Conformité au Montana Consumer Data Privacy Act avec ConsentX

Le Montana Consumer Data Privacy Act (MCDPA) est la loi générale du Montana sur la vie privée des consommateurs. Entrée en vigueur le 1er octobre 2024, elle crée des droits pour les consommateurs du Montana et impose des obligations aux entreprises concernées. Le Montana a ensuite modifié cette loi, les principaux changements prenant effet le 1er octobre 2025.

Les consommateurs du Montana ont généralement le droit de savoir si leurs données à caractère personnel font l'objet d'un traitement, d'y accéder, de faire rectifier les données inexactes, d'en demander l'effacement, d'en obtenir une copie, de s'opposer à la publicité ciblée, de s'opposer à la vente de leurs données et de s'opposer au profilage servant à certaines décisions automatisées.

Le MCDPA n'exige pas le consentement pour tous les types de traitement de données à caractère personnel. Le consentement est toutefois requis avant le traitement de certaines données sensibles. Des exigences de consentement supplémentaires s'appliquent à certains traitements concernant des mineurs.

Les données sensibles regroupent certaines catégories d'informations personnelles pouvant créer des risques accrus pour la vie privée : origine raciale ou ethnique, convictions religieuses, santé mentale ou physique, orientation sexuelle, nationalité ou statut migratoire, données génétiques ou biométriques utilisées à des fins d'identification, géolocalisation précise et données à caractère personnel des enfants.

Oui. Les consommateurs du Montana ont le droit de s'opposer au traitement de leurs données à caractère personnel à des fins de publicité ciblée.

Oui. Les consommateurs ont le droit de s'opposer à la vente de leurs données à caractère personnel.

Oui. Les consommateurs peuvent s'opposer au profilage servant à des décisions produisant à leur égard des effets juridiques ou des effets significatifs similaires.

Les organisations doivent évaluer les signaux d'opt-out universel au regard du MCDPA et des exigences des autres lois d'États applicables. Le cadre de confidentialité du Montana ne doit pas être assimilé à celui de la Californie ni à celui d'autres États prévoyant des exigences explicites d'opt-out universel.

Le MCDPA encadre le traitement des données à caractère personnel plutôt que les cookies en tant que technologie isolée. Les cookies, pixels, balises publicitaires, SDK et autres technologies de suivi peuvent néanmoins collecter ou traiter des données à caractère personnel ou alimenter la publicité ciblée. C'est pourquoi la découverte des traceurs, la gestion des préférences de confidentialité et l'application des choix des consommateurs constituent des volets importants d'un programme de conformité au MCDPA.

Oui. Les responsables du traitement doivent fournir aux consommateurs une information de confidentialité claire et raisonnablement accessible, expliquant les catégories et les finalités de traitement concernées ainsi que les droits applicables.

Oui. Les responsables du traitement doivent réaliser des analyses de protection des données pour certains traitements présentant des risques accrus pour les consommateurs, notamment la publicité ciblée, le profilage, la vente de données à caractère personnel et le traitement de données sensibles.

Les responsables du traitement doivent généralement répondre à une demande dans les 45 jours suivant sa réception. Ce délai peut en principe être prolongé de 45 jours supplémentaires lorsque cela est raisonnablement nécessaire, sous réserve des exigences applicables.

Oui. Les consommateurs ont le droit de contester le refus d'un responsable du traitement de donner suite à une demande d'exercice de leurs droits.

Oui. Le MCDPA modifié renforce considérablement la protection des mineurs. Est généralement considérée comme mineure toute personne de moins de 18 ans, les enfants de moins de 13 ans bénéficiant de protections supplémentaires. Les entreprises qui savent ou devraient raisonnablement savoir qu'elles traitent les données à caractère personnel de mineurs doivent faire preuve d'une diligence raisonnable pour éviter les risques accrus de préjudice. Des exigences de consentement supplémentaires peuvent s'appliquer au traitement des données d'un mineur à des fins de publicité ciblée, de vente, de certaines formes de profilage automatisé, de traitement de géolocalisation précise, de conservation prolongée et de certaines conceptions de système visant à accroître ou à entretenir sensiblement l'engagement d'un mineur.

L'applicabilité générale du MCDPA repose principalement sur le volume de données de consommateurs du Montana traitées ; pour les entreprises tirant plus de 25 % de leur chiffre d'affaires de la vente de données à caractère personnel, un seuil de consommateurs plus bas s'applique. Dans sa version actuelle, la loi retient des seuils généraux de 25 000 consommateurs, ou de 15 000 consommateurs lorsque plus de 25 % du chiffre d'affaires brut provient de la vente de données à caractère personnel.

Le procureur général du Montana est compétent pour faire appliquer le MCDPA. L'Office of Consumer Protection du Montana met à disposition des informations et des ressources sur la protection de la vie privée des consommateurs de l'État.

ConsentX aide à opérationnaliser des contrôles de confidentialité essentiels : gestion du consentement, découverte des traceurs, blocage préalable des scripts, gestion des oppositions, flux de traitement des demandes de droits et preuves d'audit. Aucun logiciel ne peut toutefois garantir à lui seul la conformité juridique. Les organisations doivent évaluer l'ensemble de leur programme de confidentialité au regard du MCDPA et de toutes les autres lois applicables.