Expertises des Systèmes d'information - Février 2020 - N°454 - Le mensuel du droit de l'informatique et du multimédia - 66

D

O

C

T

R

I

N

E

DONNÉES PERSONNELLES

Le California Consumer Privacy
Act : beaucoup de bruit pour rien ?
En Californie, une loi sur la protection des données
personnelles vient d'entrer en vigueur. Souvent
comparée au RGPD, cette loi est en fait d'une portée
bien plus limitée, aussi bien dans son champ
d'application que dans les droits qu'elle confère aux
consommateurs californiens et dans les obligations
qu'elle impose aux entreprises dans cet État.

L

es traditionnels vœux
de nouvel an ont été
accompagnés, cette année,
dans de nombreuses boîtes
e-mail, de notices d'information
concernant le traitement de
leurs données personnelles par
des sociétés californiennes. En
effet, le California Consumer
Privacy Act ( (« CCPA »), adopté le
28 juin 2018, est entré en vigueur
le 1er janvier 2020. Cette loi est
souvent présentée comme le
pendant californien du RGPD,
et ses dispositions concernant
l'information et les droits de
consommateurs s'en rapprochent
effectivement. Cependant, elle est
d'une portée extrêmement limitée
et les obligations qu'elle impose
aux entreprises californiennes
semblent dérisoires comparées à
l'approche globale adoptée par le
RGPD et sa mesure emblématique,
le privacy by design.

Une compétence
matérielle et territoriale
beaucoup plus restreinte
que le RGPD
Comme son nom l'indique, le
CCPA ne traite que des données
personnelles des consommateurs
résidant en Californie collectées
par des entreprises dans le cadre de
leurs activités professionnelles. Bien
que la protection de la vie privée
soit inscrite dans la constitution
californienne, le CCPA n'est donc

66

qu'une législation sectorielle et
non un texte cherchant à mettre
en œuvre de façon générale des
principes fondamentaux du droit.
Son application est d'autant
plus restreinte que le législateur
californien a fait le choix d'en
exempter les entreprises de petite et
moyenne taille, et qu'il ne concerne
donc que les entreprises ayant une
activité commerciale en Californie
et :
■	 ayant un chiffre d'affaires
supérieur à vingt-cinq millions
de dollars (25.000.000 US$) ;
■	 achetant, recevant à des fins
commerciales,
vendant
ou
partageant à des fins commerciales, seules ou avec des tiers,
les informations personnelles de
plus de 50.000 consommateurs ;
ou
■	 générant plus de cinquante pour
cent de ses revenus annuels de la
vente de données personnelles
des consommateurs1.
Cette présence d'un seuil de chiffre
d'affaires à partir duquel les obligations du CCPA sont applicables,
associée à une exception pour les
sociétés dont l'activité concerne
spécifiquement la collecte et le
traitement des données personnelles semble très pragmatique.
Comme l'exprimait le Professeur
Frisson-Roche récemment dans
ces colonnes2, on regrette que
le RGPD, dont les coûts de mise
EXPERTISES Février 2020

en œuvre sont bien plus élevés, n'ait
pas adopté une approche similaire
et ne permette qu'une exemption
très partielle pour les PME (absence
d'obligation de tenir un registre
pour les sociétés de moins de 250
employés), qui est de plus d'un
intérêt assez limité.
La notion de résident californien
est définie par référence à sa
définition fiscale dans le California
Code Of Regulation3 comme toute
personne présente dans l'État pour
tout objet autre que temporaire
ou transitoire et toute personne
domiciliée dans l'État se trouvant
hors de l'État pour une raison
temporaire ou transitoire. Tous
les résidents  européens qui ont
reçu une notice CCPA dans leurs
boîtes mail ont donc été victimes
des politiques d'envoi généralisé
de ces notices alors qu'ils n'étaient
pas concernés par l'application
du CCPA (et donc d'un traitement
de données dont la conformité au
RGPD semble plus que douteuse...).
Ce choix des personnes concernées comme critère de l'application territoriale constitue une
différence majeure avec le RGPD
qui utilise à titre principal, pour
établir sa compétence, l'existence
d'un établissement du responsable
de traitements ou du sous-traitant dans l'Union  européenne
puis, à titre subsidiaire, l'existence
Expertises des Systèmes d'information - Février 2020 - N°454 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Février 2020 - N°454 - Le mensuel du droit de l'informatique et du multimédia
