Le Loi sur la confidentialité des données en ligne du Maryland (MODPA) devrait entrer en vigueur le 1er octobre 2025, et marque une étape importante vers l'amélioration de la confidentialité des données pour les résidents du Maryland. Ce règlement complet vise à offrir aux consommateurs un meilleur contrôle sur leurs données personnelles tout en imposant des exigences strictes aux entreprises qui traitent ces informations. Voici un aperçu détaillé des implications de la MODPA et de son importance pour les consommateurs comme pour les entreprises.
Pourquoi le MODPA est-il important ?
La MODPA représente une avancée significative en matière de réglementation sur la confidentialité des données, alignant le Maryland sur d'autres juridictions qui accordent la priorité à la protection des données des consommateurs. Les entreprises opérant dans le Maryland doivent se préparer à se conformer à ces nouvelles normes, en veillant à les respecter et à les respecter. protéger les données personnelles de leurs consommateurs. L'introduction de la MODPA est cruciale pour plusieurs raisons :
- Protection renforcée des consommateurs : Il offre aux résidents du Maryland une solide droits d'accès, de contrôle et de protection de leurs données personnelles, favorisant la confiance dans les transactions numériques.
- Transparence et responsabilité : Les entreprises sont tenues responsables de leurs pratiques en matière de données, ce qui garantit une plus grande transparence et réduit le risque d’utilisation abusive des données.
- Sécurité des données : Le règlement souligne l’importance de la sécurité des données, exigeant des entreprises qu’elles mettent en œuvre des mesures appropriées pour protéger les données des consommateurs contre les violations.
- Adaptation aux défis modernes : En abordant des questions telles que la prise de décision automatisée et la publicité ciblée, MODPA est adapté aux complexités du traitement moderne des données.
Portée et application
La MODPA s'applique aux entreprises opérant dans le Maryland ou proposant leurs produits et services aux résidents du Maryland. Elle couvre notamment les entités qui :
- A contrôlé ou traité les données personnelles d'au moins 35 000 consommateurs au cours de l'année civile précédente (à l'exclusion des données utilisées uniquement pour les transactions de paiement).
- A contrôlé ou traité les données personnelles d'au moins 10 000 consommateurs et a réalisé plus de 20% de son chiffre d'affaires brut grâce à la vente de données personnelles.
Il est à noter que la loi ne s’applique pas aux employés ni aux entreprises interentreprises (B2B), mais se concentre plutôt sur les interactions avec les consommateurs.
Droits des consommateurs du Maryland
La MODPA s'aligne sur les lois sur la protection de la vie privée des consommateurs de la plupart des autres États. Un consommateur est défini comme une personne résidant dans le Maryland et agissant uniquement à titre personnel, à l'exclusion de toute personne agissant dans le cadre d'un emploi ou d'un commerce. En vertu de la MODPA, les consommateurs bénéficient de plusieurs droits garantissant la transparence et le contrôle de leurs données personnelles, notamment :
- Accès et confirmation : Les consommateurs peuvent confirmer si leurs données sont traitées et accéder à leurs données personnelles détenues par les responsables du traitement.
- Correction: Les consommateurs peuvent corriger les inexactitudes dans leurs données personnelles.
- Effacement: Les consommateurs peuvent demander la suppression de leurs données, sauf si la conservation est requise par la loi.
- Portabilité des données : Si les données sont traitées automatiquement, les consommateurs peuvent obtenir une copie de leurs données dans un format portable pour les transférer à un autre responsable du traitement.
- Divulgation à des tiers : Les consommateurs peuvent obtenir une liste des tiers à qui leurs données ont été divulguées.
- Droits de retrait : Les consommateurs peuvent refuser le traitement de leurs données à des fins de publicité ciblée, de vente de données personnelles ou de profilage qui les affecte légalement ou de manière significative.
Les responsables du traitement doivent répondre aux demandes des consommateurs dans un délai de 45 jours, renouvelable si nécessaire. En cas de refus, le responsable du traitement doit en informer le consommateur et lui fournir les instructions nécessaires pour faire appel.
Responsabilités du responsable du traitement et du sous-traitant
La MODPA établit des lignes directrices strictes sur la manière dont les responsables du traitement (entités qui déterminent les finalités et les moyens du traitement des données personnelles) et les sous-traitants (entités qui traitent les données pour le compte des responsables du traitement) traitent les données des consommateurs :
- Actions interdites : Les responsables du traitement ne peuvent pas collecter, traiter ou partager des données sensibles, sauf si cela est nécessaire à la fourniture du service demandé. Il leur est également interdit de vendre des données sensibles, de les traiter de manière discriminatoire ou de cibler des publicités ciblant les mineurs de moins de 18 ans sans leur consentement.
- Non-discrimination : Les responsables du traitement ne doivent pas discriminer les consommateurs qui exercent leurs droits en vertu de la MODPA.
