Les sites web s'appuient sur des dizaines de scripts, traceurs et outils tiers pour fonctionner. Beaucoup d'entre eux interagissent avec des données personnelles d'une manière que les équipes ne surveillent pas activement une fois déployés.
En vertu du New Jersey Data Privacy and Security Act (NJDPA), votre organisation est responsable de la façon dont vous collectez, partagez et protégez les données personnelles, même lorsque cette activité passe par des tiers dans le navigateur.
Si des données personnelles sont mal gérées, même sans intention de votre part, votre entreprise en est responsable, avec des amendes allant jusqu'à 10 000 $ pour la première violation et jusqu'à 20 000 $ pour les violations ultérieures.
Étant donné que l'absence d'intention ou de connaissance ne modifie pas cette obligation, voici un guide de conformité au NJDPA qui détaille les exigences courantes, les exemptions et tout ce qui s'y rattache.
En résumé
- Le NJDPA établit des règles sur la façon dont les organisations collectent, utilisent et sécurisent les données personnelles des résidents du New Jersey.
- Les consommateurs bénéficient de droits étendus pour accéder à leurs données personnelles, les corriger, les supprimer et les exporter, droits que les organisations doivent honorer dans un délai de 45 jours.
- La collecte de données sur les sites web et les scripts tiers constituent des angles morts majeurs où une activité non surveillée peut entraîner des manquements à la conformité.
- Les outils de surveillance continue côté client aident les organisations à minimiser la collecte de données sur leur site web et à protéger les données sensibles contre les attaques de skimming.
Le NJDPA s'applique-t-il à mon organisation ?
Oui, si vous traitez des données personnelles de résidents du New Jersey à une échelle significative.
Le New Jersey Data Privacy Act s'applique aux organisations qui :
- Exercent des activités commerciales dans le New Jersey
- Ciblent des résidents du New Jersey
- Contrôlent ou traitent leurs données personnelles
Il n'y a pas de seuil de chiffre d'affaires minimum. Une petite entreprise peut tomber sous le coup de la loi tout aussi facilement qu'une grande entreprise.
L'applicabilité dépend du volume de données, et non de la taille de l'entreprise. Votre organisation est concernée si elle atteint l'un de ces seuils au cours d'une année civile :
- Vous contrôlez ou traitez les données personnelles de 100 000 résidents du New Jersey ou plus, à l'exclusion des données traitées uniquement pour finaliser des transactions de paiement
- Vous contrôlez ou traitez les données personnelles de 25 000 résidents du New Jersey ou plus tout en tirant des revenus de la vente de données.
- Vous générez des revenus et autres avantages financiers de 25 % à 50 % provenant de la vente de données personnelles
La loi ne se limite pas aux marques grand public. Les entreprises SaaS, les plateformes B2B, les places de marché et les prestataires de services peuvent tous entrer dans son champ d'application s'ils atteignent les seuils de données.
Le NJDPA s'applique également aux organisations à but lucratif et à but non lucratif, ce qui est rare parmi les lois sur la protection de la vie privée aux États-Unis.
Exemptions du NJDPA
Le NJDPA ne s'applique pas à toutes les organisations ni à tous les types de données. Certaines entités sont entièrement exemptées, tandis que d'autres ne le sont que pour des ensembles de données spécifiques.
La loi ne s'applique pas :
- Aux organismes gouvernementaux étatiques et locaux
- Aux institutions financières et aux données couvertes par le Gramm-Leach-Bliley Act (GLBA)
- Aux entités couvertes et aux associés commerciaux réglementés par le HIPAA
- Aux compagnies d'assurance et aux données soumises à la réglementation en vertu des lois sur les assurances du New Jersey
Même si votre entreprise est par ailleurs concernée, le NJDPA ne s'applique pas aux données personnelles déjà réglementées par des lois fédérales, notamment :
- Les données de santé régies par le HIPAA
- Les données de crédit, d'emploi et de vérification des antécédents couvertes par le FCRA
- Les dossiers scolaires protégés par le FERPA
- Les données personnelles traitées en vertu du Driver's Privacy Protection Act (DPPA)
- Les données utilisées uniquement à des fins d'emploi et de ressources humaines
Qu'est-ce que le New Jersey Data Privacy and Security Act ?
Le New Jersey Data Privacy Act (NJDPA) est une loi d'État sur la protection de la vie privée qui réglemente la façon dont les entreprises collectent, utilisent, partagent et stockent les données personnelles des résidents du New Jersey. Il :
- Accorde aux résidents du New Jersey le droit d'accéder à leurs données personnelles, de les corriger, de les supprimer et d'en obtenir une copie
- Limite la façon dont les entreprises collectent et partagent les données personnelles, notamment à des fins publicitaires et de profilage
- Tient les organisations responsables en cas de violation
- Impose des pratiques raisonnables de sécurité des données pour réduire les abus et les expositions
Sanctions en cas de non-conformité au NJDPA
Le non-respect du NJDPA peut entraîner des amendes allant jusqu'à 10 000 $ pour la première violation et jusqu'à 20 000 $ pour les violations ultérieures. De plus, il donne aux consommateurs le droit d'intenter des poursuites pour les violations de données et le non-respect de la loi. Au-delà des sanctions juridiques, les atteintes à la réputation sont souvent les plus difficiles à surmonter.
