Charte des droits numériques de Floride : Premier aperçu et résumé

La Floride a adopté la Charte des droits numériques de Floride (FDBR), qui est maintenant partiellement en vigueur.

Le FDBR est un texte législatif intéressant qui utilise des définitions uniques par rapport à d'autres lois étatiques américaines couvrant la confidentialité des données.

Je résume ci-dessous la nouvelle loi de Floride sur la confidentialité des données, en précisant à qui elle s'applique, quels sont ses principaux termes et définitions, et ce que les responsables du traitement des données doivent faire pour se mettre en conformité.

Qu'est-ce que la Charte des droits numériques de Floride (FDBR) ?

La Florida Digital Bill of Rights est une loi qui explique quels sont les droits des résidents de Floride concernant le traitement et l'utilisation de leurs données personnelles par différentes entités.

Une deuxième section décrit les lignes directrices pour les fonctionnaires concernant les services de médias sociaux et les obligations pour les contrôleurs qui exploitent des moteurs de recherche, et une autre décrit les règles spécifiques pour la protection des données concernant les enfants de moins de 18 ans dans les espaces en ligne.

Il décrit également les sanctions encourues en cas de violation de certaines parties de la nouvelle loi.

Date d'entrée en vigueur du FDBR

La Charte des droits numériques de Floride est entrée en vigueur le 1er juillet 2024.

Les dispositions concernant les fonctionnaires et les plateformes de médias sociaux sont entrées en vigueur en juillet 2023, comme indiqué à la section 1, article 112.23.

Termes clés et définitions du FDBR

La Charte des droits numériques de Floride utilise plusieurs définitions uniques pour des termes que nous avons vus dans d'autres lois américaines sur la protection des données et il est essentiel de comprendre les différences à des fins de conformité.

Pour vous aider, j'ai inclus ci-dessous les termes clés avec les définitions telles qu'elles apparaissent dans le FDBR :

Que couvre la Charte des droits numériques de Floride ?

Le FDBR couvre trois questions distinctes liées à la vie privée concernant les résidents de Floride et l'État lui-même :

1. Une section décrit les droits des consommateurs agissant dans un contexte personnel ou domestique sur la manière dont leurs données à caractère personnel sont collectées, traitées et utilisées par les responsables du traitement.
2. Un autre article interdit aux fonctionnaires d'utiliser leur poste ou les ressources de l'État pour supprimer des contenus ou des comptes sur les plateformes de médias sociaux.
3. La troisième section explique et établit des protections concernant les informations personnelles des enfants en ligne.

Il est intéressant de noter que le FDBR utilise des définitions différentes pour les données à caractère personnel et les informations à caractère personnel (les deux apparaissent dans la section des termes clés ci-dessus) applicables aux différentes sections de la loi :

• Les données personnelles sont les informations collectées, traitées et utilisées par les contrôleurs sur les résidents de Floride.
• Les informations personnelles concernent les lignes directrices en matière de sécurité dans les espaces en ligne concernant les enfants de moins de 18 ans.

Exigences de la Charte des droits numériques de Floride

En tant que déclaration des droits en matière de protection des données, la loi de Floride comporte de nombreuses exigences, dont certaines s'appliquent directement aux entreprises qui collectent et utilisent les données personnelles des consommateurs de Floride.

Pour vous aider à comprendre ces parties pertinentes du FDBR, j'ai présenté les lignes directrices dans la section suivante.

Exigences du contrôleur en matière de traitement des données à caractère personnel

Conformément à l'article 13. Section 501.71 de la loi, les responsables du traitement doivent limiter le traitement des données à caractère personnel à ce qui est "adéquat, pertinent et raisonnablement nécessaire" sur la base des objectifs qu'ils présentent aux consommateurs.

Les responsables du traitement doivent également prendre des mesures techniques et physiques pour protéger l'intégrité et la confidentialité des informations.

Pour traiter des données au-delà de ce qui est nécessaire ou toute information personnelle sensible, vous devez obtenir le consentement du consommateur.

