Un projet de loi fédéral sur la protection de la vie privée qui prévaudrait sur les lois des États sur la protection de la vie privée fait face à un avenir incertain

Une nouvelle loi nationale sur la protection de la vie privée promettant aux Américains bon nombre des mêmes droits à la vie privée des consommateurs que le règlement général sur la protection des données (RGPD) de l'Union européenne fait son chemin au Congrès américain. Cependant, le projet de loi proposé ne respecte pas les protections de la confidentialité des données déjà inscrites dans les lois et réglementations nationales existantes en matière de confidentialité.

L'objectif de la législation fédérale est de fournir une base nationale unique pour la confidentialité des données pour les consommateurs tout en assurant la surveillance gouvernementale et l'application par le Federal Trade Commission (FTC). En réalité, la proposition Loi américaine sur la confidentialité et la protection des données ne respecte pas les critères fixés dans le Loi sur la protection des consommateurs en Californie (CCPA) de 2018, ou en remplacement Loi californienne sur les droits à la vie privée (CPRA), qui entrera en vigueur le 1er janvier 2023, selon les critiques.

La loi relèverait de la compétence du Federal Trade Commission (FTC), ce qui signifie qu'il ne couvre que les questions déjà traitées par la FTC. Il s'agit notamment de la fraude à la consommation, du vol d'identité, de la vie privée des enfants et de certains problèmes de cybersécurité.

Nancy Pelosi, une représentante californienne qui, en tant que présidente de la Chambre, a le pouvoir d'empêcher le projet de loi d'atteindre le parquet de la Chambre pour un vote, a publié une déclaration
le 1er septembre, notant que "la loi américaine sur la confidentialité et la protection des données ne garantit pas les mêmes protections essentielles des consommateurs que les lois californiennes existantes sur la confidentialité". Sa déclaration est interprétée par des experts comme signifiant qu'elle ne soutiendra pas le projet de loi sans un nouveau langage de préemption pour protéger les lois californiennes, et le tuerait plutôt que de le soumettre à un vote.

Dans une lettre ouverte aux dirigeants du Congrès, 10 procureurs généraux représentant les États qui ont actuellement des lois sur la confidentialité ont encouragé le Congrès à adopter une législation qui ne fixe qu'une base de référence pour la confidentialité. «Nous encourageons le Congrès à adopter une législation qui fixe un plancher fédéral, et non un plafond, pour les droits critiques à la vie privée et respecte le travail important déjà entrepris par les États pour fournir de solides protections de la vie privée à nos résidents», ont-ils écrit. Ils ont cité les bases de référence fédérales existantes pour d'autres lois, y compris les protections existantes de la vie privée des consommateurs, la vie privée des enfants et la confidentialité de la santé, et HIPAA. "Tout cadre fédéral de confidentialité doit laisser aux États la possibilité de légiférer en fonction des changements dans la technologie et les pratiques de collecte de données", ont écrit les procureurs généraux dans la lettre. "C'est parce que les États sont mieux équipés pour s'adapter rapidement aux défis présentés par l'innovation technologique qui peuvent échapper à la surveillance fédérale."

L'Electronic Frontier Foundation a également a envoyé une lettre au représentant Frank Pallone, président du comité de la Chambre sur l'énergie et le commerce et parrain du projet de loi, demandant que les dispositions du projet de loi fédéral soient renforcées et que la préemption des projets de loi sur la confidentialité des États soit éliminée. La loi sur la confidentialité des informations de l'Illinois, la CCPA et la loi sur les courtiers en données du Vermont protègent déjà les consommateurs, et d'autres États étudient des propositions similaires. "Bien que l'EFF soutienne la législation fédérale qui protège réellement la confidentialité des données des consommateurs, nous nous y opposons depuis longtemps si le prix est la préemption de lois étatiques plus strictes", a écrit l'EFF dans la lettre.

La Californie s'oppose aux protections affaiblies

Le projet de loi a également suscité de vives critiques de la part de la Californie, où la California Privacy Protection Agency a publié un mémorandum qui recommande à la délégation du Congrès californien, qui représente 12 % de la Chambre des représentants, de s'opposer au projet de loi.

Les législateurs californiens et les responsables de l'État citent plusieurs domaines dans lesquels ils affirment que la loi fédérale réduirait les protections de la vie privée actuellement fournies par les lois des États existantes. Celles-ci incluent la réduction des protections de la vie privée pour les personnes qui consultent des services liés à l'avortement et la santé mentale des adolescents.

Le projet de loi fédéral, tel qu'il est actuellement rédigé, ne permet pas à la Californie de recouvrer les sanctions pécuniaires associées à son application de la loi fédérale. En revanche, le CCPA autorise actuellement le recouvrement de sanctions importantes pour les violations de la loi de l'État.

