Ouvrir l'espace

Guide · Loi d'un État américain

CTDPA : la loi du Connecticut expliquée à ceux qui ont des annonces

Le Connecticut a réécrit sa loi sur la confidentialité en 2025 et les changements s'appliquent depuis le 1er juillet 2026. Le seuil de visiteurs a beaucoup baissé, les adolescents ont obtenu une protection totale contre la publicité ciblée et l'avis de confidentialité est devenu plus exigeant. Voyez ce que cela signifie pour un site avec annonces.

Auditer mon site pour le ConnecticutLire le guide
  • ✓Basé sur la loi et sur les pages du procureur général du Connecticut
  • ✓Exemples pensés pour les sites avec AdSense et Ad Manager
  • ✓Audit en lecture seule, sans modifier le site
35 000consommateurs du Connecticut par an : le nouveau seuil en vigueur depuis juillet 2026
18âge en dessous duquel la vente et la publicité ciblée sont interdites pour les adolescents de 13 ans ou plus, même avec consentement
5 000 $ USamende civile maximale par violation selon la loi de l'État sur les pratiques commerciales déloyales
85 000 $ USmontant de l'accord de TicketNetwork avec le procureur général, annoncé en juillet 2025

Définition

Une loi qui a commencé proche de celle de la Virginie et s'est durcie

Le Connecticut Data Privacy Act, ou CTDPA, a été signé le 10 mai 2022 et est entré en vigueur le 1er juillet 2023. Il suit le modèle de la Virginie et du Colorado : droits du consommateur, refus de la publicité ciblée, consentement pour les données sensibles et évaluations de protection des données.

Depuis, la loi a été modifiée plusieurs fois. En 2023, elle a reçu des règles pour les données de santé des consommateurs et pour les services en ligne offerts aux mineurs. En 2025, une grande révision adoptée sous le nom de SB 1295 a abaissé les seuils d'application, élargi les données sensibles et durci les règles pour les mineurs. Cette révision s'applique depuis le 1er juillet 2026.

Pour un site avec annonces, les points centraux sont trois : le visiteur peut refuser la publicité ciblée et la vente de données, le site doit respecter le signal automatique de refus du navigateur depuis 2025, et les adolescents de 13 à 17 ans ne peuvent pas recevoir d'annonces ciblées.

La loi fonctionne par opt-out pour les adultes. Elle n'exige pas de permission avant d'afficher des annonces personnalisées, mais le refus doit être facile, visible et fonctionner vraiment.

Checklist

Ce que vous devez respecter

Elles s'appliquent à ceux qui répondent aux critères de la loi du Connecticut. Vérifiez avec votre service juridique si votre site est concerné.

  1. Proposez un lien facile à trouver

    Celui qui fait de la publicité ciblée ou vend des données doit mettre à disposition sur le site un lien facile d'accès pour que le visiteur puisse refuser.

    Exemple

    Pied de page : Do Not Sell or Share My Personal Information

  2. Respectez les signaux de refus du navigateur

    Depuis le 1er janvier 2025, tout responsable de traitement concerné doit respecter des signaux comme le GPC. Le signal doit permettre de savoir si la personne vit dans le Connecticut.

  3. Expliquez tout dans l'avis de confidentialité

    L'avis indique quelles données vous traitez, pourquoi, si vous les partagez avec des tiers et comment le visiteur exerce ses droits.

    Exemple

    Nous partageons des données de navigation avec des partenaires publicitaires pour de la publicité ciblée. Vous pouvez refuser via le lien en bas de page.

  4. Demandez le consentement pour les données sensibles

    Avant de traiter des données sensibles, comme la santé ou la localisation précise, le site a besoin du consentement du visiteur.

  5. Protégez les mineurs

    Pour les moins de 16 ans, la vente et la publicité ciblée exigent un consentement préalable. Dans les services en ligne destinés aux moins de 18 ans, la loi interdit la publicité ciblée et la vente de données.

  6. Répondez dans les délais

    Les demandes reçoivent une réponse sous 45 jours, avec une prolongation possible de 45 jours. Le recours reçoit une réponse écrite sous 60 jours.

  7. Documentez une évaluation des risques

    La publicité ciblée, la vente de données, le profilage et les données sensibles exigent une évaluation de protection des données avant de commencer.

