Ce sera 425 millions de dollars : Amazon pourrait faire face à une amende massive du RGPD

Des mois après que trois dirigeants d'Amazon ont déclaré avoir été contraints de quitter leurs fonctions pour avoir soulevé des inquiétudes concernant les politiques de confidentialité des données et la conformité au sein du géant mondial du commerce électronique, Amazon fait face à une amende potentielle massive du RGPD.

Peu de détails sur la violation sont connus, mais Amazon aurait des problèmes pour sa "collecte et utilisation de données personnelles". Puisque la décision n'est pas encore définitive, la pénalité peut augmenter, diminuer ou disparaître entièrement.

Selon le Wall Street Journal, la commission luxembourgeoise de protection des données, la CNPD, a rédigé une décision contre le géant de la technologie disant qu'il y aura une sanction GDPR de 425 millions de dollars.

Quel que soit le résultat, cela est clair : les amendes RGPD représentent un risque croissant pour les entreprises.

CDPA vs CCPA vs GDPR : Différences dans les lois régionales sur la confidentialité des données alors que les sanctions augmentent

Le 2 mars 2021, la Virginie est devenue le deuxième État à adopter une loi complète sur la confidentialité des données des consommateurs. Le Consumer Data Protection Act (CDPA) de Virginie s'inspire largement du Washington Privacy Act proposé et inclut des similitudes avec le California Consumer Privacy Act (CCPA) et le California Privacy Rights Act (CPRA).

J'ai compris? Il n'y a pas de honte si la réponse est « non ».

En un mot, les lois sur la vie privée des États deviennent un groupe d'acronymes qui se tordent la langue et se répandent d'un État à l'autre. Et les entreprises faisant des affaires en Virginie ou produisant des produits ou des services destinés aux consommateurs de Virginie devraient chercher à comprendre les principales différences entre le CCPA et le CDPA maintenant avant que ce dernier n'entre pleinement en vigueur le 1er janvier 2023.

Combinée au risque croissant de sanctions GDPR, l'expansion de la réglementation américaine place la confidentialité des données en tête de liste des priorités pour les entreprises du monde entier. Voyons donc comment cette situation évolue, les défis présentés par le paysage actuel et ce que vous pouvez faire pour naviguer avec succès sur le terrain.

Comparaison de la CDPA de Virginie avec les lois californiennes sur la confidentialité des données

Comme le CCPA, le CDPA crée plusieurs obligations de confidentialité pour les entreprises tout en donnant aux consommateurs plus de contrôle sur leurs données. Cependant, le CDPA impose davantage d'exigences d'évaluation des données pour les entreprises exerçant des activités en Virginie. Inspiré de l'exigence du règlement général sur la protection des données (RGPD) de l'UE pour les évaluations d'impact sur la protection des données (DPIA), le règlement de Virginie exigera que les entreprises effectuent des évaluations de la protection des données (DPA).

Que signifient ces évaluations ? Essentiellement, ils relèvent de la catégorie mère des évaluations des risques pour la vie privée (PRA). Leur objectif est de donner aux entreprises la possibilité de détecter rapidement les problèmes de confidentialité afin d'éviter des erreurs de conformité coûteuses.

Actuellement, la réglementation californienne n'exige rien de similaire. Lorsque le CPRA entrera en vigueur en 2023, cependant, il obligera les entreprises à soumettre une évaluation des risques des régulateurs (RRA) en ce qui concerne leur traitement des données personnelles.

Et puis eurêka ! Nous avons un autre virelangue - DPIA vs DPA vs RRA.

Comparer les exigences en matière de contrôle des données personnelles

Les droits d'acceptation et de désactivation de la CDPA pour les consommateurs ont le potentiel de déstabiliser davantage les spécialistes du marketing qui méprisent les virelangues (comme moi). Les droits de retrait dans le règlement de Virginie incluent le droit de refuser non seulement la vente de données personnelles (comme le CCPA), mais également la publicité ciblée et certaines activités de profilage des consommateurs. Les dispositions d'acceptation de la CDPA sur le consentement du consommateur sont également plus étendues que celles de la CCPA.

