Les lois américaines sur la protection des données et le RGPD : une comparaison pratique pour les entreprises internationales
Grâce au développement continu des solutions numériques, les données ne connaissent pas de frontières. Cependant, les lois sur la protection de la vie privée le font certainement. Pour les entreprises opérant de l'autre côté de l'Atlantique, il n'est plus facultatif de comprendre les lois américaines sur la protection des données par rapport au RGPD. La confidentialité des données définit la confiance mondiale et garantit que les organisations évitent les sanctions, tout en garantissant le bon déroulement des opérations relatives aux données. Alors que le RGPD fournit un cadre unifié fondé sur les droits pour tous les citoyens de l'UE, la législation américaine sur la protection de la vie privée est complexe.
Alors que les flux de données se mondialisent de plus en plus, les organisations doivent comprendre non seulement les contrastes juridiques (entre le RGPD et le droit américain ou le RGPD et le CCPA), mais également les implications commerciales pratiques qui découlent du fait de fonctionner dans les deux régimes. Dans cet article, nous aborderons exactement le même aspect sur les principaux facteurs de différenciation entre les lois américaines sur la protection des données et le RGPD, et sur la manière dont les entreprises peuvent rester en conformité dans les deux régimes.
Avant d'aller plus loin, voici une comparaison rapide entre les lois américaines sur la protection des données et le RGPD pour vous aider à préparer le terrain.
Bien que certaines juridictions disposent de lois inspirées du RGPD, comme l'équivalent californien du RGPD en vertu de la CCPA/CPRA, il n'existe toujours pas d'équivalent du RGPD dans d'autres pays qui corresponde à son approche globale.
Le champ d'application du RGPD est remarquablement large. Tout responsable du traitement ou sous-traitant qui gère les données personnelles de personnes dans l'UE ou l'EEE doit s'y conformer, que l'organisation ait une présence physique ou non dans cette région. La législation américaine sur la protection de la vie privée est plus restrictive : elle tend à s'appliquer en fonction du type de données ou du secteur. Par exemple, la loi HIPAA (Health Insurance Portability and Accountability Act) couvre les informations sur la santé ; la loi Gramm-Leach-Bliley (GLBA) couvre les institutions financières ; et la COPPA régit les services en ligne destinés aux enfants. Les lois des États, telles que la CCPA/CPRA de Californie, s'appliquent aux entités à but lucratif qui collectent des informations personnelles sur les résidents de l'État et atteignent des seuils de recettes ou de volume de données.
Dans le cadre du RGPD, données personnelles désigne toute information permettant d'identifier directement ou indirectement un individu vivant. Cela peut inclure des noms, des numéros d'identification, des informations de localisation ou d'autres attributs liés aux caractéristiques physiques, psychologiques, génétiques, mentales, économiques, culturelles ou sociales d'une personne. Le règlement classe également certains types de données, telles que celles révélant l'origine raciale ou ethnique, les informations de santé, les identifiants biométriques ou génétiques, l'orientation sexuelle, les opinions politiques, les convictions religieuses ou philosophiques et les affiliations syndicales, comme catégories spéciales de données personnelles. Ces catégories bénéficient d'un niveau de protection supplémentaire et ne peuvent être traitées que dans des circonstances limitées et définies par la loi.
En revanche, les lois sur la protection de la vie privée des États américains ont une vision plus étroite de ce qui est considéré comme informations personnelles. Ils la définissent généralement comme toute donnée qui identifie, concerne, décrit ou pourrait raisonnablement être liée à un consommateur ou à un ménage spécifique. Ils excluent généralement les informations accessibles au public et les données anonymisées ou agrégées. Les informations personnelles sensibles au titre de la CPRA comprennent des éléments tels que les numéros de sécurité sociale, la géolocalisation précise, l'origine raciale, les convictions religieuses, l'appartenance syndicale, les données de santé et les données génétiques ou biométriques. Les définitions étant différentes, un identifiant qui est une « donnée personnelle » dans l'UE peut ne pas être traité comme tel en vertu de certaines lois américaines, ce qui peut compliquer la conformité multinationale.
L'un des principaux points de divergence entre les lois américaines sur la protection des données et le RGPD réside dans la manière dont chaque cadre aborde le consentement. Le RGPD repose sur des bases juridiques claires pour le traitement des données, tandis que la plupart des lois américaines reposent sur un consentement implicite ou facultatif.
