Texas Data Privacy and Security Act (TDPSA)

Le Texas Data Privacy and Security Act (TDPSA) est entré en vigueur le 1er juillet 2024, faisant du Texas l'un des plus grands États américains à adopter une législation complète sur la protection de la vie privée. Si votre entreprise collecte ou traite les données personnelles de résidents du Texas, voici ce que vous devez savoir.

Qu'est-ce que le TDPSA ?

Le TDPSA établit un cadre régissant la manière dont les entreprises doivent traiter les données personnelles des Texans. Contrairement à certaines lois étatiques américaines sur la vie privée, il ne fixe pas de seuil de chiffre d'affaires ou de volume de données ; la plupart des entités commerciales qui traitent des données personnelles et exercent leurs activités au Texas sont concernées.

La loi accorde aux consommateurs des droits sur leurs données, exige des entreprises qu'elles soient transparentes quant à leurs pratiques en matière de données, et impose des mécanismes de désinscription pour la publicité ciblée, la vente de données et certaines activités de profilage. Les responsables de traitement doivent répondre aux demandes des consommateurs dans un délai de 45 jours, prolongeable de 45 jours supplémentaires si cela est raisonnablement nécessaire.

À qui s'applique le TDPSA ?

Le TDPSA s'applique aux entreprises qui exercent leurs activités au Texas ou proposent des produits ou services aux résidents du Texas, et qui traitent des données personnelles dans le cadre de cette activité. Il n'y a pas de seuil minimum de chiffre d'affaires ou de nombre de consommateurs.

Des exemptions s'appliquent aux agences de l'État du Texas, aux institutions financières réglementées par le Gramm-Leach-Bliley Act, aux entités couvertes par la HIPAA et à leurs partenaires commerciaux, ainsi qu'aux organisations à but non lucratif. Les établissements d'enseignement supérieur et certaines données liées à l'emploi sont également exclus. Les petites entreprises telles que définies par la US Small Business Administration sont exemptées, à condition qu'elles ne vendent pas de données sensibles.

Droits des consommateurs en vertu du TDPSA

Les résidents du Texas peuvent exercer les droits suivants auprès des entreprises couvertes par la loi :

• Droit d'accès : confirmer si une entreprise traite leurs données personnelles et en demander une copie
• Droit de rectification : demander la correction de données personnelles inexactes
• Droit de suppression : demander la suppression des données personnelles fournies par le consommateur ou collectées à son sujet
• Droit à la portabilité des données : recevoir une copie de leurs données personnelles dans un format portable et exploitable
• Droit de désinscription : refuser la vente de leurs données personnelles, la publicité ciblée et le profilage utilisé pour des décisions ayant des effets juridiques ou similaires significatifs

Les entreprises doivent répondre aux demandes vérifiées dans un délai de 45 jours. Si une entreprise refuse une demande, le consommateur peut faire appel, et l'entreprise doit répondre à l'appel dans un délai de 60 jours.

Exigences de désinscription

Le TDPSA exige des entreprises qu'elles offrent aux consommateurs un moyen clair et accessible de se désinscrire de trois activités spécifiques : la vente de données personnelles, la publicité ciblée et le profilage produisant des décisions ayant des effets juridiques significatifs.

Les entreprises étaient également tenues de reconnaître les signaux universels de désinscription (y compris le Global Privacy Control) avant le 1er janvier 2025. Cela signifie que si le navigateur d'un utilisateur envoie un signal GPC, l'entreprise doit le traiter comme une demande de désinscription valide sans exiger du consommateur aucune action supplémentaire.

Données sensibles et consentement préalable

Le traitement de données sensibles en vertu du TDPSA nécessite un consentement préalable explicite avant tout traitement. La loi définit les données sensibles comme l'origine raciale ou ethnique, les croyances religieuses, un diagnostic de santé mentale ou physique, l'orientation sexuelle ou le statut de citoyenneté ; les données génétiques ou biométriques traitées pour identifier de manière unique un individu ; les données personnelles d'un enfant connu de moins de 13 ans ; et les données de géolocalisation précise (dans un rayon de 1 750 pieds).

Ce dispositif est plus strict que le régime de désinscription par défaut qui s'applique à la plupart des données personnelles en vertu de la loi, et exige un mécanisme de consentement affirmatif avant le début de tout traitement de données sensibles.

Évaluations de la protection des données

Les responsables de traitement doivent réaliser des évaluations de la protection des données avant d'entreprendre des activités de traitement présentant un risque accru, notamment :

• La publicité ciblée
• La vente de données personnelles
• Le traitement de données sensibles
• Le profilage lorsqu'il existe un risque raisonnablement prévisible de préjudice pour les consommateurs
• Tout autre traitement présentant un risque accru de préjudice pour les consommateurs

Ces évaluations n'ont pas besoin d'être publiées, mais doivent être mises à disposition du procureur général du Texas sur demande. Aucun format spécifique n'est requis, mais l'évaluation doit documenter l'objectif du traitement, les avantages pondérés par rapport aux risques, et les mesures de protection mises en place.

Cookies et suivi en vertu du TDPSA

Les cookies et les technologies de suivi qui collectent des données personnelles entrent dans le champ d'application du TDPSA lorsqu'ils sont utilisés pour la publicité ciblée ou la vente de données. Les adresses IP, les identifiants d'appareils, le comportement de navigation et les données de localisation peuvent tous constituer des données personnelles au sens de la loi.

Les entreprises qui s'appuient sur des technologies publicitaires tierces doivent vérifier quels fournisseurs reçoivent des données personnelles et s'assurer que les mécanismes de désinscription s'étendent à ces flux de données, et pas seulement à la collecte de première partie. Une évaluation de la protection des données est probablement requise pour toute activité de publicité ciblée.

Utilisez le UniConsent Cookie Consent Manager pour gérer les préférences de désinscription et la reconnaissance des signaux universels de désinscription auprès de votre audience texane.

Comment UniConsent facilite la conformité au TDPSA

UniConsent fournit l'infrastructure de gestion du consentement et des préférences dont les entreprises ont besoin pour satisfaire aux exigences du TDPSA :

• Bannières de consentement opt-out et opt-in configurables par juridiction
• Reconnaissance du signal Global Privacy Control (GPC)
• Gestion des demandes d'exercice des droits des consommateurs (accès, rectification, suppression, portabilité)
• Accompagnement et documentation des évaluations de la protection des données
• Intégration avec les sites web, les applications mobiles et les gestionnaires de balises

Découvrez les outils de conformité d'UniConsent ou commencez avec un compte gratuit.