  8. Transmettez le refus à Google

    Dans la section Connecticut de la string GPP, le refus de vente ou de publicité ciblée active le RDP. Dans la balise AdSense, le RDP peut aussi être activé pour ceux qui ont refusé.

    <!-- AdSense: RDP no bloco de anúncio de quem recusou -->
<ins class="adsbygoogle"
     data-ad-client="ca-pub-XXXXXXXXXXXXXXXX"
     data-ad-slot="1234567890"
     data-restrict-data-processing="1"></ins>

En pratique

Ce qui est correct et ce qui ne l'est pas

Outils officiels

CMP certifiées et liens officiels

Google n'exige pas de CMP certifiée pour le Connecticut. Utilisez le message d'États américains de Google ou une CMP qui lit le GPC et génère du GPP. Voici les liens officiels.

À qui il s'applique

Les seuils sont devenus bien plus bas en 2026

La loi s'applique à ceux qui font des affaires au Connecticut ou ciblent des produits et services à des résidents de l'État. Depuis le 1er juillet 2026, il suffit de remplir l'un des critères ci-dessous au cours de l'année précédente.

35 000 consommateurs

Contrôler ou traiter les données d'au moins 35 000 consommateurs du Connecticut, sans compter les données utilisées uniquement pour finaliser un paiement. Auparavant, le seuil était de 100 000.

Toute donnée sensible

Contrôler ou traiter des données sensibles de consommateurs, quel qu'en soit le volume, place aussi l'entreprise dans le champ de la loi.

Toute vente de données

Proposer des données personnelles à la vente, quel qu'en soit le volume, place aussi l'entreprise dans le champ de la loi. Auparavant, il fallait avoir 25 000 consommateurs et plus de 25 % du revenu provenant de la vente.

Seulement le consommateur personne physique

La loi protège les résidents du Connecticut agissant en tant que consommateurs, et non dans un contexte professionnel.

Définitions

Les termes qui comptent pour ceux qui vendent des publicités

Le Connecticut a l'une des listes de données sensibles les plus longues parmi les États américains.

Donnée personnelle

Information liée ou raisonnablement liable à une personne identifiée ou identifiable. Les données anonymisées et publiques sont exclues.

Donnée sensible

Origine raciale, religion, santé, handicap, orientation sexuelle, identité transgenre ou non binaire, statut migratoire, documents, identifiants de comptes financiers, données neuronales, génétiques, biométriques, données d'enfant et localisation précise dans un rayon de 1 750 pieds.

Vente

Échange de données personnelles contre de l'argent ou une autre valeur avec un tiers. Transmettre des données à un partenaire publicitaire en échange d'un service peut entrer dans cette définition.

Publicité ciblée

Publicité choisie d'après les données des activités de la personne dans le temps sur des sites et applications d'autres entreprises. La publicité contextuelle n'est pas incluse.

Droits et opt-out

Droits du visiteur, lien de refus et GPC depuis 2025

Le visiteur du Connecticut peut accéder à ses données, y compris aux conclusions qui en sont tirées, les corriger, les supprimer, en emporter une copie, demander la liste des tiers qui ont acheté ses données et refuser la publicité ciblée, la vente et les profilages à risque. Depuis 2026, il peut aussi contester les décisions fondées sur des profils. L'entreprise a 45 jours pour répondre et 60 jours pour répondre à un recours.

Celui qui fait de la publicité ciblée ou vend des données doit avoir un lien clair et visible sur le site permettant de refuser. La loi ne définit pas le texte exact, mais le lien doit mener à un chemin simple, sans créer de nouveau compte.

Depuis le 1er janvier 2025, le site doit aussi accepter les signaux automatiques de refus, comme le Global Privacy Control, le GPC. La loi dit que le signal doit refléter un choix actif du consommateur, et non un réglage déjà activé d'origine, et doit permettre à l'entreprise de savoir si la personne vit au Connecticut.

Si le signal entre en conflit avec un réglage que le visiteur a choisi auparavant sur le site, c'est le signal qui prévaut. Le site peut avertir du conflit et offrir l'option de conserver le choix précédent. En pratique, la CMP doit détecter le GPC et transmettre le refus aux partenaires publicitaires avant la première demande.

