Dans un contexte marqué par l’escalade de la cybercriminalité et la multiplication des violations de données en 2020 et 2021, les législateurs de plus de 29 États américains ont placé cette année la confidentialité des données sous les projecteurs, en la faisant figurer en bonne place à l’ordre du jour des sessions législatives.
Parmi les mesures examinées figurent notamment le droit des consommateurs de refuser la collecte de données sur les sites web, la mise en place d’une protection hermétique et la garantie de la confidentialité des enfants en ligne, ainsi que la surveillance des e-mails des employés.
Plus important encore, les législateurs ont examiné de plus près le rôle et la responsabilité des entités commerciales et gouvernementales dans la protection des données, ainsi que la nécessité pour les entreprises d’indiquer clairement quelles données sont collectées, ce qui en sera fait et pendant combien de temps elles seront conservées.
En définitive, seuls la Virginie et le Colorado ont adopté cette année des lois sur la confidentialité des données, entrées en vigueur respectivement le 2 mars 2021 et le 7 juillet 2021. Ils deviennent ainsi les deuxième et troisième États après la Californie à adopter de telles lois. Toutefois, dans d’autres États, les projets de loi sur la confidentialité des données n’ont pas été adoptés.
En l’absence de telles mesures, même des États comme la Virginie, le Colorado et la Californie ne parviendront pas à protéger adéquatement la confidentialité des données des consommateurs, pour deux raisons essentielles : internet ne se limite pas aux frontières d’un seul État, de sorte que toute législation ne pourrait satisfaire aux exigences et aux règles fédérales de conformité applicables entre les États et, surtout, les acteurs opérant en ligne ne peuvent être réglementés que par le gouvernement fédéral en vertu de la clause relative au commerce, article I, section 8 de la Constitution.
La législation sur la confidentialité des consommateurs constitue un fondement essentiel pour protéger leurs droits et garantir leur sécurité et leur confidentialité en ligne. Alors qu’aucune législation nationale américaine n’a encore confié cette responsabilité à une entité commerciale ou gouvernementale – et compte tenu de l’ampleur croissante des violations de données et des défaillances dans la gestion des données numériques – il est devenu primordial de s’y atteler.
Aujourd’hui, nous vivons dans un environnement marqué par l’escalade de la cybercriminalité, avec un nombre record de violations de données, toujours plus sophistiquées et graves, qui se produisent année après année. Il n’est donc pas surprenant que la confiance des consommateurs dans la promesse de la sécurité des données soit au plus bas et que la majorité des Américains estiment désormais avoir totalement perdu le contrôle de leurs données.
Un patchwork de protections existantes
Ainsi, continuer à étoffer ce patchwork de lois étatiques sur la confidentialité ne fera qu’accroître la confusion et l’instabilité pour les entreprises comme pour les clients. Par exemple, ces lois ne prévoient pas le commerce interétatique et entraveront donc toute entreprise opérant dans plusieurs États ou vendant à des clients répartis dans plusieurs États.
En l’absence d’un régime national cohérent de protection de la confidentialité, davantage d’États adopteront leurs propres règles locales, ce qui augmentera encore les coûts et compliquera la mise en conformité, avec une multitude de régimes d’application pour les entreprises comme pour les particuliers.
La majeure partie du monde occidental s’est dotée de protections juridiques complètes pour les données personnelles. Mais les États-Unis continuent de peiner dans ce domaine, avec des lois et réglementations sectorielles qui ne protègent pas suffisamment les données des consommateurs et se contentent d’imposer aux entreprises et aux consommateurs des obligations complexes et souvent contradictoires.
La Health Insurance Portability and Accountability Act (HIPAA) en est un bon exemple : il s’agit de la principale loi américaine sur la confidentialité et la sécurité des données de santé, qui ne s’applique qu’aux « entités couvertes » détenant des « informations de santé protégées ». Le système est si complexe que la plupart des Américains ne savent pas dans quelles circonstances leurs informations de santé sont protégées par la loi ni quelles normes de sécurité s’appliquent à leur situation particulière.
En outre, des lois distinctes sur la confidentialité régissent certains domaines du système de santé américain. Les vaccinations des élèves et les autres dossiers de santé scolaires relèvent généralement de la Family Educational Rights and Privacy Act (FERPA), qui à son tour recoupe et entre parfois en conflit avec la Children’s Online Privacy Protection Act (COPPA), qui protège les données, mais uniquement celles des enfants de moins de 13 ans.
Les lois des États ne font qu’ajouter à ce patchwork déroutant, notamment en matière de violations de données, alors qu’il est reconnu que la collecte généralisée d’informations personnelles met en danger la confidentialité et la sécurité des personnes. Bien qu’il existe des lois fédérales obligeant les personnes à être informées lorsque leurs informations sont compromises, les types d’informations personnelles justifiant une protection, les entités concernées et même la définition d’une violation varient d’un État à l’autre.
Même les organisations les plus sophistiquées finiront par subir une violation en raison de la menace persistante que représentent les cybercriminels, les menaces internes ou les intrusions commerciales, tandis que les dommages pouvant découler de la collecte et de l’utilisation abusive des données évoluent et s’aggravent constamment. Le moment est donc venu de relancer l’introduction d’une législation fédérale et la création d’une norme nationale de notification des violations de données, afin que chacun sache quand une violation incluant ses données personnelles s’est produite.
Vers un cadre national unifié pour la protection des données
Alors que le cadre juridique américain s’est traditionnellement appuyé sur chaque État pour introduire sa propre version de la législation sur la confidentialité des données, le General Data Protection Regulation (RGPD) de l’Union européenne a orienté le dialogue mondial sur la protection des données et établi une norme internationale pour la protection de toutes les données personnelles, quels que soient leur collecteur et leur mode de traitement. Des économies numériques progressistes comme le Canada, Israël et le Japon commencent à s’aligner sur cette approche, ce qui pourrait désavantager les entreprises américaines à l’échelle mondiale.
Pour mettre les États-Unis en conformité avec ces nouvelles normes de protection des données, le Congrès devrait désormais instaurer un cadre unique et complet couvrant toutes les institutions : un cadre qui prévale sur les lois et réglementations fédérales divergentes, harmonise les droits et les responsabilités et veille à ce que toutes les entreprises deviennent des dépositaires éthiques des données, afin de mieux protéger l’ensemble des citoyens américains.
Le moment est venu pour les législateurs des États d’encourager cette démarche et de travailler avec le Congrès afin de mettre en place une solution globale et progressiste, qui reflète l’importance du droit de chacun à la vie privée et le devoir des organisations de le protéger.
À propos de l’auteur :
Adam Strange, directeur marketing mondial, Titus by HelpSystems