Ouvrir l'espace

Guide · Loi d'un État américain

La Colorado Privacy Act expliquée à ceux qui vivent de la publicité

Le Colorado a été le premier État après la Californie à exiger que les sites respectent le signal automatique de refus du navigateur. Dans ce guide, vous comprenez quand la loi s'applique à votre site, ce qui change avec le GPC et comment le procureur général contrôle.

Auditer mon site pour le ColoradoLire le guide
  • ✓Basé sur la loi, les règles et les pages du procureur général du Colorado
  • ✓Exemples pensés pour les sites avec AdSense et Ad Manager
  • ✓Audit en lecture seule, sans modifier le site
100 000consommateurs du Colorado par an : la principale limite pour que la loi s'applique
1mécanisme universel d'opt-out reconnu par l'État jusqu'à présent : le Global Privacy Control
20 000 $ USamende civile maximale par violation selon la loi de protection des consommateurs du Colorado
45 joursdélai pour répondre aux demandes des consommateurs, prorogeable une fois de 45 jours

Définition

Une loi courte avec des règles détaillées du procureur général

La Colorado Privacy Act, ou CPA, a été signée le 7 juillet 2021 et est entrée en vigueur le 1er juillet 2023. Elle suit le modèle de la Virginie, avec des droits des consommateurs, l'opt-out de la publicité ciblée et le consentement pour les données sensibles.

La différence est dans les détails. Le procureur général du Colorado a publié ses propres règles, connues sous le nom de 4 CCR 904-3, qui expliquent à quoi doit ressembler l'avis de confidentialité, comment demander le consentement et comment reconnaître les signaux universels de refus.

Pour qui a un site avec des publicités, le point le plus important est le mécanisme universel d'opt-out. Depuis le 1er juillet 2024, les entreprises concernées doivent traiter le Global Privacy Control, le GPC, comme une demande valide de refus de la publicité ciblée et de la vente de données.

La loi fonctionne par opt-out pour les publicités. Elle n'exige pas d'autorisation avant d'afficher des publicités personnalisées aux adultes, mais elle exige que le refus soit simple, visible et automatique quand le navigateur le signale.

Checklist

Ce que vous devez respecter

Elles s'appliquent à ceux qui dépassent l'un des seuils de la loi du Colorado. Les règles du procureur général détaillent chaque point.

  1. Respectez le GPC

    Depuis le 1er juillet 2024, ceux qui dépassent les seuils doivent accepter le GPC comme refus de vente et de publicité ciblée. Aujourd'hui, c'est le seul signal reconnu par l'État.

  2. Placez le lien de refus en dehors de la politique

    Le chemin pour refuser se trouve à un endroit clair et facile à trouver, en dehors de la politique de confidentialité. Le lien doit mener directement au refus et indiquer clairement à quoi il sert.

    Exemple

    Pied de page : Your Privacy Choices ou Your Colorado Privacy Choices

  3. Complétez la politique de confidentialité

    La politique explique comment le visiteur exerce ses droits, comment les refus par GPC sont traités et indique la date de la dernière mise à jour.

    Exemple

    Dernière mise à jour : mars 2026. Nous respectons le Global Privacy Control comme refus de vente et de publicité ciblée.

  4. Demandez un consentement actif pour les données sensibles

    Le consentement doit être libre, spécifique, éclairé et sans ambiguïté. Une case déjà cochée ne vaut pas, et la personne doit pouvoir retirer son consentement facilement.

  5. N'exigez pas de connexion ni trop de données

    Pour accepter le GPC, le site ne peut pas exiger de connexion ni demander plus de données que le strict nécessaire.

  6. Répondez sous 45 jours

    Les demandes reçoivent une réponse sous 45 jours au plus, avec une prolongation de 45 jours si le visiteur en est informé. La première demande d'accès sur 12 mois est gratuite.

  7. Faites l'évaluation de protection des données

    Avant de vendre des données, de traiter des données sensibles ou de faire d'autres traitements à risque élevé, l'entreprise documente une évaluation. Le procureur général peut demander ce document.

