GLBA (Gramm-Leach-Bliley Act)

Définition

Le GLBA, Gramm-Leach-Bliley Act, est une loi fédérale américaine imposant aux institutions financières, entendues au sens large incluant les banques, les compagnies d'assurance, les sociétés de courtage et certains prestataires de services financiers, de protéger la confidentialité des informations personnelles non publiques de leurs clients et de les informer de leurs pratiques en matière de partage de ces informations avec des tiers. La loi comporte trois volets principaux : la Financial Privacy Rule, encadrant la collecte et la divulgation d'informations financières personnelles et imposant une notification annuelle aux clients de la politique de confidentialité applicable, la Safeguards Rule, imposant la mise en place d'un programme écrit de sécurité de l'information proportionné à la taille et à la complexité de l'organisation, comparable dans son principe aux exigences de l'article 32 du RGPD, et des dispositions relatives au pretexting, réprimant l'obtention frauduleuse d'informations financières par usurpation d'identité. La Safeguards Rule, révisée en 2021 pour renforcer ses exigences techniques, impose désormais des mesures précises telles que le chiffrement des données au repos et en transit, l'authentification multifacteur pour l'accès aux systèmes contenant des informations client, et la désignation d'un responsable unique de la sécurité de l'information au sein de l'organisation. Pour les acteurs financiers européens actifs aux États-Unis, l'articulation entre GLBA et RGPD constitue un enjeu de conformité transatlantique récurrent.