En bref
- Qu'est-ce que le CPA ? Le Colorado Privacy Act (CPA) est une loi d'État complète sur la protection de la vie privée (la troisième aux États-Unis, après la Californie et la Virginie) qui accorde aux résidents du Colorado des droits sur leurs données personnelles et impose un consentement opt-in pour les informations sensibles.
- À qui s'applique le CPA ? Le CPA s'applique aux entités (y compris les organisations à but non lucratif) exerçant des activités au Colorado ou ciblant des résidents du Colorado, qui traitent les données de plus de 100 000 consommateurs par an, ou qui tirent des revenus de la vente de données et traitent les données de plus de 25 000 consommateurs. Il n'existe pas de seuil de chiffre d'affaires.
- En quoi le CPA se distingue-t-il des autres lois d'État ? Le Colorado a été le premier État à exiger des entreprises qu'elles respectent les mécanismes universels d'opt-out comme le Global Privacy Control. Il ancre également les évaluations de protection des données dans la loi et applique des normes de consentement de type RGPD qui rejettent les pratiques de consentement douteuses.
- Pourquoi le côté client est-il important pour le CPA ? Au titre du CPA, la conformité aux opt-outs et le traitement des données sensibles sont des priorités d'application. Les scripts tiers qui s'exécutent sur votre site web constituent un risque pour la vie privée et la sécurité pouvant entraîner une non-conformité au CPA.
- Pourquoi le CPA est-il important pour les entreprises ? Les entreprises éligibles au Colorado Privacy Act qui ne respectent pas ses exigences s'exposent à des pénalités financières pouvant atteindre 20 000 dollars ou à des poursuites judiciaires de la part des régulateurs. Le CPA reflète une évolution des consommateurs vers une plus grande valorisation de la vie privée. Ignorer cette attente risque de faire perdre la fidélité et la confiance des consommateurs.
Le Colorado n'a pas attendu de voir comment la réglementation sur la vie privée évoluerait ailleurs. En juillet 2021, l'État est devenu le troisième aux États-Unis à adopter une loi complète sur la protection de la vie privée. Et sur certains points, il est allé plus loin que la Californie ou la Virginie.
La loi oblige les entreprises à reconnaître les signaux universels d'opt-out, une première parmi les États américains au moment de son adoption. Elle exige un consentement de type RGPD qui interdit explicitement les dark patterns. Et contrairement à la plupart des lois d'État sur la vie privée, elle couvre les organisations à but non lucratif.
Ces exigences créent un défi pour les opérateurs de sites web : avoir une visibilité sur la manière dont les données sont traitées lorsque les utilisateurs visitent votre site.
Les scripts tiers, les pixels de suivi et les outils d'analyse fonctionnent en dehors de votre contrôle. Pourtant, au titre du CPA, vous restez responsable de ce qu'ils collectent et du respect des demandes d'opt-out.
Ce guide couvre les personnes auxquelles le CPA s'applique, ce qu'il exige, ainsi que la place et le rôle de la visibilité côté client dans la conformité.
Qu'est-ce que le Colorado Privacy Act ?
Le Colorado Privacy Act [SB 21-190] établit des droits à la vie privée pour les résidents du Colorado et des obligations correspondantes pour les entreprises qui collectent leurs données. Le gouverneur Jared Polis l'a promulgué le 7 juillet 2021, bien que la plupart des dispositions soient entrées en vigueur le 1er juillet 2023.
La loi accorde aux consommateurs cinq droits principaux :
- Accès - Confirmer si une entreprise détient leurs données et en obtenir une copie
- Rectification - Corriger les données personnelles inexactes
- Suppression - Demander la suppression de leurs données personnelles
- Portabilité - Recevoir leurs données dans un format utilisable
- Opt-out - Refuser la publicité ciblée, la vente de données et certains types de profilage
Comme tous les autres cadres de protection de la vie privée, le CPA attend des entreprises qu'elles fassent preuve de transparence, de minimisation des données, de limitation des finalités et de sécurité dans le traitement des données personnelles. Cela inclut l'affichage d'avis de confidentialité clairs, l'obtention d'un consentement valide avant le traitement de données sensibles, la réalisation d'évaluations des risques pour le traitement de données sensibles, et le respect des demandes d'opt-out, notamment celles provenant de signaux universels du navigateur.
