Conformité au Texas Data Privacy & Security Act avec ConsentX

Le Texas Data Privacy and Security Act (TDPSA) est la loi générale du Texas sur la vie privée des consommateurs. Elle encadre la collecte, l'utilisation, le traitement et la gestion des données à caractère personnel des consommateurs et est entrée en vigueur le 1er juillet 2024.

Les consommateurs du Texas ont généralement le droit d'obtenir la confirmation qu'un responsable du traitement traite leurs données à caractère personnel, d'y accéder, de faire rectifier les inexactitudes, de faire effacer les données qu'ils ont fournies ou qui ont été obtenues à leur sujet, d'en obtenir une copie portable, de s'opposer à la publicité ciblée, de s'opposer à la vente de leurs données et de s'opposer à certaines activités de profilage produisant des effets juridiques ou des effets significatifs similaires.

Le TDPSA n'exige pas le consentement pour tous les types de traitement de données à caractère personnel. Les responsables du traitement doivent toutefois recueillir le consentement avant de traiter des données sensibles, et des exigences supplémentaires peuvent s'appliquer dans certains cas.

Les données sensibles comprennent certaines informations révélant l'origine raciale ou ethnique, les convictions religieuses, l'état ou le diagnostic de santé mentale ou physique, la sexualité, la nationalité ou le statut migratoire, les données génétiques ou biométriques utilisées à des fins d'identification unique, les données à caractère personnel des enfants de moins de 13 ans et les données de géolocalisation précise.

Oui. Les consommateurs ont le droit de s'opposer au traitement de leurs données à caractère personnel à des fins de publicité ciblée.

Oui. Le TDPSA confère aux consommateurs le droit de s'opposer à la vente de leurs données à caractère personnel.

Oui. Les consommateurs peuvent s'opposer au profilage servant à des décisions produisant des effets juridiques ou des effets significatifs similaires.

Le TDPSA prévoit des mécanismes spécifiques permettant aux consommateurs d'exercer leurs droits d'opposition, notamment par l'intermédiaire de mandataires habilités et de technologies répondant aux exigences légales. Les organisations doivent évaluer leur mise en œuvre des signaux de confidentialité universels ou émis par le navigateur au regard des exigences des autres lois d'États applicables.

Le TDPSA encadre le traitement des données à caractère personnel plutôt que les cookies en tant que technologie isolée. Les cookies, pixels, balises publicitaires, SDK et autres technologies de suivi peuvent néanmoins traiter des données à caractère personnel ou alimenter la publicité ciblée. C'est pourquoi la découverte des traceurs et l'application des choix de confidentialité des consommateurs constituent un volet important d'un programme de conformité au TDPSA.

Oui. Les responsables du traitement doivent fournir une information de confidentialité claire et raisonnablement accessible, décrivant les catégories et finalités de traitement concernées, les communications à des tiers applicables et les modalités d'exercice des droits par les consommateurs.

Oui. Les responsables du traitement doivent réaliser et documenter des analyses de protection des données pour des traitements déterminés : publicité ciblée, vente de données à caractère personnel, certaines formes de profilage, traitement de données sensibles et autres traitements présentant un risque accru de préjudice pour les consommateurs.

Les responsables du traitement doivent généralement répondre aux demandes dans les 45 jours suivant leur réception. Ce délai peut être prolongé de 45 jours supplémentaires lorsque cela est raisonnablement nécessaire, sous réserve des exigences applicables.

En principe, les responsables du traitement doivent répondre gratuitement aux demandes des consommateurs au moins deux fois par an. Certains frais peuvent être admis pour les demandes manifestement infondées, excessives ou répétitives, dans les conditions prévues par la loi.

Oui. Le TDPSA prévoit des protections renforcées pour les données des enfants identifiés comme tels, notamment des exigences relatives au consentement parental. La loi traite en outre les données à caractère personnel d'un enfant de moins de 13 ans comme des données sensibles.

Le procureur général du Texas détient la compétence exclusive pour faire appliquer le TDPSA. La loi ne crée pas de droit d'action individuel en cas de violation.

ConsentX aide à opérationnaliser des contrôles de confidentialité essentiels : gestion du consentement, découverte des traceurs, blocage préalable des scripts, gestion des oppositions, flux de traitement des demandes de droits et preuves d'audit. Aucun logiciel ne peut toutefois garantir à lui seul la conformité juridique. Les organisations doivent évaluer l'ensemble de leur programme de confidentialité au regard du TDPSA et de toutes les autres lois applicables.