En outre, si vous envisagez de vendre des données biométriques ou des données personnelles sensibles, vous devez fournir une information visible sur votre site web en utilisant la formulation suivante, comme décrit dans la section 14. Article 501.711, partie (2):

• AVIS : Ce site web peut vendre vos données personnelles sensibles.
• AVIS : Ce site web peut vendre vos données biométriques personnelles.

Évaluation de la protection des données

Les responsables du traitement doivent effectuer et documenter des évaluations de la protection des données (EPD) pour effectuer certaines activités de traitement des données, comme décrit dans la section 16. Section 501.713 du FDBR.

Vous êtes tenu d'effectuer une AIPD pour traiter des informations aux fins suivantes :

• Publicité ciblée
• La vente de données à caractère personnel
• Le traitement de données à des fins de profilage s'il présente un risque raisonnablement prévisible pour le consommateur.
• Traitement des données sensibles
• Activités de traitement de données à caractère personnel présentant un risque élevé de préjudice pour le consommateur

L'évaluation de la protection des données par le responsable du traitement doit comporter tous les éléments suivants :

• Identifier et évaluer les avantages directs et indirects pour le responsable du traitement, le consommateur et les autres parties prenantes par rapport aux risques potentiels pour les droits des consommateurs, tels qu'ils sont atténués par les garanties.
• Tenir compte de l'utilisation de données dépersonnalisées, des attentes raisonnables du consommateur, du contexte du traitement et de la relation entre le responsable du traitement et le consommateur.

Vous pouvez utiliser une seule évaluation pour traiter un ensemble comparable d'opérations ou d'activités si le risque supposé pour le consommateur est d'une portée similaire.

Les responsables du traitement peuvent également utiliser une évaluation réalisée pour se conformer à une autre loi ou réglementation comparable aux lignes directrices énoncées dans le RBIF.

Obligations contractuelles concernant les sous-traitants tiers

Le FDBR décrit les exigences contractuelles entre les responsables du traitement et les sous-traitants dans la section 15. Article 501.712, partie (2).

Plus précisément, elle stipule qu'il doit exister un contrat entre les responsables du traitement et les sous-traitants décrivant tous les éléments suivants :

Un sous-traitant peut demander à un évaluateur indépendant qualifié d'évaluer ses politiques et ses mesures techniques ou organisationnelles pour répondre à ces exigences.

Le sous-traitant doit mettre le rapport à la disposition du responsable du traitement sur demande.

Lignes directrices concernant les données relatives aux enfants

Les services en ligne qui proposent des jeux, des produits, des services ou des fonctionnalités susceptibles d'être consultés principalement par des enfants doivent suivre des lignes directrices spécifiques dans le cadre du FDBR.

Plus précisément, comme expliqué dans la section 2. Section 501.1735, ces plateformes ne peuvent pas :

• Traiter les informations personnelles d'un enfant si la plateforme sait réellement (ou ignore délibérément) que le traitement peut entraîner un préjudice substantiel ou un risque pour la vie privée de l'enfant.
• établir le profil d'un enfant, sauf si la plateforme en ligne démontre qu'elle a mis en place des garanties appropriées et que l'établissement du profil est nécessaire à la fourniture du service.

Toutefois, les plateformes qui peuvent prouver ou démontrer une raison impérieuse que le profilage ne présente pas de risque substantiel de préjudice ou de risque pour la vie privée peuvent poursuivre ce type de traitement.

En outre, les entités ne peuvent pas :

• collecter, vendre, partager ou conserver des données à caractère personnel qui ne sont pas nécessaires pour fournir un service en ligne, à moins qu'ils ne prouvent que cela n'entraîne pas de préjudice substantiel ou de risque pour la vie privée de l'enfant.
• utiliser les informations personnelles pour une raison autre que celle pour laquelle elles ont été collectées à l'origine, à moins qu'ils ne prouvent que cela n'entraîne pas de préjudice substantiel ou de risque pour la vie privée de l'enfant.
• collecter, vendre ou partager des données précises de géolocalisation de l'enfant, à moins que cela ne soit strictement nécessaire au fonctionnement du service.
• collecter des données de géolocalisation précises sur l'enfant sans indiquer de manière évidente que ces données sont collectées.
• Utiliser des motifs sombres pour tromper l'enfant dans une direction qu'il n'aurait pas prise autrement.
• utiliser les informations personnelles pour estimer l'âge ou la tranche d'âge à toute autre fin ou conserver ces données plus longtemps que nécessaire.