Les violations peuvent être sanctionnées au titre des pratiques commerciales trompeuses en vertu du droit du Colorado. Les pénalités peuvent atteindre 20 000 dollars par violation, et bien davantage si l'affaire comprend une série de violations.
Comment savoir si le CPA s'applique à mon organisation ?
Le CPA s'applique à toute entité (à but lucratif ou non lucratif) qui remplit les deux conditions suivantes :
1) Lien avec le Colorado
Vous exercez des activités au Colorado ou vous produisez ou fournissez des produits ou services commerciaux intentionnellement ciblés sur les résidents du Colorado.
2) Seuil de volume de données (l'un ou l'autre suffit)
- Vous traitez les données personnelles de 100 000 consommateurs du Colorado ou plus par an
- Vous percevez des revenus (ou bénéficiez de remises) de la vente de données personnelles et traitez les données de 25 000 consommateurs ou plus
Quelques points à noter :
- Il n'existe pas de seuil de chiffre d'affaires. Contrairement au CCPA californien, qui exempte les entreprises dont le chiffre d'affaires annuel est inférieur à 25 millions de dollars, le CPA ne prévoit pas un tel plancher. Une petite entreprise traitant suffisamment de données de consommateurs entre dans son champ d'application.
- Les organisations à but non lucratif sont couvertes. La plupart des lois d'État sur la vie privée exemptent les organisations à but non lucratif ; le Colorado ne le fait pas.
- La notion de consommateur est définie de manière restrictive. Le CPA protège les résidents du Colorado agissant à titre personnel ou dans un cadre domestique ; il ne couvre pas les employés, les candidats à l'emploi ou les contacts B2B.
Exemptions au CPA
- Les agences gouvernementales ou les établissements d'enseignement supérieur comme les universités
- Les entités déjà réglementées par le GLBA (institutions financières), le HIPAA (secteur de la santé) ou le Fair Credit Reporting Act
- Les transporteurs aériens soumis à la réglementation de la FAA
- Les données déjà régies par le COPPA, le FERPA ou certaines protections fédérales de la recherche
Les exemptions s'appliquent au niveau des données si votre organisation traite des données relevant de plusieurs régimes réglementaires. Vous pouvez tout de même avoir des obligations au titre du CPA pour les données de consommateurs qui ne sont pas couvertes par d'autres cadres réglementaires.
Quelles sont les principales exigences du CPA ?
1. Des avis de confidentialité clairs et informatifs
Le CPA exige un avis de confidentialité « raisonnablement accessible, clair et significatif ». Un langage générique ne suffira pas.
Votre avis doit inclure :
- Les catégories de données personnelles que vous collectez
- Les finalités du traitement
- La manière dont les consommateurs peuvent exercer leurs droits (et contester les refus)
- Les catégories de données partagées avec des tiers
- L'identité de ces tiers, par catégorie
Vous devez indiquer clairement si vous vendez des données ou les utilisez à des fins de publicité ciblée, et expliquer comment les consommateurs peuvent s'y opposer.
2. Consentement explicite pour la collecte de données sensibles
Avant de traiter des données sensibles, vous devez obtenir un consentement opt-in. Le CPA considère les données comme « sensibles » si elles révèlent :
- L'origine raciale ou ethnique,
- Les convictions religieuses,
- Les conditions de santé mentale ou physique,
- La vie sexuelle ou l'orientation sexuelle,
- Le statut de citoyenneté ou d'immigration,
- Les données génétiques,
- Les identifiants biométriques à des fins d'identification, et
- Les données d'enfants de moins de 13 ans.
Le consentement au titre du CPA doit être « librement donné, spécifique, éclairé et non ambigu ». Ce langage est emprunté au RGPD.
L'acceptation des conditions générales d'utilisation ne constitue pas un consentement. Il en va de même pour le survol, la mise en sourdine ou la fermeture d'un contenu.
C'est plus strict que la plupart des lois d'État américaines. Au titre du CPA, les cases pré-cochées, les interfaces confuses ou les divulgations enfouies ne constituent pas une base légale pour le traitement d'informations sensibles.
3. Systèmes universels d'opt-out
Depuis le 1er juillet 2024, les responsables du traitement doivent respecter les signaux universels d'opt-out comme le Global Privacy Control (GPC).
