La proposition de loi (pdf en anglais), qui émane de deux membres de la sous-commission du Congrès sur les Communications, technologies et Internet, Rick Boucher et Cliff Stearns, veut définir quelles informations peuvent être enregistrées et utilisées dans une stratégie d'opt-out (où l'internaute doit expressément signaler qu'il ne souhaite pas voir ses données utilisées), et celles qui devront requérir son consentement.
La proposition de loi distingue deux catégories de données : celles dites protégées et celles confidentielles. Les premières comprennent entre autres le nom, les adresses email et postale, les empreintes de doigts et scanners rétiniens, les adresses IP et les numéros de Sécurité social et de carte de crédit. La deuxième catégorie inclut les dossiers médicaux, l'origine ethnique, les informations financières, la géolocalisation précise et les orientations sexuelle et politique.
Pour cette catégorie la plus confidentielle, la proposition de loi prévoit qu'une organisation « ne peut collecter ou divulguer aucune information sans avoir affiché au préalable les conditions de respect de la vie privée, et obtenu une autorisation explicite de l'internaute. » Pour les informations protégées, une organisation ne doit pas « collecter, utiliser ou divulguer de telles informations pour aucune raison, sauf si une note sur la vie privée a été affichée et que l'internaute a donné son consentement. » Différence de taille dans le cas des données protégées : le consentement peut être implicite.
La proposition de loi veut également limiter « la possibilité de partager les données avec des tiers si un consentement explicite n'a pas été donné d'abord » par l'internaute. Ces règles ne s'appliqueraient évidemment pas pour les agences gouvernementales américaines.
La proposition de loi n'a pas été très bien accueillie outre-Atlantique. Si on se doute que les lobbies pro-publicité estiment qu'elle va trop loin, les avocats du droit à la protection de la vie privée n'en sont pas beaucoup plus heureux : elle serait inadéquate, car elle utilise le principe de la déclaration de politique de protection de la vie privée, qu'ils considèrent comme une forme d'opt-out sur de nombreux sites qui l'appliquent déjà. Du côté des groupes commerciaux et publicitaires, on argumente que le texte est trop flou, et pourrait tout simplement entraver leur capacité à employer de la publicité ciblée sur des sites web.
