Naviguer dans la conformité et les réglementations mondiales des données en 2025

17 décembre 2024

La protection contre la perte, le vol et la corruption – ce sont les objectifs des réglementations sur la confidentialité des données.

Le respect de ces réglementations fait de vous un expéditeur de confiance, mais il faut des ressources pour suivre l’évolution des politiques en matière de confidentialité des données. En tant que sous-traitant des données dévoué, nous respectons chaque fragment de données que nous touchons, et cet index sera votre guide concernant la législation mondiale existante et ce à quoi vous attendre pour l’année à venir.

La conformité des données est le processus qui détermine la législation et la gouvernance pour superviser la confidentialité des données. C’est une façon élégante de dire que la législation sur les données vous indique comment gérer les données au sein de votre organisation. Les réglementations sur les données couvrent l’accès et la gestion des données relatives à :

• La confidentialité des consommateurs
• La sécurité des données
• Les exigences de stockage des données
• La gestion des accès non autorisés et des cyberattaques

La conformité des données couvre ni plus ni moins que les droits de sécurité fondamentaux, et nous pouvons l’aborder sous de nombreux angles – des droits de l’individu au fonctionnement des entreprises.

Nous savons d’expérience que les données sont un sujet commercial complexe, mais les données des consommateurs sont bien plus que de simples informations ou chiffres. Il y a des êtres humains liés à chaque donnée que vous obtenez. C’est pourquoi il est essentiel de les protéger et d’autant plus important qu’elles ne tombent pas entre de mauvaises mains.

Bien sûr, ces données sont également très précieuses pour les entreprises qui les collectent, car elles les aident à développer leur activité et à créer de meilleures expériences utilisateur. La législation sur les données ne protège pas seulement la confidentialité des individus, mais aussi la sécurité des actifs de données d’une organisation.

Dans une enquête menée par Sinch Mailjet, il est clair que le RGPD s’est imposé comme une nécessité, mais 25 % des personnes interrogées n’étaient pas certaines de la législation spécifique sur les données qui s’appliquait à elles. Il y a beaucoup à analyser entre les pays et les définitions, mais continuez à lire et nous mettrons les choses au clair sur ces politiques.

Trois parties distinctes sont concernées par les législations sur les données : les personnes concernées, les responsables du traitement des données et les sous-traitants des données, chacune ayant son propre rôle à jouer. Bien que ces trois acteurs soient chacun représentés dans toutes les législations actuelles sur les données, ils ne le sont pas de la même manière pour chacun.

Avant d’analyser qui doit suivre quelles règles, passons en revue quelques définitions de base.

Les personnes concernées sont les individus dont les données personnelles sont collectées, stockées, vendues ou traitées par une entreprise ou une organisation. En tant qu’expéditeur d’emails, vos personnes concernées sont vos abonnés, ou toute personne dont vous stockez l’adresse email.

La législation qui représente les droits sur les données des consommateurs est apparue pour la première fois en 2016 avec le Règlement Général sur la Protection des Données (RGPD) de l’Union européenne (UE) (entré en vigueur en mai 2018). Aux États-Unis il n’y a actuellement aucune législation fédérale exhaustive sur la protection des données. Jusqu’à présent, seule une poignée d’États ont mis en place leur propre législation, dont la Californie, avec le California Consumer Privacy Act (CCPA) qui est entré en vigueur en janvier 2020.

Les responsables du traitement des données déterminent les finalités et les moyens par lesquels les données personnelles sont traitées. Si vous êtes une entreprise qui collecte et stocke des informations personnellement identifiables (PII) et que vous avez vos propres utilisateurs/clients, alors vous êtes un responsable du traitement des données. Vous êtes également un responsable du traitement des données par le simple fait de traiter les données de vos propres employés. Les responsables du traitement des données sont des décideurs qui dictent la manière dont les données qu’ils collectent sont gérées et utilisées.

Un sous-traitant des données est celui qui effectue le traitement réel des données. Un bon exemple des rôles liés aux données serait de considérer votre boutique e-commerce préférée. Les utilisateurs/clients sont les personnes concernées, la boutique est le responsable du traitement des données qui gère les produits, et une entreprise comme Mailgun est l’un des sous-traitants des données travaillant avec cette entreprise pour activer leurs emails transactionnels.