Lorsque le navigateur d'un utilisateur envoie un signal GPC, vous devez le traiter comme une demande d'opt-out valide pour la publicité ciblée ou la vente de données personnelles.
Le Département de la Justice du Colorado tient à jour une liste des mécanismes d'opt-out reconnus. Les entreprises sont tenues d'expliquer dans leur avis de confidentialité comment elles traitent ces signaux.
4. Évaluations de protection des données
Vous devez réaliser et documenter une évaluation de protection des données pour les activités de traitement considérées comme à haut risque. L'évaluation doit être effectuée avant le début de tout traitement.
L'évaluation doit mettre en balance les avantages et les préjudices potentiels, et documenter les mesures de protection en place. Ces documents doivent être conservés et peuvent être demandés par le procureur général dans le cadre d'une enquête.
5. Contrats avec les sous-traitants
La plupart des sites web modernes font appel à des fournisseurs (sous-traitants) pour traiter les données personnelles. Il s'agit notamment de chatbots, d'outils d'analyse, d'outils publicitaires et même de bibliothèques de développement que les développeurs ajoutent à un site web. Pour ces sous-traitants, vous avez besoin de contrats écrits précisant :
- La nature et la finalité du traitement
- Le type de données concernées
- La durée du traitement
- Les obligations en matière de confidentialité, de sécurité et de gestion des sous-traitants ultérieurs
La plupart des outils web (Meta, Google Analytics, Cloudflare) proposent des « DPA » ou accords de traitement des données standardisés auxquels vous pouvez accéder sans avoir à créer de contrats individuels. Il vous incombe néanmoins de vérifier que ces outils se comportent réellement comme ils le prétendent, ce qui n'est pas toujours le cas en raison d'injections de code malveillant ou de mauvaises configurations.
Le côté client est une surface de risque moderne pour le CPA
Le côté client constitue une surface de risque principale pour les violations du Colorado Privacy Act (CPA), car la majeure partie de la collecte de données personnelles s'effectue désormais directement dans le navigateur de l'utilisateur, hors de portée des logiciels traditionnels de gestion de la vie privée.
Les scripts tiers représentent un risque de conformité au CPA en matière de vie privée :
Au titre du CPA, vous êtes le responsable du traitement pour les scripts présents sur votre site. Cela vous rend responsable de tous les outils que vous ajoutez à votre site web. Vous êtes censé démontrer que vous comprenez et contrôlez la manière dont ces scripts interagissent avec les données personnelles.
- Les sites web modernes servent plusieurs scripts tiers à leurs utilisateurs : chatbots, outils d'analyse, bibliothèques de développement qui se chargent dans les navigateurs, et bien d'autres.
- Ces scripts s'exécutent généralement sans aucun examen de confidentialité ou de sécurité, collectant des adresses IP, des identifiants, des saisies de formulaires ou des signaux comportementaux qui constituent des données personnelles.
- Au titre du CPA, l'organisation est le « responsable du traitement » parce qu'elle décide d'utiliser ces scripts et en tire profit.
- Si des scripts collectent des données au-delà de ce qui est divulgué dans l'avis de confidentialité, votre organisation viole les règles de limitation des finalités et de transparence du CPA, y compris en matière de « publicité ciblée » ou de « vente de données » non intentionnelles.
Les attaques côté client constituent un risque de violation de données au titre du CPA
- Les attaques côté client (comme Magecart ou l'injection de code JavaScript) menacent directement la conformité au CPA en volant des données personnelles.
- Le CPA exige explicitement des « pratiques raisonnables de sécurité des données sur les plans administratif, technique et physique ». Ne pas surveiller le côté client revient à ne pas respecter cette exigence légale.
- Des amendes importantes pour violation de la vie privée, comme l'amende RGPD de 20 millions de livres sterling infligée à British Airways, ont été prononcées à la suite d'une violation de données sur un site web.
- La sécurité de vos serveurs, le chiffrement et les contrôles d'accès internes ne vous protègent pas contre les attaques côté client. Ce vecteur d'attaque consiste à injecter du code sur votre site web pour exfiltrer des données vers des serveurs d'attaquants, sans que les outils de sécurité traditionnels ne le détectent.
