Ouvrir l'espace

Guide · Loi d'un État américain

Le Florida Digital Bill of Rights expliqué à ceux qui vivent des annonces

La loi de confidentialité de la Floride est en vigueur depuis le 1er juillet 2024, mais la plupart des règles ne touchent que les très grandes entreprises. Dans ce guide, vous comprendrez cette portée étroite, la règle sur les données sensibles qui s'applique à beaucoup plus d'entreprises et ce que Google fait du refus des personnes qui visitent votre site depuis la Floride.

Auditer mon site pour les États-UnisLire le guide
  • ✓Basé sur le texte des Florida Statutes, sections 501.701 à 501.722
  • ✓Exemples pratiques pour les sites avec publicités
  • ✓Audit en lecture seule, sans modifier le site
1 Md $ USde revenu brut annuel mondial : le seuil pour être responsable du traitement selon la loi
50%ou plus du revenu provenant de la vente de publicité en ligne : l'une des trois portes d'entrée
50 000 $ USd'amende civile maximale par violation, pouvant être triplée dans certains cas
45 jourspour répondre aux demandes des consommateurs, avec une prolongation de 15 jours

Définition

Une loi de confidentialité conçue pour les plus grandes entreprises technologiques

Le Florida Digital Bill of Rights, ou FDBR, est la loi de confidentialité de la Floride. Elle a été promulguée le 6 juin 2023 et est entrée en vigueur le 1er juillet 2024. La loi se trouve dans la partie V du chapitre 501 des Florida Statutes, aux sections 501.701 à 501.722.

Les droits accordés au consommateur sont semblables à ceux d'autres États : accès, rectification, suppression, portabilité et refus de la publicité ciblée, de la vente et du profilage automatisé. La Floride ajoute ses propres droits, comme refuser la collecte de données par reconnaissance vocale ou faciale.

Ce qui rend la loi différente, c'est sa portée. La plupart des obligations ne s'appliquent qu'aux responsables du traitement dont le revenu mondial dépasse 1 milliard de dollars US et qui correspondent aussi à l'un de trois profils bien précis. En pratique, cela vise les grandes plateformes publicitaires, les assistants vocaux et les boutiques d'applications.

Malgré tout, un petit site ne doit pas ignorer la loi. Une règle sur la vente de données sensibles s'applique à toute entreprise à but lucratif qui fait des affaires en Floride et collecte des données. Et les partenaires publicitaires qui reçoivent des données de votre site peuvent être couverts par la loi.

Checklist

Ce que vous devez respecter

La majeure partie de la loi ne s'applique qu'aux très gros responsables de traitement, mais la règle sur les données sensibles touche beaucoup plus de sites.

  1. Ne pas vendre de données sensibles sans consentement

    La règle s'applique aux entreprises à but lucratif qui font des affaires en Floride et collectent des données, sans le seuil d'un milliard de dollars US. La vente de données sensibles exige un consentement préalable.

    Exemple

    Avant de transmettre des données de santé à un partenaire, demandez la permission avec les options Autoriser et Ne pas autoriser.

  2. Publier la phrase exacte si vous vendez des données sensibles

    Celui qui vend des données sensibles doit publier un avis au texte fixe, en anglais.

    Exemple

    NOTICE: This website may sell your sensitive personal data.

  3. Protéger les données sensibles des mineurs

    Si la donnée sensible concerne un mineur connu de 13 à 18 ans, la vente exige son autorisation. En dessous de 13 ans, la loi fédérale COPPA s'applique, avec le consentement des parents.

  4. Si vous êtes responsable de traitement : avis révisé chaque année

    L'avis doit être clair et lister les données, les finalités, les tiers, les droits, le recours et les canaux de demande. Il doit être mis à jour au moins une fois par an.

  5. Si vous êtes responsable de traitement : phrase pour les données biométriques

    Celui qui vend des données biométriques publie aussi un avis au texte fixe, en anglais.

    Exemple

    NOTICE: This website may sell your biometric personal data.

