Loi sur la protection des données des consommateurs de l'Iowa

L’Iowa est devenu le sixième État à mettre en œuvre sa loi sur la protection des données des consommateurs lorsque le gouverneur Kim Reynolds a signé le projet de loi S.F. 262. Ce projet de loi a été adopté à l’unanimité par la Chambre et le Sénat de l’Iowa et entrera en vigueur le 1er janvier 2025. La loi sur la protection des données des consommateurs de l’Iowa ressemble à celle de l’Utah, l’Utah Consumer Privacy Act (UCPA), car toutes deux se concentrent sur la définition des données personnelles et offrent des protections similaires aux consommateurs.

Vue d’ensemble de la loi sur la protection des données des consommateurs de l’Iowa

Pour comprendre pleinement l’impact et les exigences de cette législation révolutionnaire, les organisations doivent être conscientes des points suivants :

Portée de la loi

La loi sur la protection des données des consommateurs de l’Iowa s’applique aux entreprises qui collectent, traitent ou stockent les données personnelles des résidents de l’Iowa. Ces entreprises doivent répondre à certains seuils pour relever de la juridiction de la loi, telles qu’avoir un chiffre d’affaires annuel de plus de 25 millions de dollars, traiter les données personnelles de 100 000 résidents de l’Iowa ou plus, ou tirer 50 % ou plus de leurs revenus annuels de la vente de données personnelles.

Définition des données personnelles

Les données personnelles, ou informations personnelles identifiables (PII), telles que définies par la loi sur la protection des données des consommateurs de l’Iowa, font référence à toute information pouvant être directement ou indirectement liée à un individu. Cela inclut, mais sans s’y limiter, les noms, adresses, adresses e-mail, numéros de téléphone, numéros de sécurité sociale et toute autre information pouvant être utilisée pour identifier une personne. La loi couvre également les données liées à un individu par d’autres points de données, tels que les adresses IP, les données de géolocalisation et l’historique de navigation.

Dispositions clés de la loi sur la protection des données des consommateurs de l’Iowa

Pour mieux comprendre les implications de cette législation, il est essentiel d’examiner les dispositions clés qui définissent les droits des consommateurs, décrivent les obligations des entreprises et établissent les mécanismes de mise en œuvre au sein de la loi sur la protection des données des consommateurs de l’Iowa.

Droits des consommateurs

La loi sur la protection des données des consommateurs de l’Iowa accorde plusieurs droits aux consommateurs pour renforcer leur contrôle sur leurs données. Ces droits sont similaires à ceux trouvés dans d’autres lois sur la confidentialité des États et le Règlement Général sur la Protection des Données (RGPD) de l’Union européenne. Certains de ceux que vous devez connaître incluent :

1. Droit d’accès

Les consommateurs ont le droit de demander l’accès aux données personnelles qu’une entreprise a collectées à leur sujet. Cela inclut les pièces d’information spécifiques, les sources à partir desquelles les données ont été collectées, les finalités de la collecte et du traitement des données, et tout tiers avec lequel les données ont été partagées. Les entreprises doivent répondre à de telles demandes dans les 45 jours et fournir les informations gratuitement, sauf si la demande est excessive ou répétitive.

2. Droit à la suppression

Les consommateurs ont le droit de demander qu’une entreprise supprime leurs données dans certaines circonstances, telles que lorsque les données ne sont plus nécessaires aux fins pour lesquelles elles ont été collectées ou traitées ou si le consommateur retire son consentement au traitement. Les entreprises doivent se conformer à une demande de suppression valide dans les 45 jours, sauf si une exception s’applique, comme une obligation légale de conserver les données ou si les données sont nécessaires pour compléter une transaction.

3. Droit à la portabilité des données

Les consommateurs peuvent demander des données dans un format couramment utilisé et lisible par machine pour les transférer à un autre fournisseur de services. Cela favorise l’interopérabilité des données et permet aux consommateurs de passer d’un fournisseur de services à un autre sans perdre leurs données. Les entreprises doivent satisfaire les demandes de portabilité des données dans les 45 jours et fournir les données gratuitement.

4. Droit de se désinscrire

Les consommateurs peuvent se désinscrire de la vente de leurs données à des tiers. Les entreprises doivent fournir une méthode claire et visible pour que les consommateurs exercent ce droit, tel qu’un lien “Ne vendez pas mes informations personnelles” sur leur site Web. Après avoir reçu une demande de désinscription valide, les entreprises doivent cesser de vendre les données du consommateur et s’abstenir de le faire pendant au moins 12 mois.

5. Droit à la non-discrimination

Les entreprises ne peuvent pas discriminer les consommateurs pour avoir exercé leurs droits en vertu de la loi. Cela signifie qu’elles ne peuvent pas facturer des prix plus élevés, fournir des services inférieurs ou refuser des biens et services aux consommateurs qui choisissent d’exercer leurs droits en matière de confidentialité. Cependant, les entreprises peuvent offrir des incitations ou des réductions aux consommateurs qui fournissent volontairement leurs données, tant que les motivations sont raisonnablement liées à la valeur des données fournies.

