Consentl

CCPA, CPRA et lois des États américains pour les sites web

Ce qu’exigent le CCPA, modifié par le CPRA, et les lois des États américains des sites avec cookies : information, opt-out de la vente et du partage, GPC.

L’opt-out plutôt que l’opt-in

Les lois des États américains sur la vie privée fonctionnent surtout en opt-out : un site peut utiliser des cookies de mesure d’audience et de publicité, mais il doit informer les visiteurs et leur permettre de s’opposer à la vente de leurs informations personnelles, à leur partage pour de la publicité comportementale intercontextuelle et, dans la plupart des États, à la publicité ciblée. Les cookies et pixels publicitaires de tiers constituent souvent une « vente » ou un « partage » au sens de ces lois.

Le California Consumer Privacy Act

Le CCPA, modifié par le CPRA (en vigueur depuis 2023), s’applique aux entreprises à but lucratif qui exercent en Californie et remplissent l’un de trois seuils : un chiffre d’affaires annuel brut supérieur à 25 millions de dollars (ajusté à l’inflation), l’achat, la vente ou le partage des informations personnelles d’au moins 100 000 consommateurs ou foyers, ou au moins la moitié du chiffre d’affaires tirée de la vente ou du partage d’informations personnelles. Il exige :

  • une information au moment de la collecte expliquant ce qui est collecté et pourquoi ;
  • un lien « Do Not Sell or Share My Personal Information » ou un autre lien d’opt-out ;
  • le respect des signaux de navigateur Global Privacy Control (GPC) comme opt-out valable ;
  • une réponse aux demandes d’accès, de suppression et de rectification sous 45 jours.

La California Privacy Protection Agency et le procureur général le font appliquer, avec des amendes par infraction ajustées à l’inflation et plus élevées pour les infractions intentionnelles et celles qui concernent des mineurs.

Les autres États

La Virginie, le Colorado, le Connecticut, l’Utah, le Texas, l’Oregon, le Montana et une liste croissante d’autres États ont des lois générales sur la vie privée avec des droits d’opt-out similaires. Plusieurs d’entre eux, dont le Colorado, le Connecticut, le Texas et l’Oregon, exigent le respect des signaux universels d’opt-out comme GPC. Les seuils, les règles sur les données sensibles et les délais varient selon l’État.

Comment Consentl vous aide

  • Une règle États-Unis prête à l’emploi : opt-out, avec une information et un lien vers les préférences où les visiteurs peuvent désactiver la vente ou le partage de leurs données.
  • Global Privacy Control respecté automatiquement : un signal GPC vaut opt-out, et l’enregistrement l’indique.
  • Des balises retenues après un opt-out, et Google Consent Mode mis à jour.
  • Un formulaire de demandes avec le délai CCPA de 45 jours dans votre tableau de bord, et des demandes « Do Not Sell or Share » sans vérification d’identité, comme l’exige la réglementation.

FAQ

Le CCPA s’applique-t-il à un petit site ?

Seulement si l’entreprise atteint l’un des seuils. Les lois des autres États ont leurs propres seuils, souvent fondés sur le nombre de résidents dont vous traitez les données.

Le CCPA n’exige pas de bandeau opt-in, mais vous devez informer et offrir un opt-out simple. Un bandeau avec un lien vers les préférences est un moyen courant de faire les deux.

Commencer gratuitement Tarifs

Cette page fournit des informations générales, pas un conseil juridique. Les lois et les lignes directrices évoluent ; vérifiez les règles en vigueur pour votre situation.

Fonctionnalités