Conformité CCPA pour le partage de fichiers en Californie

La California Consumer Privacy Act (Cal. Civ. Code § 1798.100 et suivants), telle qu'amendée par la California Privacy Rights Act (CPRA, entrée en vigueur le 1er janvier 2023), s'applique aux entreprises traitant les données personnelles de résidents californiens et franchissant l'un des trois seuils suivants : 25 millions de dollars de chiffre d'affaires annuel, 100 000 consommateurs ou foyers traités, ou 50 % du chiffre d'affaires provenant de la vente ou du partage de données personnelles. Pour les services de partage de fichiers, la conformité CCPA exige de publier une notice de confidentialité conforme au § 1798.130, d'honorer les demandes des consommateurs (droit à la connaissance, à la suppression, à la rectification et à l'opt-out de la vente/du partage) dans un délai de 45 jours, de traiter les signaux Global Privacy Control (GPC), et de signer des contrats de prestataire de services au titre du § 1798.140(ag) avec chaque fournisseur traitant des données.

Entreprise, prestataire de services ou tiers : qui est qui

La CCPA distingue trois rôles. Une « entreprise » détermine les finalités et les moyens du traitement (équivalent au responsable de traitement du RGPD) et supporte la charge de la conformité. Un « prestataire de services » traite pour le compte d'une entreprise en vertu d'un contrat écrit (équivalent au sous-traitant). Un « tiers » est tout autre destinataire de données, généralement à ses propres fins. Les plateformes de transfert de fichiers sont généralement des prestataires de services. Le contrat de prestataire de services au titre du § 1798.140(ag) doit interdire la conservation, l'utilisation ou la divulgation à toute autre fin que la finalité commerciale spécifique, interdire la vente ou le partage, et exiger que le prestataire notifie toute utilisation qui ne relèverait plus de ces conditions.

Droits des consommateurs sous la CPRA

La CPRA a instauré cinq droits fondamentaux : (1) droit à la connaissance des données personnelles collectées, utilisées, divulguées ou vendues ; (2) droit à la suppression avec exceptions pour l'exécution d'une transaction, la sécurité ou les obligations légales ; (3) droit à la rectification des informations inexactes ; (4) droit à l'opt-out de la vente ou du partage ; (5) droit à la limitation de l'utilisation des informations personnelles sensibles. Les droits (1) à (3) doivent être honorés dans les 45 jours suivant la demande, prorogeable de 45 jours supplémentaires avec notification. Pour les services de partage de fichiers, mettez en place : un lien « Ne pas vendre ni partager mes informations personnelles », un formulaire de demande de droits, des procédures de vérification d'identité, et des journaux des demandes honorées conservés 24 mois.

Ce qui constitue une information personnelle sensible

La CPRA § 1798.140(ae) définit les informations personnelles sensibles : numéro de sécurité sociale, permis de conduire, pièce d'identité d'État, numéro de passeport ; identifiants de compte avec identifiants de sécurité ; géolocalisation précise (rayon de 1 850 mètres) ; origine raciale ou ethnique ; croyances religieuses ou philosophiques ; appartenance syndicale ; contenu des courriers, courriels et messages texte non adressés à l'entreprise ; données génétiques ; identificateurs biométriques ; données de santé ; vie sexuelle ou orientation sexuelle. Pour les services de transfert de fichiers, les contenus de fichiers incluent fréquemment des informations sensibles — dossiers médicaux, feuilles de calcul financières, copies de pièces d'identité. Les consommateurs peuvent exiger la limitation de l'utilisation de ces informations aux finalités spécifiques autorisées en vertu du § 1798.121.

Contrats de prestataire de services selon § 1798.140(ag)

Chaque fournisseur accédant aux données de résidents californiens doit signer un contrat de prestataire de services. Les clauses requises sont : (1) interdiction de vente ou de partage, (2) interdiction de conservation à toute autre fin que la finalité commerciale spécifique, (3) interdiction d'utilisation en dehors du contexte commercial, (4) exigence de conformité aux obligations CCPA, (5) droit d'audit au bénéfice de l'entreprise, (6) obligation de notifier les sous-traitants, (7) obligation d'assistance pour les demandes de droits des consommateurs. Les prestataires de transfert publiant un accord de prestataire de services aligné CCPA — HexaTransfer, Box, Dropbox Business — font de la conformité un simple exercice de signature. Ceux qui n'en disposent pas nécessitent un avenant contractuel spécifique.

Exigences de la notice de confidentialité selon § 1798.130

La notice au moment de la collecte doit identifier les catégories de données personnelles collectées, les finalités, et inclure un lien « Ne pas vendre ni partager » si applicable. La politique de confidentialité complète doit lister toutes les catégories collectées au cours des 12 derniers mois, les sources, les finalités commerciales, les catégories vendues ou partagées (ou une déclaration qu'aucune vente ne se produit), les catégories divulguées à des fins commerciales, et les durées de conservation. Mettez à jour la politique au moins tous les 12 mois. Pour les services de partage de fichiers, la notice doit couvrir : les données de compte, les contenus uploadés, les métadonnées (adresses IP, horodatages), la liste des sous-traitants, et le calendrier de conservation.

