Ouvrir l'espaceGuide · Loi d'un État américain
La Californie a la loi sur la confidentialité la plus détaillée des États-Unis et celle qui inflige le plus d'amendes. Dans ce guide, vous comprenez quand elle s'applique à votre site, pourquoi les publicités personnalisées comptent comme vente ou partage de données et ce qui doit apparaître sur la page pour que le visiteur puisse dire non.
Définition
La California Consumer Privacy Act, ou CCPA, a été adoptée en 2018 et est entrée en vigueur le 1er janvier 2020. Elle donne aux résidents de Californie le droit de savoir quelles données une entreprise collecte, de demander la suppression de ces données et d'empêcher leur vente.
En novembre 2020, les électeurs ont approuvé la California Privacy Rights Act, la CPRA, qui a réécrit une bonne partie de la CCPA. Les changements s'appliquent depuis le 1er janvier 2023. C'est pourquoi, quand on parle de CCPA aujourd'hui, on parle presque toujours de la loi déjà modifiée par la CPRA.
La CPRA a créé la California Privacy Protection Agency, une agence dédiée uniquement à la confidentialité, qui se présente aujourd'hui au public sous le nom de CalPrivacy. Elle rédige les règles détaillées, enquête sur les entreprises et inflige des amendes. Le procureur général de Californie conserve le pouvoir de poursuivre ceux qui ne respectent pas la loi.
Pour qui a un site avec publicités, le point central est simple : quand des cookies et des identifiants du visiteur sont utilisés pour afficher des publicités d'après ce qu'il a fait sur d'autres sites, la loi considère cela comme un partage de données. Et le visiteur a le droit de refuser.
Checklist
Elles s'appliquent aux entreprises qui dépassent l'un des seuils de la loi et qui vendent ou partagent des données de résidents de Californie.
Celui qui vend ou partage des données doit afficher un lien clair dans l'en-tête ou le pied de page de la page d'accueil. Les règles acceptent aussi un lien unique appelé Your Privacy Choices ou Your California Privacy Choices, avec l'icône officielle à côté.
Pied de page : Do Not Sell or Share My Personal Information
Le procureur général indique que le GPC doit être respecté comme demande de refus valide. Les règles en vigueur depuis 2026 demandent que le site montre au visiteur le statut de son choix.
Panneau de confidentialité : Nous avons reçu votre signal GPC. Nous ne vendons ni ne partageons vos données.
Le refus doit être traité dès que possible, en 15 jours ouvrables au maximum. Les demandes de consultation, de suppression ou de correction ont un délai de 45 jours, prolongeable de 45 jours si le visiteur en est informé.
L'avis apparaît avant ou au moment où les données sont collectées et contient le lien vers la politique de confidentialité. La politique explique les droits du visiteur et comment les exercer.
Nous utilisons des cookies de partenaires publicitaires. Selon la loi de Californie, cela peut constituer un partage de données. Pour refuser, cliquez sur Do Not Sell or Share My Personal Information.
Celui qui vend ou partage des données doit proposer deux moyens ou plus de refuser. Pour les demandes d'accès ou de suppression, une entreprise exclusivement en ligne peut proposer seulement une adresse e-mail.
Demandes de confidentialité : confidentialite@votresite.com
Les règles exigent une symétrie dans les choix. Un avis qui propose seulement Oui et Me redemander plus tard n'est pas équilibré, car il n'y a aucun moyen de refuser.
Deux boutons de même taille et de même couleur : Accepter et Refuser
Pour vendre ou partager les données de quelqu'un que vous savez avoir moins de 16 ans, une autorisation préalable est nécessaire. En dessous de 13 ans, l'autorisation vient des parents ou des responsables légaux.
Dans la section Californie de la string GPP, le refus de vente ou de partage active le RDP. Une autre option est d'activer le RDP dans la balise pour ceux qui ont cliqué sur le lien.
// GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
googletag.pubads().setPrivacySettings({
restrictDataProcessing: true
});
});En pratique
Outils officiels
Google n'exige pas de CMP certifiée pour la Californie. Vous pouvez utiliser le message d'États américains de Google, une CMP qui génère du GPP ou le RDP dans la balise. Voici les liens officiels.
À qui il s'applique
La loi s'applique aux entreprises à but lucratif qui font des affaires en Californie, collectent des données de résidents de l'État et atteignent au moins l'un des seuils ci-dessous. Avoir son siège là-bas n'est pas une condition : les entreprises étrangères qui servent des Californiens peuvent aussi être concernées.
Revenu brut annuel supérieur à ce montant, qui était de 25 millions USD et a été corrigé de l'inflation en janvier 2025. Le chiffre d'affaires compte en totalité, pas seulement ce qui vient de Californie.
Acheter, vendre ou partager les données de 100 000 consommateurs ou foyers de Californie ou plus par an. Un portail avec beaucoup de trafic californien et des publicités personnalisées peut y arriver sans s'en apercevoir.
Tirer 50% ou plus du revenu annuel de la vente ou du partage de données personnelles de Californiens, quelle que soit la taille de l'entreprise.
Les organisations à but non lucratif et les organismes publics, en règle générale, ne sont pas couverts. Les entreprises sous les trois seuils non plus, mais les partenaires publicitaires peuvent quand même exiger les signaux d'opt-out.
Définitions
La CCPA utilise ses propres termes. Comprendre les quatre ci-dessous évite la plupart des confusions.
Toute donnée liée ou pouvant être liée à une personne ou à un foyer. La loi inclut elle-même les identifiants en ligne, l'adresse IP, l'historique de navigation et les interactions avec les sites et les publicités.
Des données comme les documents, les identifiants de comptes, la localisation précise, l'origine raciale, la religion, la santé, la vie sexuelle et la biométrie. Le visiteur peut demander que l'usage de ces données soit limité.
Transmettre des données à des tiers en échange d'argent ou d'une autre valeur. Il n'est pas nécessaire qu'il y ait un paiement direct : laisser un partenaire collecter des données en échange d'un service peut compter comme une vente.
Transmettre des données à des tiers pour de la publicité comportementale entre contextes, c'est-à-dire des publicités choisies d'après ce que la personne a fait sur d'autres sites et applications. Cela vaut même sans paiement.
Droits
L'entreprise a 45 jours pour répondre aux demandes, avec une prolongation de 45 jours supplémentaires si nécessaire. Les demandes d'opt-out doivent être traitées bien plus vite et sans formalités.
Découvrir quelles données ont été collectées, d'où elles viennent, à quoi elles servent et avec qui elles ont été vendues ou partagées.
Demander la suppression des données collectées et la correction des données erronées, avec quelques exceptions prévues par la loi.
Ordonner à l'entreprise de cesser de vendre ou de partager ses données, y compris pour les publicités personnalisées, par un lien sur le site ou par un signal automatique du navigateur.
Restreindre l'usage des données sensibles à ce qui est nécessaire et ne pas être traité moins bien, avec un prix plus élevé ou un service réduit, pour avoir exercé ces droits.
Obligations du site
Celui qui vend ou partage des données doit proposer un lien clair avec le texte Do Not Sell or Share My Personal Information, normalement dans le pied de page de toutes les pages. Les règles de l'agence permettent de remplacer ce lien et celui des données sensibles par un seul lien appelé Your Privacy Choices, accompagné de l'icône officielle. Cliquer doit mener à un moyen simple de refuser, sans inscription et sans exiger de documents.
Le signal automatique d'opt-out est lui aussi obligatoire. L'exemple le plus connu est le Global Privacy Control, le GPC, un réglage du navigateur ou d'une extension qui prévient tous les sites que la personne ne veut pas que ses données soient vendues ou partagées. Depuis le 1er janvier 2026, les règles exigent que le site montre s'il a traité ce signal, par exemple avec un message de demande d'opt-out prise en compte.
