Ouvrir l'espace

Guide · Loi d'un État américain

DPDPA : la loi du Delaware qui touche même les sites de taille moyenne

La Delaware Personal Data Privacy Act est en vigueur depuis le 1er janvier 2025 et a l'un des seuils les plus bas du pays. Dans ce guide, vous comprenez qui doit s'y conformer, pourquoi les organisations à but non lucratif sont aussi concernées, comment fonctionne le signal universel d'opt-out et ce qui change en 2027.

Auditer mon site pour les États-UnisLire le guide
  • ✓Basé sur le Code du Delaware et sur le portail du Département de la Justice
  • ✓Exemples pratiques pour les sites avec publicités
  • ✓Audit en lecture seule, sans modifier le site
35 000consommateurs du Delaware par an : le seuil principal jusqu'à la fin de 2026
10 000consommateurs suffisent si plus de 20% du chiffre d'affaires brut vient de la vente de données
100 000consommateurs : à partir de là, l'entreprise doit réaliser des évaluations de protection des données
10 000 USDd'amende civile maximale par violation intentionnelle, selon la loi sur la fraude à la consommation

Définition

Une loi petite par le nom et grande par sa portée

La Delaware Personal Data Privacy Act, ou DPDPA, est la loi générale sur la confidentialité du Delaware. Elle a été adoptée en 2023, figure au Titre 6, chapitre 12D du Code du Delaware, et est contrôlée depuis le 1er janvier 2025 par le Département de la Justice de l'État.

Le modèle est proche de celui du Connecticut. Le visiteur peut accéder à ses données, les corriger, les supprimer et les emporter, et peut refuser la vente, la publicité ciblée et certains profilages automatisés. Les données sensibles ne peuvent être utilisées qu'avec consentement.

Ce qui frappe, c'est la portée. Le Delaware est un petit État, donc le législateur a choisi des seuils bas : les données de 35 000 consommateurs par an suffisent. Et, contrairement à beaucoup d'États, les organisations à but non lucratif ne sont pas exemptées.

Pour un site de contenu avec des visiteurs des États-Unis, cela change le calcul. Un portail d'actualités, un blog de finance ou une association avec beaucoup de trafic du Delaware peut dépasser le seuil sans s'en rendre compte, car chaque cookie publicitaire compte comme une donnée personnelle.

Checklist

Ce que vous devez respecter

Si le site dépasse les seuils de la DPDPA, voici la liste de base, du plus urgent au moins urgent.

  1. Avoir un lien de refus clair et visible

    Le site a besoin d'un lien clair et visible vers une page où le visiteur refuse la publicité ciblée et la vente.

    Exemple

    Lien en pied de page : Do Not Sell or Share My Personal Information, menant à un écran de refus.

  2. Accepter le signal de préférence du navigateur

    Depuis le 1er janvier 2026, le site doit accepter le refus envoyé par un signal de préférence, comme le GPC. Le signal ne peut pas être activé par défaut.

    Exemple

    Visiteur avec GPC activé : traitez-le comme s'il avait cliqué sur le lien de refus.

  3. Demander un vrai consentement pour les données sensibles

    Données sensibles uniquement avec consentement. Un consentement obtenu par un design trompeur ne vaut pas, et le retirer doit être aussi facile que le donner.

    Exemple

    Si le visiteur retire son consentement, arrêtez le traitement sous 15 jours.

  4. Protéger les adolescents de 13 à 17 ans

    Si l'entreprise sait, ou ignore volontairement, que le visiteur a entre 13 et 17 ans, elle ne peut pas utiliser ses données pour de la publicité ciblée ni les vendre sans consentement.

  5. Publier un avis de confidentialité complet

    L'avis liste les données traitées, les finalités, comment exercer ses droits et faire un recours, les données transmises et les catégories de tiers, avec un contact actif.

    Exemple

    Incluez une adresse e-mail active, comme confidentialite@votresite.com, à la fin de l'avis.

  6. Répondre aux demandes sans exiger un nouveau compte

    Répondez sous 45 jours, avec une prolongation de 45 jours si vous prévenez. N'exigez pas de nouveau compte et prévoyez une procédure de recours.

  7. Réaliser l'évaluation de protection des données

    Celui qui traite les données d'au moins 100 000 consommateurs évalue par écrit les risques de la publicité ciblée, de la vente et des données sensibles. En 2027, le seuil passe à 50 000.

  8. Transmettre le refus à Google

    Google n'exige pas de CMP pour les États américains. Utilisez le message de réglementations des États américains, dans Confidentialité et messages, ou activez le traitement restreint des données, le RDP, dans la balise pour ceux qui ont refusé. Avec GPP, Google lit la section US National pour le Delaware.