Cependant, le CPRA élargira sa portée en 2023 pour permettre aux Californiens de refuser le partage et l'utilisation de données personnelles sensibles à partir de 2023.

Et ne vous inquiétez pas si tout cela est trop difficile à gérer pour le moment. Google a déjà déterminé qu'il n'y aura plus de manigances de torsion de la langue à prendre en compte dans le jeu de désactivation des lois sur la confidentialité des États. Découvrez comment le mouvement de suivi anti-cookie de Google est bon pour la vie privée des consommateurs, et encore mieux pour Google.

Procureurs généraux ou procureurs généraux?

La réponse à cette question diffère selon que vous êtes aux États-Unis ou au Royaume-Uni. En anglais américain, les procureurs généraux sont la forme plurielle correcte. Les Britanniques préfèrent les procureurs généraux .

Heureusement, les différences entre le CDPA et le CCPA ne sont pas aussi compliquées en ce qui concerne la violation des sanctions.

En général, le CCPA et le CDPA prévoient une peine maximale de 7 500 $ par infraction. Et les deux lois exécutent l'exécution par le bureau du procureur général de leur État respectif. Cependant, une différence majeure est que le CDPA n'inclut pas de droit d'action privé, ce qui signifie que les résidents de Virginie ne peuvent pas poursuivre les entreprises pour violation du CDPA.

Combien coûte la mise en œuvre des outils technologiques de gestion des données nécessaires pour se conformer aux normes CDPA et CCPA ? L'IAPP estime 100 000 $.

Avec des budgets serrés et des ressources limitées pour exécuter pleinement toutes les exigences de confidentialité nécessaires, certaines entreprises peuvent décider de renoncer à faire des affaires en Virginie et en Californie pour éviter ce défi de conformité coûteux. De plus, la possibilité de perdre la confiance des clients augmente à chaque violation.

Quelle est la suite après le CDPA ?

Les dates d'entrée en vigueur de la CDPA et de la CPRA ne sont que dans deux ans. Les entreprises doivent commencer dès maintenant à évaluer leurs activités actuelles en matière de confidentialité des données, à identifier les lacunes potentielles et à travailler pour assurer la conformité.

Il est également vital pour les entreprises de garder un œil sur l'horizon. Au-delà de la Virginie et de la Californie, 15 gouvernements d'État travaillent actuellement sur des projets de lois sur la confidentialité des données.

Les entreprises déjà en conformité avec la CCPA sont bien placées pour s'attaquer à la conformité avec la CDPA et le monde tordu de la langue croissante des lois sur la confidentialité des États.

La vision globale : les risques liés au RGPD augmentent à mesure que les lois américaines sur la confidentialité des données se développent

L'UE a commencé à appliquer le RGPD il y a trois ans. À l'époque, le monde des affaires s'est demandé : les organismes d'application de la loi infligeraient-ils les sanctions sévères décrites dans le règlement ?

La réponse s'est déroulée sous la forme d'une augmentation progressive de la gravité. Les amendes ont augmenté de 40 % entre les 20 premiers mois d'application et les 20 mois suivants. Et en janvier 2021, les amendes GDPR avaient atteint un total de 245 millions de livres sterling (332 millions de dollars).

Pleins feux sur la gestion des données de consentement et de préférence

Toute cette activité réglementaire met en évidence le besoin commercial d'une solution flexible et évolutive de gestion des consentements et des préférences.

Avec la bonne technologie en place, les entreprises peuvent s'adapter rapidement à l'émergence de nouvelles réglementations. Cela contribue non seulement à réduire le risque de non-conformité, mais renforce également la confiance des clients et peut protéger la réputation de la marque.

Après tout, les dirigeants peuvent avoir des opinions différentes sur les virelangues, mais ils conviennent tous que faire la une des journaux pour avoir enfreint une réglementation sur la confidentialité des données est mauvais pour les affaires.