Nouvelle loi sur la protection des données dans l'Oregon

Le 22 juin, le SB 619, l'Oregon Consumer Privacy Act (OCPA), a été adopté par les législateurs de Salem. Si elle est promulguée par le gouverneur Kotek, l'Oregon deviendra le onzième État américain (et le sixième en 2023) à adopter une législation complète sur la protection des données pour la collecte, l'utilisation et le traitement des données personnelles. Transmission relative aux données des consommateurs. La plupart des dispositions de l'OCPA entreront en vigueur le 1er juillet 2024 (à l'exception des organisations à but non lucratif, pour lesquelles la loi s'appliquera à compter du 1er juillet 2025).

Pour les entreprises situées dans l'Oregon ou celles qui exercent leurs activités dans cet État, la nouvelle loi sur la protection des données a plusieurs conséquences importantes. Voici les principales dispositions que les entreprises doivent prendre en compte :

1. un large champ d'application

Contrairement à de nombreuses autres lois nationales sur la protection des données, l'OCPA n'exclut pas automatiquement les entreprises qui se conforment déjà aux lois fédérales relatives à la Protection des données sont soumises à cette obligation. Il n'existe que des exceptions pour certaines données déjà régies par des lois telles que la loi sur la portabilité et la continuité de l'assurance maladie (Health Insurance Portability and Responsabilité éthique loi HIPAA et la loi Gramm-Leach-Bliley (GLBA). Par ailleurs, les organisations à but non lucratif ne constituent pas une exception au titre de l’OCPA, sauf dans le cas d’organisations qui “ détectent et préviennent la fraude en matière d’assurance ” ou qui sont classées comme “ établissements financiers ” en vertu de la législation de l’État.

2. élargi Définitions de données collectées

L'OCPA fait référence à “données à caractère personnel” et définit en outre une catégorie de “ données sensibles ” bénéficiant d’une protection particulière. La définition des “ données à caractère personnel ” dans l’OCPA est toutefois unique, car elle inclut explicitement les “ données dérivées ”, c’est-à-dire les conclusions tirées au sujet d’un client, ainsi que les données associées à un “ appareil ” et pouvant raisonnablement être attribuées à une ou plusieurs personnes d’un même “ foyer ”. Contrairement à des lois similaires, l’OCPA ne prévoit pas de définition spécifique ni d’exceptions pour les données pseudonymisées.

La définition des “ données sensibles ” dans la loi de l'Oregon est également plus large que dans d'autres États et inclut, entre autres, “ l'origine ”, “ l'identité de genre transgenre ou non binaire ” et “ le statut de victime d'un crime ”. En outre, l’OCPA donne une définition très large du terme “ données biométriques ” et inclut les informations permettant l’identification unique d’une personne. Il existe toutefois une exception pour la “ cartographie faciale ou la géométrie faciale ”, à condition que ces technologies ne soient pas utilisées pour identifier de manière unique une personne.

3. nouveaux droits des consommateurs

L'OCPA accorde aux consommateurs une série de droits qui sont désormais largement répandus, tels que le droit à la confirmation de la

Traitement des données, accès, Rectification, SuppressionLe droit à la portabilité des données à caractère personnel et le droit d'être informé du ciblage. Publicitéde s'opposer à la vente de données et à des décisions importantes en matière de profilage. Toutefois, un aspect intéressant de l'OCPA est le droit des consommateurs de demander une liste de "tiers spécifiques" auxquels une entreprise peut transférer des données personnelles. données à caractère personnel de la santé publique. Il s'agit d'un défi opérationnel similaire aux exigences définies dans les lois sur la protection des données dans le secteur de la santé récemment adoptées dans l'État de Washington et le Nevada. En outre, l'OCPA est la première loi globale sur la protection des données qui reconnaît explicitement le droit de Suppression de "données dérivées".

4. Des obligations plus strictes pour les responsables du traitement des données

L'OCPA définit pour concernés Les entreprises sont tenues de respecter un certain nombre d'obligations déjà prévues par d'autres lois sur la protection des données, telles que le maintien d'un niveau de protection adéquat. Sécurité des données, les exigences contractuelles pour les sous-traitants, la publication de déclarations de confidentialité et l'obtention de consentements pour la Traitement des données sensibles. Toutefois, les obligations prévues par l'OCPA sont un peu plus strictes que celles prévues par des lois comparables dans d'autres États. Par exemple, les responsables de données doivent fournir une déclaration explicite Consentement pour profiler les données des adolescents âgés de 13 à 15 ans en vue de prendre des décisions importantes. En outre, l'OCPA indique que les mécanismes de conception visant à porter atteinte au choix des consommateurs peuvent invalider le consentement des consommateurs conformément à la loi. Enfin, la loi stipule que les évaluations d'impact sur la vie privée doivent être conservées pendant une période de cinq ans. Seul le Colorado a fixé des périodes de conservation similaires dans ses dispositions d'application.

5. Utilisation et échange de données à des fins de recherche

L'OCPA prévoit des exceptions aux droits et obligations des consommateurs pour certaines utilisations des données à caractère personnel, telles que les opérations internes conformes aux attentes des consommateurs, la réponse aux demandes d'enquête émanant des autorités chargées de l'application de la loi et le maintien de la Sécurité des données. Contrairement à d’autres lois sur la protection des données, l’OCPA ne prévoit toutefois aucune exigence spécifique concernant l’utilisation des données à des fins de recherche. Tant que l’utilisation des données permettant d’identifier une personne est conforme à la législation en vigueur, les entreprises sont exemptées des droits et obligations des consommateurs prévus par la loi.

La nouvelle loi sur la protection des données de l'Oregon entraîne des changements et des défis pour les entreprises. Il est important que celles-ci, en particulier celles implantées dans l'Oregon ou celles qui y exercent des activités, examinent attentivement les dispositions de l'OCPA et prennent les mesures appropriées pour se conformer aux exigences de la loi et garantir la protection des données des consommateurs.