Il faut aussi un avis au moment de la collecte et une politique de confidentialité complète. Elle liste les catégories de données collectées, les finalités, les catégories d'entreprises qui reçoivent les données, s'il y a vente ou partage, combien de temps les données sont conservées et comment exercer chaque droit. Les règles de l'agence demandent aussi la date de la dernière mise à jour.
Les règles interdisent les soi-disant dark patterns : refuser ne peut pas exiger plus d'étapes qu'accepter, et fermer un pop-up ne vaut pas consentement. Pour vendre ou partager les données de personnes que l'entreprise sait avoir moins de 16 ans, une autorisation préalable est nécessaire. Entre 13 et 16 ans, c'est l'adolescent lui-même qui autorise ; en dessous de 13 ans, ce sont les parents.
Chronologie
Dates confirmées par des sources officielles de l'État de Californie.
Naissance du droit de savoir, de supprimer et de refuser la vente de données.
Accord de 1,2 million USD pour avoir vendu des données via des traceurs tiers et ignoré le GPC.
Arrivent le partage pour les publicités, la correction, la limite pour les données sensibles, et prend fin le délai obligatoire de 30 jours pour corriger avant la sanction.
Le seuil de chiffre d'affaires monte à 26 625 000 USD et les amendes à 2 663 USD et 7 988 USD.
Entrent en vigueur les évaluations des risques pour les activités à risque significatif, la confirmation visible du signal d'opt-out et les nouvelles règles contre les dark patterns.
Les règles sur la décision automatisée pour les décisions importantes commencent. La loi AB 566, de 2025, exigera que les navigateurs offrent un signal d'opt-out intégré.
Échéance pour envoyer la déclaration et le résumé des évaluations des risques. Les certifications d'audit de sécurité commencent à cette date pour ceux dont le chiffre d'affaires dépasse 100 millions USD et se poursuivent en 2029 et 2030 pour les autres.
Contrôle et amendes
L'agence de protection de la vie privée et le procureur général peuvent agir. Depuis 2023, le délai obligatoire de 30 jours pour corriger avant la sanction n'existe plus. L'agence peut tenir compte de la bonne foi, mais n'a pas à prévenir avant.
Les amendes ont été corrigées en janvier 2025 : jusqu'à 2 663 USD par violation et jusqu'à 7 988 USD par violation intentionnelle ou impliquant des mineurs de moins de 16 ans. Comme chaque visiteur ou chaque demande peut compter comme une violation, le total grimpe vite. Le citoyen ne peut poursuivre directement que dans les cas de fuite de données, avec une indemnisation de 107 USD à 799 USD par personne et par incident.
Sephora a payé 1,2 million USD en 2022 pour des traceurs et le GPC. En mars 2025, Honda a payé 632 500 USD à l'agence pour avoir exigé trop de données pour l'opt-out et pour un outil qui ne présentait pas les choix de façon équilibrée. En mai 2025, la marque de vêtements Todd Snyder a payé 345 178 USD parce qu'un portail mal configuré a cessé de traiter les demandes d'opt-out pendant 40 jours.
En juillet 2025, le procureur général a conclu un accord de 1,55 million USD avec le site de santé Healthline, qui ne respectait pas les refus de publicité ciblée, y compris via le GPC. En septembre 2025, Tractor Supply a reçu une amende de 1,35 million USD, qui inclut des défaillances dans le traitement du GPC. En février 2026, Disney a conclu le plus grand accord jusqu'alors, de 2,75 millions USD, parce que l'opt-out et le GPC ne valaient que sur un seul appareil ou service.
AdSense et Ad Manager
Google propose le traitement restreint des données, appelé RDP. Quand le signal est présent, Google n'affiche pas de publicités fondées sur le comportement antérieur du visiteur et envoie des demandes non personnalisées aux acheteurs. Dans ce mode, Google agit comme prestataire de services, une figure que la loi californienne ne traite pas comme une vente.
