'opposition que les consommateurs peuvent utiliser pour communiquer leurs préférences de confidentialité. ConsentX prend en charge le GPC afin d'aider les organisations à mettre en œuvre les exigences d'opt-out universel applicables.

Le CTDPA encadre le traitement des données à caractère personnel plutôt que les cookies en tant que tels. Lorsque des cookies, traceurs ou technologies similaires collectent ou traitent des informations qualifiées de données à caractère personnel, les organisations doivent évaluer les exigences applicables du CTDPA et mettre en place les contrôles de confidentialité appropriés.

Oui. Les consommateurs ont le droit de contester la décision d'un responsable du traitement qui refuse leur demande d'exercice de droits. Le responsable du traitement dispose généralement de 60 jours à compter de la réception du recours pour communiquer sa décision et les motifs de celle-ci.

Oui. Les responsables du traitement doivent réaliser des analyses de protection des données pour certains traitements présentant un risque accru de préjudice pour les consommateurs. Ces analyses peuvent concerner les activités impliquant des données sensibles, la publicité ciblée, le profilage et la vente de données à caractère personnel.

Le procureur général du Connecticut détient la compétence exclusive en matière d'application du CTDPA. Les violations peuvent donner lieu à des sanctions civiles pouvant atteindre 5 000 $ par infraction, ainsi qu'à d'autres mesures telles que des injonctions, des restitutions ou la restitution des profits illicites.

ConsentX fournit une technologie qui prend en charge des opérations essentielles au titre du CTDPA : gestion du consentement, consentement aux données sensibles, oppositions des consommateurs, prise en charge du GPC, découverte des traceurs, blocage préalable des scripts, flux de traitement des droits et preuves de confidentialité. Toutefois, ConsentX seul ne garantit pas la conformité au CTDPA. Les organisations doivent évaluer l'ensemble de leurs traitements de données, leurs informations de confidentialité, leurs mesures de sécurité, leurs contrats, leurs analyses de protection des données et leurs autres obligations légales applicables.