Restrictions des médias sociaux pour les fonctionnaires

En vertu de la section 1. Section 112.23 Partie (2) et (3) de la Charte des droits numériques de Floride, les entités gouvernementales, les fonctionnaires ou les employés salariés ne peuvent pas communiquer avec les plateformes de médias sociaux concernant des préoccupations spécifiques.

En particulier, les entités gouvernementales ne peuvent pas demander la suppression de contenus ou de comptes, ni conclure d'accords à des fins de modération de contenu.

Ils ne peuvent pas non plus établir ou maintenir des relations de travail avec une plateforme de médias sociaux pour la modération de contenu.

Toutefois, ces sections ne s'appliquent pas lorsque l'entité gouvernementale ou l'agent agit dans l'un des cas suivants :

• La gestion courante du compte de l'entité gouvernementale, y compris la suppression ou la révision de son contenu ou de son compte.
• Suppression du contenu relatif à la commission d'un crime ou à la violation du droit public de la Floride.
• Suppression d'un compte lié à la commission d'un crime ou à la violation du droit public de la Floride.
• Enquêtes liées aux efforts de prévention des dommages corporels, des pertes de vie ou des dommages matériels.

Dispositions pour les contrôleurs propriétaires de moteurs de recherche

Le FDBR décrit les lignes directrices que les contrôleurs qui exploitent des moteurs de recherche doivent suivre dans la section 13. Article 501.71, partie (4).

Ces contrôleurs doivent mettre à disposition une description actualisée des paramètres les plus importants utilisés pour déterminer le classement dans les moteurs de recherche et leur importance relative.

Elle devrait inclure des détails sur la "priorisation ou la dépriorisation de l'appartenance politique ou de l'idéologie politique dans les résultats de recherche".

La description doit être disponible à un endroit facilement accessible, sans nécessiter de connexion ou d'enregistrement de la part de l'utilisateur.

Toutefois, ces responsables du traitement ne sont pas tenus de divulguer les algorithmes ou toute autre information qui pourrait permettre de tromper ou de nuire aux consommateurs en manipulant les résultats de recherche.

La loi de Floride sur la protection des données personnelles par rapport à d'autres États : Similitudes et différences

Le FDBR énonce les droits des consommateurs et certaines obligations en matière de protection de la vie privée qui reflètent d'autres lois américaines sur la protection de la vie privée, mais sa portée et son ampleur sont très différentes de celles des autres lois existantes, comme la loi sur la protection de la vie privée :

• California Consumer Protection Act (CCPA), tel que modifié par le California Privacy Rights Act (CPRA) - actuellement en vigueur
• Colorado Privacy Act (CPA) - actuellement en vigueur
• Loi du Connecticut sur la protection des données (CTDPA ) - actuellement en vigueur
• Loi du Delaware sur la protection des données personnelles (DPDPA) - actuellement en vigueur
• Indiana Consumer Data Protection Act (Indiana CDPA ) - entrée en vigueur le 1er janvier 2026
• Iowa Consumer Data Protection Act (Iowa CDPA) - actuellement en vigueur
• Kentucky Consumer Data Protection Act (KCDPA) - entrée en vigueur le 1er janvier 2026
• Minnesota Consumer Data Privacy Act (MCDPA) - entrée en vigueur le 31 juillet 2025
• Loi du Maryland sur la confidentialité des données en ligne (MODPA) - entrée en vigueur le 1er octobre 2025
• Montana Consumer Data Privacy Act (MCDPA) - actuellement en vigueur
• Nebraska Data Privacy Act (NDPA) - actuellement en vigueur
• Loi sur la protection des données du New Hampshire (NHDPL ) - actuellement en vigueur
• New Jersey Data Privacy Act (NJDPA ) - actuellement en vigueur
• Oregon Consumer Privacy Act (OCPA) - actuellement en vigueur
• Tennessee Information Protection Act (TIPA) - entrée en vigueur le 1er juillet 2025
• Texas Data Privacy and Security Act (TDPSA ) - actuellement en vigueur
• Utah Consumer Privacy Act (UCPA) - actuellement en vigueur
• Virginia Consumer Data Protection Act (VCDPA) - actuellement en vigueur

