Conformité au Florida Digital Bill of Rights avec ConsentX

Le Florida Digital Bill of Rights (FDBR) est la loi générale de Floride sur la protection des données des consommateurs. Il crée des droits pour les consommateurs sur leurs données à caractère personnel et impose des obligations aux responsables du traitement et aux sous-traitants concernés. La loi est entrée en vigueur le 1er juillet 2024.

Les consommateurs de Floride ont généralement le droit de savoir si leurs données à caractère personnel font l'objet d'un traitement, d'y accéder, de faire rectifier les inexactitudes, de demander l'effacement de leurs données, d'en obtenir une copie portable, de s'opposer à la publicité ciblée, de s'opposer à la vente de leurs données, de s'opposer à certaines activités de profilage, de s'opposer à la collecte ou au traitement de données sensibles et de s'opposer à certaines collectes de données de reconnaissance vocale et faciale.

Le FDBR n'exige pas le consentement pour tous les types de traitement de données à caractère personnel. Des exigences de consentement spécifiques s'appliquent toutefois à certaines activités, dont la vente de données à caractère personnel sensibles. Les responsables du traitement doivent recueillir le consentement préalable du consommateur avant de vendre des données sensibles, sous réserve de règles particulières pour les enfants identifiés comme tels.

Les données sensibles regroupent des catégories telles que l'origine raciale ou ethnique, les convictions religieuses, l'état ou le diagnostic de santé mentale ou physique, l'orientation sexuelle, la nationalité ou le statut migratoire, les données génétiques ou biométriques utilisées à des fins d'identification, la géolocalisation précise et les données à caractère personnel d'un enfant identifié comme tel. Le FDBR confère aux consommateurs le droit de s'opposer à la collecte ou au traitement de données sensibles.

Oui. Les consommateurs ont le droit de s'opposer au traitement de leurs données à caractère personnel à des fins de publicité ciblée.

Oui. Le FDBR confère aux consommateurs le droit de s'opposer à la vente de leurs données à caractère personnel.

Oui. Les consommateurs peuvent s'opposer au profilage servant à une décision produisant à leur égard des effets juridiques ou des effets significatifs similaires.

Oui. Les consommateurs ont le droit de s'opposer à la collecte de données à caractère personnel réalisée par le fonctionnement d'une fonction de reconnaissance vocale ou faciale. La loi restreint également certains usages de surveillance des fonctionnalités d'un appareil - capacités vocales, faciales, vidéo, audio, visuelles, thermiques ou olfactives - lorsque ces fonctionnalités ne sont pas activement utilisées par le consommateur, sauf autorisation expresse.

Le FDBR encadre le traitement des données à caractère personnel plutôt que les cookies en tant que technologie isolée. Les cookies, pixels, balises publicitaires, SDK et autres technologies de suivi peuvent néanmoins collecter ou traiter des données à caractère personnel ou alimenter la publicité ciblée. La découverte des traceurs et l'application des préférences de confidentialité constituent donc un volet important d'un programme de conformité au FDBR.

Oui. Les responsables du traitement doivent fournir une information de confidentialité décrivant les traitements de données à caractère personnel concernés et les droits des consommateurs. Cette information doit expliquer de façon utile comment les données à caractère personnel sont collectées, utilisées, communiquées et gérées.

Oui. Les responsables du traitement doivent réaliser et documenter des analyses de protection des données pour des traitements déterminés : publicité ciblée, vente de données à caractère personnel, certaines formes de profilage, traitement de données sensibles et autres traitements présentant un risque accru de préjudice pour les consommateurs.

Les responsables du traitement doivent généralement répondre sans retard injustifié et au plus tard 45 jours après réception de la demande. Ce délai peut être prolongé une fois de 15 jours supplémentaires lorsque cela est raisonnablement nécessaire, à condition d'en informer le consommateur dans le délai initial de 45 jours en lui indiquant le motif de la prolongation.

Oui. Les responsables du traitement doivent mettre en place une procédure permettant aux consommateurs de contester un refus de donner suite à leur demande. Le responsable du traitement doit rendre une décision écrite sur le recours dans les 60 jours suivant sa réception.

Les responsables du traitement doivent proposer au moins deux méthodes sécurisées, fiables et clairement accessibles permettant aux consommateurs d'adresser leurs demandes d'exercice de droits. Ils ne peuvent pas exiger la création d'un nouveau compte à seule fin d'exercer ces droits, même si un compte existant peut servir à l'authentification.

Oui. Le FDBR comporte des protections spécifiques relatives aux données des enfants identifiés comme tels, notamment des exigences particulières concernant la vente de données sensibles et le consentement parental. Le FDBR s'articule également avec les exigences distinctes de la Floride en matière de protection de la vie privée des enfants en ligne.

Le Florida Department of Legal Affairs est chargé de l'application et de la mise en œuvre du FDBR. La Floride a déjà fait état de plaintes de consommateurs et d'actions répressives au titre de cette loi, ce qui montre que le FDBR constitue une obligation de conformité bien réelle et non un cadre purement prospectif.

ConsentX aide à opérationnaliser des contrôles de confidentialité essentiels : gestion du consentement, découverte des traceurs, blocage préalable des scripts, gestion des oppositions, flux de traitement des demandes de droits et preuves d'audit. Aucun logiciel ne peut toutefois garantir à lui seul la conformité juridique. Les organisations doivent évaluer l'ensemble de leur programme de confidentialité au regard du FDBR et de toutes les autres lois applicables.