  8. Transmettez le refus à Google

    Dans la section Colorado de la string GPP, le refus de vente ou de publicité ciblée active le RDP. Il est aussi possible d'activer le RDP directement dans la balise.

    // GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
  googletag.pubads().setPrivacySettings({
    restrictDataProcessing: true
  });
});

En pratique

Ce qui est correct et ce qui ne l'est pas

Outils officiels

CMP certifiées et liens officiels

Google n'exige pas de CMP certifiée pour le Colorado. Utilisez le message d'États américains de Google ou une CMP qui lit le GPC et génère du GPP. Voici les liens officiels.

À qui il s'applique

Deux seuils et aucun chiffre d'affaires

La CPA s'applique à ceux qui font des affaires au Colorado ou qui destinent des produits et services aux résidents de l'État et atteignent l'un des seuils ci-dessous. Il n'y a pas de seuil de chiffre d'affaires.

100 000 consommateurs

Contrôler ou traiter les données personnelles de 100 000 consommateurs du Colorado ou plus en un an. Les visiteurs avec cookies et identifiants publicitaires comptent.

25 000 et revenus de la vente

Traiter les données de 25 000 consommateurs ou plus et tirer un revenu ou une remise de la vente de données. Tout revenu compte, il n'y a pas de pourcentage minimal.

Règles sur la biométrie

Depuis le 1er juillet 2025, une modification crée des règles propres pour les identifiants et données biométriques. Qui collecte de la biométrie doit consulter ces règles séparément.

Seulement le consommateur personne physique

La loi protège les résidents agissant dans un contexte personnel ou domestique. Les données des employés et des contacts commerciaux sont exclues.

Définitions

Les termes qui comptent pour qui vend des publicités

Le Colorado définit la vente de façon plus large que la Virginie, ce qui rapproche la loi de la réalité du marché publicitaire.

Donnée personnelle

Information liée ou raisonnablement liable à une personne identifiée ou identifiable. Les données anonymisées et publiques sont exclues.

Donnée sensible

Origine raciale ou ethnique, religion, état de santé, vie et orientation sexuelles, citoyenneté, données génétiques, biométriques et données d'enfants de moins de 13 ans.

Vente

Échange de données personnelles contre de l'argent ou une autre contrepartie avec un tiers. Laisser un partenaire collecter des données en échange d'un service peut entrer dans cette définition.

Publicité ciblée

Publicité choisie d'après les données des activités de la personne dans le temps sur des sites et applications d'autres entreprises. La publicité contextuelle n'est pas incluse.

Opt-out universel

Le GPC est devenu une obligation le 1er juillet 2024

La CPA a créé le concept de mécanisme universel d'opt-out : un signal envoyé par le navigateur ou par une extension qui prévient tous les sites que la personne ne veut ni publicité ciblée ni vente de données. Elle n'a donc pas à cliquer sur refuser site par site.

Le procureur général a reçu des candidatures à la fin de 2023 et a publié la liste officielle. Jusqu'à présent, le seul mécanisme reconnu est le Global Privacy Control. L'État indique que la liste pourra s'allonger à l'avenir.

Depuis le 1er juillet 2024, les entreprises au-dessus des seuils doivent respecter le GPC. En pratique, le site doit détecter le signal, traiter le visiteur comme quelqu'un qui a refusé et transmettre ce refus à tous les partenaires publicitaires, sans demander de clic supplémentaire.

Le lien de refus reste nécessaire. La loi demande que le chemin pour refuser apparaisse clairement dans l'avis de confidentialité et aussi à un endroit visible en dehors de celui-ci, comme le pied de page du site.

Droits et obligations

Droits du visiteur, avis de confidentialité et consentement

Le visiteur du Colorado peut refuser la publicité ciblée, la vente de données et certains profilages, ainsi qu'accéder à ses données, les corriger, les supprimer et les transférer vers un autre service. L'entreprise a 45 jours pour répondre, avec une prorogation de 45 jours si elle prévient et explique le motif, et doit offrir une voie de recours à ceux dont la demande est refusée.