Pourquoi le côté client est devenu une surface de risque pour la vie privée
Le côté client est devenu un risque pour les cadres de protection de la vie privée parce que les entreprises s'appuient sur des scripts tiers pour améliorer l'expérience utilisateur des sites web et recueillir des informations pour stimuler leur croissance. Les outils d'analyse, les pixels de suivi publicitaire, les chatbots et autres bibliothèques de développement s'exécutent dans le navigateur et peuvent accéder aux interactions des utilisateurs dès le chargement de la page.
Cette activité échappe aux contrôles côté serveur. Votre backend peut être bien surveillé, mais le code côté navigateur peut modifier son comportement, charger de nouvelles dépendances ou envoyer des données ailleurs sans notification.
JavaScript est conçu pour être dynamique. Les fournisseurs peuvent mettre à jour les scripts, ajouter de nouveaux points de terminaison et étendre la collecte de données sans avertissement clair.
Les scripts tiers comme risque de conformité au NJDPA
Les scripts tiers collectent et envoient souvent des données personnelles de manière discrète. Lors du chargement d'une page, un script peut lire les URL, les cookies, les champs de formulaire et les actions des utilisateurs.
La divulgation et le consentement se désynchronisent souvent, même sans intention de votre part. Votre politique de confidentialité peut couvrir certains outils, mais les scripts peuvent se comporter différemment en pratique. Une bannière de cookies peut apparaître après que la collecte de données a déjà commencé. Lorsque les déclarations et le comportement réel ne correspondent pas, la conformité s'envole.
Les attaques côté client comme risque de violation de données au titre du NJDPA
Les scripts malveillants et les outils tiers compromis peuvent enregistrer les frappes au clavier, les saisies dans les formulaires, les cookies, les jetons de session et l'activité de navigation. Les attaquants peuvent injecter du code dans vos pages et exploiter les vulnérabilités des scripts auxquels vous faites confiance.
Les défaillances de sécurité se recoupent souvent avec les violations de la vie privée au titre du NJDPA, comme :
- Les saisies de formulaires volées ou les données personnelles collectées sans consentement
- Les cookies et données de session divulgués qui révèlent l'identité des utilisateurs
- Le partage non autorisé de données avec des tiers
- Les scripts et plugins stockant des données sensibles au-delà de ce que vous avez déclaré
Ne pas protéger les données côté client vous expose à des amendes et à des poursuites judiciaires. Respecter les exigences des lois d'État américaines sur la protection de la vie privée pour les sites web contribue à réduire l'exposition et aligne votre entreprise sur les attentes du NJDPA.
Les bannières de cookies suffisent-elles à la conformité au NJDPA ?
Les bannières de cookies seules ne suffisent pas à se conformer au NJDPA. Elles informent les utilisateurs de la collecte de données, mais ne peuvent pas empêcher les scripts d'envoyer des données personnelles avant le consentement ni contrôler la façon dont les fournisseurs les traitent. Vous devez toujours suivre quelles données sont collectées, qui y a accès et combien de temps elles sont conservées.
Bien que les mesures de sécurité ne soient pas explicitement définies dans les lois américaines sur la protection de la vie privée, la majorité des poursuites contre les entreprises invoquent l'absence de mesures de protection raisonnables. Compléter les bannières de cookies par des contrôles techniques appropriés, une surveillance et une gestion des fournisseurs est conforme aux lois américaines sur la protection de la vie privée et contribue à réduire les risques. Mais se contenter d'afficher une bannière vous laisse exposé aux attaques côté client.
Où se produisent les manquements à la conformité au NJDPA
De nombreux problèmes de conformité au NJDPA proviennent de lacunes que vous ne remarquez peut-être pas au quotidien. Même lorsque vous pensez que votre dispositif de protection de la vie privée est solide, les scripts/traceurs tiers et les flux de données en temps réel peuvent présenter des risques cachés.
Parmi les points de défaillance courants :
- Ne pas respecter les droits des consommateurs au niveau des scripts. Les utilisateurs peuvent demander l'accès, la correction ou la suppression, mais les scripts continuent de collecter des données.
- Absence de surveillance côté client et de suivi de la collecte de données côté navigateur. Les fournisseurs peuvent recueillir et partager des données personnelles à votre insu.
- Absence de mesures de sécurité raisonnables. Des contrôles insuffisants peuvent laisser des données personnelles fuiter ou être volées.
- Déclarations inexactes et incomplètes. Votre politique de confidentialité peut ne pas correspondre à ce que les scripts et outils collectent réellement.
- Manque de visibilité sur les flux de données en temps réel et les changements de comportement des scripts
- Incapacité à détecter ou à répondre aux injections ou modifications non autorisées de scripts
- Mauvaise responsabilisation des fournisseurs lorsque des scripts tiers se mettent à jour sans révision
- Documentation insuffisante pour prouver la conformité continue
- Dépendance excessive aux audits ponctuels plutôt qu'à une surveillance continue
L'utilisation d'un outil d'automatisation de la conformité aux lois d'État américaines sur la protection de la vie privée peut vous aider à identifier ces lacunes. Il vous offre une visibilité continue sur les risques côté client et contribue à garantir que les données personnelles sont traitées de manière conforme.
