Aller au contenu principal

Lois des États américains sur la vie privée (CCPA/CPRA et autres)

Ceci ne constitue pas un avis juridique

La loi telle que nous la comprenons au 5 novembre 2026. La loi qui s’applique à vous dépend de seuils (chiffre d’affaires, nombre de consommateurs) qui varient d’un État à l’autre. Consultez la vue d’ensemble pour savoir ce que ces pages sont, et ce qu’elles ne sont pas.

Ce que la loi exige​

Les lois des États américains n’exigent pas de consentement avant l’exécution des cookies. Elles exigent une information et un droit d’opposition (opt-out) : indiquer aux visiteurs ce que vous collectez, leur permettre de s’opposer à la « vente » ou au « partage » de leurs informations personnelles ainsi qu’à la publicité ciblée, et ne demander un consentement préalable (opt-in) que pour les données sensibles et pour les mineurs.

Californie (CCPA modifiée par la CPRA)​

  • Une information au moment de la collecte, au moment où les données sont collectées ou avant.
  • Un lien « Do Not Sell or Share My Personal Information » (ne pas vendre ni partager mes informations personnelles) et, le cas échéant, un lien « Limit the Use of My Sensitive Personal Information » (limiter l’utilisation de mes informations personnelles sensibles) — ou bien, à la place des deux, un lien unique « Your Privacy Choices » (vos choix de confidentialité) accompagné de l’icône d’opt-out.
  • Signaux de préférence d’opposition. Une entreprise qui vend ou partage des données doit traiter un signal de navigateur tel que Global Privacy Control comme une opposition valable pour ce navigateur, sans rien exiger de plus. Depuis le 1er janvier 2026, l’entreprise doit aussi indiquer si elle a traité le signal (par exemple « Opt-Out Request Honored »).
  • Symétrie des choix : l’option la plus protectrice de la vie privée ne doit être ni plus longue ni plus difficile que l’autre ; un consentement obtenu au moyen de dark patterns (interfaces trompeuses) n’est pas un consentement.
  • Après une opposition, attendez 12 mois avant de demander à la personne de revenir sur son choix.

La California Privacy Protection Agency et le procureur général (Attorney General) veillent au respect de la loi ; les amendes peuvent atteindre 2 663 $ par infraction et 7 988 $ par infraction intentionnelle (montants 2025).

Les autres États​

Des lois générales sur la protection de la vie privée sont en vigueur dans une vingtaine d’États, parmi lesquels la Virginie, le Colorado, le Connecticut, l’Utah, le Texas, l’Oregon, le Montana, l’Iowa, le Delaware, le Nebraska, le New Hampshire, le New Jersey, le Tennessee, le Minnesota et le Maryland ; l’Indiana, le Kentucky et le Rhode Island depuis le 1er janvier 2026. Elles diffèrent dans le détail, mais ont en commun l’opposition à la vente et à la publicité ciblée.

Douze États imposent de respecter les signaux universels d’opposition tels que Global Privacy Control : la Californie, le Colorado, le Connecticut, le Delaware, le Maryland, le Minnesota, le Montana, le Nebraska, le New Hampshire, le New Jersey, l’Oregon et le Texas, avec des dates d’entrée en vigueur comprises entre 2024 et 2026. Le Colorado est le seul État à tenir une liste officielle, et GPC est le seul mécanisme qui y figure.

IAB GPP​

Les technologies publicitaires lisent les choix d’opposition des visiteurs américains dans la Global Privacy Platform de l’IAB (__gpp). Sa section US National (usnat), issue du Multi-State Privacy Agreement, réunit dans une seule chaîne les oppositions et un indicateur Global Privacy Control.

Comment ConnectWiz y répond​

ConnectWiz traite d’abord les visiteurs américains comme tous les autres — tout est refusé tant qu’ils n’ont pas choisi —, ce que toutes les lois américaines permettent. Si vous vendez à des clients aux États-Unis et souhaitez appliquer le modèle information et opposition, activez Utiliser le modèle des lois des États américains (opt-out) sous Valeur par défaut avant un choix, par région (voir Visiteurs des États-Unis) :

La règleDans ConnectWiz
Information au moment de la collecteLes visiteurs américains voient la bannière une seule fois, sous la forme d’un avis, dans leur langue.
« Do Not Sell or Share »L’avis comporte trois boutons de même poids : OK, Ne pas vendre ni partager mes informations personnelles (désactive le marketing et laisse le reste) et Préférences.
Lien « Your Privacy Choices »Le bouton cookies s’intitule Vos choix de confidentialité ; tout élément de votre pied de page portant data-cwz-privacy-choices ouvre les mêmes choix.
Global Privacy ControlRespecté sur chaque site, avec ou sans le modèle américain : un navigateur qui l’envoie ne démarre jamais avec le marketing activé, et l’avis indique que le signal a été appliqué. Seul le choix du visiteur lui-même peut réactiver le marketing.
12 mois après une oppositionUn choix qui désactive le marketing est conservé au moins 12 mois.
PreuveChaque enregistrement indique qu’il a été effectué selon le modèle opt-out et si le navigateur envoyait GPC.
IAB GPPLorsque Envoyer aussi les signaux IAB GPP (US National) est activé, la page répond à __gpp avec une chaîne usnat, sous-section GPC comprise. Voir Signaux IAB GPP.

Le modèle s’applique à l’ensemble des États-Unis : l’adresse ne permet pas de savoir de quel État vient le visiteur, et l’avis comme l’opposition ne nuisent en rien là où un État n’a pas de loi.

Ce qu’il vous reste à faire​

  • Votre politique de confidentialité doit décrire ce que vous collectez, les catégories de données que vous vendez ou partagez et la manière de s’y opposer ; l’avis de la bannière ne la remplace pas.
  • Les données sensibles et les mineurs exigent un consentement préalable (opt-in) ; si votre site en collecte, le modèle opt-out ne suffit pas pour ces finalités.
  • Les demandes par e-mail ou par formulaire (accès, suppression, opposition pour des données qui ne sont pas liées à un navigateur) restent à votre charge ; ConnectWiz enregistre les choix faits dans le navigateur.
  • Vérifiez si une loi s’applique à vous — les seuils varient d’un État à l’autre.

Sources​