Conformément au RGPD, les organisations doivent identifier une base légale pour chaque activité de traitement de données. L'article 6 énumère six bases : le consentement, l'exécution d'un contrat, le respect d'une obligation légale, la protection des intérêts vitaux, l'exécution d'une mission d'intérêt public et les intérêts légitimes.
Pour des catégories particulières de données, l'article 9 exige généralement un consentement explicite ou une autre exception précise (par exemple, les intérêts vitaux en cas d'urgence, les actions en justice ou l'intérêt public substantiel). Il incombe aux contrôleurs de documenter ces bases et de démontrer leur conformité. En outre, le consentement au titre du RGPD doit être donné librement, spécifique, éclairé et sans ambiguïté ; les cases précochées et les consentements groupés ne sont pas valides.
La plupart des lois américaines sur la protection de la vie privée s'appuient sur des modèles d'exclusion plutôt que sur des bases légales. Le CCPA (souvent appelé équivalent du RGPD en Californie) et les lois similaires des États autorisent les entreprises à collecter et à traiter des informations personnelles par défaut, mais les obligent à fournir une notification claire et à donner aux consommateurs le droit de refuser la vente ou le partage de leurs données. En vertu de la loi californienne, les entreprises doivent inclure un lien « Ne pas vendre ni partager mes informations personnelles » et ne peuvent pas discriminer les consommateurs qui exercent ce droit.
Certaines lois nationales donnent également aux consommateurs le droit de restreindre l'utilisation de données personnelles sensibles. Les lois sectorielles peuvent imposer des exigences d'adhésion dans des contextes sensibles : la COPPA exige un consentement parental vérifiable avant de collecter des données auprès d'enfants de moins de 13 ans, et la HIPAA exige généralement l'autorisation du patient pour des utilisations allant au-delà du traitement et des opérations.
Pour les marketeurs, les règles de consentement du RGPD exigent des opt-ins clairs et des avis de confidentialité transparents. Dans le même temps, les entreprises américaines s'appuient souvent sur des cadres de notification et de choix. Les équipes RH qui traitent les données de l'UE doivent appliquer un consentement plus strict et minimisation des donnéesPrincipes n lors du traitement des informations sur les employés.
Le RGPD confère aux individus huit droits fondamentaux : le droit d'être informé, le droit d'accès, le droit de rectification, le droit à l'effacement (« droit à l'oubli »), le droit de restreindre le traitement, le droit à la portabilité des données, le droit de s'opposer et le droit de ne pas être soumis à une prise de décision automatisée, y compris le profilage. Les contrôleurs doivent répondre aux demandes sans retard injustifié et au plus tard dans un délai d'un mois, avec une prolongation de deux mois pour les affaires complexes. Les organisations ne peuvent pas facturer de frais à moins que les demandes ne soient manifestement infondées ou excessives.
Les lois sur la protection de la vie privée des États américains varient, mais nombre d'entre elles fournissent un ensemble cohérent de droits des consommateurs. En vertu de la CCPA/CPRA, les consommateurs ont le droit de savoir quelles informations personnelles sont collectées et à qui elles sont vendues ou partagées, d'accéder à ces informations, de corriger les inexactitudes, de supprimer leurs données, d'obtenir la portabilité de leurs données personnelles, de refuser la vente ou le partage, et de ne pas faire l'objet de discrimination dans l'exercice de leurs droits.
Plusieurs États étendent ces droits pour refuser la publicité ciblée, le profilage ou certaines prises de décisions automatisées. Certaines lois prévoient le droit de limiter l'utilisation et la divulgation d'informations personnelles sensibles. Les délais de réponse sont généralement de 45 jours, avec la possibilité d'une prolongation de 45 jours. Contrairement au RGPD, de nombreuses lois américaines limitent le nombre de demandes par an et permettent aux entreprises de vérifier l'identité du demandeur avant de répondre.
Le RGPD impose aux organisations de vérifier l'identité des personnes qui soumettent des demandes et d'y répondre dans un délai d'un mois. Tout manquement à cette obligation peut entraîner des amendes. Les lois américaines accordent généralement 45 jours pour répondre, et certains États autorisent une prolongation supplémentaire de 45 jours. Le CCPA permet aux entreprises de refuser les demandes non fondées et limite les consommateurs à deux demandes par an.
