CCPA / CPRA — Loi californienne sur la vie privée

California Consumer Privacy Act (CCPA, 2020) et son extension CPRA (2023) : droits étendus des résidents californiens sur leurs données personnelles. S'applique aux entreprises françaises qui traitent des données de clients californiens.

💡Explication simple

Le CCPA/CPRA s'applique à toute entreprise (quelle que soit sa localisation) qui traite des données de résidents californiens et remplit l'un de ces critères : CA > 25M$ ou traitement > 100 000 personnes/ménages californiens ou 50%+ du CA provient de la vente de données. Les droits accordés : droit de savoir (quelles données collectées), droit d'effacement, droit de portabilité, droit de refus de vente des données ('Do Not Sell My Personal Information'), et nouveauté CPRA : droit de correction et droit de limiter l'usage des données sensibles. Pour les data engineers de sociétés ayant des clients US : un module de gestion des droits CCPA doit être implémenté séparément du module RGPD (les droits ne sont pas identiques).

🏗️Exemple concret

Une startup française de e-commerce réalise 30% de son CA aux États-Unis (dont Californie). Elle doit : afficher un bouton 'Do Not Sell or Share My Personal Information' sur son site, répondre aux demandes d'accès et d'effacement sous 45 jours (vs 30 pour le RGPD), tenir un registre des données des résidents californiens séparé, et ne pas discriminer les utilisateurs qui exercent leurs droits (pas de refus de service ou de prix différents).