Le droit de la vie privée dans le monde, noté et comparé.

lois obtiennent la note la plus exigeante sur la notification au régulateur.

Inde. Informer le Board sans délai, puis remettre un rapport détaillé dans un délai de 72 heures après en avoir pris connaissance.

Chine. Prendre immédiatement des mesures correctives et notifier le régulateur en cas de fuite, d'altération ou de perte.

Israël. Signaler un incident de sécurité grave à la PPA immédiatement après sa découverte, via son formulaire en ligne.

Ouganda. Notifier immédiatement le PDPO dès qu'il y a lieu de croire que des données ont été consultées ou obtenues par une personne non autorisée.

Échelle : valeur avec le délai. Niveau 0 aucune obligation, 1 « dès que raisonnablement possible » sans délai fixe, 2 délai fixe supérieur à 24 heures (par exemple 72 heures), 3 dans un délai de 24 heures ou « immédiatement ».

lois obtiennent la note la plus exigeante sur le DPO obligatoire.

Canada. Chaque organisation doit désigner une personne responsable de la conformité.

Québec. La personne ayant la plus haute autorité au sein de chaque entreprise est par défaut la personne responsable de la protection des renseignements personnels ; elle peut déléguer cette fonction par écrit.

Mexique. Chaque responsable du traitement doit désigner une personne ou un service de protection des données chargé de traiter les demandes ARCO et de promouvoir la protection des données en interne.

Colombie. Chaque responsable du traitement et chaque sous-traitant doit désigner une personne ou un service chargé d'assumer la fonction de protection des données et de traiter les demandes.

Échelle : 0 non requis, 1 requis dans des cas limités (grande échelle, organismes publics), 2 requis pour la plupart des responsables du traitement ou pour ceux qui sont enregistrés, 3 requis pour chaque institution ou responsable du traitement.

lois obtiennent la note la plus exigeante sur l'enregistrement.

Ouganda. Tous les collecteurs, sous-traitants et responsables du traitement doivent s'enregistrer auprès du PDPO, renouveler chaque année et payer des frais (UGX 100,000 selon les informations publiées).

Kenya. Les responsables du traitement et les sous-traitants doivent s'enregistrer, payer des frais échelonnés (KES 4,000-40,000) et renouveler leur enregistrement tous les 24 mois ; les petites entités en sont exemptées, sauf dans les secteurs énumérés.

Zimbabwe. Les responsables du traitement qui traitent des données de 50 personnes ou plus doivent obtenir une licence POTRAZ, échelonnée de 50 à 2,500 USD, renouvelée tous les 12 mois.

Ghana. Chaque responsable du traitement doit s'enregistrer auprès de la Commission, payer des frais et renouveler son enregistrement tous les deux ans ; traiter des données sans être enregistré constitue une infraction.

Échelle : 0 aucun, 1 notification dans des cas limités, 2 enregistrement de la plupart des responsables du traitement, 3 licence avec frais et renouvellement.

lois obtiennent la note la plus exigeante sur les transferts à l'étranger.

Chine. Les transferts nécessitent une évaluation de sécurité de la CAC, une certification ou le contrat type de la CAC, ainsi qu'une information et un consentement distinct.

Vietnam. Le dossier d'analyse d'impact du transfert doit être déposé auprès du MPS dans un délai de 60 jours suivant le premier transfert, avec en outre un accord écrit avec le destinataire.

Égypte. Les transferts à l'étranger exigent une protection équivalente dans le pays de destination et une licence ou une autorisation du Centre, sauf exception prévue.

Échelle : 0 libre, 1 responsabilité ou protection adéquate, 2 adéquation ou garanties énumérées (CCT, BCR, consentement), 3 approbation ou autorisation du régulateur requise.

lois obtiennent la note la plus exigeante sur la localisation.

Échelle : 0 aucune, 1 sectorielle, 2 une copie ou certaines données doivent rester sur place, 3 localisation étendue.

lois obtiennent la note la plus exigeante sur la responsabilité pénale.

Malaisie. La plupart des manquements sont des infractions pénales passibles d'emprisonnement ; les administrateurs et dirigeants sont solidairement responsables, sauf s'ils prouvent avoir fait preuve de la diligence requise.

Philippines. Infractions étendues passibles de 1 à 6 ans d'emprisonnement ; les dirigeants responsables de sociétés qui y ont participé ou ont commis une négligence grave sont sanctionnés.