Les principales différences du FDBR sont son champ d'application très limité, qui vise les grandes entreprises qui contrôlent les navigateurs et/ou les moteurs de recherche.

Elle ne s'applique pas aux petites et moyennes entreprises, aux courtiers en données et aux autres entités en ligne qui collectent, traitent et utilisent généralement les données personnelles des consommateurs.

Toutefois, le tableau ci-dessous vous permet de comparer certains aspects de la loi avec les lois d'autres États.

Quel sera l'impact du RBIF sur les consommateurs ?

Le RGPD a un impact sur les consommateurs en leur accordant des droits et un contrôle sur la manière dont leurs informations personnelles sont collectées, traitées et utilisées par des contrôleurs de données qualifiés.

En particulier, la section 8. L 'article 501.705 décrit la plupart des droits des consommateurs, qui comprennent tous les éléments suivants :

• Confirmer si un responsable du traitement traite leurs données à caractère personnel et y avoir accès
• Corriger les inexactitudes dans leurs données personnelles
• supprimer tout ou partie des données personnelles fournies par le consommateur ou obtenues à son sujet
• Obtenir une copie de leurs données dans un format portable et, le cas échéant, dans un format numérique
• Refus de la publicité ciblée
• Refuser la vente de leurs données personnelles
• Refus du profilage
• refuser la collecte de données personnelles sensibles, y compris la géolocalisation précise et le traitement de données sensibles
• Refuser la collecte de données à caractère personnel au moyen d'une fonction de reconnaissance vocale ou faciale

En outre, les appareils dotés de l'une des fonctions suivantes, qui collectent des données, ne peuvent pas être utilisés à des fins de surveillance si ces fonctions ne sont pas activées par le consommateur sans autorisation :

• Reconnaissance vocale
• Reconnaissance faciale
• Enregistrement vidéo
• Enregistrement audio
• Tout autre dispositif électronique
• Toute autre caractéristique visuelle
• Caractéristiques thermiques
• Caractéristiques olfactives

À qui s'applique le FDBR ?

Le FDBR ne couvre que les données à caractère personnel des résidents de Floride agissant en tant qu'individus ou au nom d'un ménage conformément à la section 5. Section 501.702 de la loi.

Elle exclut toute personne se trouvant dans l'État et agissant dans le cadre d'un emploi ou à des fins commerciales.

Quel sera l'impact du FDBR sur les entreprises ?

Le RGPD a plusieurs incidences sur les entreprises, au-delà des obligations contractuelles, des évaluations de l'impact sur la protection des données et des obligations relatives aux moteurs de recherche mentionnées précédemment.

Elle a également une incidence sur votre politique en matière de confidentialité et de cookies, que j'aborde en détail dans la section suivante.

Comment le FDBR affectera-t-il mon site politique de confidentialité?

Les entités qui se qualifient en tant que contrôleurs doivent prévoir de mettre à jour leur site politique de confidentialité afin de répondre aux exigences décrites dans la Charte des droits numériques de Floride.

Selon l'article 14. Section 501.711, les responsables du traitement qualifiés doivent présenter aux consommateurs un avis de confidentialité "raisonnablement accessible" et "clair" qui décrit tous les éléments suivants :

• Les catégories d'informations personnelles et d'informations personnelles sensibles traitées par le responsable du traitement
• L'objectif du traitement des données
• Comment les consommateurs peuvent-ils exercer les droits que leur confère le FDBR, y compris comment peuvent-ils faire appel des décisions prises par un responsable du traitement sur la base de leurs demandes ?
• Les catégories de données à caractère personnel qu'un responsable du traitement partage avec des tiers, le cas échéant
• Les catégories de tiers avec lesquels le responsable du traitement partage les données, le cas échéant
• Une description des méthodes (telles que spécifiées dans la section 501.709 du FDBR) permettant aux consommateurs d'introduire des demandes pour exercer leurs droits en vertu de la loi.