- Consentement du consommateur : Les responsables du traitement doivent obtenir le consentement du consommateur pour tout traitement de données allant au-delà de ce qui est nécessaire aux fins déclarées. Le consommateur peut révoquer son consentement et les responsables du traitement doivent cesser le traitement des données dans les 30 jours suivant la révocation.
- Processus d'appel : Les responsables du traitement doivent établir un processus d’appel pour les consommateurs dont les demandes sont refusées, avec une réponse requise dans les 60 jours.
Protection et sécurité des données
Les sous-traitants sont tenus de respecter les instructions du responsable du traitement et de contribuer au respect des obligations liées aux droits des consommateurs, à la sécurité des données et aux notifications de violation. Ils doivent également fournir les informations nécessaires aux responsables du traitement pour réaliser et documenter les évaluations de la protection des données (APD) pour les activités présentant un risque accru de préjudice pour les consommateurs.
En vertu de la MODPA, les responsables du traitement sont tenus de réaliser des « évaluations de la protection des données » pour toute activité de traitement présentant un risque accru de préjudice. Cela comprend une évaluation pour chaque algorithme utilisé. Ces activités comprennent :
- Traitement des données personnelles à des fins de publicité ciblée
- Vente de données personnelles
- Traitement des données sensibles
- Profilage des données personnelles lorsqu'il présente un risque prévisible de traitement injuste, abusif ou trompeur des consommateurs ou entraîne un préjudice substantiel pour les consommateurs
Ces évaluations doivent évaluer et comparer les avantages des activités de traitement pour toutes les parties concernées par rapport aux risques potentiels pour les droits des consommateurs. La MODPA autorise l'utilisation de évaluations d'impact Des évaluations ont été menées pour d'autres lois étatiques sur la protection de la vie privée afin de satisfaire à ses exigences d'évaluation. Ces exigences d'évaluation de la protection des données s'appliqueront aux activités de traitement débutant à compter du 1er octobre 2025.
Exigences de minimisation des données
La MODPA exige que la collecte de données personnelles soit limitée à ce qui est raisonnablement nécessaire pour fournir ou maintenir le produit ou le service demandé. Cette exigence est encore plus stricte pour les données sensibles. La loi stipule également que les responsables du traitement doivent obtenir le consentement avant de traiter des données personnelles à des fins autres que celles initialement divulguées et jugées nécessaires ou compatibles.
Toutefois, la MODPA autorise les responsables du traitement et les sous-traitants à s’engager dans des activités de traitement spécifiques, telles que la prévention de la fraude et les opérations internes, à condition que ces activités soient raisonnablement nécessaires et proportionnées à leurs finalités prévues.
Dispositions spéciales
La MODPA comprend des dispositions spécifiques telles que :
- Données de santé : Des exigences particulières s’appliquent au traitement des données de santé des consommateurs.
- Avis aux tiers : Les tiers doivent informer les consommateurs avant d’utiliser ou de partager leurs informations d’une manière différente des conditions de collecte initiales.
- Évaluations d'algorithmes : Les DPA sont nécessaires pour toute activité algorithmique qui présente des risques accrus pour les consommateurs.
L'approche de BigID concernant MODPA
BigID est la plate-forme leader du secteur en matière de confidentialité des données, de sécurité, de conformité et Gestion des données d'IA qui permet aux organisations de se préparer de manière proactive à la MODPA et de se conformer à son automatisation brevetée de la confidentialité tenant compte de l'identité.
Avec BigID, les entreprises peuvent :
- Identifier toutes les données : Découvrir et classer les données pour établir un inventaire, cartographier les flux de données et obtenir une visibilité sur toutes les informations personnelles et sensibles soumises aux exigences du MODPA.
- Automatiser la gestion des droits sur les données : Gérer automatiquement les demandes, les préférences et le consentement en matière de protection de la vie privée, y compris le refus de la vente de données, de la publicité ciblée et du profilage des utilisateurs.
- Appliquer les politiques : Corrigez les risques liés aux politiques grâce à des contrôles et des flux de travail pour prendre des mesures conformément aux exigences du MODPA.
- Réduire les données : Appliquez des pratiques de minimisation des données en identifiant, en catégorisant et en supprimant les données personnelles inutiles ou excessives pour gérer efficacement le cycle de vie des données.
- Mettre en œuvre des contrôles de protection des données : Automatisez les contrôles de protection des données pour renforcer l'accès aux données et d'autres mesures de sécurité, qui sont essentielles pour protéger les données et se conformer à la MODPA.
- Évaluer les risques : Automatiser évaluations de l'impact sur la vie privéeIl s'agit d'identifier les risques et d'y remédier afin de maintenir la conformité.
Planifiez une démonstration individuelle pour voir comment BigID peut accélérer votre conformité avec MODPA.
Auteur