    Exemple

    AdSense ou Ad Manager : Confidentialité et messages, carte Réglementations des États américains, Créer. Choisissez ensuite les sites et publiez.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

En pratique

Ce qui est correct et ce qui ne l'est pas

Outils officiels

CMP certifiées et liens officiels

Google n'exige ni CMP certifiée ni GPP pour les lois des États américains. Vous pouvez utiliser le message de Google lui-même ou activer le RDP dans la balise.

Qui doit s'y conformer

Les seuils qui placent votre site dans la DPDPA

La loi s'applique à ceux qui font des affaires au Delaware ou proposent des produits et services destinés aux résidents de l'État et qui, pendant l'année civile précédente, ont dépassé l'un des seuils ci-dessous.

35 000 consommateurs

A contrôlé ou traité les données d'au moins 35 000 consommateurs du Delaware. Les données utilisées uniquement pour finaliser un paiement ne comptent pas.

10 000 et vente de données

A contrôlé ou traité les données d'au moins 10 000 consommateurs et tiré plus de 20% de son chiffre d'affaires brut de la vente de données personnelles.

Les organisations à but non lucratif aussi

La loi s'applique aux entreprises et aux organisations à but non lucratif. La seule organisation de ce type exemptée est celle dédiée à la lutte contre la fraude à l'assurance.

Exemptions par type de données

Il existe des exceptions pour les données financières et de santé régies par des lois fédérales. Le Département de la Justice lui-même recommande de vérifier avec un avocat si l'une d'elles s'applique.

Seuils plus bas en 2027

Une loi adoptée en 2026, la HB 380, abaisse les seuils à partir du 1er janvier 2027 : 10 000 consommateurs, ou 5 000 avec plus de 20% du chiffre d'affaires venant de la vente de données.

Tiers qui achètent des données

Toujours à partir de 2027, les tiers qui acquièrent des données personnelles auprès d'un responsable du traitement sont couverts, sans seuil chiffré.

Définitions

Les mots de la loi, dans le langage de ceux qui ont un site

Les définitions figurent à la section 12D-102 et sont proches de celles du Connecticut et de l'Oregon, avec une liste de données sensibles plus longue.

Donnée personnelle

Toute donnée liée ou pouvant être liée à une personne : nom, adresse, e-mail, identifiants d'appareil, localisation précise et identifiants uniques, comme ceux utilisés par les cookies publicitaires.

Donnée sensible

Origine raciale ou ethnique, croyance religieuse, état de santé y compris la grossesse, vie sexuelle, orientation sexuelle, statut de personne transgenre ou non binaire, situation migratoire, données génétiques et biométriques, données d'enfant et géolocalisation précise.

Vente

L'échange de données personnelles contre de l'argent ou une autre contrepartie de valeur avec un tiers. Les transferts à des sous-traitants et à des entreprises du même groupe sont exclus.

Publicité ciblée

Publicité choisie à partir de données obtenues ou déduites des activités du visiteur dans le temps sur des sites et applications d'autres entreprises. La publicité selon le contexte d'une recherche n'est pas incluse.

Droits des personnes

Ce que le résident du Delaware peut demander

La réponse doit être donnée dans un délai de 45 jours, avec une prolongation de 45 jours supplémentaires si nécessaire et annoncée dans le délai initial. L'entreprise doit avoir une procédure de recours.

Confirmer et accéder

Savoir si l'entreprise traite ses données et avoir accès à ces données.

Corriger et supprimer

Corriger les données erronées et demander la suppression des données personnelles.

Portabilité

Recevoir une copie des données dans un format facile à transférer vers un autre service.

Liste des tiers

Recevoir la liste des catégories de tiers qui ont reçu les données. À partir de 2027, la liste portera sur les tiers précis, avec quelques exceptions.

Refuser les publicités ciblées et la vente

Demander que les données ne soient pas utilisées pour la publicité ciblée et ne soient pas vendues. C'est le droit qui pèse le plus pour les sites avec publicités.

Refuser le profilage automatisé

Refuser les profilages réalisés uniquement par une machine qui mènent à des décisions ayant un effet juridique ou un impact similaire.

Obligations du site

Ce que le site concerné doit avoir en place

  1. Avis de confidentialité completL'avis doit lister les catégories de données traitées, les finalités, comment exercer ses droits et former un recours, les catégories de données partagées avec des tiers, les catégories de ces tiers et un e-mail actif ou un autre contact en ligne.
  2. Divulguer la vente et les publicités cibléesSi le site vend des données ou utilise des données pour la publicité ciblée, il doit le dire de façon claire et visible et expliquer comment refuser.
  3. Ne collecter que le nécessaireLa collecte doit être adéquate, pertinente et raisonnablement nécessaire aux finalités communiquées au visiteur.
  4. Consentement pour les données sensiblesLes données sensibles ne sont traitées qu'avec consentement, que le visiteur peut retirer aussi facilement qu'il l'a donné.
  5. Protection des adolescentsSi l'entreprise sait, ou ignore volontairement, que le visiteur a entre 13 et 17 ans, elle ne peut pas utiliser ses données pour la publicité ciblée ni les vendre sans consentement.
  6. Évaluation de la protection des donnéesCelui qui contrôle ou traite les données d'au moins 100 000 consommateurs doit évaluer par écrit les risques de la publicité ciblée, de la vente, du profilage et des données sensibles. En 2027, ce seuil descend à 50 000 dans certains cas.

