Aux Etats-Unis, le projet de loi fédérale sur la vie privée en ligne progresse

L’American data privacy and protection act (ADPPA), le projet de loi sur la protection et la confidentialité des données, qui est équivalent au RGPD et en discussion aux Etats-Unis depuis 2019, a franchi une étape importante au Congrès mercredi 20 juillet. Le texte a bénéficié d’une très large adoption bi-partisane (par 53 voix contre 2) par le Comité de l’énergie et du commerce au sein de la Chambre des Représentants, où il sera donc débattu prochainement.

L’ANA, l’industrie publicitaire dans son ensemble et les entreprises réclament depuis deux ans aux Etats-Unis une loi nationale claire et équilibrée sur la protection de la vie privée en ligne pour mettre fin aux incertitudes et aux disparités entre les législations existantes dans certains Etats, alors que de nouveaux textes sont régulièrement discutés dans d’autres.

Le projet de loi interdirait la publicité ciblée issue des données tierces

Le projet de loi retenu, fruit de longs et nombreux compromis politiques, prévoit plus de transparence dans la collecte, l’usage et la sécurité des données, notamment pour les activités des entreprises spécialisées. Il pose plusieurs interdictions, par exemple l’utilisation discriminatoire des données personnelles et de la publicité ciblée, certains algorithmes utilisés aux Etats-Unis pouvant en être a l’origine volontairement ou involontairement, comme l’explique le Los Angeles Times.

Mais son point central concerne les pratiques liées aux données pour la publicité ciblée. Sur ce point, le texte repose non pas sur le consentement des utilisateurs, comme le fait le RGPD dans l’Union européenne, mais sur le principe de minimisation des données collectées : les entreprises opérant aux Etats-Unis ne seraient autorisées à collecter et à utiliser les données des internautes que si l’objectif poursuivi s’inscrit dans l’une des 17 finalités autorisées par la loi. Parmi celles-ci : l’authentification des utilisateurs, la prévention de la fraude ou encore la réalisation de transactions commerciales.

Autre élément clé du texte, la publicité ciblée serait autorisée via des données propriétaires – sauf celle sur les internautes mineurs de moins de 17 ans, interdite -, tandis que la publicité ciblée reposant sur les données tierces serait purement interdite.

Le texte veut en effet interdire la collecte et l’usage de données dites “sensibles” : celles issues des communications privées, celles liées à la santé, à la géolocalisation, ainsi, donc, que les données “identifiant l’activité en ligne d’un individu dans la durée sur les sites web et les services en ligne tiers”. Il s’agit ici des données tierces classiques, issues de la navigation en ligne. Cette interdiction changerait profondément les pratiques et les capacités de ciblage sur le marché publicitaire en ligne américain.

Les professionnels du marketing critiquent le texte

Les associations des consommateurs et celles de la protection de la vie privée soutiennent majoritairement la proposition de loi, comme le souligne Tech Policy. Au contraire de l’industrie publicitaire. l’IAB US a fait part de son opposition au texte : “La législation proposée est plus punitive que les réglementations de l’Union européenne qui nuisent aux investissements. Dans un effort pour freiner la Big Tech, le Congrès trébuche sur la même voie”. L’association des annonceurs américains (ANA), si elle soutient toujours le principe d’une législation nationale, comme elle le réclamait, a également critiqué ces dispositions les plus importantes : “L’ANA soutient un projet de loi complet sur la confidentialité (qui) établit une norme nationale, (mais) ce projet de loi interdirait aux entreprises de collecter et d’utiliser des données démographiques et d’activité en ligne de base à des fins publicitaires classiques et responsables, réduisant ainsi les revenus publicitaires, nuisant aux petites entreprises et mettant en péril les services numériques populaires financés par la publicité.”

Le projet de loi prévoit également l’obligation pour tous les éditeurs de sites de donner la possibilité aux internautes de refuser facilement (en un clic) de recevoir des publicités ciblées. Sur ce point, un nouveau rôle serait confié à la Federal trade commission (FTC), l’autorité antitrust fédérale : créer une norme pour un opt-out universel utilisé par les sites.

Deux points au sein du texte ont été l’objet de vives discussions entre élus : d’abord le fait de déterminer si la notion judiciaire de clause de “préemption” de la loi fédérale doit ou non s’appliquer, autrement dit si la nouvelle loi fédérale va remplacer le CCPA de l’Etat de Californie (et donc aussi les quelques législations existantes dans d’autres Etats). Certains élus, notamment ceux de Californie, jugent le CCPA, qui a été un texte précurseur en 2020, plus protecteur, mais ils sont minoritaires.

Le deuxième point de discussion a trait à un droit d’action privé attribué aux citoyens inséré au sein du texte. Il permet à tout internaute – et pas seulement au gouvernement – de poursuivre en justice une société qui aurait violé la loi protégeant ses données.

Après de nombreuses discussions ces deux dernières années, un compromis a été trouvé entre les élus du Comité de l’énergie et du commerce de la Chambre des Représentants : la préemption du texte sera appliquée, le projet de loi remplacera donc la majeure partie du CCPA californien, mais sous réserve de quelques exceptions, notamment un rôle concédé à l’organe de protection des données de Californie. Enfin il intègrera bien un droit d’action privé permettant une action judiciaire de la part des citoyens, mais il sera limité à certaines atteintes grave à la vie privée en ligne.

L’ANA a critiqué ces deux concessions. L’association des annonceurs juge l’intégration d’un droit d’action privé trop risquée pour les entreprises, tandis que la configuration prévue de la préemption fédérale est, elle, jugée pas assez stricte et donc susceptible de créer des cadres juridiques différents sur le territoire.

Ces deux sujets pourraient d’ailleurs constituer des points de crispation lors de la discussion de la loi en séance au Congrès. En l’état, l’entrée en vigueur de la loi est prévue deux ans après son adoption, ce qui n’est pas encore acquis. Car si le texte actuel rencontre un réel soutien, à la fois par des Démocrates et par des Républicains, il a aussi des opposants tenaces des deux bords se montrant très vindicatifs. Certains élus estiment le texte nocif pour les intérêts des entreprises, d’autres au contraire le disent trop laxiste. Ces positions semblent parfois inconciliables et le contexte politique américain n’est pas favorable, explique le Wall Street Journal. Axios estime pour sa part que si le texte n’est pas voté avant les élections de mi-mandat cet automne, il a peu de chance d’être voté ensuite.

La prochaine étape législative, si elle est déclenchée, devrait être la mise en discussion du texte à la Chambre des Représentants – où il peut évoluer -, à une date qui n’est pas encore fixée. De son côté, les instances du Sénat ne l’ont pas encore examiné. D’ici-là, le lobbying devrait s’intensifier pour soutenir, faire évoluer ou rejeter le projet de loi.