Vous n’êtes pas nécessairement limité à un seul rôle lié aux données. Mailgun, par exemple, est un sous-traitant des données lorsqu’il s’agit d’activer l’email automatisé, mais nous sommes également un responsable du traitement des données en ce qui concerne la collecte et le stockage des propres données de nos clients, et un responsable du traitement des données dans notre partenariat avec notre fournisseur de paiement. Il peut également y avoir des sous-traitants ultérieurs qui traitent des données pour le sous-traitant des données pour le compte du responsable du traitement des données.

Maintenant que les définitions sont claires, parlons des lois sur les données qui peuvent vous concerner.

Il existe un nombre croissant de législations, et selon les lois spécifiques, les personnes concernées, les responsables du traitement et les sous-traitants ont des droits variables. Si vous êtes une entreprise basée aux États-Unis, voici les trois règles directrices globales qui vous affecteront probablement le plus :

Le RGPD a été la première législation importante axée sur la protection des droits sur les données en exigeant la transparence et en restituant le contrôle des données à l’individu. Le RGPD impose de lourdes amendes en cas de violation et régit l’utilisation des données avec la mentalité que les individus prêtent leurs données aux fournisseurs de services plutôt que de les abandonner lors de l’inscription. Il vise à assurer une protection maximale aux consommateurs.

Faits clés à retenir :

• En vigueur depuis le 25 mai 2018.
• Il harmonise les lois sur la protection des données dans toute l’UE.
• Il affecte toute entreprise qui traite les données de citoyens de l’UE, quel que soit leur lieu de résidence.

Le CCPA protège uniquement les droits des individus qui sont des résidents de Californie. Si vous êtes déjà en conformité avec le RGPD, vous mettre en conformité avec le CCPA ne nécessitera pas d’effort supplémentaire significatif.

Faits clés à retenir :

• En vigueur depuis le 1er janvier 2020.
• Cette législation offre des droits de protection des données aux résidents de Californie.
• Le CCPA affecte les organisations qui mènent des activités en Californie.

HIPAA comprend des règles pour les technologies émergentes afin de gérer les données de santé, comme l’email, les fournisseurs de paiement numérique et les services de télésanté. L’année 2022 a apporté des propositions de mises à jour affectant les informations de santé protégées (PHI), le flux d’informations et les droits d’accès des patients. La règle de confidentialité de l’HIPAA vise à améliorer la coordination des soins et le partage des données (parallèlement à l’essor de la télésanté) et nécessitera d’importantes mises à jour de l’infrastructure ainsi qu’une formation supplémentaire pour les fournisseurs de soins de santé et les partenaires commerciaux.

Faits clés à retenir :

• Adoptée à l’origine en 1996.
• Elle protège la divulgation des informations de santé personnelles.
• L’HIPAA s’applique aux entités couvertes et aux partenaires commerciaux aux États-Unis, même en ce qui concerne les citoyens ou résidents non américains.

Le RGPD, le CCPA et l’HIPAA sont les trois principales réglementations en ce qui concerne les données individuelles des consommateurs, mais ce ne sont pas les seules législations, et fonctionner sans certaines des autres normes de conformité peut rendre difficile la gestion de votre entreprise au-delà des frontières.

Nous savons que toutes ces discussions sur les politiques peuvent commencer à ressembler à un manuel scolaire. Notre objectif n’est pas de faire la morale, mais nous avons les faits. Si vous n’êtes pas sûr de la législation sur les données qui s’applique à vous, nous avons créé un tableau qui vous aide à obtenir rapidement les informations.