Global Privacy Control et signaux d'opt-out

La réglementation CCPA § 7025 exige que les entreprises vendant ou partageant des données personnelles traitent le Global Privacy Control (GPC) comme un signal d'opt-out valide. Le GPC est un paramètre de navigateur (Firefox, Brave, DuckDuckGo ; Chrome et Safari en attente) qui émet un en-tête Sec-GPC: 1. Traiter ce signal comme une demande valide du consommateur est obligatoire. Pour les plateformes de partage de fichiers ne vendant pas de données, le support du GPC est recommandé mais pas strictement exigé. Si la plateforme utilise des outils d'analyse qualifiés comme partage (la plupart des pixels de publicité comportementale cross-contexte), le GPC doit être honoré — ce qui implique souvent de désactiver ces pixels pour les utilisateurs émettant le signal.

L'Agence CPRA et la réalité des sanctions

La California Privacy Protection Agency (CPPA), créée par la CPRA, a commencé à sanctionner en juillet 2023. Amendes : 2 500 € par violation, 7 500 € par violation intentionnelle ou impliquant un mineur. Les violations s'accumulent par consommateur affecté — une violation touchant 10 000 résidents californiens peut théoriquement atteindre 75 millions d'euros. La CPPA est active : première action majeure contre Sephora (août 2022, 1,2 million de dollars), deuxième contre DoorDash (février 2024, 375 000 dollars), troisième et quatrième contre des éditeurs de logiciels en 2024 pour défaut de contrats de prestataires de services. La tendance : les violations procédurales (notices manquantes, contrats absents) sont ciblées en premier ; les violations substantielles (préjudice réel) escaladent.

Shine the Light Act et recoupement avec AB 1950

La Shine the Light Act (Cal. Civ. Code § 1798.83, en vigueur depuis 2005), antérieure à la CCPA, donne aux consommateurs le droit de demander la divulgation des données personnelles partagées avec des tiers à des fins de marketing direct. Elle reste en vigueur parallèlement à la CCPA — il faut répondre aux deux. AB 1950 (Cal. Civ. Code § 1798.81.5) exige une sécurité raisonnable pour les données personnelles des résidents californiens — chiffrement, contrôles d'accès, gestion des fournisseurs. La sécurité technique pour le transfert de fichiers selon AB 1950 : chiffrement AES-256, MFA pour les accès administratifs, évaluation des risques annuelle. Les violations ouvrent un droit d'action privée au titre du § 1798.150 en cas de violation résultant d'un défaut de sécurité raisonnable.

Le droit d'action privée

Le § 1798.150 accorde aux consommateurs un droit d'action privée pour les violations de données non chiffrées ou non masquées. Dommages légaux : entre 100 et 750 € par consommateur par incident, ou les dommages réels. Une violation touchant un fichier contenant les coordonnées et numéros d'identité de 100 000 consommateurs californiens peut déclencher un recours collectif avec une exposition de 10 à 75 millions d'euros. Le refuge légal : le chiffrement. Si les données divulguées étaient chiffrées et que les clés n'ont pas été compromises, le droit d'action privée ne s'applique pas. C'est pourquoi les services de partage de fichiers servant des clients californiens utilisent par défaut l'AES-256 avec une séparation stricte des clés.

Liste de contrôle pratique de la conformité

Pour une plateforme de partage de fichiers servant des utilisateurs californiens : (1) publiez une politique de confidentialité conforme CCPA et mettez-la à jour annuellement ; (2) ajoutez un lien « Ne pas vendre ni partager » même si vous ne vendez pas — documentez pourquoi c'est sans effet ; (3) créez un formulaire de demande de droits avec un SLA de 45 jours ; (4) mettez en place une vérification d'identité (confirmation par courriel plus un facteur supplémentaire) ; (5) signez des contrats de prestataire de services avec chaque sous-traitant ; (6) traitez les signaux GPC au niveau de la couche d'analyse ; (7) conservez les enregistrements des demandes 24 mois ; (8) journalisez les accès aux données personnelles ; (9) chiffrez tout en AES-256 ; (10) testez le workflow des droits trimestriellement.

Les complications liées aux lois d'autres États américains

La Californie n'est pas seule. La Virginie (VCDPA), le Colorado (CPA), le Connecticut (CTDPA), l'Utah (UCPA), le Texas (TDPSA), l'Oregon (OCPA) et plus d'une dizaine d'autres États ont adopté des lois sur la confidentialité aux exigences similaires mais non identiques. Construire la conformité autour de la CCPA comme dénominateur commun le plus strict couvre généralement le reste, mais attention aux particularités de chaque État : la Virginie exige des AIPD pour certains traitements ; le Colorado impose des mécanismes universels d'opt-out ; le Texas étend l'applicabilité selon le ciblage des résidents californiens. Utilisez des outils de conformité (OneTrust, DataGrail, Ethyca) pour gérer la matrice à grande échelle.

La Californie fixe le plancher ; chaque État américain y ajoute ses propres couches. Concevez vos systèmes pour la flexibilité. Essayez sur hexatransfer.com — gratuit, sans compte, jusqu'à 10 Go.