Autres modifications que l'ADPPA apporterait à la Californie, actuellement couverte par le CCPA :

• Suppression de la désactivation actuelle de la prise de décision automatisée
• Remplacer la définition californienne de Des renseignements personnels avec une définition de données couvertes qui n'inclut pas certaines "données dérivées et identifiants uniques" en vertu de la loi californienne
• Suppression de certaines protections concernant l'absence de représailles pour l'exercice du droit à la vie privée
• Ajout d'une exigence d'authentification des demandes de désactivation globales - La loi californienne oblige les entreprises à respecter les signaux de confidentialité du navigateur en tant que désactivation, tandis que l'ADPPA exige une acceptation explicite pour les catégories sensibles

Debbie Reynolds, experte mondiale en matière de confidentialité et de protection des données et PDG et responsable de la confidentialité de Debbie Reynolds Consulting, affirme que le projet de loi fédéral limite les droits à la confidentialité uniquement au consommateur initial d'un appareil. Par exemple, si un assistant numérique, tel qu'Alexa, se trouve dans un bureau, seule la société qui a acheté le service Alexa verra sa vie privée protégée. Tout employé se trouvant au-dessus de l'appareil et discutant d'informations privées ne serait pas protégé par la loi puisqu'il n'était pas le consommateur du service de l'appareil.

Fiona Campbell-Webster, responsable de la confidentialité chez MediaMath et ancienne conseillère juridique en chef et responsable mondiale de la protection des données de Beeswax, une application SaaS acquise par Comcast, affirme qu'il y a des conséquences réelles.

"Je pense que nous devons être conscients, avant que ces lois ne soient finalisées, de ce que cela signifiera pour l'expérience de consommation de contenu d'interaction sur Internet", dit-elle. "Les inquiétudes concernant … les conséquences involontaires des grandes plates-formes contrôlant finalement tout."

Elle prévient que la vie privée a un prix. "Je pense que ce serait vraiment dommage de voir un monde où nous étions pénalisés si nous ne pouvions pas payer pour tous ces différents services que nous obtenons maintenant gratuitement d'une certaine manière." Certaines conséquences imprévues du projet de loi sur la protection de la vie privée, a-t-elle averti, pourraient avoir un impact négatif sur les petites entreprises, les obligeant à payer des coûts plus élevés pour se conformer aux nouvelles réglementations sur la protection de la vie privée.

Le Canada envisage une législation similaire

Les États-Unis ne sont pas le seul pays nord-américain à travailler à la création d'un nouveau projet de loi national sur la protection de la vie privée. Le Canada a présenté la très attendue Loi de 2022 sur la mise en œuvre de la Charte numérique — Le projet de loi C-27 – qui remplace un projet de loi similaire qui n'a pas été adopté par le Parlement canadien en août 2021. Le projet de loi promulguerait la Loi sur la protection de la vie privée des consommateurs (CPPA), la Loi sur le Tribunal de la protection des renseignements personnels et des données et la Loi sur l'intelligence artificielle et les données, ainsi que modifier d'autres lois existantes.

« Il s'agit d'une loi très importante pour le Canada », déclare David Goodis, associé chez INQ Law à Toronto. « Il s'appliquera dans toutes les provinces et tous les territoires, à l'exception de la Colombie-Britannique, de l'Alberta et du Québec. Le Québec a adopté sa propre nouvelle loi mise à jour plus tôt cette année. La Colombie-Britannique et l'Alberta envisagent de mettre à jour leurs lois désormais très anciennes. À part le Québec, la CPPA sera la loi sur la protection de la vie privée la plus moderne et la plus stricte au Canada, et à peu près au même niveau que le RGPD européen et le CCPA californien.

Il y a quelques différences importantes entre l'ancien projet de loi C-11 et le nouveau projet de loi C-27, dit Goodis. «Il existe plusieurs nouvelles obligations imposées aux organisations qui peuvent entraîner des sanctions pécuniaires si elles ne sont pas respectées. Par exemple, les organisations devront mettre en œuvre un programme de gestion de la confidentialité, s'assurer que leurs fournisseurs de services bénéficient d'une protection de la vie privée équivalente lors du transfert d'informations personnelles de l'entreprise au fournisseur de services, et s'assurer qu'un fournisseur de services qui découvre une violation de la sécurité en informe l'organisation. Il y a aussi une partie entièrement nouvelle de la législation qui répond aux préoccupations spécifiques concernant la protection de la vie privée des enfants », explique-t-il.

En outre, selon selon une analyse de l’Université de Princeton
du cabinet mondial d'avocats d'affaires DLA Piper, l'ancien projet de loi ne remplaçait pas les lois provinciales qui sont «essentiellement similaires» à la loi fédérale, ce qui signifiait que les provinces du Québec, de l'Alberta et de la Colombie-Britannique auraient pu appliquer leurs lois à la place du fédéral. Bien que le nouveau projet de loi permette au gouvernement fédéral de décider si les lois provinciales sont essentiellement similaires et donc autorisées à être maintenues, il n'est pas encore clair si l'Alberta et la Colombie-Britannique passeront le cap — le Québec, qui a mis à jour sa loi sur la confidentialité en 2021, devrait être exonéré.