L'avis de confidentialité doit indiquer quelles catégories de données sont traitées, pour quelles finalités, quelles données vont à quelles catégories de tiers et comment exercer les droits. S'il y a vente ou publicité ciblée, cela doit être écrit clairement, avec la façon de refuser.

Les données sensibles ne peuvent être traitées qu'avec consentement. Les règles du Colorado exigent un consentement actif, libre, spécifique, éclairé et non équivoque. Une case précochée, le silence ou des schémas trompeurs ne comptent pas.

Depuis le 1er octobre 2025, une modification protège les données des mineurs. Sans le consentement du mineur lui-même, ou des parents s'il a moins de 13 ans, l'entreprise ne peut pas utiliser ses données pour la publicité ciblée, la vente et le profilage lié à des décisions importantes.

Chronologie

Les dates de la loi du Colorado

Dates confirmées sur les pages du procureur général du Colorado et dans les modifications publiées.

  1. 7 juillet 2021

    Loi signée

    La CPA est promulguée sous le nom SB 21-190.

  2. 15 mars 2023

    Règles finales

    Le procureur général enregistre les règles 4 CCR 904-3, qui détaillent l'avis, le consentement et l'opt-out.

  3. 1er juillet 2023

    Entrée en vigueur

    Les droits, l'opt-out et les évaluations de protection des données entrent en vigueur.

  4. 1er juillet 2024

    GPC obligatoire

    Les entreprises concernées doivent respecter le mécanisme universel d'opt-out reconnu par l'État.

  5. 1er janvier 2025

    Fin du délai de correction obligatoire

    Fin de la règle qui obligeait à envoyer un avis avec 60 jours pour corriger avant toute action.

  6. 1er juillet 2025

    Données biométriques

    Les règles propres aux identifiants et données biométriques entrent en vigueur.

  7. 1er octobre 2025

    Mineurs de moins de 18 ans

    L'exigence de consentement pour utiliser les données de mineurs dans la publicité ciblée, la vente et certains profilages entre en vigueur.

Évaluations, contrôle et amendes

Procureur général, procureurs et amendes jusqu'à 20 000 $ US

La CPA peut être appliquée par le procureur général du Colorado et par les procureurs de district de l'État. Le citoyen ne peut pas poursuivre l'entreprise sur la base de cette loi.

Jusqu'au 1er janvier 2025, quand le manquement pouvait être corrigé, le procureur général ou le procureur devait envoyer un avis et accorder 60 jours pour la correction. Ce délai obligatoire a pris fin. Aujourd'hui, l'action peut venir sans avis préalable.

Une violation de la CPA est traitée comme une pratique commerciale trompeuse par la loi de protection des consommateurs du Colorado. Selon cette loi, l'amende civile peut atteindre 20 000 $ US par violation, et 50 000 $ US quand la victime est une personne âgée. Chaque consommateur concerné peut compter comme une violation.

Les activités à risque élevé, comme la publicité ciblée, la vente de données et l'utilisation de données sensibles, exigent une évaluation de protection des données documentée. Le procureur général peut demander ce document lors d'une enquête.

AdSense et Ad Manager

Comment Google traite le visiteur du Colorado

AdSense et Ad Manager lisent la chaîne GPP, le format de l'IAB Tech Lab pour les signaux de confidentialité. Pour le Colorado, Google accepte la section propre à l'État et la section US National. Quand la chaîne indique un refus de la vente ou de la publicité ciblée, Google active le traitement restreint des données, le RDP, et n'affiche que des publicités non personnalisées.

Google ne dit pas qu'il lit directement le GPC. C'est pourquoi la voie sûre est que la CMP détecte le GPC, enregistre le refus dans la chaîne GPP et libère seulement ensuite les balises publicitaires. Autre option : activer le RDP dans la balise elle-même, par exemple avec restrictDataProcessing dans GPT, pour qui a envoyé le signal.

Le message de confidentialité pour les États des États-Unis, dans AdSense et Ad Manager, inclut le Colorado. Il affiche le lien de refus et enregistre le choix dans GPP. La responsabilité de respecter la loi reste celle du site.

Si le site utilise du header bidding, de la vidéo ou des pixels de réseaux sociaux, le refus doit aussi parvenir à ces partenaires. Désactiver seulement Google ne suffit pas.