Les bannières de cookies suffisent-elles pour la conformité au Colorado Privacy Act ?
Non. Les bannières constituent un élément important de la conformité à la vie privée sur les sites web, mais elles ne satisfont pas à elles seules toutes les exigences. Les bannières de cookies ne surveillent pas le comportement des scripts tiers au moment de l'exécution et ont des capacités d'application limitées. De plus, les outils de gestion du consentement n'ont pas été conçus pour se défendre contre les attaques côté client ni pour servir de mesures de protection technique contre les violations de données.
Où les manquements à la conformité au CPA se produisent-ils généralement ?
Ignorer les opt-outs basés sur le navigateur
Le manquement le plus courant dans les cadres de protection de la vie privée comme le CPA survient lorsque les sites web proposent des options d'opt-out mais ne cessent pas réellement la collecte de données lorsque ces options sont exercées.
Cela est plus susceptible de se produire en raison d'une mauvaise configuration technique que d'une intention malveillante de la part du propriétaire du site.
Lorsqu'un utilisateur active le GPC, votre bannière de cookies peut le détecter et l'enregistrer, mais vos pixels publicitaires et vos scripts tiers continuent de fonctionner car ils n'ont pas été configurés pour respecter le signal.
Cela constitue une violation au titre du CPA.
Un exemple à considérer est le règlement de 1,2 million de dollars avec Sephora en Californie en 2022, qui portait précisément sur ce problème. C'était au titre du CPRA (une loi californienne différente), mais les attentes juridiques sous-jacentes sont les mêmes. Sephora indiquait aux utilisateurs qu'ils pouvaient s'opposer à la vente de leurs données, mais continuait à partager ces données avec des partenaires publicitaires. Le Colorado applique le même principe.
Fuite de données sensibles via des scripts
Les informations de santé, les données de localisation et d'autres catégories sensibles se retrouvent souvent là où elles ne devraient pas. Pas parce que quelqu'un les a intentionnellement partagées, mais souvent parce qu'un pixel de suivi a capturé des saisies de formulaires ou qu'un script tiers a accédé à du contenu de page auquel il n'était pas censé avoir accès.
Les actions de la FTC contre GoodRx et BetterHelp illustrent ce schéma. Les deux entreprises utilisaient des pixels publicitaires standard sur leurs plateformes, mais ces pixels capturaient des informations liées à la santé et les transmettaient à des réseaux publicitaires. Aucune des deux entreprises n'avait l'intention de le faire, mais toutes deux ont fait l'objet de mesures coercitives et de pénalités importantes.
Au titre du CPA, le traitement de données sensibles sans consentement constitue une violation, quelle que soit l'intention. Vous êtes responsable si des scripts sur votre site capturent des informations sensibles.
Des avis de confidentialité incomplets ou trompeurs
Vous ne voulez pas que votre avis de confidentialité indique que vous ne collectez des données qu'à des fins d'analyse nécessaires, tandis que votre gestionnaire de balises charge des dizaines de scripts qui suivent les utilisateurs sur le web.
Ce décalage crée deux problèmes :
- Votre avis ne décrit pas fidèlement vos pratiques en matière de données (violation de la transparence)
- Vous pouvez traiter des données à des fins auxquelles les consommateurs n'ont jamais consenti (violation de la limitation des finalités)
Le CPA exige que vos divulgations correspondent à la réalité. La plupart des équipes web ne savent pas quels scripts tiers ont accès aux données ni comment ils se comportent en coulisses.
Les scripts tiers modifient fréquemment leur comportement au fur et à mesure que les fournisseurs mettent à jour leur code. Malheureusement, vous ne voyez pas ces changements directement. Le périmètre du traitement des données sur votre site web peut évoluer, rendant vos divulgations de confidentialité inexactes sans que votre équipe ne s'en aperçoive.