Obligations des entreprises

En plus d’accorder des droits aux consommateurs, la loi sur la protection des données des consommateurs de l’Iowa impose également plusieurs obligations aux entreprises qui collectent, traitent ou stockent des informations personnelles identifiables (PII). Ces obligations visent à garantir que les entreprises gèrent les données personnelles de manière responsable et transparente.

1. Transparence et notification

Les entreprises doivent fournir des avis de confidentialité clairs et facilement accessibles aux consommateurs, les informant des types de données personnelles collectées, des finalités pour lesquelles elles sont utilisées et de tout tiers avec lequel les données peuvent être partagées. L’avis de confidentialité doit également inclure des informations sur la manière dont les consommateurs peuvent exercer leurs droits en vertu de la loi. Cette exigence garantit que les consommateurs sont informés des pratiques de collecte et de traitement des données avant de partager leurs données.

2. Minimisation des données et limitation des finalités

Les entreprises doivent adhérer à la minimisation des données et aux limitations des finalités lors de la collecte et du traitement des données personnelles. Cela signifie qu’elles ne devraient collecter que les données nécessaires pour remplir les finalités spécifiques pour lesquelles elles ont été obtenues et ne pas les utiliser à des fins non liées. En limitant la collecte et l’utilisation des données personnelles, les entreprises peuvent minimiser le risque d’accès non autorisé, de violations de données et d’autres menaces pour la sécurité.

3. Sécurité des données

La loi sur la protection des données des consommateurs de l’Iowa exige que les entreprises mettent en place des mesures de sécurité raisonnables pour protéger les données personnelles contre l’accès, la divulgation ou la destruction non autorisés. Ces mesures peuvent inclure le double chiffrement, la pseudonymisation, les contrôles d’accès, et des évaluations régulières de la sécurité. En garantissant une sécurité des données robuste, les entreprises peuvent minimiser le risque de violation de données et maintenir la confiance des consommateurs.

4. Notification en cas de violation de données

En cas de violation de données compromettant la sécurité, la confidentialité ou l’intégrité des données personnelles, les entreprises doivent se conformer à des exigences spécifiques de notification pour s’assurer que les consommateurs affectés et les autorités compétentes sont informés rapidement. Les notifications suivantes sont obligatoires :

a. Notification aux consommateurs affectés

Les entreprises doivent notifier les consommateurs affectés 30 jours après la découverte de la violation. La notification doit inclure les éléments suivants :

• Détails de la violation
• Les types de données personnelles concernées
• Toutes les mesures prises par l’entreprise pour atténuer l’impact

Cette exigence garantit que les consommateurs sont informés des violations de données et peuvent prendre des mesures appropriées pour se protéger.

b. Notification au bureau du procureur général de l’Iowa

En plus de notifier les consommateurs affectés, les entreprises doivent signaler les violations de données au bureau du procureur général de l’Iowa dans le même délai de 30 jours. Ce rapport doit inclure une description de l’infraction, le nombre de consommateurs affectés, les types de données personnelles compromis, et toutes les mesures prises par l’entreprise pour remédier à la violation. Signaler au bureau du procureur général permet une supervision appropriée et aide les autorités à surveiller les tendances des violations de données et à appliquer la loi.

c. Communication continue avec les consommateurs affectés

Les entreprises doivent maintenir une communication continue avec les consommateurs affectés pour fournir des mises à jour sur la violation de données et toute autre mesure qu’ils peuvent prendre pour protéger leurs informations personnelles. Cela peut inclure l’offre de services de protection contre le vol d’identité ou l’assistance aux consommateurs pour placer un gel de crédit sur leurs comptes.

d. Plan de réponse en cas de violation de données

Les entreprises doivent avoir un plan de réponse en cas de violation de données complet en place. Ce plan doit détailler les étapes à suivre après la découverte d’une violation, y compris l’identification de la cause, la contenance de la violation, la notification aux consommateurs et aux autorités affectés, et la mise en œuvre de mesures pour prévenir de futures violations.

5. Délégué à la protection des données

Les entreprises soumises à la loi sur la protection des données des consommateurs de l’Iowa peuvent être tenues de nommer un Délégué à la Protection des Données (DPO) si leurs activités principales impliquent un traitement à grande échelle de données personnelles sensibles ou un suivi régulier et systématique des consommateurs. Le DPO supervise les activités de protection des données au sein de l’organisation et garantit la conformité à la loi. En ayant un DPO dédié, les entreprises peuvent mieux gérer leurs responsabilités en matière de protection des données et minimiser le risque de non-conformité.

Application et pénalités

Le procureur général de l’Iowa applique la loi sur la protection des données des consommateurs de l’Iowa. Les entreprises reconnues coupables de violation de la loi peuvent faire face à des pénalités, y compris des amendes allant jusqu’à 7 500 $ par violation. De plus, les consommateurs peuvent demander des dommages-intérêts statutaires par le biais de poursuites privées si leurs droits en vertu de la loi ont été violés.

