Tennessee Information Protection Act (TIPA)

La Tennessee Information Protection Act (TIPA) a été promulguée le 11 mai 2023 et entre en vigueur le 1er juillet 2025. Le Tennessee rejoint le nombre croissant d'États américains adoptant une législation complète sur la protection des données personnelles des consommateurs.

Qu'est-ce que la TIPA ?

La TIPA accorde aux résidents du Tennessee des droits sur leurs données personnelles et impose des obligations aux entreprises qui collectent ou traitent ces données. La loi suit le modèle de refus (opt-out) pour les données personnelles générales et exige un consentement explicite (opt-in) avant le traitement des données sensibles. Une caractéristique notable est sa clause de protection (safe harbor) pour les entreprises qui maintiennent un programme de confidentialité conforme au NIST Privacy Framework.

À qui s'applique la TIPA ?

La TIPA s'applique aux entreprises qui exercent leurs activités au Tennessee ou qui proposent des produits ou services destinés aux résidents du Tennessee, et qui au cours de l'année civile précédente avaient un chiffre d'affaires annuel d'au moins 25 millions de dollars, et qui ont soit :

• Contrôlé ou traité les données personnelles d'au moins 175 000 consommateurs ; ou
• Contrôlé ou traité les données personnelles d'au moins 25 000 consommateurs et tiré plus de 50 % de leur chiffre d'affaires brut de la vente de données personnelles.

Droits des consommateurs en vertu de la TIPA

Les résidents du Tennessee ont droit à :

• Droit d'accès : confirmer si une entreprise traite leurs données personnelles et en demander une copie
• Droit de rectification : demander la correction de données personnelles inexactes
• Droit de suppression : demander la suppression de leurs données personnelles
• Droit à la portabilité des données : obtenir une copie portable de leurs données personnelles
• Droit de refus : refuser la publicité ciblée, la vente de données personnelles et le profilage pour des décisions significatives
• Droit de recours : contester le refus d'une entreprise de répondre à une demande d'exercice de droits

Les entreprises doivent répondre aux demandes vérifiées des consommateurs dans un délai de 45 jours, prolongeable de 45 jours supplémentaires lorsque cela est raisonnablement nécessaire.

Données sensibles

Le traitement des données sensibles nécessite le consentement explicite (opt-in) des consommateurs. Les données sensibles au sens de la TIPA comprennent l'origine raciale ou ethnique, les croyances religieuses, l'état de santé mentale ou physique ou le diagnostic, l'orientation sexuelle, la citoyenneté ou le statut migratoire, les données génétiques ou biométriques traitées pour identifier de manière unique un individu, les données de géolocalisation précise et les données personnelles d'enfants identifiés comme tels.

Clause de protection NIST Privacy Framework

Une caractéristique unique de la TIPA est sa clause de protection (safe harbor). Les entreprises qui créent, maintiennent et respectent un programme écrit de protection de la vie privée raisonnablement conforme au NIST Privacy Framework bénéficient d'un moyen de défense affirmatif contre les allégations de violations. Cela incite les entreprises à adopter des bonnes pratiques reconnues en matière de protection de la vie privée.

Application de la loi

Le procureur général du Tennessee est chargé de l'application de la TIPA. Il n'existe pas de droit d'action privé. Les entreprises disposent d'un délai de correction de 60 jours après réception d'un avis de violation. Des sanctions civiles pouvant atteindre 7 500 $ par violation peuvent être imposées. En cas de violations délibérées ou intentionnelles, des dommages triples (trois fois la sanction civile) peuvent être accordés.

Comment UniConsent facilite la conformité à la TIPA

UniConsent fournit les outils dont les entreprises ont besoin pour répondre aux exigences de la TIPA :

• Bannières de consentement opt-out et opt-in configurables par État
• Reconnaissance du signal Global Privacy Control (GPC)
• Gestion des demandes d'exercice des droits des consommateurs
• Flux de consentement pour les données sensibles
• Intégration avec les sites web, les applications mobiles et les gestionnaires de balises

Commencez avec UniConsent ou découvrez nos fonctionnalités.

Autres lois américaines sur la protection de la vie privée

• CCPA : California Consumer Privacy Act, en savoir plus sur CCPA
• CPRA : California Privacy Rights Act, en savoir plus sur CPRA
• CPA : Colorado Privacy Act, en savoir plus sur CPA
• VCDPA : Virginia Consumer Data Protection Act, en savoir plus sur VCDPA
• UCPA : Utah Consumer Privacy Act, en savoir plus sur UCPA
• CTDPA : Connecticut Data Protection Act, en savoir plus sur CTDPA
• TDPSA : Texas Data Privacy and Security Act, en savoir plus sur TDPSA
• DPDPA : Delaware Personal Data Privacy Act, en savoir plus sur DPDPA
• NHPA : New Hampshire Privacy Act, en savoir plus sur NHPA
• MTCDPA : Montana Consumer Data Privacy Act, en savoir plus sur MTCDPA
• FDBR : Florida Digital Bill of Rights, en savoir plus sur FDBR
• NJDPA : New Jersey Data Protection Act, en savoir plus sur NJDPA
• INCDPA : Indiana Consumer Data Protection Act, en savoir plus sur INCDPA
• ICDPA : Iowa Consumer Data Protection Act, en savoir plus sur ICDPA
• MODPA : Maryland Online Data Privacy Act, en savoir plus sur MODPA
• MNCDPA : Minnesota Consumer Data Privacy Act, en savoir plus sur MNCDPA
• NDPA : Nebraska Data Privacy Act, en savoir plus sur NDPA
• OCPA : Oregon Consumer Privacy Act, en savoir plus sur OCPA
• RIDTPPA : Rhode Island Data Transparency and Privacy Protection Act, en savoir plus sur RIDTPPA

Comparez les différentes lois américaines sur la protection de la vie privée