New Jersey Data Protection Act (NJDPA)

La New Jersey Data Protection Act (NJDPA) a été promulguée le 16 janvier 2024 et entre en vigueur le 15 janvier 2025. Le New Jersey est devenu l'un des États américains les plus peuplés à adopter une législation complète sur la protection des données personnelles des consommateurs.

Qu'est-ce que la NJDPA ?

La NJDPA accorde aux résidents du New Jersey des droits sur leurs données personnelles et impose des obligations aux entreprises qui collectent ou traitent ces données. La loi suit le modèle de refus (opt-out) pour les données personnelles générales et exige un consentement explicite (opt-in) pour le traitement des données sensibles.

À qui s'applique la NJDPA ?

La NJDPA s'applique aux entreprises qui exercent leurs activités au New Jersey ou qui proposent des produits ou services destinés aux résidents du New Jersey, et qui au cours de l'année civile précédente ont soit :

• Contrôlé ou traité les données personnelles d'au moins 100 000 consommateurs (hors données traitées uniquement pour des transactions de paiement) ; ou
• Contrôlé ou traité les données personnelles d'au moins 25 000 consommateurs et tiré un quelconque revenu de la vente de données personnelles.

Droits des consommateurs en vertu de la NJDPA

Les résidents du New Jersey ont droit à :

• Droit d'accès : confirmer si une entreprise traite leurs données personnelles et en demander une copie
• Droit de rectification : demander la correction de données personnelles inexactes
• Droit de suppression : demander la suppression de leurs données personnelles
• Droit à la portabilité des données : obtenir une copie portable de leurs données personnelles
• Droit de refus : refuser la publicité ciblée, la vente de données personnelles et le profilage pour des décisions significatives
• Droit de recours : contester le refus d'une entreprise de répondre à une demande d'exercice de droits

Les entreprises doivent répondre aux demandes vérifiées des consommateurs dans un délai de 45 jours, prolongeable de 45 jours supplémentaires lorsque cela est raisonnablement nécessaire.

Données sensibles

Le traitement des données sensibles nécessite le consentement explicite (opt-in) des consommateurs. Les données sensibles au sens de la NJDPA comprennent l'origine raciale ou ethnique, les croyances religieuses, l'état de santé mentale ou physique, le traitement ou le diagnostic, la vie sexuelle, l'orientation sexuelle, le statut de personne transgenre ou non binaire, la citoyenneté ou le statut migratoire, les données génétiques ou biométriques traitées pour identifier de manière unique un individu, les données de géolocalisation précise, les données personnelles d'enfants identifiés comme tels, et les informations financières (y compris les numéros de compte, les identifiants de connexion et les numéros de carte de crédit ou de débit combinés avec des codes d'accès). L'inclusion des informations financières en tant que données sensibles est unique au New Jersey parmi les lois étatiques américaines sur la protection de la vie privée.

Signaux de refus

La NJDPA exige des responsables de traitement qu'ils reconnaissent les signaux de refus universels, tels que le Global Privacy Control (GPC), comme des demandes de refus valides des consommateurs. Cela signifie que les entreprises doivent honorer les signaux de refus émis au niveau du navigateur sans exiger d'action supplémentaire de la part du consommateur.

Application de la loi

Le procureur général du New Jersey est chargé de l'application de la NJDPA. Il n'existe pas de droit d'action privé. Les entreprises disposent d'un délai de correction de 30 jours après réception d'un avis de violation jusqu'au 15 juillet 2026 (18 mois après la date d'entrée en vigueur de la loi) ; après cette date, le procureur général peut agir directement sans étape de correction obligatoire. Les violations constituent des infractions au New Jersey Consumer Fraud Act, entraînant des sanctions civiles pouvant atteindre 10 000 $ pour une première violation et jusqu'à 20 000 $ pour chaque violation ultérieure.

Comment UniConsent facilite la conformité à la NJDPA

UniConsent fournit les outils dont les entreprises ont besoin pour répondre aux exigences de la NJDPA :

• Bannières de consentement opt-out et opt-in configurables par État
• Reconnaissance du signal Global Privacy Control (GPC)
• Gestion des demandes d'exercice des droits des consommateurs
• Flux de consentement pour les données sensibles
• Intégration avec les sites web, les applications mobiles et les gestionnaires de balises

Commencez avec UniConsent ou découvrez nos fonctionnalités.

Autres lois américaines sur la protection de la vie privée

• CCPA : California Consumer Privacy Act, en savoir plus sur CCPA

• CPRA : California Privacy Rights Act, en savoir plus sur CPRA

• CPA : Colorado Privacy Act, en savoir plus sur CPA

• VCDPA : Virginia Consumer Data Protection Act, en savoir plus sur VCDPA

• UCPA : Utah Consumer Privacy Act, en savoir plus sur UCPA

• CTDPA : Connecticut Data Protection Act, en savoir plus sur CTDPA

• TDPSA : Texas Data Privacy and Security Act, en savoir plus sur TDPSA

• DPDPA : Delaware Personal Data Privacy Act, en savoir plus sur DPDPA

• NHPA : New Hampshire Privacy Act, en savoir plus sur NHPA

• MTCDPA : Montana Consumer Data Privacy Act, en savoir plus sur MTCDPA

• FDBR : Florida Digital Bill of Rights, en savoir plus sur FDBR

Comparez les différentes lois américaines sur la protection de la vie privée