Comment Startups peut assurer la conformité au CCPA en 2022

Pour tout startups basé en Californie ou vendant des produits/services à des personnes en Californie, il est vital que vous compreniez et respectiez la CCPA (California Consumer Privacy Act). 

Il s'agit d'une loi sur la confidentialité des données applicable à l'ensemble de l'État, qui réglemente la manière dont les entreprises du monde entier peuvent traiter les informations personnelles des résidents de Californie.

Première loi de ce type aux États-Unis, aucune start-up ne peut se permettre d'ignorer ce texte de loi. Cela étant dit, nous allons vous révéler ci-dessous tout ce que vous devez savoir sur la conformité au CCPA et sur la manière de la mettre en œuvre. 

Source de l'image

Qu'est-ce que la conformité au CCPA ?

Il n'y a qu'un seul endroit où commencer, et c'est en expliquant ce qu'est la conformité à la CCPA. La loi californienne sur la protection de la vie privée des consommateurs donne aux clients un plus grand contrôle sur les informations personnelles que les entreprises collectent à leur sujet. 

Cette loi historique confère aux consommateurs californiens les droits suivants en matière de protection de la vie privée :

• Le droit à la non-discrimination pour l'exercice de leurs droits en vertu de l'ACCP.
• Le droit de refuser que leurs informations personnelles soient vendues.
• le droit de supprimer les informations personnelles qui ont été recueillies auprès d'eux, à quelques exceptions près
• Le droit de savoir quelles données personnelles une entreprise collecte à leur sujet et comment elles sont utilisées et partagées. 
  

Vous verrez parfois les abréviations " ACCP " et " ACPR " utilisées de façon interchangeable. Cela s'explique par une mise à jour récente qui a vu l'ACPR remplacer l'ACCP. Le guide d'Osano sur l'ACPR est un bon endroit pour trouver plus d'informations à ce sujet.

La loi californienne sur la protection de la vie privée des consommateurs de 2018 a été remplacée par la loi californienne sur les droits à la vie privée de 2020. Certaines exigences sont restées les mêmes, tandis que d'autres ont été modifiées. 

Lorsque nous parlons de conformité au CCPA, nous entendons également la conformité aux règlements les plus récents de l'ACPR. Vous ne pouvez pas simplement choisir.

Source de l'image

Que couvre l'ACCP ?

L'ACCP offrant aux utilisateurs un plus grand contrôle sur leurs données, une grande partie de la réglementation porte sur la manière dont les entreprises recueillent et distribuent les informations privées collectées via leur site web et d'autres méthodes numériques.

Les utilisateurs contactent l'entreprise et demandent des informations sur l'utilisation et le stockage de leurs données, et les entreprises doivent répondre à certaines demandes. Cela inclut les demandes des utilisateurs pour les éléments suivants :

• Toutes les données qu'ils ont collectées et stockées
• Une liste des tiers qui ont accès aux données de la personne.
• La raison pour laquelle l'entreprise collecte les données de l'utilisateur et les vend.
• Chaque catégorie de source par laquelle les données sont collectées, par exemple, médicale, de contact, financière, etc.
  

En outre, les entreprises doivent prendre des mesures si l'utilisateur demande ce qui suit :

• Leurs données à porter
• être à l'abri de toute discrimination pour avoir demandé le contrôle de leurs données
• Empêcher la vente de leurs données
• demander la suppression de leurs données

Devez-vous vous conformer à la CCPA ?

Avant de vous présenter les différents moyens de vous mettre en conformité avec la CCPA, examinons qui doit se conformer à la CCPA afin que vous puissiez déterminer si cela concerne ou non votre entreprise.

Toute entreprise qui recueille des données sur des résidents californiens (même s'il ne s'agit que d'une seule personne !) doit s'assurer qu'elle est en conformité.

Les professionnels estiment que ces réglementations vont entraîner l'adoption de lois similaires dans d'autres États des États-Unis, garantissant ainsi aux utilisateurs un meilleur contrôle de leurs données. Ce n'est donc qu'un début lorsqu'il s'agit de la vie privée des utilisateurs. 

Si vous ne travaillez pas avec des données californiennes pour le moment, vous devriez tout de même suivre les détails relatifs à la CCPA afin de bien comprendre la réglementation et ce que l'on attendra de vous dans un avenir proche.

Voici d'autres indications montrant que vous devez respecter la réglementation de l'ACCP :

• Vous avez un revenu annuel brut d'au moins 25 millions de dollars.
• Vous recueillez des données à des fins commerciales sur un minimum de 50 000 clients.
• Au moins 50 % de vos revenus annuels proviennent de la vente de produits ou de services. 

‍

Source de l'image

Conseils sur la manière dont votre start-up peut se conformer à l'ACCP

Lorsqu'il est question de cybersécurité, la conformité à l'ACCP peut être compliquée et alambiquée. Cependant, il existe certaines étapes que vous pouvez suivre pour vous assurer que votre nouvelle entreprise ne tombe pas en infraction avec la loi en matière de sécurité des données.