Avis, mineurs et évaluations

L'avis de confidentialité est devenu plus détaillé en 2026

Avec la révision de 2025, l'avis de confidentialité doit comporter un lien contenant le mot confidentialité sur la page d'accueil, la date de mise à jour avec le mois et l'année, les catégories de données vendues à des tiers et une explication claire sur la publicité ciblée et la vente. Il doit aussi dire si les données sont utilisées pour entraîner de grands modèles de langage.

Les données sensibles ne peuvent être traitées qu'avec consentement. Pour les enfants de moins de 13 ans, c'est le consentement des parents au format de la loi fédérale COPPA qui s'applique.

Pour les adolescents de 13 à 17 ans, la révision de 2025 interdit la vente de données et la publicité ciblée, même avec consentement. Pour les services en ligne offerts aux mineurs, la loi limite aussi le profilage et la collecte de localisation précise.

La publicité ciblée, la vente de données, les données sensibles et les profilages à risque exigent une évaluation de protection des données documentée. Pour les profilages utilisés dans des décisions importantes, la révision de 2025 exige en plus une évaluation d'impact pour les activités commencées à partir du 1er août 2026.

Chronologie

Les dates de la loi du Connecticut

Dates confirmées dans le texte de la loi et dans les pages du procureur général du Connecticut.

  1. 10 mai 2022

    Loi signée

    La CTDPA est promulguée sous le nom de Senate Bill 6.

  2. 1er juillet 2023

    Entrée en vigueur

    Les droits, le refus et le délai obligatoire de 60 jours pour corriger entrent en vigueur.

  3. 1er janvier 2025

    GPC obligatoire et fin de la correction obligatoire

    Le site doit accepter les signaux universels de refus. La possibilité de corriger avant l'action devient une décision du procureur général.

  4. 8 juillet 2025

    Accord avec TicketNetwork

    TicketNetwork paie 85 000 $ US pour un avis de confidentialité illisible et des mécanismes de demande qui ne fonctionnaient pas.

  5. 1er juillet 2026

    Révision SB 1295 en vigueur

    Nouveaux seuils, plus de données sensibles, interdiction des annonces ciblées pour les adolescents de 13 à 17 ans et avis de confidentialité plus complet.

Contrôle et amendes

Procureur général, rapports publics et amende par violation

Le procureur général du Connecticut a la compétence exclusive pour appliquer la loi. Le citoyen ne peut pas poursuivre l'entreprise sur la base de la CTDPA.

Entre juillet 2023 et décembre 2024, lorsque le manquement pouvait être corrigé, le procureur général devait avertir et accorder 60 jours pour la correction. Depuis le 1er janvier 2025, cette possibilité est devenue une décision de sa part, qui tient compte du nombre de violations, de la taille de l'entreprise, de la sensibilité des données et du caractère humain ou technique de l'erreur.

Une violation de la CTDPA est traitée comme une pratique commerciale déloyale. L'amende civile peut atteindre 5 000 $ US par violation, et le procureur général peut en outre demander une ordonnance judiciaire, une restitution et la restitution des gains.

Le bureau publie des rapports annuels d'application. Dans l'accord annoncé le 8 juillet 2025, TicketNetwork a payé 85 000 $ US parce que l'avis de confidentialité était difficile à lire et que les chemins pour exercer les droits étaient cassés, même après des avertissements.

AdSense et Ad Manager

Comment Google traite le visiteur du Connecticut

AdSense et Ad Manager lisent la chaîne GPP, le format de l'IAB Tech Lab pour les signaux de confidentialité. Pour le Connecticut, Google accepte la section propre à l'État et la section US National. Lorsque la chaîne indique un refus de vente ou de publicité ciblée, Google active le traitement restreint des données, le RDP, et n'affiche plus que des annonces non personnalisées.

Dans la section du Connecticut, Google lit aussi les champs relatifs aux mineurs. Sans consentement pour la vente ou la publicité ciblée de jeunes de 13 à 15 ans, il active le RDP. Pour les données sensibles d'un enfant connu, il applique le traitement pour enfants. Avec les règles de 2026, la CMP doit refléter que les adolescents de 13 à 17 ans ne peuvent pas recevoir d'annonces ciblées.

