Contexte juridique
Le California Consumer Privacy Act (CCPA), entré en vigueur en 2020, impose trois obligations principales aux entreprises : le droit d’opt‑out de la vente de données, le droit à l’effacement et le droit d’accès à ses propres informations. L’article précise que le délai légal pour répondre à une demande d’accès est de 45 jours. Cette règle constitue le cadre de référence utilisé par l’auteur pour interroger plus d’une centaine d’organisations.
Processus de demande d’accès
Pour chaque entreprise, le demandeur a d’abord identifié les canaux de soumission indiqués dans la politique de confidentialité – généralement un formulaire web, un numéro de téléphone ou une adresse e‑mail. Après soumission, il a dû répéter plusieurs fois la vérification d’identité, un point qui a allongé le processus au-delà du délai de 45 jours dans certains cas. Au total, plus de 100 demandes ont été lancées, dont une à McDonald’s qui a généré un rapport de 515 pages détaillant les interactions avec l’application mobile et une prédiction comportementale.
Résultats et limites observées
Les réponses ont révélé deux dérives majeures. Premièrement, plusieurs sociétés ont indiqué qu’elles supprimaient les données malgré la consigne explicite de ne pas le faire, contournant ainsi le droit d’accès. Deuxièmement, certaines entreprises ont refusé de traiter la requête via le canal officiel indiqué, obligeant le demandeur à recourir à des moyens alternatifs. Le directeur IA et confidentialité de la Consumer Federation of America, Ben Winters, a qualifié ces pratiques d’« inacceptable », soulignant la dépendance du cadre légal à la bonne foi des acteurs privés.
Implications techniques et recommandations
Le manque d’uniformité dans les formats de réponse – PDF volumineux, CSV partiels ou simples e‑mails – complique l’analyse automatisée. Sans API standardisée, chaque jeu de données nécessite une extraction manuelle, augmentant le coût opérationnel. Le recours à l’IA générative pour rédiger les courriels de suivi montre que les outils de traitement du langage naturel peuvent réduire le temps de rédaction, mais n’éliminent pas le goulot d’étranglement de la vérification d’identité. Une solution viable consisterait à imposer aux entreprises un endpoint API RESTful conforme à le modèle JSON‑LD, garantissant la livraison de données structurées dans le délai légal. En parallèle, les régulateurs pourraient renforcer les sanctions en cas de suppression non autorisée, afin d’aligner les incitations économiques avec les exigences du CCPA.