L'application du RGPD est supervisée par les autorités de protection des données de chaque État membre de l'UE, coordonnées par le Comité européen de protection des données. Infractions graves, telles que le traitement sans base légale ou la violation droits de la personne concernée, peut entraîner des amendes pouvant aller jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial du responsable du traitement, le montant le plus élevé étant retenu. Les autorités de surveillance peuvent également émettre des réprimandes, suspendre le traitement des commandes et exiger des organisations qu'elles mettent en œuvre des mesures correctives.
Aux États-Unis, l'application de la loi est fragmentée. Des agences fédérales telles que la Federal Trade Commission (FTC) et le ministère de la Santé et des Services sociaux (HHS) appliquent des lois sectorielles telles que la COPPA et la HIPAA. Les procureurs généraux des États appliquent les lois sur la protection de la vie privée des États et peuvent intenter des actions civiles. La principale différence entre le RGPD et le CCPA est qu'en vertu du CCPA (équivalent du RGPD en Californie), la sanction civile maximale est de 2 500 dollars par violation non intentionnelle et de 7 500 dollars pour les violations intentionnelles, sans plafonnement du total des amendes. La loi donne également aux entreprises 30 jours pour remédier à une violation. L'HIPAA impose des sanctions échelonnées pouvant atteindre 1,5 million de dollars par an, tandis que la GLBA peut entraîner des amendes allant jusqu'à 100 000 dollars par violation.
Le RGPD permet aux particuliers de demander réparation pour des dommages matériels ou immatériels et permet aux organismes sans but lucratif d'intenter des actions collectives. Cependant, la plupart des litiges ont fait l'objet de mesures réglementaires. Les lois américaines, en revanche, prévoient des voies plus explicites pour les poursuites privées. En vertu de la CCPA, les consommateurs peuvent poursuivre les entreprises qui font l'objet d'un accès ou d'une divulgation non autorisés d'informations personnelles en raison d'une faille de sécurité et peuvent récupérer 750 dollars par consommateur et par incident. Des recours collectifs ont lieu tous les jours et les avocats des plaignants surveillent activement les violations de données. Les organisations opérant aux États-Unis doivent donc comptabiliser à la fois les amendes réglementaires et les litiges civils.
Pour les entreprises multinationales, le transfert de données entre les régions reste l'un des plus grands défis. Alors que le RGPD fournit des mécanismes précis pour transfert de données transfrontalier, les États-Unis ne disposent pas d'un cadre fédéral équivalent et s'appuient plutôt sur des garanties sectorielles ou contractuelles.
Le RGPD restreint le transfert de données personnelles en dehors de l'EEE à moins que la destination ne garantisse un niveau de protection adéquat. Des transferts peuvent avoir lieu si la Commission européenne a émis une décision d'adéquation (par exemple, pour des pays comme le Canada, le Japon ou les États-Unis, pour les organisations certifiées relevant de l'Union européenne et des États-Unis). Cadre de confidentialité des données). En l'absence d'adéquation, les organisations peuvent s'appuyer sur des clauses contractuelles types ou des règles d'entreprise contraignantes comme garanties appropriées. Ces instruments obligent les parties à mettre en œuvre des mesures techniques et organisationnelles, à gérer les transferts ultérieurs et à accorder aux personnes concernées des droits exécutoires.
Les lois américaines n'imposent généralement pas de restrictions géographiques au transfert de données personnelles ; elles mettent plutôt l'accent sur la nature des données et le secteur industriel. Les entreprises sont libres d'exporter des données à l'étranger tant qu'elles respectent les réglementations sectorielles applicables, mais une fois que les données personnelles quittent les États-Unis, ces règles continuent de s'appliquer. Les organisations qui souhaitent recevoir des données de l'UE doivent donc adopter des mécanismes tels que le cadre de protection des données, adhérer à des CCT ou adopter des règles contraignantes. En l'absence de loi fédérale globale sur la protection de la vie privée, la conformité transfrontalière nécessite une diligence contractuelle et une gestion rigoureuse des fournisseurs.
