Le Texas Data Privacy and Security Act(TDPSA) entre en vigueur le 1er juillet 2024 - votre entreprise est-elle prête ?
J'ai créé cette liste de contrôle TDPSA en six étapes pour aider les entreprises à se préparer à la nouvelle loi texane sur la confidentialité des données.
Liste de contrôle de la conformité TDPSA : Étape par étape
Suivez les étapes suivantes pour simplifier la mise en conformité de votre site web avec la loi TDPSA.
Partie 1 : Réaliser un audit sur la protection de la vie privée
À mon avis, un audit sur la protection de la vie privée est la première étape que les entreprises devraient franchir pour se conformer aux lois sur la protection de la vie privée.
La réalisation d'un audit de confidentialité ou d'un inventaire des données vous aide à déterminer toutes les informations personnelles que vous recueillez auprès des utilisateurs, ainsi que la raison et la manière dont elles sont utilisées.
Vous devez connaître ces détails pour vous conformer à toute loi sur la protection des données, y compris la loi sur la protection des données à caractère personnel.
Partie 2 : Exigences en matière de notification de la protection de la vie privée
Vous devrez élaborer une politique de confidentialité pour votre site web qui réponde à toutes les exigences de notification définies par la TDPSA, qui comprennent des explications :
- les catégories de données à caractère personnel que vous collectez, y compris, le cas échéant, les données sensibles.
- La raison pour laquelle vous traitez les données à caractère personnel.
- Comment les consommateurs texans peuvent exercer leurs droits et faire appel des décisions.
- les catégories de données que vous partagez avec des tiers, le cas échéant.
- les catégories de tiers avec lesquels vous partagez des données, le cas échéant.
- Une description de la manière dont les consommateurs peuvent introduire des demandes pour exercer leurs droits.
En outre, si vous envisagez de vendre des données personnelles sensibles ou des données biométriques, un avis doit également figurer à l'endroit où vous présentez aux utilisateurs votre politique en matière de respect de la vie privée :
- AVIS : Nous pouvons vendre vos données personnelles sensibles.
- AVIS : Nous pouvons vendre vos données biométriques.
Partie 3 : Consentement des consommateurs et traitement des données
Votre entreprise doit fournir aux consommateurs texans des moyens simples de faire valoir leurs droits de retrait, notamment
- Refuser que leurs données soient traitées à des fins de publicité ciblée
- Refuser la vente de ses données
- Refus du profilage
Je vous recommande d'ajouter une bannière de consentement sur votre site avec un centre de préférences, permettant aux utilisateurs de retirer leur consentement pour ces différents types de traitement de données.
La méthode que vous appliquez doit être équitable, raisonnable et conforme aux lignes directrices du TDPSA.
En outre, n'oubliez pas que les consommateurs texans ont le droit de ne pas être discriminés s'ils respectent leurs droits en matière de protection de la vie privée.
Partie 4 : Obligations contractuelles pour le partage ou la vente de données à caractère personnel
Si vous envisagez de partager des données à caractère personnel avec des sous-traitants tiers, vous devez établir et faire signer à toutes les parties concernées un contrat comprenant les dispositions suivantes :
- Donne les instructions pour le traitement des données, sa nature et sa finalité.
- Liste de tous les types de données concernées et traitées, ainsi que leur durée.
- Il décrit les droits de chaque partie impliquée dans le contrat et leurs obligations.
- Indique la durée du traitement.
- Exige un devoir de confidentialité à l'égard des données à caractère personnel.
- exige, sur instruction du responsable du traitement, l'effacement ou la restitution de toutes les données à caractère personnel demandées à la fin du service, à moins que leur conservation ne soit exigée par la loi
- Le sous-traitant est tenu de coopérer avec les évaluations raisonnables effectuées par le responsable du traitement pour confirmer le respect de la TDPSA.
- Oblige les sous-traitants à signer un contrat décrivant ces mêmes obligations.
Partie 5 : Droits des consommateurs et demandes vérifiables des consommateurs
Votre entreprise doit proposer aux consommateurs du Texas au moins deux moyens de soumettre des demandes vérifiables de respect de leurs droits en matière de protection de la vie privée :
- Afficher sur votre site un formulaire de demande d'accès aux données par la personne concernée(DSAR).
- leur fournir une adresse électronique fonctionnelle pour qu'ils puissent soumettre des demandes.
- Ajout d'une bannière de consentement avec une mise à jour politique de cookies sur votre site.
