Assurer la conformité des données à VCDPA

Sep 20, 2023

Assurer la conformité des données à VCDPA

Aperçu de VCDPA

La loi sur la protection des données des consommateurs de Virginie

La loi sur la protection des données des consommateurs de Virginie (VCDPA) est une loi de l’État de Virginie qui vise à protéger les données personnelles de ses consommateurs. La VCDPA est entrée en vigueur le 1er janvier 2023. Elle a été promulguée en mars 2021 et adoptée avec une date d’entrée en vigueur différée afin de laisser aux entreprises le temps de se préparer aux nouvelles exigences.

La loi VCDPA définit des règles sur la manière dont les entreprises peuvent collecter, utiliser et partager les données personnelles, et donne aux consommateurs certains droits concernant leurs données personnelles.

Entreprises impactées

La loi VCDPA s’applique aux entreprises qui exercent leurs activités en Virginie et qui atteignent certains seuils en matière de collecte et d’utilisation des données personnelles. Plus précisément, le VCDPA s’applique aux « contrôleurs » et aux « processeurs » de données personnelles.

Un contrôleur est une entreprise qui détermine les objectifs et les moyens du traitement des données personnelles. Un processeur est une entreprise qui traite des données personnelles pour le compte d’un contrôleur.

La loi VCDPA s’applique aux responsables du traitement et aux sous-traitants qui atteignent l’un des seuils suivants :

Revenu annuel brut de plus de 25 millions de dollars.
Traitent les données personnelles de plus de 100 000 consommateurs, ménages ou appareils.
Tirent plus de 50 % de leurs revenus bruts de la vente de données personnelles.

Si votre entreprise répond à l’un des seuils ci-dessus et qu’elle exerce ses activités en Virginie, elle peut être soumise au VCDPA. Il est important d’examiner attentivement les exigences de la VCDPA pour s’assurer que votre entreprise est en conformité.

Types de données couvertes

La loi VCDPA couvre les « données personnelles », qui sont définies comme toute information liée ou pouvant raisonnablement être liée à une personne physique identifiée ou identifiable. Les données personnelles comprennent à la fois les informations d’identification personnelle (telles que le nom ou l’adresse d’une personne) et les caractéristiques personnelles (telles que le sexe ou l’âge d’une personne).

La loi VCDPA s’applique à la collecte, à l’utilisation et au partage des données personnelles par les entreprises qui exercent leurs activités en Virginie et qui atteignent certains seuils en matière de collecte et d’utilisation des données personnelles. Elle définit des règles sur la manière dont ces entreprises peuvent collecter, utiliser et partager des données personnelles, et elle donne aux consommateurs certains droits concernant leurs données personnelles.

La loi VCDPA ne s’applique pas à certains types de données, telles que les données collectées à des fins de sécurité nationale ou d’application de la loi. Elle ne s’applique pas non plus à certains types d’entreprises, comme les institutions financières, qui sont soumises à d’autres réglementations étatiques et fédérales en matière de protection des données.

Exigences de conformité

Voici quelques-unes des principales exigences de conformité de la loi VCDPA :

Base juridique de la collecte : Les entreprises doivent avoir une base légale pour collecter les données personnelles des consommateurs, comme le consentement ou un contrat. Elles doivent être transparentes quant aux données qu’elles collectent et aux raisons pour lesquelles elles le font.
Limitation de la finalité : Les entreprises ne peuvent utiliser les données personnelles qu’aux fins pour lesquelles elles ont été collectées, sauf si le consommateur a donné son consentement pour une utilisation différente.
Minimisation des données : Les entreprises ne doivent collecter et traiter que le minimum de données personnelles nécessaires pour atteindre les objectifs pour lesquels elles ont été collectées.
Sécurité des données : Les entreprises doivent mettre en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles contre tout accès, utilisation ou divulgation non autorisés.
Conservation des données : Les entreprises ne doivent conserver les données personnelles que le temps nécessaire à la réalisation des objectifs pour lesquels elles ont été collectées.
Droits des consommateurs : Les entreprises doivent fournir aux consommateurs le droit d’accéder à leurs données personnelles, de corriger toute erreur dans leurs données personnelles et de supprimer leurs données personnelles dans certaines circonstances. Elles doivent également donner aux consommateurs le droit de refuser la vente de leurs données personnelles.