Comment le FDBR affectera-t-il mon site politique de cookies?

Le RGPD peut avoir un impact sur les politiques des contrôleurs de données qualifiées en matière de cookies, en particulier si vous utilisez des cookies Internet pour la publicité ciblée ou si vous vendez les informations dérivées des cookies.

Comme l'explique la section 8. Section 501.705 de la loi, les Floridiens ont le droit de refuser la vente de leurs données personnelles et les publicités ciblées.

Vous devez donc mettre à jour votre politique de cookies pour indiquer si vous utilisez des cookies à ces fins et comment les consommateurs peuvent exercer leur droit de retrait.

Qui doit se conformer à la nouvelle loi de Floride sur la protection des données personnelles ?

La charte des droits numériques de Floride n'est pas comme les autres lois des États américains, car elle semble cibler davantage les entreprises que les courtiers en données et les petites et moyennes entreprises.

Selon la section 6. Section 501.703, elle s'applique aux entités qui font des affaires en Floride ou qui fournissent des biens et des services aux résidents de l'État qui répondent également à la définition de la Section 5. Section 501.702 de la définition du contrôleur (qui apparaît dans la section des termes clés et des définitions ci-dessus).

Vous devez être à but lucratif, réaliser un chiffre d'affaires annuel brut supérieur à 1 milliard de dollars et remplir l'une des conditions supplémentaires suivantes :

• Tirez 50 % ou plus de vos revenus de la vente de publicités en ligne.
• Exploiter un service de haut-parleur intelligent ou de composant de commande vocale (mais ceux qui sont connectés à des véhicules sont exemptés).
• Exploiter un magasin d'applications ou une plateforme numérique proposant au moins 250 000 applications logicielles différentes.

En outre, l'article 5, section 501.702, stipule que toute personne contrôlée par un contrôleur ou qui contrôle un contrôleur relève également de la définition.

Par contrôle, la loi entend spécifiquement :

• Posséder plus de 50 % des actions en circulation d'une catégorie d'actions avec droit de vote.
• Contrôler l'élection de la majorité des administrateurs
• Avoir le pouvoir d'exercer une influence sur la gestion de l'entreprise.

Vous n'êtes tenu de suivre le FDBR que si votre entreprise remplit ces conditions.

Qui est exempté du FDBR ?

Conformément à la section 6. Section 501.703 Part (2), les entités suivantes sont exemptées et n'ont pas besoin de suivre le FDBR :

• Agences de l'État ou subdivisions politiques de l'État
• Institutions financières soumises à la loi Gramm-Leach-Bliley (GLBA)
• Entité couverte ou associé commercial régi par la confidentialité, la sécurité et les notifications de violation émises par le ministère de la santé et des services sociaux des États-Unis, le Health Insurance Portability and Accountability Act (HIPAA) et le Health Information Technology for Economic and Clinical Health Act (loi sur les technologies de l'information pour la santé économique et clinique)
• Organisations à but non lucratif
• Établissements d'enseignement post-secondaire
• Traitement de données à caractère personnel pour une activité purement personnelle ou domestique
• Traitement de données à caractère personnel uniquement pour mesurer ou rendre compte de la performance, de la portée ou de la fréquence de la publicité

Comment les entreprises peuvent-elles se préparer au FDBR ?