Législation	Amendes	Personnes concernées protégées	Responsables du traitement et sous-traitants des données affectés
RGPD : Le Règlement Général sur la Protection des Données de l’UE	20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel (le montant le plus élevé étant retenu).	Tout citoyen de l’UE dont les données personnelles sont collectées, détenues ou traitées par une organisation.	Les entreprises mondiales qui traitent des données personnelles de citoyens de l’UE, y compris les organisations à but non lucratif qui acceptent des dons de citoyens de l’UE.
CCPA : Le California Consumer Privacy Act	100 $ – 750 $ par consommateur et par incident. 2 400 $ – 7 500 $ par violation civile.	Uniquement les résidents de Californie.	Entreprises opérant en Californie ayant des revenus de 25 millions de dollars ou plus, ou traitant des données sur 50 000 résidents ou plus.
UCPA Utah Consumer Privacy Act	Jusqu’à 7 500 $ par violation.	Un individu résidant dans l’Utah agissant dans un contexte individuel ou familial.	Personnes ou entités faisant des affaires dans l’État de l’Utah avec un revenu annuel de 25 000 000 $ ou plus, qui traitent les données personnelles de 100 000 consommateurs ou plus, ou tirent plus de 50 % de leurs revenus bruts de la vente de données personnelles tout en contrôlant ou en traitant les données personnelles de 25 000 consommateurs ou plus.
VCDPA Virginia Consumer Data Protection Act	Jusqu’à 7 500 $ par violation, appliqué par le procureur général de l’État.	Uniquement les résidents de Virginie.	Personnes physiques et morales faisant des affaires en Virginie qui remplissent au moins l’une de ces exigences : contrôler ou traiter les données personnelles d’au moins 100 000 résidents de Virginie, ou contrôler et traiter les données personnelles d’au moins 25 000 consommateurs de Virginie et tirer 50 % ou plus de leurs revenus bruts de la vente de données personnelles au cours d’une année civile.
OCPA Oregon Consumer Privacy Act	Jusqu’à 7 500 $ par violation	Uniquement les résidents de l’Oregon.	Entreprises qui contrôlent les données personnelles d’au moins 100 000 consommateurs ou qui contrôlent ou traitent les données personnelles d’au moins 25 000 consommateurs ou plus et qui tirent 25 % ou plus de leurs revenus bruts annuels de la vente de données personnelles.
MTCDPA Montana Consumer Data Privacy Act	Amendes non spécifiées en vertu du MTCDPA, mais il est noté que le procureur général peut « intenter une action »	Uniquement les résidents du Montana	Entreprises qui contrôlent les données personnelles d’au moins 35 000 consommateurs (à l’exclusion des données personnelles contrôlées ou traitées uniquement pour effectuer des transactions de paiement), ou qui contrôlent ou traitent les données personnelles d’au moins 10 000 consommateurs ou plus et tirent 20 % ou plus de leurs revenus bruts annuels de la vente de données personnelles
TDPSA Texas Data Privacy and Security Act	Jusqu’à 7 500 $ par violation	Uniquement les résidents du Texas	Entreprises menant des activités au Texas ou générant des produits ou services consommés par des résidents du Texas et qui traitent ou s’engagent dans la vente de données personnelles, et qui ne s’identifient pas comme une petite entreprise telle que définie par la U.S. Small Business Administration (entité à but lucratif indépendante comptant moins de 500 employés)
HIPAA : Health Insurance Portability and Accountability Act	Des pénalités pécuniaires civiles (CMP) sont imposées, allant de 100 $ à 50 000 $ par dossier PHI affecté, avec une amende maximale de 1,5 million de dollars par incident.	Tous les dossiers médicaux et autres informations de santé individuellement identifiables utilisés ou divulgués par une entité couverte sous quelque forme que ce soit.	L’HIPAA affecte les fournisseurs de soins de santé, les abonnements de santé et les centres de traitement des données de santé, ainsi que les partenaires commerciaux effectuant des travaux pour le compte d’une entité couverte.
RGPD britannique : La promulgation du RGPD par la Grande-Bretagne après le Brexit. Le RGPD est conservé dans le droit national sous le nom de RGPD britannique, mais le Royaume-Uni a l’indépendance nécessaire pour réviser le cadre.	Le RGPD britannique comporte deux niveaux d’amendes ; l’amende maximale standard est de 8,7 millions de livres sterling ou 2 % du chiffre d’affaires mondial annuel total, et l’amende maximale supérieure est de 17,5 millions de livres sterling ou 4 % du chiffre d’affaires mondial annuel total.	Régit le traitement des données personnelles d’individus situés au Royaume-Uni.	Le RGPD britannique s’applique aux responsables du traitement et aux sous-traitants au sein du Royaume-Uni. Il couvre les organisations basées en dehors du Royaume-Uni si leurs activités de traitement concernent le suivi ou l’offre de biens ou de services aux individus au Royaume-Uni.
LGPD : Loi générale sur la protection des données personnelles du Brésil	Jusqu’à 2 % du chiffre d’affaires net du groupe économique au Brésil, au cours de son dernier exercice, limité à 50 millions de BRL (env. 10,5 millions USD) par violation.	S’applique à toute personne physique située au Brésil dont les données ont été collectées ou traitées, quel que soit l’endroit où se trouve l’entreprise qui collecte les données.	La LGPD s’applique à tout traitement de données qui a lieu au Brésil, dans le but d’offrir des biens et des services ou de traiter les données de personnes situées au Brésil.
PIPEDA : Loi sur la protection des renseignements personnels et les documents électroniques du Canada	Les organisations qui commettent des infractions peuvent être soumises à des amendes allant jusqu’à 100 000 CAD.	La PIPEDA protège les renseignements personnels des individus. Un individu n’a pas besoin d’être citoyen canadien ou résident d’une province spécifique.	La PIPEDA s’applique aux organisations du secteur privé à travers le Canada qui collectent, utilisent ou divulguent des renseignements personnels dans le cadre d’une activité commerciale.
APPI : Loi sur la protection des informations personnelles du Japon	Jusqu’à 100 000 000 de yens japonais (907 715 $) ou une sanction pénale allant jusqu’à 1 an de prison.	L’APPI vise à protéger les données personnelles des citoyens japonais.	L’APPI s’applique à tous les opérateurs commerciaux qui gèrent les données personnelles de particuliers au Japon. Peu importe si l’entreprise est située dans le pays.
PIPL : Loi sur la protection des informations personnelles de la Chine	La PIPL impose une amende maximale pouvant atteindre 50 millions de yuans (7,8 millions USD), ou 5 % des revenus annuels de l’exercice précédent.	La PIPL vise à protéger les droits et les intérêts des individus, à réglementer les activités de traitement des informations personnelles et à faciliter une utilisation raisonnable des informations personnelles.	Les exigences de la PIPL couvrent toutes les entreprises gérant les données de citoyens chinois, qu’il s’agisse d’une entreprise nationale ou internationale, grande ou petite.

