Votre plateforme de surveillance en ligne est-elle conforme au CCPA ? Ce que les organisations californiennes doivent savoir

Le California Consumer Privacy Act accorde aux consommateurs californiens un contrôle important sur leurs informations personnelles. Pour les plateformes de surveillance d'examens en ligne qui collectent des données d'identité, des images faciales et des enregistrements de sessions auprès de candidats basés en Californie, la conformité au CCPA est directement liée à la manière dont ces données doivent être traitées, divulguées et supprimées.

Ce guide explique les exigences du CCPA, son renforcement depuis 2018 et la manière dont Integrity Advocate est conçu pour respecter et dépasser ces obligations.

Qu'est-ce que le CCPA et à qui s'applique-t-il ?

Le California Consumer Privacy Act de 2018 a été établi pour donner aux consommateurs un meilleur contrôle sur les informations personnelles que les entreprises collectent à leur sujet. Il a depuis été renforcé par le California Privacy Rights Act (CPRA), entré en vigueur le 1er janvier 2023, qui ajoute de nouveaux droits aux consommateurs et élargit le champ d'application des entreprises concernées.

Le CCPA s'applique aux entreprises à but lucratif exerçant des activités en Californie et répondant à au moins l'un des critères suivants : un chiffre d'affaires annuel brut supérieur à 25 millions de dollars, l'achat ou la vente des informations personnelles de 100 000 consommateurs ou foyers ou plus par an, ou la réalisation de 50 % ou plus du chiffre d'affaires annuel grâce à la vente d'informations personnelles.

Integrity Advocate ne répond pas à ces critères de seuil. Cependant, grâce à son adhésion aux principes de « Privacy by Design », Integrity Advocate respecte et dépasse les exigences du CCPA par défaut. Pour les organisations utilisant Integrity Advocate qui sont elles-mêmes soumises au CCPA, cela signifie que votre fournisseur de services de surveillance ne crée aucun risque de non-conformité pour votre compte.

Droits des consommateurs selon le CCPA et respect de ces droits par Integrity Advocate

Le droit de savoir

Les consommateurs ont le droit de savoir quelles informations personnelles une entreprise collecte à leur sujet, comment elles sont utilisées et si elles sont partagées ou vendues.

Integrity Advocate assure cette transparence de manière proactive, sans aucune action requise de la part du candidat. Après chaque session terminée et examinée, Integrity Advocate envoie par e-mail à chaque utilisateur une copie des données conservées à son sujet, les conclusions de l'examen et les notes de l'évaluateur. Les candidats peuvent vérifier exactement quelles informations ont été collectées et quelles conclusions en ont été tirées, sans avoir besoin de soumettre une demande formelle.

Le droit de suppression

Les consommateurs ont le droit de demander aux entreprises de supprimer les informations personnelles collectées auprès d'eux et d'exiger que leurs prestataires de services fassent de même.

Integrity Advocate répond à cette exigence par défaut. Toutes les données inutiles, définies comme des données non requises pour documenter la participation à la session ou pour justifier une violation documentée des règles, sont supprimées automatiquement après la fin de la session. Les données limitées conservées sont supprimées après 24 mois, sauf si une exigence spécifique du client ou une obligation réglementaire impose une durée de conservation différente. Les données peuvent également être supprimées plus tôt sur demande individuelle.

Le droit de refus (opt-out)

Les consommateurs peuvent demander aux entreprises de cesser de vendre leurs informations personnelles. Les entreprises ne peuvent plus vendre ces informations après avoir reçu une demande de refus et doivent attendre au moins 12 mois avant de demander au consommateur de revenir sur sa décision.

Integrity Advocate n'a jamais vendu, partagé ou transféré d'informations personnelles à un tiers. La politique de confidentialité d'Integrity Advocate stipule explicitement que les utilisateurs sont propriétaires de leurs données personnelles et que celles-ci ne peuvent être vendues sous aucune condition. Il n'y a donc aucune demande de refus à formuler, car la vente de données personnelles ne fait pas et n'a jamais fait partie du fonctionnement d'Integrity Advocate.

Le droit à la non-discrimination

Les entreprises ne peuvent pas refuser de fournir des biens ou des services, facturer un prix différent ou offrir un niveau de service inférieur aux consommateurs qui exercent leurs droits en vertu du CCPA.

Étant donné qu'Integrity Advocate accorde tous les droits du CCPA à chaque utilisateur par défaut, il n'existe aucun scénario dans lequel l'exercice de ces droits par un utilisateur entraînerait un traitement différent. Les protections sont intégrées à la plateforme et ne sont pas accordées uniquement sur demande.

Droit de rectification (ajouté par le CPRA 2023)

Le California Privacy Rights Act (CPRA) a ajouté le droit pour les consommateurs de demander la correction des informations personnelles inexactes détenues par une entreprise.

Le processus de révision humaine d'Integrity Advocate soutient directement ce droit. Chaque session signalée est évaluée par un réviseur formé avant qu'une quelconque conclusion ne soit enregistrée, ce qui réduit considérablement la probabilité que des informations inexactes soient intégrées au dossier. Lorsqu'un candidat estime que des informations sont inexactes, l'enregistrement de la session et les notes du réviseur humain servent de base à un processus de correction significatif.

Droit de limiter l'utilisation des informations personnelles sensibles (ajouté par le CPRA 2023)

Le CPRA a ajouté le droit pour les consommateurs de limiter la manière dont les entreprises utilisent leurs informations personnelles sensibles, y compris les données biométriques.

Integrity Advocate collecte des données biométriques, plus précisément des images faciales pour la vérification d'identité, uniquement dans le but déclaré de confirmer l'identité de l'apprenant. Ces données ne sont utilisées à aucune fin secondaire, ne sont pas partagées au-delà de ce qui est nécessaire pour documenter une constatation spécifique et sont supprimées dans les 24 heures suivant la fin de la session pour les utilisateurs conformes.

Pourquoi la protection de la vie privée dès la conception (Privacy by Design) est essentielle pour la conformité au CCPA

Il est plus facile de démontrer la conformité au CCPA lorsque les protections de la vie privée sont intégrées à l'architecture du produit plutôt que gérées par des politiques réactives aux demandes individuelles. L'approche « Privacy by Design » d'Integrity Advocate signifie que la minimisation des données, les délais de suppression et les limitations de divulgation ne sont pas des mesures réactives. Ce sont des décisions de conception fondamentales qui s'appliquent par défaut à chaque utilisateur et à chaque session.

Pour les organisations utilisant Integrity Advocate qui sont elles-mêmes soumises au CCPA, cela signifie que le fournisseur de surveillance que vous avez choisi ne crée pas de risque de non-conformité en votre nom. Cela signifie que les données de vos apprenants sont traitées de manière à respecter les normes de confidentialité de la Californie sans que votre équipe ait à les gérer.

Le CCPA et le paysage plus large de la protection de la vie privée

Le CCPA est l'un des nombreux cadres de protection de la vie privée pertinents pour les organisations américaines utilisant la surveillance en ligne. Selon la nature de votre programme et l'emplacement de vos apprenants, le FERPA, le BIPA, le RGPD et d'autres lois sur la protection de la vie privée au niveau des États peuvent également s'appliquer. Integrity Advocate est conçu pour prendre en charge la conformité à plusieurs cadres simultanément, avec la même architecture « Privacy by Design » à la base de chacun.

{{post-cta}}