La loi Gramm-Leach-Bliley (GLBA) s'applique aux institutions financières et impose deux règles principales : la règle des garanties, qui oblige les entreprises à élaborer des programmes de sécurité écrits, à effectuer des évaluations des risques et à former leurs employés, et la règle de confidentialité financière, qui oblige les institutions à divulguer leurs pratiques en matière de confidentialité et à proposer aux consommateurs des options de retrait.
Les sanctions en cas de non-conformité peuvent atteindre 100 000 dollars par violation, et les individus peuvent être poursuivis pénalement. L'approche du RGPD est plus large et indépendante du secteur ; elle impose la responsabilité, la confidentialité dès la conception, la minimisation des données et des mesures de sécurité basées sur les risques à tous les responsables du traitement. Les sociétés financières qui traitent des données de l'UE doivent donc aligner leurs programmes GLBA sur les exigences plus strictes du RGPD en matière de documentation, de gouvernance et de base légale.
La HIPAA régit les informations de santé protégées (PHI) aux États-Unis et comprend la règle de confidentialité, la règle de sécurité et la règle de notification des violations. Elle oblige les entités couvertes et les partenaires commerciaux à mettre en œuvre des garanties administratives, techniques et physiques, et à informer les personnes concernées et le HHS dans les 60 jours des violations affectant plus de 500 personnes. La HIPAA n'impose pas d'obligation générale d'adhésion ; les données de santé peuvent être utilisées pour des traitements et des opérations sans consentement, mais l'autorisation du patient est nécessaire à des fins de marketing et à d'autres fins. Les amendes peuvent atteindre 1,5 million de dollars par an.
À partir d'un GDPR contre HIPAA Dans cette perspective, le RGPD impose des exigences plus strictes. Toutes les données de santé ou autres données de catégorie spéciale nécessitent une base légale et un consentement généralement explicite, sauf exception. Le RGPD accorde également aux individus le droit à l'effacement et à la portabilité des données, des droits absents de la HIPAA, et impose la notification des violations à l'autorité de surveillance dans les 72 heures. Les organisations qui traitent des données de santé dans les deux juridictions doivent donc intégrer les droits élargis du RGPD et les délais de notification plus courts dans leurs stratégies de réponse aux incidents.
La loi américaine sur la protection de la vie privée en ligne des enfants (COPPA) s'applique aux sites Web et aux services en ligne destinés aux enfants de moins de 13 ans et nécessite un consentement parental vérifiable avant de collecter des informations personnelles. Une COPPA 2.0 proposée pourrait étendre la couverture aux adolescents âgés de 12 à 17 ans. En revanche, le RGPD définit un enfant comme un enfant de moins de 16 ans (les États membres peuvent abaisser l'âge à 13 ans) et exige que le traitement des données d'un enfant ne soit légal que si et dans la mesure où le consentement est donné ou autorisé par un parent. Le RGPD britannique fixe l'âge du consentement à 13 ans. Cette divergence signifie que les services américains destinés aux adolescents doivent suivre l'évolution des règles de la COPPA, tandis que les services orientés vers l'UE doivent vérifier le consentement des parents pour les utilisateurs n'ayant pas atteint le seuil d'âge requis.
Pour les organisations qui gèrent à la fois les données des consommateurs de l'UE et des États-Unis, le défi consiste à trouver un équilibre entre deux cadres très différents. Les bonnes pratiques suivantes aident les entreprises à établir des politiques unifiées qui répondent aux attentes des deux systèmes.
Les activités de l'autre côté de l'Atlantique exigent un solide programme de gestion de la confidentialité. Les organisations doivent désigner un délégué à la protection des données (DPO) (en interne ou par l'intermédiaire d'un DPO externalisé) qui comprend à la fois le RGPD et les exigences américaines. Un audit de conformité peut cartographier les flux de données, identifier les lois applicables et révéler les lacunes. Les politiques doivent clairement attribuer les responsabilités, documenter les bases juridiques, tenir à jour les registres du traitement et définir les canaux d'escalade.
Mettez en œuvre des outils unifiés de gestion du consentement et des préférences capables d'afficher des bannières de cookies conformes au RGPD dans l'UE, de répondre aux demandes « Ne pas vendre ni partager » aux États-Unis et de gérer des listes de désinscription. La centralisation de ces informations permet aux équipes marketing de respecter les choix des utilisateurs, quels que soient les canaux et les juridictions.
