Droits à la vie privée des données pour les individus

Résumé#

Ce projet de loi crée un nouveau recours civil fédéral (un droit privé d'intenter une action en justice) pour l'appropriation, l'utilisation, la collecte, le traitement, la vente ou toute autre exploitation non autorisée des données couvertes d'un individu. Il définit un large éventail de « données couvertes », exige un consentement clair et explicite avant que les entreprises n'utilisent ces données, et rend les clauses d'arbitrage préalables inapplicables pour les réclamations en vertu de cette loi. Le projet de loi vise à donner aux personnes des recours juridiques plus solides lorsque leurs données personnelles sont utilisées sans consentement clair et à limiter les utilisations cachées des données par les entreprises et les systèmes d'IA.

Changements clés :

• Crée un délit fédéral permettant aux individus de poursuivre quiconque utilise leurs données couvertes sans consentement explicite et préalable.
• Définit « données couvertes » de manière large, y compris les informations d'identification, les identifiants d'appareil, la géolocalisation, les données biométriques, les données comportementales et déduites, ainsi que le contenu protégé par des droits d'auteur créé par un individu.
• Couvre l'utilisation pour l'IA, y compris la formation de systèmes d'IA générative et la sortie d'IA qui imite ou dérive des données couvertes d'un individu.
• Les recours pour les victimes incluent les dommages réels, les bénéfices triples ou 1 000 $ (selon le montant le plus élevé), les dommages-intérêts punitifs, les injonctions et les frais d'avocat.
• Rend les renoncements à l'arbitrage inapplicables pour les réclamations en vertu de cette loi et exige que les tribunaux, et non les arbitres, décident de l'applicabilité.
• Les règles de consentement exigent une divulgation claire et distincte de tout tiers et interdisent d'enterrer le consentement dans des termes généraux ou des hyperliens.

Ce que cela signifie pour vous#

• Individus / Consommateurs

  • Vous pourriez être en mesure de poursuivre si une entreprise ou une autre personne utilise vos données couvertes sans consentement clair et préalable.
  • Le consentement doit être un acte affirmatif. Le consentement obtenu par coercition, tromperie ou comme condition de type « prenez-le ou laissez-le » qui va au-delà de ce qui est nécessaire pour fournir un service est invalide.
  • Si votre œuvre créative protégée par des droits d'auteur est utilisée par une IA ou une entreprise sans consentement, cela pourrait être couvert.

• Entreprises et développeurs d'IA

  • Les entreprises qui collectent, traitent, vendent ou utilisent des données personnelles ou déduites doivent obtenir un consentement clair et préalable pour ces utilisations ou faire face à des poursuites.
  • Si vous transmettez des données à des tiers, vous devez divulguer chaque tiers de manière claire et distincte au moment où vous demandez le consentement. Un lien dans une politique de confidentialité ne suffit pas.
  • Les clauses d'arbitrage préalables et les clauses de renonciation de classe ne peuvent pas être utilisées pour empêcher les poursuites judiciaires en vertu de cette loi pour des réclamations couvertes.

• Tiers et acheteurs de données

  • Recevoir ou utiliser des données couvertes sans preuve de consentement explicite et préalable valide pourrait vous exposer à des responsabilités ou à des réclamations d'aide et d'encouragement.

• Tribunaux

  • Les tribunaux fédéraux et d'État peuvent entendre ces affaires. Un tribunal fédéral décidera des questions concernant l'applicabilité de la loi aux accords d'arbitrage.

• Employeurs / Accords de travail

  • La loi ne s'applique pas aux termes d'arbitrage dans les accords de négociation collective entre employeurs et organisations de travail, sauf qu'elle ne bloque pas l'application judiciaire des droits constitutionnels ou statutaires.

Dépenses#

Aucune information disponible publiquement.

Effets financiers et administratifs possibles (basés sur les dispositions du projet de loi) :

• Cela pourrait augmenter les coûts de litige pour les entreprises qui utilisent des données personnelles ou déduites, car le projet de loi accorde un droit privé d'intenter une action en justice et permet des recours statutaires, y compris des bénéfices triples et des frais d'avocat.
• Les entreprises pourraient faire face à des coûts de conformité plus élevés pour obtenir un consentement clair, fournir des divulgations distinctes sur les tiers et modifier les termes des contrats (en supprimant les dispositions d'arbitrage préalables ou de renonciation de classe pour les réclamations couvertes).
• Les tribunaux pourraient voir plus de cas liés à l'utilisation des données et à la formation de l'IA ; cela pourrait augmenter la charge de travail judiciaire.

Point de vue des partisans#

• Le projet de loi semble destiné à protéger le contrôle des individus sur leurs données personnelles et créatives en exigeant un consentement clair et affirmatif avant l'exploitation.
• Les partisans pourraient soutenir qu'il comble une lacune concernant la formation et la sortie de l'IA en incluant explicitement la formation de l'IA et le contenu généré par l'IA qui dérive des données d'un individu.
• La loi pourrait être perçue comme augmentant la transparence en forçant une divulgation claire des tiers qui recevront ou utiliseront des données.
• Rendre les renoncements à l'arbitrage inapplicables pour ces réclamations est probablement destiné à préserver l'accès des individus aux tribunaux et aux actions collectives.

Point de vue des opposants#

• Une préoccupation est que la définition large des « données couvertes » et l'inclusion de données déduites ou dérivées peuvent être vagues dans la pratique et pourraient conduire à des résultats juridiques incertains.
• Les recours (bénéfices triples, dommages-intérêts punitifs, frais d'avocat) pourraient encourager des litiges de grande valeur et créer une grande exposition financière pour les entreprises, y compris celles utilisant des données publiques ou agrégées.
• Il n'est pas clair comment les tribunaux mesureraient les « bénéfices » de l'utilisation de données couvertes ou comment traiter les cas où les utilisations de données sont regroupées dans des produits plus importants.
• Le projet de loi ne précise pas si les agences gouvernementales peuvent appliquer la règle ; il se concentre sur les poursuites privées, laissant les questions d'application et de surveillance floues.
• Exiger une divulgation distincte et affirmative pour chaque tiers pourrait être complexe à mettre en œuvre pour les entreprises qui utilisent de nombreux partenaires en aval ou pour les services qui changent fréquemment les arrangements de partage de données.