  6. Si vous êtes responsable de traitement : dire comment refuser

    Celui qui vend des données ou fait de la publicité ciblée doit le dire de façon claire et visible et expliquer comment refuser.

    Exemple

    Lien en pied de page : Do Not Sell or Share My Personal Information.

  7. Transmettre le refus à Google

    Google n'exige pas de CMP pour les États américains. Utilisez le message de réglementations des États américains, dans Confidentialité et messages, ou activez le traitement restreint des données, le RDP, dans la balise pour ceux qui ont refusé. La Floride a sa propre section dans le GPP, et Google accepte cette section.

    Exemple

    AdSense ou Ad Manager : Confidentialité et messages, carte Réglementations des États américains, Créer. Choisissez ensuite les sites et publiez.

    <!-- Só para o visitante que recusou -->
<ins class="adsbygoogle"
  data-ad-client="ca-pub-0000000000000000"
  data-ad-slot="0000000000"
  data-restrict-data-processing="1"></ins>

En pratique

Ce qui est correct et ce qui ne l'est pas

Outils officiels

CMP certifiées et liens officiels

Google n'exige ni CMP certifiée ni GPP pour les lois des États américains. Vous pouvez utiliser le message de Google lui-même ou activer le RDP dans la balise. La Floride est l'un des rares États avec une section propre dans le GPP acceptée par Google.

Qui doit s'y conformer

La portée étroite du responsable du traitement en Floride

Pour être responsable du traitement, l'entreprise doit être à but lucratif, faire des affaires en Floride, collecter des données de consommateurs, décider de la façon dont ces données sont utilisées, avoir un revenu mondial supérieur à 1 milliard de dollars US et correspondre à au moins l'un des profils ci-dessous.

Revenu issu des annonces

La moitié ou plus du revenu brut annuel mondial provient de la vente de publicité en ligne, y compris la publicité ciblée.

Assistant vocal

Exploite une enceinte intelligente ou un service de commande vocale avec assistant virtuel relié au cloud et activé sans les mains. Les systèmes des constructeurs automobiles sont exclus.

Boutique d'applications

Exploite une boutique d'applications ou une plateforme de distribution numérique comptant au moins 250 000 applications différentes.

Entreprises liées

Les entreprises qui contrôlent un responsable du traitement, ou qui sont contrôlées par lui, entrent aussi dans la définition.

La règle sur les données sensibles s'applique à plus de monde

L'interdiction de vendre des données sensibles sans consentement touche toute entreprise à but lucratif qui fait des affaires en Floride et collecte des données, sans le seuil de 1 milliard de dollars US.

Qui est un consommateur

Résident ou domicilié en Floride agissant à titre de particulier ou dans un contexte domestique. Ceux qui agissent dans un contexte commercial ou professionnel sont exclus.

Définitions

Les mots de la loi, dans le langage de ceux qui ont un site

Les définitions se trouvent à la section 501.702 et suivent de près le modèle des autres lois des États.

Donnée personnelle

Toute information liée, ou pouvant raisonnablement être liée, à une personne identifiée ou identifiable, y compris les données pseudonymisées lorsqu'elles peuvent être reliées à la personne avec des informations supplémentaires. Les données dépersonnalisées et publiques sont exclues.

Donnée sensible

Origine raciale ou ethnique, croyance religieuse, diagnostic de santé, orientation sexuelle, situation migratoire, données génétiques ou biométriques qui identifient la personne, données d'enfant connu et géolocalisation précise.

Vente

Partager, divulguer ou transférer des données personnelles à un tiers en échange d'argent ou d'une autre contrepartie de valeur. Les transferts à des sous-traitants et à la demande du consommateur sont exclus.

Publicité ciblée

Annonce choisie d'après l'activité du consommateur au fil du temps sur plusieurs sites et applis. Une annonce liée au contexte d'une recherche sur le site lui-même n'est pas concernée.