Nous ne pouvons pas vous proposer un article sur la politique des données sans parler de celles-ci : PCI DSS, SOC2 et ISO sont des normes de conformité des données. Bien qu’elles recoupent souvent la législation mondiale que nous avons couverte, des entités de conformité distinctes les régissent.

Ces normes de sécurité des données sont essentiellement des audits qui aboutissent à des certifications de conformité. Une fois obtenues, ces normes font savoir aux responsables du traitement des données qu’une organisation est un partenaire responsable.

Travailler avec des organisations qui ont atteint ces normes peut vous épargner la peine de devoir les obtenir vous-même. Par exemple, Mailgun n’a pas besoin d’être conforme à la norme PCI car nous sous-traitons les services de paiement et nous nous associons à des sous-traitants de paiement qui respectent leurs propres obligations.

Découvrons-en un peu plus sur ces normes.

Le PCI DSS consiste à créer de la confiance et de la sécurité lors du traitement des paiements. Cette norme est régie par le PCI Security Standards Council et constitue un ensemble de normes de sécurité créées en 2004 par Visa, Mastercard, Discover Financial Services, JCB International et American Express. Elle protège les données des titulaires de cartes et les données d’authentification des individus, et réduit le risque de violation de données.

La norme PCI DSS a quatre objectifs principaux :

1. Protéger les données stockées des titulaires de cartes.
2. Utiliser et mettre à jour régulièrement des logiciels ou programmes antivirus.
3. Restreindre l’accès aux données des titulaires de cartes selon le principe du besoin d’en connaître.
4. Suivre et surveiller tous les accès aux ressources réseau et aux données des titulaires de cartes.

Les System and Organization Controls (SOC) sont des rapports internes qui fournissent une preuve de sécurité. Les fournisseurs de services technologiques comme Mailgun obtiennent volontairement cette certification pour prouver que l’on peut faire confiance à leurs processus de sécurité. Autre norme de conformité basée sur des audits, SOC2 tient les fournisseurs responsables de leurs méthodes de traitement des données et de leurs contrôles de cybersécurité.