En pratique

Ce qui est permis et ce qui ne l'est pas au Colorado

Exemples du quotidien d'un site avec publicités et visiteurs du Colorado.

Autorisé

  • Afficher des publicités personnalisées aux adultes sans demander d'autorisation avant, en proposant l'opt-out
  • Traiter automatiquement comme un refus la visite de quelqu'un qui a activé le GPC
  • Garder un lien de refus dans le pied de page, en dehors de l'avis de confidentialité
  • Afficher des publicités contextuelles à ceux qui ont refusé
  • Utiliser le message de confidentialité pour les États des États-Unis de Google comme point de départ

Interdit

  • Demander au visiteur qui a activé le GPC de cliquer à nouveau pour confirmer son refus
  • Cacher le refus uniquement dans la politique de confidentialité
  • Utiliser une case précochée pour obtenir le consentement pour des données sensibles
  • Utiliser des données de mineurs pour de la publicité ciblée sans consentement
  • Transmettre des données aux partenaires de header bidding après le refus

Erreurs courantes

Défauts fréquents sur les sites avec des visiteurs du Colorado

La plupart des problèmes viennent de l'écart entre ce que dit la bannière et ce que font les balises.

GPC uniquement en Californie

La CMP respecte le GPC pour la Californie, mais ignore le signal pour les visiteurs du Colorado.

Refus seulement sur le papier

Le lien de refus existe, mais la chaîne GPP ne change pas et les publicités restent personnalisées.

Politique générique

L'avis parle d'améliorer l'expérience, sans dire qu'il y a de la publicité ciblée ni comment refuser.

Compter sur le délai de correction

Depuis 2025, il n'y a plus d'avis obligatoire avec 60 jours. Attendre la notification pour agir est risqué.

Dans ConsentMode

Ce que l'audit vérifie sur la CPA

  • Ouvre le site comme un visiteur du Colorado avec le GPC désactivé puis activé, et compare ce qui change sur la page et dans les demandes de publicité.
  • Lit la chaîne GPP et montre si la section du Colorado ou la section US National indiquent le refus quand le GPC est activé.
  • Cherche le lien de refus à un endroit visible en dehors de la politique de confidentialité.
  • Identifie la CMP et vérifie que les balises publicitaires et de header bidding attendent sa réponse.
  • Lit la politique de confidentialité et signale s'il manque des finalités, des tiers, des droits, le recours et la façon de refuser.
Lancer un auditVoir tout ce qui est vérifié

Questions fréquentes sur la loi du Colorado

Ai-je besoin d'une bannière de consentement pour le Colorado ?

Pour les publicités personnalisées destinées aux adultes, non. La loi demande un opt-out. Le consentement est exigé pour les données sensibles et, depuis octobre 2025, pour utiliser les données de mineurs dans la publicité ciblée.

Qu'est-ce exactement que le GPC ?

C'est un réglage des navigateurs et extensions qui envoie aux sites un avis de refus. Le Colorado reconnaît le GPC comme mécanisme universel d'opt-out, et les sites concernés doivent le respecter depuis le 1er juillet 2024.

Mon site a peu de visiteurs du Colorado. La loi s'applique-t-elle ?

Seulement si vous dépassez 100 000 consommateurs de l'État par an, ou 25 000 avec un revenu issu de la vente de données. En dessous, la plus grande partie de la CPA ne s'applique pas. Qui collecte de la biométrie doit vérifier séparément les règles en vigueur depuis juillet 2025.

Ai-je encore un délai pour corriger avant l'amende ?

Le délai obligatoire de 60 jours a pris fin le 1er janvier 2025. Le procureur général peut agir directement.

ConsentMode active-t-il le GPC sur mon site ?

Non. ConsentMode n'est pas une CMP et ne modifie pas le site. Il simule la visite avec le GPC, montre si le signal est respecté et indique où corriger.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Testez votre site avec le GPC activé

L'audit ouvre le site comme un visiteur du Colorado et montre si le refus parvient aux publicités, sans rien modifier.

Lancer l'audit