Contrôle et amendes

Qui contrôle et ce qui a changé dans le délai de correction

Seul le Département de la Justice du Delaware contrôle la DPDPA. Le consommateur ne peut pas poursuivre l'entreprise sur la base de cette loi.

Délai obligatoire terminé

En 2025, le Département devait prévenir l'entreprise et lui laisser 60 jours pour corriger avant d'agir. Ce délai obligatoire s'est terminé le 31 décembre 2025.

Désormais, c'est la décision de l'organisme

Depuis 2026, accorder ou non un délai de correction est un choix du Département, qui considère le nombre de violations, la taille de l'entreprise, le risque pour le public et si l'erreur était humaine ou technique.

Pratique commerciale illégale

La violation de la DPDPA est traitée comme une pratique illégale par la loi sur la fraude à la consommation du Delaware, avec les outils d'enquête de cette loi.

Jusqu'à 10 000 USD par violation

Si le tribunal conclut que la violation était intentionnelle, l'amende civile peut atteindre 10 000 USD par violation.

Chronologie

Les dates de la DPDPA

Le Delaware a déjà modifié sa propre loi une fois. En novembre 2026, les règles de 2025 sont en vigueur et celles de 2027 sont en route.

  1. 2023

    Loi adoptée

    Le Delaware adopte la Personal Data Privacy Act.

  2. 1er janvier 2025

    Début du contrôle

    Le Département de la Justice commence à contrôler la loi, avec un délai obligatoire de 60 jours pour la correction.

  3. 31 décembre 2025

    Fin du délai obligatoire

    Fin de la période pendant laquelle le Département était obligé de prévenir et d'attendre 60 jours avant d'agir.

  4. 1er janvier 2026

    Signal universel obligatoire

    Le site doit accepter l'opt-out de la vente et de la publicité ciblée envoyé par un signal de préférence, comme le GPC.

  5. 2026

    HB 380 adoptée

    Le Delaware adopte des changements qui abaissent les seuils, élargissent les données sensibles et exigent la liste des tiers précis.

  6. 1er janvier 2027

    Les nouvelles règles s'appliquent

    Les seuils de 10 000 et 5 000 consommateurs et les autres changements de la HB 380 entrent en vigueur.

Sites avec AdSense et Ad Manager

GPC obligatoire et le chemin de l'opt-out jusqu'à Google

Depuis le 1er janvier 2026, le site concerné par la DPDPA doit accepter l'opt-out envoyé par un signal de préférence, avec le consentement du visiteur. L'exemple le plus courant est le Global Privacy Control, ou GPC, que certains navigateurs et extensions envoient. Pour le visiteur dont le GPC est activé, le site doit agir comme s'il avait cliqué sur le lien d'opt-out.

Google propose dans AdSense et Ad Manager un message sur les réglementations des États américains, dans Confidentialité et messagerie, et le Delaware fait partie des États pris en charge. Le message affiche le lien Do Not Sell or Share. Quand le visiteur refuse, Google active le traitement restreint des données, appelé RDP, et cesse d'utiliser le comportement antérieur pour choisir les publicités.

Concernant le GPC, Google indique que le partenaire qui a mis en œuvre le signal peut choisir d'activer le RDP lorsqu'il reçoit un GPC d'opt-out. Autrement dit, la décision et la configuration reviennent au site ou à la CMP. Une façon de le faire passe par la balise : le paramètre restrictDataProcessing de GPT ou l'attribut data-restrict-data-processing d'AdSense.

Ceux qui utilisent le GPP doivent savoir qu'il existe une section propre au Delaware, mais qu'elle ne figure pas dans la liste des sections acceptées par Google. Pour Google, la voie passe par la section US National, où le refus de la vente, du partage ou de la publicité ciblée active le RDP.

En pratique

Ce qui est permis et ce qui ne l'est pas au Delaware

Exemples pour un site avec du trafic du Delaware qui se monétise avec de la publicité programmatique.

