CCPA / CPRA : La « Cure Notice » peut-elle vraiment vous sauver d’une amende ?

La « Cure Notice » : votre bouclier ou un mirage ?

Vous recevez une notification de violation du CCPA/CPRA. Panique ? Pas forcément. La loi californienne offre une fenêtre de tir : la « Cure Notice ». Mais attention, ce n’est pas un laissez-passer magique. Décryptage.

Qu’est-ce que la Cure Notice exactement ?

La Cure Notice est un droit accordé aux entreprises de remédier à une violation présumée dans un délai de 30 jours après notification par le procureur général. Si vous corrigez et documentez la correction, vous évitez les poursuites. Simple ? Pas tant que ça.

Imaginez : vous recevez une amende pour excès de vitesse, mais le policier vous laisse 30 jours pour prouver que vous avez réparé votre compteur. C’est un peu ça, mais avec des formulaires et des logs.

Les conditions pour bénéficier de la Cure Notice

Pour que la cure fonctionne, vous devez :

Démontrer que la violation est involontaire et que vous avez mis en place des mesures correctives.
Fournir une preuve écrite de la correction au procureur général.
Ne pas avoir déjà fait l’objet d’une cure pour une violation similaire dans les 12 derniers mois.

Si vous ratez une de ces étapes, la cure est nulle. Et le procureur peut alors vous infliger une amende pouvant aller jusqu’à 7 500 $ par violation.

Le piège : la cure n’est pas un droit absolu

Depuis le CPRA (California Privacy Rights Act), la cure notice n’est plus automatique pour toutes les violations. Pour les violations de données sensibles (comme les données biométriques ou de santé), le délai de cure peut être réduit ou supprimé. Vérifiez bien le type de données concernées.

En pratique, la cure notice est un outil puissant, mais il faut agir vite et bien. Ne comptez pas sur une simple excuse. Documentez chaque étape, et si possible, faites appel à un avocat spécialisé.

FAQ

Quel est le délai exact pour corriger une violation via la Cure Notice ?

Le délai est de 30 jours à compter de la notification écrite du procureur général. Passé ce délai, la cure n’est plus possible.

La Cure Notice s’applique-t-elle à toutes les violations du CCPA ?

Non, certaines violations graves (comme la divulgation non autorisée de données sensibles) peuvent être exclues du droit de cure, surtout depuis le CPRA.

Que se passe-t-il si je ne parviens pas à corriger la violation dans les 30 jours ?

Le procureur général peut engager des poursuites et demander des amendes civiles allant jusqu’à 2 500 $ par violation involontaire et 7 500 $ par violation intentionnelle.

Checklist : Êtes-vous prêt pour une Cure Notice ?

Avez-vous un processus de réponse aux notifications du procureur général ?
Votre équipe juridique connaît-elle les délais de 30 jours ?
Avez-vous un plan de correction documenté pour chaque type de violation ?
Vos logs de sécurité sont-ils conservés au moins 12 mois ?
Avez-vous identifié les données sensibles qui pourraient être exclues de la cure ?

Cochez chaque point mentalement. Si vous avez coché moins de 3 cases, il est temps d’agir.