Mailgun possède les certifications SOC2 Type I et II, qui sont des rapports rigoureux et exhaustifs testant l’efficacité des contrôles de sécurité et s’assurant de leur fonctionnement.

• SOC 2 Type I : Tests pour s’assurer que des contrôles de sécurité des emails sont en place (nécessaire pour le Type II).
• SOC 2 Type II : Tests pour s’assurer que les contrôles sont en place et qu’ils fonctionnent efficacement.

Les normes ISO établissent des sécurités de base. Si chaque pays avait des approches différentes concernant les bonnes pratiques de sécurité, il serait presque impossible pour les entreprises de créer une infrastructure de sécurité. La solution est un organisme international de normalisation partagé qui gère la conformité par consensus. L’Organisation Internationale de Normalisation (ISO) a développé et publié 25 000 normes depuis 1947 (Mailgun en a obtenu deux).

La conformité ISO prouve que vous pouvez gérer différents scénarios et contrôler les variables qui aident à protéger les données et à prévenir les cyberattaques malveillantes, les violations de données et autres catastrophes de sécurité. Ces normes peuvent également être spécifiques. Par exemple, ISO27701 est une certification rare dans le domaine de l’email contenant 40 contrôles de confidentialité qui sont étroitement alignés sur les normes du RGPD.

À partir des informations que nous avons partagées, vous pourriez penser que la législation existante couvre presque tout, mais ce n’est pas le cas. En réalité, il y a de nombreuses autres politiques en préparation.

Comme vous pouvez le constater dans notre très grand tableau au début de cet article, toutes les législations sur les données ne se valent pas. Actuellement, la conformité des données est réglementée par les différents pays – et aux États-Unis, par les différents États – ce qui peut rendre les choses confuses pour établir des pratiques commerciales efficaces. Voici les principaux éléments à garder à l’esprit :

• Juridiction des données : L’endroit où se trouve votre entreprise n’a pas nécessairement d’importance. La juridiction des données est déterminée davantage par l’endroit où se trouvent vos personnes concernées.
• Impact sur les données : Toutes les organisations ne sont pas assez grandes pour être représentées dans la législation. Par exemple, en Californie, le CCPA ne vous concerne que si vous traitez des données sur 50 000 résidents ou plus.
• Pénalités : Il n’y a pas de cohérence quant à la façon dont les violations sont sanctionnées. Certains factureront un pourcentage total du chiffre d’affaires net, tandis que d’autres factureront par sujet concerné pour chaque violation.

La politique des données ne se contente pas de changer, elle change vite.

Aux États-Unis, un décret a été signé par le président Biden début octobre 2022, mettant en œuvre le Cadre de confidentialité des données UE-États-Unis, ce qui nous rapproche de la résolution des protections des transferts transfrontaliers de données.

À la date du 10 juillet 2023 la Commission européenne a adopté sa décision d’adéquation concernant le Cadre de confidentialité des données UE-États-Unis. Qu’est-ce que cela signifie ? Cette adoption signifie que les États-Unis offrent un niveau de protection adéquat pour les données personnelles des citoyens de l’UE transférées via des organisations américaines.

Cette adoption récente fait suite au Cadre de la sphère de sécurité (invalidé en 2015) et au Bouclier de protection des données UE-États-Unis (invalidé en 2020) qui ont tous deux été annulés par les tribunaux européens.

Il est probable que des lois fédérales sur les données soient imminentes pour les États-Unis, en particulier si le programme DPF se maintient, qui seront comparables au RGPD européen et rendront les politiques sur les données entre les États-Unis et l’UE plus fluides. Fin 2024, les États-Unis continuent de voir émerger une mosaïque de lois étatiques, se rapprochant d’une législation fédérale sur les données. Les États suivants ont confirmé de nouvelles lois sur la confidentialité des données des consommateurs entrant en vigueur en 2025 et au-delà :