Le RGPD impose aux organisations de ne collecter que les données personnelles nécessaires à des fins spécifiques et de ne les conserver que le temps nécessaire. Les lois américaines n'imposent pas explicitement d'exigences de minimisation des données, mais la réduction des volumes de données permet tout de même d'atténuer les risques.
La réponse aux incidents doit tenir compte des différents délais de notification.
Un appartement plan de réponse aux incidents de cybersécurité doit disposer d'une classification claire des incidents, de protocoles de signalement transfrontaliers et de messages coordonnés destinés aux régulateurs, aux clients et aux employés.
Comprenez clairement où les données personnelles de l'UE entrent dans vos systèmes, quelles équipes les utilisent et comment elles sont stockées. Un inventaire des données est essentiel à la fois pour la conformité au RGPD et pour les exigences de divulgation des États américains.
Pour chaque activité de traitement des données dans l'UE, déterminez la base légale appropriée dans le cadre du RGPD. Documentez cette analyse et assurez-vous que le traitement effectué aux États-Unis est conforme aux obligations de retrait.
Assurez-vous que vos avis de confidentialité répondent aux exigences d'information du RGPD et aux obligations de divulgation des lois de l'État. Incluez des explications sur les catégories de données, les objectifs, les bases juridiques, les pratiques de partage et les droits des utilisateurs.
Déployez des mécanismes pour recueillir le consentement explicite lorsque cela est nécessaire (par exemple, catégories spéciales, enfants) et fournissez des liens de désinscription simples pour la vente ou la publicité ciblée. Utilisez les centres de préférences pour permettre des choix granulaires.
Établissez des flux de travail pour recevoir, vérifier et répondre aux demandes des personnes concernées dans les délais requis, conformément aux droits des personnes concernées par le RGPD.
Si vous transférez des données personnelles de l'UE vers les États-Unis, signez des clauses contractuelles types ou adhérez au cadre de confidentialité des données entre l'UE et les États-Unis. Évaluez les transferts ultérieurs aux fournisseurs et garantissez les garanties contractuelles.
Mettez en œuvre des mesures de protection techniques telles que le chiffrement, l'authentification multifactorielle et la surveillance continue. Documentez ces mesures afin de respecter à la fois le principe de responsabilité du RGPD et les lois américaines.
Organisez régulièrement des formations sur le RGPD et les obligations de confidentialité des États-Unis. Promouvoir la protection de la vie privée dès la conception lors du développement de produits et des campagnes marketing.
Effectuez des audits de conformité périodiques et des évaluations des risques des fournisseurs. Évaluez les contrats avec des tiers pour vous assurer qu'ils incluent les clauses nécessaires à la conformité au RGPD et à la législation de l'État.
Envisagez de nommer un DPO interne ou de vous associer à DPO Consulting par le biais de notre service DPO externalisé. Un expert en protection de la vie privée suivra l'évolution de la réglementation, effectuera des analyses d'impact et assurera la liaison avec les autorités de surveillance.
La complexité du RGPD par rapport à la législation américaine sur la protection de la vie privée peut submerger les organisations axées sur la croissance. DPO Consulting propose des services sur mesure pour aider votre entreprise à atteindre et à maintenir la conformité. Notre équipe mène des activités minutieuses audits de conformité, contribue à l'évaluation des transferts de données transfrontaliers et fournit DPO externalisé services pour les entreprises qui ont besoin d'une expertise continue sans effectifs. Nous concevons et mettons en œuvre des solutions de gestion des consentements qui respectent à la fois les régimes d'adhésion et de retrait et qui aident à créer des inventaires de données, des politiques de conservation et des plans de réponse aux incidents. Grâce à des formations personnalisées et à des conseils stratégiques, nous vous permettons de transformer la conformité en matière de confidentialité en avantage concurrentiel.
Contactez nos experts dès aujourd'hui !
Non Les États-Unis ne disposent pas d'une loi globale et omnibus sur la protection de la vie privée semblable au RGPD. Au contraire, la réglementation en matière de protection de la vie privée est propre au secteur et complétée par les lois des États. Des lois telles que HIPAA, GLBA et COPPA réglementent des types de données spécifiques, et des États comme la Californie, le Colorado et la Virginie ont promulgué des lois sur la protection de la vie privée des consommateurs, mais aucune n'est à la hauteur du RGPD.