Le message de confidentialité pour les États américains, dans AdSense et Ad Manager, inclut le Connecticut. Il affiche le lien de refus et enregistre le choix dans la GPP. Google rappelle que la responsabilité légale incombe au site.

Le header bidding, la vidéo, les pixels et les widgets d'autres entreprises doivent aussi recevoir le refus. Désactiver seulement Google ne suffit pas.

En pratique

Ce qui est permis et ce qui ne l'est pas au Connecticut

Exemples du quotidien d'un site avec annonces et visiteurs du Connecticut.

Autorisé

  • Afficher des annonces personnalisées aux adultes, avec un lien de refus visible
  • Traiter le GPC comme un refus et prévenir le visiteur s'il entre en conflit avec un choix précédent
  • Afficher des publicités contextuelles aux mineurs et à ceux qui ont refusé
  • Placer en pied de la page d'accueil un lien contenant le mot confidentialité
  • Dater la politique avec le mois et l'année de la dernière révision

Interdit

  • Afficher des annonces ciblées à un utilisateur dont vous savez qu'il a entre 13 et 17 ans
  • Ignorer le GPC parce que le visiteur n'a pas cliqué sur la bannière
  • Laisser la politique sans dire quelles catégories de données sont vendues
  • Maintenir des formulaires de droits qui plantent ou n'arrivent à personne
  • Traiter des données de santé ou de localisation précise sans consentement

Erreurs courantes

Défaillances déjà relevées par le procureur général

Les rapports et l'accord avec TicketNetwork montrent que les bases font encore défaut sur de nombreux sites.

Avis illisible

Politique longue, confuse et sans les droits du consommateur du Connecticut, comme dans l'affaire TicketNetwork.

Formulaire cassé

Le lien de demande de droits mène à un formulaire qui ne s'envoie pas ou à un e-mail que personne ne lit.

Anciens seuils

L'entreprise a cru être hors champ parce qu'elle avait moins de 100 000 visiteurs, mais le seuil est tombé à 35 000 en juillet 2026.

GPC sans effet

La bannière reconnaît le GPC, mais la chaîne GPP envoyée aux annonces reste sans le refus.

Dans ConsentMode

Ce que l'audit vérifie sur la CTDPA

  • Ouvre le site comme un visiteur du Connecticut avec le GPC désactivé puis activé et compare les demandes d'annonces.
  • Lit la chaîne GPP et montre si la section du Connecticut ou la US National indiquent le refus.
  • Cherche sur la page d'accueil un lien contenant le mot confidentialité et un lien de refus visible.
  • Lit la politique et signale s'il manque la date de mise à jour, les catégories vendues, la publicité ciblée et l'utilisation pour entraîner des modèles de langage.
  • Identifie la CMP et vérifie si les balises d'annonces attendent sa réponse.
Lancer un auditVoir tout ce qui est vérifié

Questions fréquentes sur la loi du Connecticut

Mon site a 40 000 visiteurs du Connecticut par an. La loi s'applique-t-elle ?

Depuis le 1er juillet 2026, oui, si vous contrôlez ou traitez les données de ces visiteurs, comme les cookies et les identifiants publicitaires. Le seuil est passé de 100 000 à 35 000 consommateurs.

Ai-je besoin d'une bannière de consentement pour le Connecticut ?

Pour les adultes, la loi demande un opt-out, pas une permission préalable. Le consentement est exigé pour les données sensibles, et pour les adolescents de 13 à 17 ans la publicité ciblée est interdite.

Comment saurai-je si le visiteur est mineur ?

La loi regarde ce que l'entreprise sait de l'âge du visiteur. Si le site demande l'âge lors d'une inscription ou a du contenu destiné aux adolescents, il faut en tenir compte dans la configuration des annonces.

Existe-t-il encore un délai pour corriger avant l'amende ?

Ce n'est plus obligatoire depuis le 1er janvier 2025. Le procureur général peut offrir cette possibilité, mais décide au cas par cas.

ConsentMode met-il à jour ma politique ?

Non. ConsentMode ne modifie pas le site. Il lit la politique et les signaux envoyés et fournit un rapport sur ce qui manque et comment corriger.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Vérifiez votre site avec les règles de 2026

L'audit ouvre le site comme un visiteur du Connecticut et montre ce qu'il faut corriger dans l'avis et les signaux, sans rien modifier.

Lancer l'audit