Lois des États américains sur la notification des violations (state breach notification laws)
Ensemble des lois propres à chacun des cinquante États américains qui obligent l'entreprise victime d'une violation à prévenir les résidents touchés, et souvent l'attorney general, selon des délais, seuils et contenus différents d'un État à l'autre.
Les lois des États américains sur la notification des violations sont les textes, propres à chaque État, qui obligent une entreprise victime d'une violation de données à prévenir les résidents touchés, et souvent l'attorney general, selon ses propres délais et seuils. La Californie a ouvert la série : la loi SB 1386 (Senate Bill 1386), codifiée à l'article 1798.82 du Civil Code, est entrée en vigueur le 1er juillet 2003. Elle impose de prévenir tout résident dont les données personnelles non chiffrées ont été acquises sans autorisation. Le Dakota du Sud signe sa loi le 21 mars 2018 ; l'Alabama, avec la SB 318, ferme la marche une semaine plus tard, cinquantième État. Washington D.C., Porto Rico, Guam et les îles Vierges ont la leur. Aucune loi fédérale générale ne s'y substitue : HIPAA (Health Insurance Portability and Accountability Act) ou la règle de la SEC (Securities and Exchange Commission) ne couvrent que leur propre cercle. Le résultat est un patchwork. Beaucoup d'États se contentent de « sans retard déraisonnable ». D'autres fixent un plafond : trente jours au Colorado, en Floride, dans l'État de Washington, et en Californie depuis la SB 446, applicable au 1er janvier 2026 ; quarante-cinq en Alabama, dans l'Ohio ou l'Oregon ; soixante au Texas. Le seuil d'attorney general (AG) varie aussi. Copie à l'AG de Californie au-delà de 500 résidents notifiés, dans les quinze jours ; au Texas dès 250 ; 500 au Colorado et en Floride. Définition de la donnée personnelle et mentions de la lettre changent aussi. Pour le souscripteur cyber, le multi-État se paie en heures d'avocat. Un fichier réparti sur quarante États demande une matrice juridique, plusieurs modèles de lettre et des dépôts chez des dizaines d'AG à des dates différentes, et le délai le plus court commande le calendrier de toute la campagne. Ce travail tombe dans le poste du coach en violation et dans les frais de notification. Ce qui coince au sinistre : le dépôt chez l'AG ouvre souvent une enquête, qui relève alors de la garantie des enquêtes réglementaires et de sa propre sous-limite. Les reports de délai pour les besoins de la police existent ; ils se documentent par écrit, faute de quoi l'AG ne les retient pas.
Cas d'école : un détaillant en ligne fictif perd un fichier de 120 000 clients. 30 000 résident en Californie, 6 000 au Texas, 4 000 au Colorado, le reste dans trente-cinq autres États. Délai le plus court : trente jours. Dépôts obligatoires chez au moins trois AG, les attorneys general (Californie, Texas, Colorado), plus ceux des États à seuil bas. Hypothèse de coût juridique : 45 États × 3 heures × 600 $ = 81 000 $, avant toute lettre envoyée.
lois de notification des violations aux États-Unis, breach notification laws, SB 1386, article 1798.82 du Civil Code de Californie, patchwork des cinquante États, notification à l'attorney general, notification multi-État
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.