Les entités qui sont considérées comme des responsables du traitement des données au sens du RGPD doivent prévoir de prendre quelques mesures cruciales pour se préparer à la mise en œuvre de cette loi :

• Mettez à jour votre site politique de confidentialité pour y inclure tous les détails spécifiés, y compris la description des droits des consommateurs.
• Si vous vendez des données biométriques ou sensibles, incluez l'avis approprié sur votre site web.
• Veillez à ce que les contrats que vous concluez avec des sous-traitants tiers respectent les lignes directrices énoncées dans le FDBR.
• Si vous effectuez des activités de traitement qui présentent un risque élevé pour les consommateurs, effectuez et documentez les évaluations de la confidentialité des données appropriées.
• Si votre entreprise exploite un moteur de recherche, indiquez de manière visible sur votre site web les paramètres de classement de vos liens.
• Pour les entités qui créent des services principalement utilisés par des enfants, vous devez suivre toutes les obligations exprimées par la loi.

Comment le FDBR sera-t-il appliqué ?

Le procureur général a le pouvoir exclusif de faire respecter les violations de la Charte des droits numériques de Floride et peut intenter une action contre toute personne qui, selon lui, enfreint la loi pour des actes ou des pratiques déloyales ou trompeuses.

Amendes et sanctions en vertu de la Charte des droits numériques de Floride

Le procureur général de Floride peut appliquer des sanctions civiles allant jusqu'à 50 000 dollars en cas de violation du FDBR, comme l'explique la section 23. Section 501.72 Part (1) de la loi.

Toutefois, les consommateurs de Floride ne disposent pas d'un droit privé d'action en justice en vertu de cette loi.

Comment le site Termly contribuera-t-il à la mise en conformité avec le FDBR ?

Termly aide les entreprises à se conformer à des lois telles que la Charte des droits numériques de Floride en fournissant des générateurs de politiques et un site plateforme de gestion du consentement (CMP) soutenu par notre équipe juridique et nos experts en matière de confidentialité des données.

Notre Générateur de politique de confidentialité est conforme au FDBR et à plusieurs autres lois américaines, et nous l'actualisons régulièrement pour tenir compte des nouvelles législations en vigueur dans le monde entier.

Son utilisation est on ne peut plus simple : il pose des questions fondamentales sur votre entreprise et vos activités de traitement des données à caractère personnel, puis établit un site unique politique de confidentialité en fonction de vos réponses.

Vous trouverez ci-dessous une capture d'écran de l'une des questions posées.

Nous proposons également un CMP avec une bannière consentement aux cookies que vous pouvez configurer pour répondre aux exigences d'opt-out décrites par des lois telles que le FDBR.

Vous en trouverez un exemple ci-dessous.

Commencer à gérer le consentement

Entrez l'URL de votre site web

Afin de vous aider à créer un site politique de cookies conforme à la législation mondiale, nous devons d'abord rechercher des cookies sur votre site web.

Lancer l'analyse du site web

Résumé

La Charte des droits numériques de Floride est une loi sur la protection de la vie privée unique en son genre qui est désormais en vigueur aux États-Unis.

Si vous êtes considéré comme un responsable du traitement au sens du RGPD, vous devez mettre à jour votre politique de cookies confidentialité des politique de cookies et conclure des contrats conformes avec tout sous-traitant tiers.

Effectuez des évaluations du traitement des données avant de traiter toute information susceptible de présenter un risque plus élevé pour les consommateurs et n'oubliez pas d'ajouter à votre site web des formulaires de demande d'accès pour les personnes concernées, afin que les utilisateurs puissent facilement faire valoir leurs droits en matière de protection de la vie privée.

Facilitez la conformité de votre entreprise en utilisant le générateur de politique de confidentialité de Termly. Générateur de politique de confidentialité ou CMP de Termly.

En savoir plus sur l'auteur

Écrit par Josh Langeland, CIPM

Bonjour, je m'appelle Josh ! Je suis un ingénieur spécialisé dans la protection de la vie privée, passionné par l'utilisation de la technologie pour respecter la vie privée des utilisateurs. Je m'épanouis à l'intersection d'une technologie complexe et d'une législation sur la protection de la vie privée en constante évolution. Si je ne suis pas en train de rédiger un examen de la conception ou de réarchitecturer un système, vous me trouverez peut-être en train de lire une biographie ou de faire de la randonnée dans le parc national le plus proche. En savoir plus sur l'auteur