Il est important pour les entreprises soumises à la loi VCDPA d’examiner attentivement et de comprendre ces exigences afin de garantir le respect de la loi. Le non-respect du VCDPA peut entraîner des amendes et d’autres sanctions.

Mise en oeuvre et sanctions

La loi sur la protection des données des consommateurs de Virginie (VCDPA) prévoit un certain nombre de dispositions d’application et de sanctions pour garantir le respect de la loi. Le VCDPA est appliqué par le procureur général de Virginie, qui a le pouvoir d’engager des actions coercitives contre les entreprises qui violent la loi.

En vertu de la VCDPA, le procureur général de la Virginie a le pouvoir de :

Émettre des ordonnances de cessation et d’abstention à l’encontre des entreprises qui enfreignent la loi sur la protection des consommateurs.
Imposer des sanctions civiles aux entreprises qui enfreignent le VCDPA. Le montant de l’amende dépend de la gravité de la violation et de la taille de l’entreprise. Par exemple, une entreprise qui viole le VCDPA peut être soumise à une amende allant jusqu’à 7 500 dollars pour chaque violation.
Exiger des entreprises qu’elles prennent des mesures correctives pour se mettre en conformité avec le VCDPA.

En plus de ces pouvoirs d’exécution, la loi VCDPA permet également aux consommateurs d’engager des poursuites privées contre les entreprises qui violent la loi. Les consommateurs peuvent demander des dommages et intérêts, des honoraires d’avocat et d’autres réparations dans le cadre de ces actions en justice.

Surveillez le risque lié aux données sensibles en tout temps et recevez des alertes dès qu’une accumulation, une suppression ou une exfiltration à risque se produit. Si un incident se produit, utilisez la recherche par mot-clé pour trouver un élément de données spécifique et suivez le cheminement complet des données, y compris l’endroit exact où les données ont été extraites d’un environnement, où elles ont abouti et tous les points de contact intermédiaires.

Qohash fournit un inventaire complet des données sensibles et non structurées au repos. Qohash découvre les données sensibles 50 fois plus vite que les autres solutions, sur n’importe quelle source de données, à tout endroit. Qohash permet l’étiquetage, la classification, les recherches personnalisées par RegEx et par mot-clé, ainsi que le classement et la contextualisation des risques.

Effectuez des recherches par nom, date, numéro de carte de crédit et autres pour trouver toutes les copies de données sensibles dans les systèmes de l’entreprise. Découvrez quelles catégories de données sensibles sont stockées sur les systèmes de l’entreprise. Voyez comment des éléments de données spécifiques ont été déplacés entre les employés et les sites. Supprimez des données directement dans la plateforme pour démontrer la conformité aux demandes de suppression de données en tout lieu, y compris les postes de travail.

Qohash fournit aux auditeurs la preuve que les données sensibles sont surveillées et associées aux interactions des employés, permettant ainsi l’application des politiques au moment même. Qohash examine les fichiers pour suivre les éléments de données. Il surveille ces éléments et les associe aux employés et aux emplacements. Sachez à quel moment un employé a une interaction risquée avec des données sensibles. Tracez l’historique de tout élément de données qui se déplace sur les postes de travail, pour une remédiation plus rapide.

Créez rapidement une liste de contrôle d’accès de toutes les données réglementées par diverses lois. Fournissez des preuves des restrictions et montrez que vous évaluez régulièrement si les personnes ayant accès ont un besoin professionnel légitime.