1. Constituez une équipe ou désignez une personne capable de gérer la confidentialité des données - La première étape consiste à vous assurer que vous disposez d'une équipe ou d'une personne spécialisée dans le développement Web, capable de gérer toutes les normes de conformité de votre entreprise, y compris l'ACCP. Cette équipe doit s'assurer que les bonnes méthodes de cybersécurité sont mises en œuvre autour de la protection des données. Vous pouvez penser que cela coûtera beaucoup d'argent d'avoir une équipe ou un rôle dédié à la sécurité et à la conformité. Cependant, le coût de ne pas le faire serait beaucoup, beaucoup plus élevé.
2. Inventorier vos données pour découvrir ce qui doit être collecté et protégé - Une fois l'équipe en place, vous devez comprendre comment les données sont collectées et aussi comment elles circulent d'un système à l'autre. Établissez une feuille de route comme celle-ci afin de comprendre quelles données vous recueillez et quels contrôles de cybersécurité sont nécessaires. Si vous ne savez pas de quelles données vous disposez, vous ne serez pas en mesure de les protéger. 
3. Effectuerune évaluation des risques - Ensuite, il est important d'effectuer une évaluation des risques. Au cours de celle-ci, votre entreprise pourra découvrir quelles sont les données dont vous disposez et quels systèmes sont utilisés pour stocker ces données. Vous serez alors en mesure de générer différentes stratégies, qui incluent une infrastructure inconnue. Chaque entreprise est différente. Toutefois, en comprenant les risques liés à vos données, vous pouvez vous assurer que vous avez mis en place les meilleures dispositions pour éviter que les problèmes ne se manifestent à l'avenir. 
4. Développer des outils de protection des données et les mettre en œuvre efficacement - Vous pouvez soit utiliser un code personnalisé pour créer vos propres outils, soit recourir à des implémentations tierces. Cela dépend de la taille et de l'expérience de votre entreprise, ainsi que de vos ressources. Des contrôles d'accès à la cybersécurité avancée, il existe de nombreuses couches de protection que vous devriez utiliser pour vous assurer que les données sont protégées, comme ces meilleurs VPN sans logs.
5. Définir la gouvernance et les politiques relatives aux données - Ensuite, vous devez mettre en place des politiques de protection des données. Ces politiques doivent superviser la surveillance et l'atténuation des données des consommateurs, y compris la gestion des risques de la chaîne d'approvisionnement et l'accès des fournisseurs. 
6. Conservez une piste d'audit de toutes les procédures et politiques que vous utilisez pour la confidentialité des données - Enfin, n'ignorez pas l'importance des politiques et des pistes d'audit. Veillez à revoir régulièrement vos politiques, car le paysage des données évolue sans cesse. Identifiez les erreurs que vous avez commises ou les leçons que vous devez tirer afin de pouvoir apporter des améliorations à l'avenir. 

Existe-t-il des sanctions pour les entreprises qui n'adhèrent pas à l'ACCP ?

Oui, il y en a ! Vous ne vous en tirerez pas d'un revers de la main si vous ne respectez pas les règles de l'ACCP en vigueur. Après un audit, vous pouvez recevoir un avis indiquant que vos systèmes ne sont pas conformes. Si c'est le cas, vous aurez 30 jours pour corriger le problème. Si vous ne le faites pas, vous risquez de devoir payer une amende de 7 500 dollars pour chaque problème. 

En outre, pour chaque violation de données, les utilisateurs pourront demander 750 dollars de dommages et intérêts. Toutefois, ce n'est qu'un début. Vous devrez dépenser une somme considérable pour aller au fond du problème et le rectifier. 

Si cela ne suffisait pas, votre réputation pourrait finir en lambeaux. Les clients ne feront plus confiance à votre entreprise. La confiance met des années à se construire, mais il suffit de quelques secondes pour qu'elle soit ruinée. C'est une situation qu'aucune start-up ne peut se permettre, c'est pourquoi nous avons vu de nombreuses entreprises fermer définitivement leurs portes après une violation de données.

Saviez-vous que 60 % des petites entreprises ferment définitivement leurs portes dans les six mois qui suivent une cyberattaque ou une violation de données ?

Ne faites pas d'économies lorsqu'il s'agit de se conformer au CCPA

Nous espérons que ce guide vous a aidé à mieux comprendre la conformité au CCPA afin que vous puissiez vous assurer que votre start-up respecte les règles en vigueur. 

La confidentialité des utilisateurs et la sécurité des données ne sont pas des domaines dans lesquels une entreprise peut se permettre de prendre des raccourcis. Si votre entreprise n'était pas conforme, les amendes seules suffiraient à paralyser une petite entreprise et à la forcer à fermer ses portes. 

Cela étant dit, suivez les astuces et les conseils que nous avons fournis ci-dessus pour vous assurer que votre entreprise se conforme efficacement à l'ACCP.