Expertises des Systèmes d'information - Février 2020 - N°454 - Le mensuel du droit de l'informatique et du multimédia - 70

D

O

C

T

R

I

N

E

pas celle nécessaire au regard des
finalités du traitement (qui doit être
indiquée à la personne concernée),
le CCPA lui permet de traiter les
données aussi longtemps que le
responsable de traitement l'estime
nécessaire, le consommateur qui a
communiqué une fois les données
ne pouvant pas demander l'arrêt du
traitement de données tant que ce
traitement était prévisible lors de la
collecte de données.

Le droit d'interdire la vente de
ses informations personnelles
Le CCPA prévoit que le consommateur peut à tout moment interdire à
une entreprise de procéder à la vente
de ses informations personnelles
et oblige les entreprises traitant les
informations des consommateurs
californiens à installer sur leur site
internet un bouton «  Ne vendez
pas mes informations personnelles  » permettant au consommateur d'exercer ce droit. Ceci veut
dire qu'en l'absence d'interdiction
du consommateur, la vente de ses
données est autorisée, sous réserve
néanmoins qu'il en ait été préalablement informé. Cette interdiction
doit de plus être renouvelée tous les
12 mois par le consommateur.
En droit communautaire, de
manière générale, la seule base
juridique permettant la vente de
données personnelles semble être le
consentement (sauf si la personne
concernée a elle-même vendu
ses données pour leur revente,
auquel cas le contrat pourrait être
considéré comme fondé sur le
contrat conclu avec la personne
concernée). Le CCPA adopte une
approche plus protectrice pour les
données des mineurs de moins de
16 ans, pour lesquels le principe est
une interdiction qui ne peut être
levée que par une autorisation du
mineur s'il est entre 13 et 16 ans ou
de ses parents.

Le droit de ne pas être discriminé
Le CCPA énonce clairement une
interdiction de refuser des biens
ou des services, appliquer des prix
différents, fournir des biens ou
des services de qualité différents

70

ou suggérer que le consommateur
recevra des biens ou des services
différents suite à l'exercice par
le consommateur des droits qui
lui sont conférés par le CCPA.
Cependant, dans le paragraphe
suivant, le CCPA autorise clairement à fournir des compensations
financières (y compris sous la forme
de différence de prix ou de qualité
de produits) pour la vente par le
consommateur de ses informations
personnelles, sous réserve que la
différence soit directement liée à
la valeur fournie par les données
du consommateur. Cette exception
limite fortement cette interdiction
de discriminer sur la base de l'acceptation ou non du traitement de ses
propres informations personnelles.
Cette disposition a cependant le
mérite de poser une question que le
droit européen a du mal à traiter et
qui est celle de la rémunération (au
sens large) de la personne concernée pour ses données personnelles.
En effet, le droit communautaire
ayant une approche de la protection des données personnelles sous
l'angle de la défense des libertés
publiques, il a tendance à privilégier
la défense des droits fondamentaux
abstraits des consommateurs sans
se préoccuper de leurs intérêts
économiques, et en leur ôtant la
possibilité de faire un choix reflétant
réellement leurs propres priorités.

Des modalités de mise
en œuvre clairement
définies
Le CCPA est très clair sur les
modalités d'exercice de leurs droits
par les consommateurs. Toute
entreprise doit tout d'abord mettre à
la disposition des consommateurs
au moins deux méthodes pour
exercer leur droit d'information, y
compris un numéro de téléphone
gratuit et si l'entreprise dispose
d'un site internet, une page
internet. Toute entreprise saisie
par un consommateur d'une
demande d'exercice de ses droits
doit y répondre gratuitement
dans les 45 jours par courrier
postal ou électronique mais peut
appliquer,
après
information
préalable du consommateur, une
EXPERTISES Février 2020

période additionnelle de 45 jours.
L'entreprise a le droit de vérifier
l'identité du consommateur et
il ne peut lui être demandé de
communiquer à un consommateur
ses informations personnelles plus
de deux fois au cours d'une même
période de douze mois.

Des sanctions dissuasives
Le CCPA prévoit que le consommateur dont les données personnelles
font l'objet d'une violation (c'està-dire d'un accès non autorisé,
vol, ou communication résultant
d'un manquement de l'entreprise
à son obligation de sécurité) peut
obtenir des dommages et intérêts
forfaitaires entre 100 et 750 US$
par incident ou le montant des
dommages réellement encourus10,
qui doivent être calculés par les
tribunaux en prenant en compte la
nature et le sérieux de la violation,
le nombre de manquements, la
récidive, la durée du manquement, le caractère intentionnel
de la violation ainsi que les actifs
de l'entreprise. On mesure ici la
différence avec le droit français,
où seuls les dommages réellement subis et prouvés peuvent
être indemnisés ce qui, pour
un concept aussi abstrait que la
violation du droit au respect des
données
personnelles,
aboutit
en pratique à une impossibilité
d'indemnisation des personnes
victimes de violations de leurs
droits. Le montant des dommages
forfaitaires, s'il semble limité, est en
réalité fortement dissuasif si l'on se
rappelle que l'Amérique est le pays
des class actions. Une violation du
CCPA qui toucherait un million de
consommateurs californiens (sur
quarante millions de californiens)
peut ainsi résulter en des demandes
de dommages et intérêts forfaitaires
entre cent et sept cent cinquante
millions de dollars américains,
bien au-delà des vingt millions
d'euros du RGPD. Les entreprises
peuvent cependant échapper aux
dommages forfaitaires si elles
remédient à la violation dans un délai
de 30 jours à compter de sa notification, auquel cas elles ne risqueront plus que d'être condamnées
Expertises des Systèmes d'information - Février 2020 - N°454 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Février 2020 - N°454 - Le mensuel du droit de l'informatique et du multimédia
