Alabama Personal Data Protection Act (APDPA)

L'Alabama Personal Data Protection Act (APDPA) a été promulguée et entrera en vigueur le 1er mai 2027. L'Alabama rejoint ainsi la liste croissante des États américains ayant adopté une législation complète sur la protection des données personnelles des consommateurs.

Qu'est-ce que l'APDPA ?

L'APDPA accorde aux résidents de l'Alabama des droits sur leurs données personnelles et impose des obligations aux entreprises qui collectent ou traitent ces données. La loi suit le modèle de retrait (opt-out) pour les données personnelles générales et exige un consentement préalable (opt-in) avant le traitement des données sensibles.

À qui s'applique l'APDPA ?

L'APDPA s'applique aux entreprises qui exercent des activités en Alabama ou ciblent des produits ou services destinés aux résidents de l'Alabama, et qui, au cours de l'année civile précédente, ont :

• Contrôlé ou traité les données personnelles de plus de 25 000 consommateurs (à l'exclusion des données traitées uniquement pour finaliser une transaction de paiement) ; ou
• Tiré plus de 25 % de leur chiffre d'affaires brut de la vente de données personnelles.

La loi prévoit des exemptions pour les petites entreprises. Les entreprises comptant moins de 500 employés qui ne vendent pas de données personnelles sont généralement exemptées, tout comme les organisations à but non lucratif de moins de 100 employés qui ne vendent pas de données personnelles.

Droits des consommateurs sous l'APDPA

Les résidents de l'Alabama disposent des droits suivants :

• Droit de confirmation : confirmer si une entreprise traite leurs données personnelles
• Droit d'accès : demander une copie des données personnelles détenues à leur sujet par une entreprise
• Droit de rectification : demander la correction de données personnelles inexactes
• Droit à l'effacement : demander la suppression de leurs données personnelles
• Droit à la portabilité des données : obtenir une copie portable de leurs données personnelles dans un format facilement exploitable
• Droit d'opposition : s'opposer à la publicité ciblée, à la vente de données personnelles et au profilage automatisé utilisé pour prendre des décisions importantes
• Droit de recours : faire appel du refus d'une entreprise de répondre à une demande d'exercice des droits

Les entreprises doivent répondre aux demandes vérifiées des consommateurs dans un délai de 45 jours, avec une prolongation possible de 45 jours lorsque cela s'avère raisonnablement nécessaire.

Données sensibles

Le traitement des données sensibles nécessite un consentement préalable (opt-in) des consommateurs. Les données sensibles au sens de l'APDPA comprennent :

• L'origine raciale ou ethnique
• Les convictions religieuses
• Les affections ou diagnostics de santé mentale ou physique
• L'orientation sexuelle ou l'identité de genre
• Les données biométriques traitées pour identifier une personne de manière unique
• Les données de géolocalisation précise (dans un rayon de 1 750 pieds)
• Les données personnelles de consommateurs connus pour avoir moins de 13 ans (selon une norme d'enfant connu conforme au COPPA)

Application de la loi

Le procureur général de l'Alabama dispose d'une compétence exclusive pour faire appliquer l'APDPA. Il n'existe aucun droit d'action privé. Les entreprises bénéficient d'un délai de mise en conformité de 45 jours après notification d'une violation, avant que le procureur général ne puisse engager une action. Des sanctions civiles pouvant aller jusqu'à 15 000 $ par violation peuvent être imposées pour les violations non corrigées dans ce délai.

Caractéristiques notables de l'APDPA

L'APDPA présente plusieurs caractéristiques qui la distinguent des lois d'autres États comparables :

• Aucune obligation d'analyse d'impact relative à la protection des données (DPIA), contrairement à la Virginie, au Colorado et au Connecticut
• Une définition étroite de la « vente », exigeant un avantage matériel pour le responsable du traitement et une utilisation ultérieure sans restriction par le destinataire, ce qui peut exclure certains dispositifs d'analyse et de marketing
• Un seuil d'âge de 13 ans pour l'exigence de consentement préalable relative aux données sensibles des enfants, inférieur aux seuils de 16 ou 18 ans appliqués dans certains autres États ; de plus, l'APDPA exige un consentement préalable avant de vendre les données personnelles de consommateurs âgés de 13 à 15 ans, ou de les utiliser à des fins de publicité ciblée
• Des exemptions pour les petites entreprises plus généreuses que dans de nombreuses lois d'États comparables

Comment UniConsent facilite la conformité à l'APDPA

UniConsent fournit les outils dont les entreprises ont besoin pour répondre aux exigences de l'APDPA :

• Bannières de consentement opt-out et opt-in configurables par État
• Reconnaissance du signal Global Privacy Control (GPC)
• Gestion des demandes d'exercice des droits des consommateurs
• Flux de consentement pour les données sensibles
• Intégration avec les sites web, applications mobiles et gestionnaires de balises

Commencez avec UniConsent ou découvrez nos fonctionnalités.

Autres lois de protection de la vie privée des États américains

• CCPA : California Consumer Privacy Act, en savoir plus sur CCPA
• CPRA : California Privacy Rights Act, en savoir plus sur CPRA
• CPA : Colorado Privacy Act, en savoir plus sur CPA
• VCDPA : Virginia Consumer Data Protection Act, en savoir plus sur VCDPA
• UCPA : Utah Consumer Privacy Act, en savoir plus sur UCPA
• CTDPA : Connecticut Data Protection Act, en savoir plus sur CTDPA
• TDPSA : Texas Data Privacy and Security Act, en savoir plus sur TDPSA
• DPDPA : Delaware Personal Data Privacy Act, en savoir plus sur DPDPA
• NHPA : New Hampshire Privacy Act, en savoir plus sur NHPA
• MTCDPA : Montana Consumer Data Privacy Act, en savoir plus sur MTCDPA
• FDBR : Florida Digital Bill of Rights, en savoir plus sur FDBR
• NJDPA : New Jersey Data Protection Act, en savoir plus sur NJDPA
• INCDPA : Indiana Consumer Data Protection Act, en savoir plus sur INCDPA
• KCDPA : Kentucky Consumer Data Protection Act, en savoir plus sur KCDPA

Comparez les différentes lois de protection de la vie privée des États américains