CCPA (protection des données en Californie)
Loi californienne de 2018, renforcée en 2023, qui donne aux consommateurs des droits sur leurs données et ouvre, en cas de violation due à une sécurité insuffisante, une action en dommages-intérêts forfaitaires qui démultiplie le risque d'action collective.
Le California Consumer Privacy Act, adopté en 2018 et applicable depuis le 1er janvier 2020, puis amendé par le California Privacy Rights Act applicable depuis 2023, est la loi de protection des données la plus influente des États-Unis, en l'absence de loi fédérale générale. Il donne aux résidents de Californie des droits comparables à ceux du droit européen : savoir quelles données sont collectées, en demander l'effacement, s'opposer à leur vente ou à leur partage, et les faire rectifier. Une autorité dédiée, créée par l'amendement de 2023, veille à son application. Sa disposition la plus importante pour l'assurance est un droit d'action privé : lorsque des données personnelles sont dérobées ou divulguées à la suite d'un manquement de l'entreprise à son devoir de maintenir des mesures de sécurité raisonnables, chaque consommateur concerné peut réclamer des dommages-intérêts forfaitaires compris entre 100 et 750 dollars par incident, sans avoir à prouver de préjudice. Multiplié par le nombre de personnes touchées, ce barème transforme une violation de données en exposition de responsabilité considérable, et il a fait de la Californie la juridiction de référence des actions collectives en matière de violation de données.
Cas d'école : une violation de données touche 200 000 résidents californiens. Si un tribunal retient un défaut de sécurité raisonnable, les dommages-intérêts forfaitaires se situent entre 20 et 150 millions de dollars avant même tout préjudice démontré, ce qui pousse en pratique l'entreprise et son assureur à une transaction.
CCPA, California Consumer Privacy Act, CPRA
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.