Conformité à l'Oregon Consumer Privacy Act avec ConsentX

L'Oregon Consumer Privacy Act (OCPA) est la loi générale de l'Oregon sur la vie privée des consommateurs. Entrée en vigueur le 1er juillet 2024, elle confère aux consommateurs de l'Oregon des droits sur leurs données à caractère personnel et impose des obligations aux entreprises concernées.

Les consommateurs de l'Oregon ont généralement le droit de savoir quelles données à caractère personnel un responsable du traitement a collectées, d'obtenir la confirmation que leurs données font l'objet d'un traitement, d'en obtenir une copie, de demander la rectification des données inexactes, d'en demander l'effacement, d'obtenir des informations sur certains tiers ayant reçu leurs données, de s'opposer à la publicité ciblée, de s'opposer à la vente de leurs données et de s'opposer au profilage produisant des effets juridiques ou des effets significatifs similaires. Le Department of Justice de l'Oregon résume ces droits dans son cadre L.O.C.K.E.D. : List, Opt-out, Copy, Know, Edit et Delete.

Pas pour tous les traitements de données à caractère personnel. Les responsables du traitement doivent toutefois recueillir le consentement avant de traiter des données sensibles. L'OCPA impose également un mécanisme efficace permettant aux consommateurs de révoquer leur consentement, ce mécanisme devant être au moins aussi simple à utiliser que celui par lequel le consentement a été donné.

Les données sensibles comprennent certaines informations révélant l'origine raciale ou ethnique, l'origine nationale, les convictions religieuses, l'état ou le diagnostic de santé mentale ou physique, l'orientation sexuelle, le statut transgenre ou non binaire, la qualité de victime d'infraction, la nationalité ou le statut migratoire, ainsi que les données génétiques ou biométriques, certaines données de localisation précise et les données à caractère personnel des enfants. Les données à caractère personnel des enfants de moins de 13 ans sont expressément traitées comme des données sensibles.

Oui. Les consommateurs de l'Oregon ont le droit de s'opposer au traitement de leurs données à caractère personnel à des fins de publicité ciblée.

Oui. Les consommateurs ont le droit de s'opposer à la vente de leurs données à caractère personnel. L'OCPA prévoit également des mécanismes permettant à un mandataire habilité d'exercer certains droits d'opposition pour le compte d'un consommateur.

Oui. Les consommateurs peuvent s'opposer au profilage lorsque celui-ci sert à des décisions produisant des effets juridiques ou des effets d'importance similaire.

L'OCPA impose aux responsables du traitement concernés de mettre à disposition un mécanisme permettant aux consommateurs ou à leurs mandataires de communiquer leurs préférences d'opposition au moyen de technologies ou de dispositifs éligibles. Ce mécanisme doit reposer sur un choix positif, volontaire et univoque, et non sur un réglage par défaut. Les organisations doivent examiner les exigences de l'Oregon en parallèle des exigences d'opt-out universel prévues par les autres lois d'États.

L'OCPA encadre le traitement des données à caractère personnel plutôt que les cookies en tant que technologie isolée. Les cookies, pixels, balises publicitaires, SDK et autres technologies de suivi peuvent néanmoins collecter ou traiter des données à caractère personnel ou alimenter la publicité ciblée. C'est pourquoi la découverte des traceurs, la gestion des préférences de confidentialité et l'application des choix des consommateurs constituent des volets importants d'un programme de conformité à l'OCPA.

Oui. Les responsables du traitement doivent fournir une information de confidentialité raisonnablement accessible, claire et utile, décrivant les catégories de données à caractère personnel traitées, les finalités du traitement, les droits applicables, les catégories de données partagées avec des tiers, les catégories de tiers concernées et les modalités de dépôt des demandes.

Oui. Les responsables du traitement doivent réaliser et documenter des analyses de protection des données pour les traitements présentant un risque accru de préjudice pour les consommateurs. Cela peut concerner la publicité ciblée, le traitement de données sensibles, la vente de données à caractère personnel et certaines activités de profilage.

Les responsables du traitement doivent généralement répondre sans retard injustifié et au plus tard 45 jours après réception de la demande. Ce délai peut en principe être prolongé de 45 jours supplémentaires lorsque cela est raisonnablement nécessaire, à condition d'en informer le consommateur dans le délai de réponse initial en lui indiquant le motif de la prolongation.

Oui. Les responsables du traitement doivent mettre en place une procédure permettant aux consommateurs de contester un refus de donner suite à leur demande. Le responsable du traitement doit en principe statuer sur le recours dans les 45 jours et, en cas de rejet, fournir les informations permettant au consommateur de saisir le procureur général de l'Oregon.

Oui. Les consommateurs peuvent désigner un mandataire habilité pour exercer certains droits d'opposition en leur nom. L'OCPA permet également d'exercer l'opposition via des mécanismes tels que des liens internet, des paramètres de navigateur, des extensions de navigateur, des réglages globaux de l'appareil ou toute autre technologie éligible.

Oui. L'OCPA prévoit des protections renforcées pour les données des enfants. Les données à caractère personnel des enfants de moins de 13 ans sont traitées comme des données sensibles, et la loi comporte en outre des protections supplémentaires pour les consommateurs de moins de 16 ans, notamment des restrictions concernant la publicité ciblée, le profilage et certaines ventes de données à caractère personnel.

L'OCPA est mis en œuvre par le procureur général de l'Oregon, par l'intermédiaire de l'Oregon Department of Justice. L'Oregon a publié des guides destinés aux consommateurs et aux entreprises expliquant la loi et son cadre d'application.

ConsentX aide à opérationnaliser des contrôles de confidentialité essentiels : gestion du consentement, découverte des traceurs, blocage préalable des scripts, gestion des oppositions, flux de traitement des demandes de droits et preuves d'audit. Aucun logiciel ne peut toutefois garantir à lui seul la conformité juridique. Les organisations doivent évaluer l'ensemble de leur programme de confidentialité au regard de l'OCPA et de toutes les autres lois applicables.