En outre, la TDPSA exige que les sites web respectent les mécanismes universels de retrait (UOOM) tels que le contrôle mondial de la confidentialité(GPC) en tant que demande valide du consommateur d'ici le 1er janvier 2025.
Partie 6 : Procédures et pratiques de sécurité
Le TDPSA exige que vous protégiez la confidentialité, l'intégrité et l'accessibilité des données à caractère personnel, ce qui implique d'établir, de mettre en œuvre et de maintenir :
- Mesures administratives
- Mesures techniques
- Mesures physiques
Les techniques de sécurité les plus courantes que j'ai vues sur des sites web pour protéger les informations personnelles sont les suivantes :
- Anonymisation des données
- Cryptage des informations
- Limiter l'accès aux données
- former les employés qui y ont accès
FAQ sur les exigences du TDPSA
Je réponds ci-dessous à quelques questions fréquemment posées sur le TDPSA.
Le TDPSA s'applique-t-il à mon entreprise ?
Le TDPSA s'applique à votre entreprise si vous atteignez les seuils suivants :
- Exercer une activité commerciale au Texas ou cibler des produits ou des services dans l'État.
- Traiter ou s'engager dans la vente de données à caractère personnel.
- ne sont pas considérées comme des petites entreprises au sens de la Small Business Administration (SBA) des États-Unis, à moins qu'elles ne vendent des données personnelles sensibles.
Quand le TDPSA entre-t-il en vigueur ?
Le TDPSA entre en vigueur le 1er juillet 2024.
Qui fera respecter le TDPSA ?
Le procureur général du Texas a le pouvoir exclusif de faire appliquer la TDPSA.
Ils accorderont aux entités un délai de 30 jours pour remédier à d'éventuelles violations.
Quelles sont les sanctions en cas de violation de la TDPSA ?
Les sanctions pour violation de la TDPSA comprennent des amendes pouvant aller jusqu'à 7 500 dollars par incident, mais le procureur général peut aussi.. :
- Recouvrer les sanctions civiles
- Interdire à la personne d'enfreindre la TDSPA.
- Demander une injonction
- Récupérer les frais d'avocat ou autres dépenses raisonnables encourues au cours d'une enquête.
Les consommateurs ne disposent pas d'un droit d'action privé en vertu de cette loi.
Termly peut-il aider à la mise en conformité avec la loi TDPSA ?
Termly offre un Générateur de politique de confidentialité et une plateforme de gestion du consentement (CMP) qui peuvent aider les entreprises à simplifier leur mise en conformité avec le TDPSA.
Le Générateur de politique de confidentialité contient les informations nécessaires pour répondre aux exigences de notification prévues par la loi texane sur la confidentialité des données.
En outre, le CMP est configurable de manière à ce que vos consommateurs texans puissent refuser la publicité ciblée, la vente de leurs données et le profilage.
Résumé
Simplifiez votre processus de mise en conformité avec le TDPSA avant son entrée en vigueur en suivant ma liste de contrôle en six étapes :
- Effectuez un audit de la protection de la vie privée afin de connaître toutes les données à caractère personnel traitées par votre entreprise.
- Élaborer une politique de protection de la vie privée qui réponde à toutes les exigences de notification décrites par la loi.
- Fournissez à vos utilisateurs un moyen facile de faire valoir leurs droits de retrait.
- Présentez à vos consommateurs texans au moins deux façons de soumettre des demandes vérifiables de respect de leurs droits en matière de protection de la vie privée.
- Signer des contrats conformes à la loi qui comprennent toutes les dispositions énoncées par la TDSPA.
- Établir, mettre en œuvre et maintenir des mesures de sécurité appropriées pour protéger les données.
Eliminez encore plus de difficultés liées au respect de la vie privée en utilisant des ressources telles que notre Générateur de politique de confidentialité et CMP.
Écrit par Natasha Piirainen
Natasha Piirainen est une rédactrice spécialisée dans la protection de la vie privée. Elle est titulaire d'une licence en anglais et philosophie du Wheaton College et possède plus de 10 ans d'expérience professionnelle dans le développement de contenus axés sur la recherche.
Lire tous les articles de Natasha Piirainen
Révisé par Josh Langeland, CIPM
Josh Langeland est ingénieur en protection de la vie privée et titulaire d'une licence en informatique de l'université du Minnesota. Il se passionne pour l'utilisation de la technologie au service du respect de la vie privée des utilisateurs et s'épanouit à la croisée des technologies complexes et des lois en constante évolution en matière de protection de la vie privée.
Lire tous les articles révisés par Josh Langeland, CIPM
