La Californie oblige 500 courtiers de données à effacer vos profils

Les 215 000 Californiens qui avaient déjà déposé une demande d’effacement via la plateforme DROP de l’État ont obtenu une nouveauté au 1er août : les entreprises qui détiennent leurs données sont désormais légalement tenues d’agir. À compter de cette date, chaque courtier en données enregistré en Californie doit récupérer les demandes d’effacement en attente et les traiter — une première aux États-Unis où un État centralise cette exigence sur l’ensemble d’un secteur simultanément.

La plateforme fonctionne comme une chambre de compensation entre les consommateurs et un monde que la plupart des gens ne voient jamais. Les résidents se rendent sur drop.privacy.ca.gov, vérifient leur identité via le portail d’État californien ou login.gov, et fournissent leur nom, adresse e-mail, numéro de téléphone et code postal. En option, ils peuvent inclure leur identifiant publicitaire mobile — le marqueur persistant lié à leur téléphone — ainsi que leur numéro d’identification du véhicule. Une seule soumission envoie une demande d’effacement à tous les courtiers enregistrés en même temps. Auparavant, les consommateurs devaient contacter chaque entreprise individuellement ; certains courtiers avaient dissimulé leurs formulaires de désinscription aux moteurs de recherche, rendant la délibérément difficile.

Les entreprises couvertes par la loi ne sont pas des noms connus du grand public. Les courtiers en données sont ces sociétés qui agrègent les historiques d’achat, construisent des profils démographiques et psychographiques pour les annonceurs, et revendent les schémas de localisation issus des téléphones portables, des téléviseurs connectés et des véhicules connectés. Des sociétés comme Acxiom, LexisNexis, Spokeo et BeenVerified opèrent dans ce secteur. De même que les plateformes adtech et les vendeurs de segments d’audience que la plupart des consommateurs n’ont jamais entendus — mais qui détiennent probablement des dossiers détaillés sur eux.

Lecture recommandéeUne décision de la Cour suprême sur les données menace 113 000 caméras de surveillance policière

La structure des pénalités est conçue pour créer un coût réel en cas de non-conformité : 200 dollars par demande d’effacement ignorée, par jour, jusqu’à ce que le courtier agisse. Ce montant peut rapidement grimper pour une entreprise qui reçoit des centaines de demandes. L’agence californienne de protection de la vie privée a déjà infligé des amendes pour des défauts d’enregistrement de base — 42 000 dollars contre Datamasters, 62 000 dollars contre S&P Global — et prévoit d’intensifier les contrôles sur l’obligation d’effacement. Les amendes ne s’appliquent toutefois qu’aux courtiers enregistrés : toute entreprise opérant sans s’être enregistrée n’apparaît jamais dans le système DROP et n’est soumise à aucune obligation automatique d’effacement dans le cadre actuel.

Le calendrier de mise en conformité est plus lent que ce que les consommateurs pourraient espérer. Les courtiers doivent accéder au système DROP au moins une fois tous les 45 jours pour récupérer les nouvelles demandes, puis disposent de 45 jours supplémentaires pour traiter chacune d’elles — ce qui signifie qu’une demande d’effacement soumise aujourd’hui peut prendre jusqu’à trois mois pour aboutir. Les données qui réintègrent la base de données d’un courtier après effacement, achetées auprès d’un tiers, doivent également être supprimées en vertu des règles de blocage. Les entités de santé couvertes par HIPAA, les institutions financières régies par le GLBA et les entreprises soumises au Fair Credit Reporting Act sont toutes exemptées, ce qui exclut des pans entiers de l’écosystème des données concernant les dossiers médicaux et les fichiers de crédit.

La loi californienne est le premier mécanisme centralisé d’effacement de ce type aux États-Unis. Des législations similaires au niveau des États sont en cours d’examen dans plus d’une douzaine d’autres États. La prochaine étape pour la Californie elle-même arrive en 2028, lorsque la loi exigera que les courtiers en données enregistrés se soumettent à des audits de confidentialité indépendants — avec des résultats à remettre à l’agence de protection de la vie privée de l’État en 2029.

Étiquettes: California Delete Act, CalPrivacy, confidentialité des données, courtiers de données, données personnelles, loi sur la vie privée

Dans le même genre

Tout chatbot en Europe doit désormais se déclarer IA — ou son créateur paie 15 millions d’euros

L’évasion d’OpenAI a déclenché une loi d’urgence pour éteindre l’IA en neuf jours

L’agent Mac de Perplexity à 200 dollars par mois lit votre courrier et trie vos fichiers

Le luxe d’être humain : l’industrie musicale mise des milliards sur l’authenticité

New York gèle les mégadatacentres et oblige les prochains à produire leur propre énergie

Un balayage de 380 000 applis construites avec l’IA en trouve des milliers sans aucune authentification