Ressources officielles sur le CPA et liens gouvernementaux
- Procureur général du Colorado - Page principale sur le CPA - Vue d'ensemble, FAQ, lettres d'application et mécanismes universels d'opt-out reconnus
- Colorado Revised Statutes § 6-1-1301 et seq. - Texte législatif complet
- Règles CPA (4 CCR 904-3) - Réglementations d'application avec spécifications techniques
Liste des mécanismes universels d'opt-out - Mécanismes reconnus que les responsables du traitement doivent respecter
Comment cside aide les organisations à se conformer au Colorado Privacy Act
cside Privacy Watch surveille une surface de risque que les logiciels traditionnels de gestion de la vie privée ne couvrent pas : ce qui s'exécute réellement dans le navigateur de l'utilisateur. La collecte de données par des fournisseurs tiers est étroitement surveillée et votre équipe est alertée dès qu'un changement susceptible d'entraîner une violation de la vie privée ou une exposition à une violation de données se produit.
Supervision des outils tiers
De nombreux manquements à la conformité trouvent leur origine chez des fournisseurs tiers. cside valide que les scripts tiers se comportent comme prévu dans le cadre de vos attentes en matière de confidentialité.
Visibilité sur la collecte de données du site web
- cside offre une vue claire des scripts qui s'exécutent sur votre site web, des données auxquelles ils accèdent et de la destination de ces données. Cela aide les équipes à maintenir des registres précis de la collecte de données et à soutenir des divulgations de confidentialité claires et à jour.
Minimisation des données et limitation des finalités
- Au fil du temps, les outils tiers peuvent commencer à collecter plus de données que prévu initialement. Le code des fournisseurs est mis à jour sans que votre équipe ne le remarque. cside détecte ces changements, vous permettant d'identifier les collectes de données inutiles.
Preuve de mesures de sécurité raisonnables
- Le CPA exige que les organisations mettent en œuvre des mesures raisonnables pour protéger les données personnelles. cside surveille les comportements suspects des scripts, les modifications non autorisées et les schémas d'exfiltration de données pour prévenir les fuites de données résultant d'attaques côté client.
Préparation de la documentation assistée par IA
- cside conserve des enregistrements détaillés de l'activité des scripts, des modifications de configuration et du comportement de traitement des données. L'IA est utilisée pour réduire la documentation manuelle des équipes de conformité en mettant en forme ces données dans des formats propres à chaque réglementation.
Vous pouvez commencer avec notre offre gratuite ou réserver une démonstration pour voir comment la visibilité côté client soutient votre programme de conformité au CPA.
Comment cside aide les organisations à se conformer au Colorado Privacy Act
cside Privacy Watch surveille une surface de risque que les logiciels traditionnels de gestion de la vie privée ne couvrent pas : ce qui s'exécute réellement dans le navigateur de l'utilisateur. La collecte de données par des fournisseurs tiers est étroitement surveillée et votre équipe est alertée dès qu'un changement susceptible d'entraîner une violation de la vie privée ou une exposition à une violation de données se produit.
Supervision des outils tiers
- De nombreux manquements à la conformité trouvent leur origine chez des fournisseurs tiers. cside valide que les scripts tiers se comportent comme prévu dans le cadre de vos attentes en matière de confidentialité.
Visibilité sur la collecte de données du site web
- cside offre une vue claire des scripts qui s'exécutent sur votre site web, des données auxquelles ils accèdent et de la destination de ces données. Cela aide les équipes à maintenir des registres précis de la collecte de données et à soutenir des divulgations de confidentialité claires et à jour.
Minimisation des données et limitation des finalités
- Au fil du temps, les outils tiers peuvent commencer à collecter plus de données que prévu initialement. Le code des fournisseurs est mis à jour sans que votre équipe ne le remarque. cside détecte ces changements, vous permettant d'identifier les collectes de données inutiles.
Preuve de mesures de sécurité raisonnables
- Le CPA exige que les organisations mettent en œuvre des mesures raisonnables pour protéger les données personnelles. cside surveille les comportements suspects des scripts, les modifications non autorisées et les schémas d'exfiltration de données pour prévenir les fuites de données résultant d'attaques côté client.
Préparation de la documentation assistée par IA
- cside conserve des enregistrements détaillés de l'activité des scripts, des modifications de configuration et du comportement de traitement des données. L'IA est utilisée pour réduire la documentation manuelle des équipes de conformité en mettant en forme ces données dans des formats propres à chaque réglementation.
Conformité automatisée à la vie privée des sites web avec cside
Vous pouvez commencer avec notre offre gratuite ou réserver une démonstration pour voir comment la visibilité côté client soutient votre programme de conformité au CPA.