Chine. Les violations constitutives d'infractions sont poursuivies en vertu du droit pénal, y compris par des peines d'emprisonnement pour atteinte aux informations personnelles.

Zimbabwe. La plupart des manquements à la loi et au SI 155 sont des infractions passibles de 7 ans d'emprisonnement au plus ; le défaut de désignation d'un DPO est passible de 2 ans au plus.

Échelle : 0 aucune, 1 infractions limitées, 2 emprisonnement pour des infractions énumérées, 3 infractions pénales étendues visant les dirigeants.

lois obtiennent la note la plus exigeante sur le délai de réponse aux demandes.

Brésil. Réponse complète à une demande d'accès dans un délai de 15 jours ; confirmation simplifiée immédiate.

Argentine. Accès dans un délai de 10 jours calendaires ; rectification, mise à jour ou suppression dans un délai de 5 jours ouvrables.

Chili. Le responsable du traitement doit répondre dans un délai de 2 jours ouvrables, faute de quoi le titulaire peut saisir le juge civil.

Colombie. Consultations sous 10 jours ouvrables (prolongeables de 5) ; réclamations en rectification ou en suppression sous 15 jours ouvrables (prolongeables de 8).

Échelle : valeur en jours. Niveau 0 aucun délai fixé, 1 plus de 30 jours, 2 de 21 à 30 jours ou un mois, 3 moins de 21 jours.

lois obtiennent la note la plus exigeante sur les enfants.

Brésil. En dessous de 12 ans, un consentement parental spécifique est requis ; tous les mineurs de moins de 18 ans doivent être traités dans leur intérêt supérieur.

Colombie. Le traitement des données de tous les mineurs de moins de 18 ans est interdit, sauf s'il s'agit de données publiques ou avec l'autorisation du représentant légal dans le respect de l'intérêt supérieur de l'enfant.

Inde. Est un enfant toute personne de moins de 18 ans ; consentement parental vérifiable requis ; aucun suivi, aucune surveillance comportementale ni publicité ciblée visant les enfants.

Malaisie. Pour les personnes concernées de moins de 18 ans, un parent, un tuteur ou une personne exerçant l'autorité parentale agit et consent.

Échelle : indiquer le seuil d'âge dans la valeur. Niveau 0 aucune règle, 1 âge de 13 ans ou moins, 2 âge de 14 à 16 ans, 3 âge de 17 ou 18 ans ou régime plus strict.

lois obtiennent la note la plus exigeante sur l'amende maximale.

Union européenne. Jusqu'à 20 millions d'EUR ou 4% du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu.

Royaume-Uni. Jusqu'à 17.5 millions de GBP ou 4% du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu ; les amendes au titre du PECR sont désormais alignées sur le même niveau.

Québec. Amendes pénales jusqu'à 25 millions de dollars CAD ou 4% du chiffre d'affaires mondial ; sanctions administratives jusqu'à 10 millions de dollars CAD ou 2%.

Brésil. Amende simple jusqu'à 2% du chiffre d'affaires réalisé au Brésil l'année précédente, plafonnée à 50 millions de BRL par infraction ; des astreintes journalières sont également possibles.

Échelle : valeur telle qu'indiquée (devise et/ou % du chiffre d'affaires). Niveau 0 aucune, 1 moins de USD 100k, 2 de USD 100k à 5 M, 3 plus de USD 5 M ou % du chiffre d'affaires mondial.

lois obtiennent la note la plus exigeante sur le consentement.

Argentine. Le consentement doit être libre, exprès et éclairé, donné par écrit ou par un moyen équivalent.

Chili. Le consentement doit être exprès, éclairé quant à la finalité et à une éventuelle communication, et consigné par écrit ; la révocation se fait également par écrit.

Colombie. L'autorisation peut être écrite, orale ou résulter d'un comportement non équivoque, jamais du silence ; les responsables du traitement doivent en conserver la preuve.

Uruguay. Le consentement doit être libre, préalable, exprès et éclairé, et il doit être documenté.

Échelle : 0 consentement implicite ou opposition acceptable, 1 consentement exprès pour certains usages, 2 exprès, spécifique et éclairé, 3 exprès et en outre écrit ou enregistré, ou sous une forme prescrite par le régulateur.