Lois signées

• Le Delaware Personal Data Privacy Act entre en vigueur le 1er janvier 2025
• Le Iowa Consumer Data Protection Act entre en vigueur le 1er janvier 2025
• La législation du New Jersey entre en vigueur le 15 janvier 2025
• Le Tennessee Information Protection Act entre en vigueur le 1er juillet 2025
• L’Indiana Consumer Data Protection Act entre en vigueur le 1er janvier 2026
• Le Colorado Privacy Act est entré en vigueur le 1er juillet 2023 dans le cadre d’une approche progressive, avec plein effet le 1er octobre 2025
• Le Nebraska Data Privacy Act entre en vigueur le 1er janvier 2025
• Le Kentucky Consumer Data Protection Act entre en vigueur le 1er janvier 2026
• Le Maryland Online Data Privacy Act entre en vigueur le 1er octobre 2025
• Le projet de loi 332 du Sénat du New Jersey entre en vigueur le 15 janvier 2025
• Le Connecticut Data Privacy Act est entré en vigueur le 1er juillet 2023 dans le cadre d’une approche progressive, avec plein effet le 1er janvier 2025
• Le Rhode Island Data Transparency and Privacy Protection Act entre en vigueur le 1er janvier 2026
• Le projet de loi 255 du Sénat du New Hampshire entre en vigueur le 1er janvier 2025

États dont la législation est en comité

• Ohio
• Pennsylvanie
• Michigan

États ayant introduit une législation

• Oklahoma

Une fois que tous les États ci-dessus auront une législation active, environ 50 % du pays fonctionnera avec des politiques sur les données à des degrés divers, tandis que l’autre moitié des États n’a actuellement aucun projet de loi présenté. L’adoption croissante de lois spécifiques aux États accélère la pression en faveur d’une législation au niveau fédéral, reflétant potentiellement les normes du RGPD.

Ces pays élaborent une législation que nous pourrions voir finalisée en 2025 ou dans les deux prochaines années.

Australie

La mise à jour de la loi sur la confidentialité (Privacy Act) de l’Australie répond aux préoccupations numériques et améliore la confidentialité en ligne ainsi que d’autres mesures. Le projet de loi (proposé en 2021) concrétisera l’engagement du gouvernement australien à renforcer le Privacy Act de 1988. Il permet l’introduction d’un code de confidentialité en ligne contraignant pour les réseaux sociaux et certaines autres plateformes en ligne, augmente les pénalités et les mesures d’application, et vise à aligner davantage les politiques sur les données pour l’Australie avec les normes établies par le RGPD. En février 2023, le ministère du Procureur général de l’Australie a publié un rapport final sur sa révision du Privacy Act, présentant plus de 100 propositions de réforme de la loi pour la mettre à jour pour l’ère numérique. Les amendements du gouvernement australien au Privacy Act de 1988 devraient être finalisés en 2025. Les mises à jour proposées se concentrent sur la confidentialité numérique, la transparence des données des consommateurs et des pénalités alignées sur le RGPD.

Inde

Le projet de loi sur la protection des données personnelles (PDPB) de l’Inde a été proposé en 2019 et a été récemment retiré (en date d’août. 2022) avec de vives critiques de la part des parties prenantes qui estimaient que le projet de loi donnerait au gouvernement trop de pouvoir sur les données de ses citoyens. Une nouvelle législation a été approuvée par le président de l’Inde en août 2023. Le Digital Personal Data Protection Act (DPDP) de l’Inde devrait entrer pleinement en vigueur d’ici la mi-2025, fixant des limites strictes de traitement des données pour les entreprises qui gèrent les données de citoyens indiens.

Canada

La mise à jour canadienne attendue de la Loi sur la protection des renseignements personnels et les documents électroniques (PIPEDA) intégrera des protections plus fortes des droits individuels et des directives sur le transfert transfrontalier de données, prévues pour le premier trimestre 2025.

Les données représentent des personnes, et chez Mailgun, nous respectons les personnes.

Il n’est pas surprenant que les données – une ressource inépuisable – nécessitent beaucoup d’explications et de recherches pour être comprises. En tant que responsable du traitement des données dans la technologie, personne ne le sait mieux que nous. Si les liens de cet article ne vous dirigent pas vers les informations dont vous avez besoin, ou si vous souhaitez en savoir plus sur la façon dont Mailgun gère vos données, consultez notre guide sur les données et la conformité.