Il y a deux voies. La première est une CMP qui génère la string GPP, le format de l'IAB Tech Lab pour les signaux de confidentialité. AdSense et Ad Manager lisent la section US National et la section de la Californie. Dans la section de la Californie, refuser la vente ou le partage active le RDP, et le refus pour les moins de 16 ans déclenche le traitement pour les enfants. La seconde voie est d'activer le RDP directement dans la balise, par exemple avec restrictDataProcessing dans GPT, uniquement pour ceux qui ont cliqué sur le lien d'opt-out.
Le Message de confidentialité pour les États américains, dans le menu Confidentialité et messagerie d'AdSense et d'Ad Manager, couvre la Californie. Il affiche le lien Do Not Sell or Share My Personal Information, enregistre le refus et inscrit le choix dans le GPP. Google rappelle toutefois que la responsabilité de respecter la loi reste celle du site.
Le header bidding, les réseaux vidéo et les pixels des réseaux sociaux reçoivent aussi des données. L'opt-out doit parvenir à tous, pas seulement à Google.
En pratique
Exemples du quotidien d'un site avec AdSense ou Ad Manager et des visiteurs californiens.
Erreurs courantes
Presque tous les accords publics portent sur un opt-out qui semble fonctionner, mais ne fonctionne pas.
Le lien Do Not Sell or Share ouvre la politique de confidentialité au lieu d'un écran où le visiteur peut réellement refuser.
La CMP détecte le GPC, mais les balises publicitaires se chargent avant ou continuent de recevoir le signal de non-refus.
Le RDP est activé chez Google, mais les partenaires de header bidding et les pixels tiers continuent de collecter des données.
Tout accepter en un clic et ne refuser qu'après avoir ouvert les paramètres. Le déséquilibre des choix a pesé dans l'affaire Honda.
Politique sans date de mise à jour, sans les catégories de données ou sans mention du partage pour la publicité.
La bannière apparaît, mais aucune string GPP n'est générée, donc Google et les partenaires ne reçoivent pas le choix du visiteur.
Dans ConsentMode
Elle peut s'appliquer. La loi n'exige pas de siège en Californie. Si l'entreprise sert des résidents de l'État et dépasse l'un des trois seuils, comme 100 000 consommateurs ou foyers par an avec des données partagées pour la publicité, elle est concernée. Sous les seuils, la loi ne s'applique pas, mais Google et d'autres partenaires continuent de lire les signaux d'opt-out.
Les publicités personnalisées fondées sur la navigation sur d'autres sites correspondent au concept de partage. Avec le RDP activé, Google agit comme prestataire de services et n'affiche que des publicités non personnalisées pour ce visiteur.
La CCPA fonctionne par opt-out, donc elle n'exige pas de demander l'autorisation avant pour les adultes. Elle exige l'avis à la collecte, le lien de refus et le respect du GPC. Pour les moins de 16 ans, un opt-in est nécessaire.
Oui. Le procureur général et l'agence traitent le GPC comme une demande valable d'opt-out, et plusieurs accords, comme ceux de Sephora, Tractor Supply et Disney, citent des défaillances sur le GPC. Depuis 2026, le site doit aussi montrer s'il a traité le signal.
Elle s'applique aux entreprises couvertes par la loi dont les activités figurent dans la liste des risques significatifs des règles de l'agence. Qui fait de la publicité personnalisée doit vérifier cette liste avec un avocat. Un blog sous les seuils de la CCPA n'y est pas soumis. Celui qui est au-dessus et entre dans la liste doit documenter l'évaluation et envoyer la déclaration avant le 1er avril 2028.
Non. ConsentMode n'est pas une CMP et n'affiche pas de bannière. Il audite le site de l'extérieur et montre ce qu'il faut corriger. La décision juridique revient à votre avocat.
Bibliothèque
Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :
L'audit ouvre le site comme un visiteur de Californie, avec et sans GPC, et montre ce qu'il faut corriger sans rien modifier.