Principales exigences du NJDPA que les organisations doivent comprendre
Le NJDPA porte sur la façon dont vous collectez, protégez, divulguez et répondez aux données personnelles dans le cadre de vos opérations commerciales quotidiennes. Concentrez-vous donc sur :
Droits des consommateurs et application du consentement
Vous devez respecter les droits que les résidents du New Jersey ont sur leurs données personnelles. Ils peuvent :
- Vous demander de confirmer si vous détenez leurs données
- En obtenir une copie
- Corriger les erreurs
- Les supprimer
- Les exporter sous une forme portable
Vous devez répondre dans un délai de 45 jours lorsqu'une demande est formulée. La loi exige également un consentement affirmatif avant de traiter des données sensibles ou d'utiliser des données personnelles à des fins sans rapport avec la raison pour laquelle elles ont été collectées.
Minimisation des données et limitation des finalités
Vous devez limiter ce que vous collectez à ce qui est adéquat, pertinent et nécessaire à la finalité que vous avez communiquée au consommateur. Vous ne pouvez pas traiter des données personnelles à des fins non liées ou à des fins lucratives sans le consentement du consommateur.
Transparence et déclarations exactes
Votre avis de confidentialité doit être clair et accessible sur votre site web. Il doit décrire :
- Les catégories de données que vous collectez
- Pourquoi vous les collectez
- Avec qui vous les partagez
Il doit également expliquer comment vous informerez les consommateurs de tout changement important apporté à vos pratiques en matière de confidentialité.
Supervision des fournisseurs et des tiers
Si vous travaillez avec des sous-traitants ou des fournisseurs tiers qui traitent des données personnelles en votre nom, vous devez gérer ces relations. Les contrats doivent refléter la façon dont les données personnelles sont traitées.
Des évaluations peuvent également être nécessaires pour les traitements susceptibles de présenter des risques plus élevés pour les consommateurs. De plus, pendant les 18 premiers mois, en cas de violation, vous bénéficiez d'une disposition de remédiation de 30 jours pour y remédier après réception d'une notification.
Ressources officielles et liens gouvernementaux
Voici quelques sources officielles à consulter :
Calendrier du NJDPA
- 16 janvier 2024 : Le gouverneur Phil Murphy a signé le Senate Bill 332, le New Jersey Data Protection Act (NJDPA), en loi
- 15 janvier 2025 : Le NJDPA est entré en vigueur.
- 15 juillet 2026 : Date limite de la période de remédiation de 30 jours pour les 18 premiers mois suivant le 15 janvier 2025.
Pourquoi le NJDPA a été introduit
Les données sont omniprésentes, tout comme les risques. Le New Jersey a introduit le NJDPA parce que :
- La multiplication des violations et fuites de données met les informations personnelles en danger
- La forte dépendance aux outils tiers qui collectent et partagent des données sans consentement explicite ni visibilité
- Les consommateurs attendent plus de transparence et de contrôle sur leurs données
- Des règles de confidentialité incohérentes d'un État à l'autre créent de la confusion pour les entreprises
- Les entreprises ne suivent pas toujours la façon dont les fournisseurs traitent les données partagées
- La nécessité de mesures de sécurité raisonnables pour protéger les données personnelles
- Les lacunes des précédentes lois américaines sur la conformité des sites web laissaient les droits des consommateurs dans le flou
Comment cside aide les organisations à atteindre la conformité au NJDPA
Transparence sur les flux de données côté client
- cside indique précisément quels scripts collectent des données personnelles, quelles données ils recueillent et où elles sont envoyées. Vous disposez de toutes les informations nécessaires pour maintenir des déclarations exactes et garder vos avis de confidentialité à jour.
Minimisation des données au niveau des scripts
- Les scripts évoluent souvent au fil du temps et commencent à collecter plus d'informations que prévu. Notre logiciel de conformité aux lois d'État américaines sur la protection de la vie privée signale lorsqu'un script dépasse sa portée prévue, maintenant une collecte de données ciblée et limitée.
Mesures de sécurité raisonnables
- Le moteur de sécurité côté client assisté par IA de cside détecte les scripts malveillants et altérés, les modifications de code suspectes et les activités de skimming de données dans le navigateur. Cela vous permet d'appliquer des mesures de sécurité raisonnables pour protéger les données personnelles et réduire le risque de violations.
Validation du comportement des tiers
- La surveillance continue et le scoring des risques permettent de suivre en temps réel la façon dont les fournisseurs tiers traitent les données. Vous pouvez détecter les écarts par rapport au comportement attendu et prévenir les violations involontaires de vos obligations en matière de confidentialité.
Journaux et preuves prêts pour les audits
- cside conserve des enregistrements des activités de traitement et de chaque charge utile de script dans un tableau de bord avec des journaux historiques. Cela vous fournit les preuves nécessaires pour démontrer la conformité au NJDPA lors d'audits ou d'enquêtes.