Oui, si une entreprise américaine traite les données personnelles de personnes dans l'UE/EEE, elle doit se conformer aux règles extraterritoriales du RGPD. Cela inclut la détermination des bases légales, le respect des droits des personnes concernées et la garantie de garanties relatives aux transferts transfrontaliers. Les entreprises américaines qui n'ont pas d'utilisateurs européens n'ont pas besoin de se conformer au RGPD, mais doivent tout de même respecter les lois fédérales et nationales applicables.
Il existe un chevauchement important : les deux régimes prévoient des droits d'accès, de suppression, de portabilité des données et de restriction (ou de retrait). Le RGPD va plus loin en donnant aux individus le droit de rectification, d'opposition et de ne pas être soumis à une prise de décision automatisée. Les lois des États américains accordent des droits de retrait pour la vente ou la publicité ciblée et imposent des obligations de non-discrimination.
En vertu du RGPD, les transferts internationaux nécessitent une décision d'adéquation ou des garanties appropriées telles que des CCS. Le cadre de confidentialité des données entre l'UE et les États-Unis fournit des informations adéquates aux organisations certifiées. Les lois américaines limitent rarement les flux de données sortants mais exigent le respect de règles sectorielles.
Les violations du RGPD peuvent entraîner des amendes allant jusqu'à 20 millions d'euros, soit 4 % du chiffre d'affaires mondial. Aux États-Unis, les amendes varient : le CCPA autorise des amendes de 2 500 dollars par violation involontaire et de 7 500 dollars par violation intentionnelle. Les amendes prévues par la HIPAA vont jusqu'à 1,5 million de dollars par an. Les violations de la GLBA peuvent coûter 100 000 dollars par violation. Les poursuites privées peuvent entraîner des coûts supplémentaires.
Investir dans les efforts de conformité au RGPD peut peser lourdement sur les grandes entreprises ainsi que sur les petites et moyennes entreprises (PME). Le recours à une ressource ou à une assistance externe peut alléger la charge d'un audit interne pour l'ensemble des entreprises et alléger la pression sur les finances, les capacités technologiques et l'expertise de l'entreprise.
Les auditeurs externes et les partenaires experts tels que DPO Consulting sont bien placés pour aider les organisations à gérer efficacement la nature complexe des audits du RGPD. Ces professionnels formés agissent comme une extension de votre équipe, aidant à rationaliser les processus d'audit, à identifier les domaines à améliorer, à mettre en œuvre les changements nécessaires et à garantir la conformité au RGPD.
Confier le bon partenaire offre l'avantage de l'impartialité et du respect des normes du secteur et permet de débloquer une multitude de ressources telles que des informations spécifiques au secteur, ce qui se traduit par des évaluations impartiales et une conformité réussie. Travailler avec DPO Consulting se traduit par un gain de temps précieux et allège la charge de travail du personnel interne, tout en réduisant considérablement les coûts de l'entreprise.
RGPD et conformité
DPO et représentation externalisés
Formation et assistance
To give you 100% control over the design, together with Webflow project, you also get the Figma file. After the purchase, simply send us an email to and we will e happy to forward you the Figma file.
Yes, we know... it's easy to say it, but that's the fact. We did put a lot of thought into the template. Trend Trail was designed by an award-winning designer. Layouts you will find in our template are custom made to fit the industry after carefully made research.
We used our best practices to make sure your new website loads fast. All of the images are compressed to have as little size as possible. Whenever possible we used vector formats - the format made for the web.
Grained is optimized to offer a frictionless experience on every screen. No matter how you combine our sections, they will look good on desktop, tablet, and phone.
Both complex and simple animations are an inseparable element of modern website. We created our animations in a way that can be easily reused, even by Webflow beginners.
Our template is modular, meaning you can combine different sections as well as single elements, like buttons, images, etc. with each other without losing on consistency of the design. Long story short, different elements will always look good together.
On top of being modular, Grained was created using the best Webflow techniques, like: global Color Swatches, reusable classes, symbols and more.
Grained includes a blog, carrers and projects collections that are made on the powerful Webflow CMS. This will let you add new content extremely easily.
Grained Template comes with eCommerce set up, so you can start selling your services straight away.
To give you 100% control over the design, together with Webflow project, you also get the Figma file.
.svg)