Autorisé

  • Afficher des publicités contextuelles à ceux qui ont refusé ou sont arrivés avec le GPC activé
  • Utiliser le message de Google sur les réglementations des États pour proposer le lien d'opt-out
  • Appliquer le même traitement du GPC à tout le trafic des États-Unis, pour simplifier
  • Utiliser la section US National du GPP pour informer Google de l'opt-out
  • Garder un seul avis de confidentialité pour les États-Unis, à condition qu'il contienne l'e-mail de contact et tout ce que le Delaware demande

Interdit

  • Ignorer le GPC et continuer à demander des publicités personnalisées pour ce visiteur
  • Croire que votre association ou ONG est hors champ simplement parce qu'elle est à but non lucratif
  • Utiliser les données d'adolescents de 13 à 17 ans pour des publicités ciblées sans consentement
  • Publier une politique de confidentialité sans e-mail ni formulaire de contact actif
  • Compter sur un délai automatique de 60 jours pour corriger : il s'est terminé en 2025

Erreurs courantes

Où les sites trébuchent avec la DPDPA

Le seuil bas fait que le Delaware touche des sites qui n'avaient jamais pensé aux lois des États américains.

Sous-estimer le volume

Le site ne compte que les utilisateurs inscrits. Mais les cookies et identifiants publicitaires des visiteurs anonymes sont aussi des données personnelles et entrent dans le calcul des 35 000.

GPC ignoré

La CMP ne lit pas le GPC ou ne le lit que pour la Californie. Depuis 2026, le Delaware exige aussi que le signal soit respecté.

Opt-out qui ne change pas les publicités

Le visiteur refuse, mais les demandes de publicité continuent sans le RDP et sans opt-out dans la string GPP.

Politique sans liste de tiers

La page de confidentialité ne dit pas quelles catégories de tiers, comme les réseaux publicitaires et les partenaires de mesure, reçoivent les données.

Section d'État que Google ne lit pas

La CMP n'envoie que la section du Delaware dans le GPP et laisse de côté la US National. Google ne reçoit pas l'opt-out.

Oublier 2027

L'entreprise est sous les 35 000 consommateurs et se relâche, mais avec les nouveaux seuils de 2027 elle entre dans le champ de la loi.

Dans ConsentMode

Ce que l'audit vérifie pour le Delaware

  • Ouvre le site comme un visiteur des États-Unis et cherche le lien d'opt-out dans le pied de page, dans le menu et dans le message de confidentialité.
  • Active le signal GPC dans le navigateur de l'audit et compare la page et les demandes de publicité avec et sans le signal.
  • Lit la string GPP et vérifie que la section US National existe et enregistre l'opt-out.
  • Identifie la CMP ou le message de Google grâce au code de la page.
  • Vérifie que la page de confidentialité contient les catégories de données, les finalités, les tiers, les droits, le recours et l'e-mail de contact.
Lancer un auditVoir tout ce qui est vérifié

Questions fréquentes

Comment savoir si je dépasse 35 000 consommateurs du Delaware ?

Regardez le rapport de géographie d'Analytics ou d'Ad Manager et comptez les visiteurs uniques du Delaware pendant l'année civile précédente. Comme les cookies et les identifiants publicitaires sont des données personnelles, les visiteurs anonymes comptent aussi. Les données utilisées uniquement pour le paiement sont exclues.

Mon organisation est à but non lucratif. Suis-je hors champ ?

Pas nécessairement. Au Delaware, les organisations à but non lucratif doivent respecter la loi si elles dépassent les seuils. La seule exception de ce type concerne les organisations dédiées à la lutte contre la fraude à l'assurance.

Suis-je obligé de respecter le GPC ?

Oui, si la loi s'applique à votre site. Depuis le 1er janvier 2026, l'opt-out de la vente et de la publicité ciblée envoyé par un signal de préférence doit être accepté.

Qu'est-ce qui change en 2027 ?

La HB 380 abaisse les seuils à 10 000 consommateurs, ou 5 000 avec plus de 20% du chiffre d'affaires venant de la vente de données, élargit la liste des données sensibles et donne au consommateur le droit de savoir quels tiers précis ont reçu les données.

Ai-je besoin d'une bannière de cookies pour le Delaware ?

La loi fonctionne sur le modèle de l'opt-out, donc elle n'exige pas de demander le consentement avant les publicités ordinaires. L'exception concerne les données sensibles et les adolescents de 13 à 17 ans, qui exigent un consentement.

ConsentMode met-il mon site en conformité ?

ConsentMode n'est ni une CMP ni un cabinet d'avocats. L'audit montre ce que le site fait réellement avec le lien d'opt-out, le GPC, le GPP et la page de confidentialité, pour que vous corrigiez avec votre fournisseur et votre avocat.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Vérifiez si votre site respecte le GPC au Delaware

L'audit ouvre le site comme un visiteur des États-Unis, avec et sans GPC, et montre ce qu'il faut corriger, sans rien modifier.

Lancer l'audit