Comparaison avec d’autres lois étatiques sur la vie privée

Bien que la loi sur la protection des données des consommateurs de l’Iowa partage des similitudes avec d’autres lois étatiques sur la vie privée, telles que l’Acte de Protection de la Vie Privée des Consommateurs de Californie (CCPA) et l’Acte de Protection des Données des Consommateurs de Virginie (VCDPA), il existe des différences notables. Certaines de ces différences incluent ce qui suit :

1. Consentement préalable pour les données sensibles

Contrairement au CCPA, qui exige que les entreprises obtiennent un consentement d’opt-out pour la vente d’informations personnelles, la loi sur la protection des données des consommateurs de l’Iowa exige que les entreprises obtiennent une autorisation préalable avant de traiter des données sensibles. Les données sensibles incluent les informations relatives à la race, l’ethnie, la religion, l’orientation sexuelle, les données biométriques et les informations de santé.

2. Pas de droit d’action privé pour les violations générales

Alors que le CCPA permet aux consommateurs de déposer des poursuites privées pour des violations générales de la loi, la loi sur la protection des données des consommateurs de l’Iowa limite le droit d’action privé aux cas impliquant un accès ou une divulgation non autorisés de données personnelles non chiffrées, non rédigées en raison de l’échec d’une entreprise à maintenir des mesures de sécurité raisonnables.

3. Évaluations de la protection des données

Contrairement au VCDPA, la loi sur la protection des données des consommateurs de l’Iowa n’exige pas que les entreprises effectuent des évaluations de la protection des données pour les activités de traitement à haut risque. Cependant, les entreprises sont toujours censées maintenir des registres de leurs activités de traitement de données et mettre en œuvre des mesures de sécurité raisonnables pour protéger les données personnelles.

Kiteworks affiche une longue liste de réalisations en matière de conformité et de certification.

Se préparer à la conformité avec la loi sur la protection des données des consommateurs de l’Iowa

Les entreprises relevant de la juridiction de la loi sur la protection des données des consommateurs de l’Iowa devraient commencer à se préparer à la conformité bien avant la date d’entrée en vigueur de la loi. Certaines étapes que les entreprises peuvent prendre pour garantir la conformité incluent :

1. Effectuer un inventaire des données pour identifier les types de données personnelles collectées, traitées et stockées et dans quel but les données sont utilisées
2. Revoir et mettre à jour les politiques et avis de confidentialité pour s’assurer qu’ils décrivent avec précision les pratiques de données de l’entreprise et informent les consommateurs de leurs droits en vertu de la loi
3. Mettre en place rapidement des processus pour répondre aux demandes des consommateurs, telles que les demandes d’accès, de suppression et d’opt-out
4. Évaluer et améliorer les mesures de sécurité des données pour protéger les données personnelles contre l’accès, la divulgation ou la destruction non autorisés
5. Former les employés sur les exigences de la loi sur la protection des données des consommateurs de l’Iowa et l’importance de la confidentialité et de la sécurité des données

Comment Kiteworks peut vous aider à vous préparer à la loi sur la protection des données des consommateurs de l’Iowa

Le réseau de contenu privé (PCN) de Kiteworks permet aux organisations de démontrer leur conformité avec les réglementations sur la protection des données personnelles comme la loi sur la protection des données des consommateurs de l’Iowa. Kiteworks unifie, suit, contrôle et sécurise les communications de contenu sensible—messagerie électronique, partage de fichiers, transfert de fichiers géré (MFT), formulaires Web et interfaces de programmation d’applications (API). Cela inclut un journal d’audit complet utilisé pour suivre et rapporter qui accède au contenu sensible, qui le modifie, à qui il est envoyé ou partagé et s’ils l’ont ouvert, et où il est envoyé et partagé.

Certaines des fonctions que les clients de Kiteworks trouvent utiles incluent :

Cartographie des données

Comprenez où les données personnelles sont stockées à travers les systèmes et l’infrastructure de votre organisation.

Contrôle d’accès

Implémentez des contrôles d’accès au contenu sécurisé pour garantir que seules les personnes autorisées peuvent accéder aux données personnelles.

Surveillance des activités

Suivez l’activité des utilisateurs et maintenez un journal d’audit des activités de traitement des données, des demandes des consommateurs et des réponses.

Chiffrement des données

Sécurisez les données personnelles avec un chiffrement fort, incluant le double chiffrement et la passerelle de protection des e-mails de Kiteworks (EPG) qui rend le chiffrement des e-mails invisible pour les utilisateurs finaux.

Rapports de conformité automatisés

Facilitez le reporting de conformité réglementaire en automatisant la génération de documentation et de rapports requis.

Pour plus d’informations sur comment Kiteworks peut aider votre organisation à se conformer à la loi sur la protection des données des consommateurs de l’Iowa et à d’autres réglementations sur la protection des données, planifiez une démo personnalisée dès aujourd’hui.

Retour au glossaire sur les risques & la conformité