Droits des personnes

Ce que le consommateur de Floride peut demander

Le responsable du traitement répond sous 45 jours et peut prolonger une fois de 15 jours, en prévenant le consommateur dans le délai initial. Il doit aussi proposer une voie de recours.

Accéder

Savoir si l'entreprise traite ses données et voir ces données.

Corriger et supprimer

Corriger les données erronées et demander la suppression d'une partie ou de la totalité des données personnelles.

Portabilité

Recevoir une copie des données dans un format utilisable dans un autre service, lorsque c'est faisable.

Refuser les annonces ciblées, la vente et le profilage

Refuser la publicité ciblée, la vente des données et les profilages qui conduisent à des décisions ayant un effet juridique ou similaire.

Refuser les données sensibles

Refuser la collecte ou le traitement de données sensibles, y compris la géolocalisation précise.

Refuser la voix et le visage

Refuser la collecte de données par des fonctions de reconnaissance vocale ou de reconnaissance faciale.

Obligations

Ce que le responsable du traitement doit avoir en place

  1. Avis de confidentialité révisé chaque annéeL'avis doit être accessible et clair, et lister les catégories de données traitées, y compris sensibles, la finalité, la façon d'exercer les droits et de faire appel, les catégories de données partagées, les catégories de tiers et les canaux pour envoyer des demandes. Il doit être mis à jour au moins une fois par an.
  2. Avis de vente standardisésCelui qui vend des données sensibles doit publier l'avis NOTICE: This website may sell your sensitive personal data. Celui qui vend des données biométriques doit publier NOTICE: This website may sell your biometric personal data.
  3. Information sur la vente et les annonces cibléesSi le responsable du traitement vend des données ou fait de la publicité ciblée, il doit le dire de façon claire et visible et expliquer comment le consommateur peut refuser.
  4. Évaluation de la protection des donnéesLa loi exige des évaluations documentées pour les traitements à plus haut risque, comme la publicité ciblée, la vente de données, le profilage et les données sensibles.
  5. Contrat avec les sous-traitantsLes fournisseurs qui traitent des données pour le compte du responsable du traitement suivent ses instructions et ont besoin d'un contrat fixant les règles du traitement.
  6. Consentement pour les données sensiblesAucune entreprise couverte par la règle ne peut vendre de données sensibles sans le consentement préalable du consommateur. Pour les enfants, des règles propres s'appliquent, ainsi que la loi fédérale COPPA.

Contrôle et amendes

Les amendes les plus élevées parmi les lois des États

L'application est assurée par le Department of Legal Affairs, rattaché au procureur général de Floride. La loi dit expressément qu'elle ne crée pas d'action privée pour le consommateur.

Jusqu'à 50 000 $ US par violation

Le montant maximal de l'amende civile est de 50 000 $ US par violation, en plus d'autres mesures prévues par la loi de la Floride sur les pratiques commerciales.

Amende triplée

Le montant peut être triplé lorsqu'il s'agit d'un enfant connu, lorsque l'entreprise n'efface pas ou ne corrige pas les données après une demande valide, ou lorsqu'elle continue de vendre des données après le refus.

45 jours pour corriger, si l'organisme le souhaite

L'organisme peut accorder 45 jours à l'entreprise pour corriger le manquement, mais c'est sa décision, pas un droit de l'entreprise. Les violations concernant des enfants n'ont pas ce délai.

Rapport public annuel

Chaque année, avant le 1er février, l'organisme publie un rapport sur les plaintes, les actions et les amendes appliquées et reçues.

Chronologie

Les dates du FDBR

La loi a bénéficié d'un an de préparation entre sa promulgation et son entrée en vigueur.

  1. 6 juin 2023

    Promulgation

    Le gouverneur approuve le projet SB 262, qui crée le Florida Digital Bill of Rights.

  2. 1er juillet 2024

    Entrée en vigueur

    La loi entre en application. Les responsables du traitement doivent répondre aux demandes, offrir le refus et publier l'avis de confidentialité.

  3. Chaque 1er février

    Rapport d'application

    Le Department of Legal Affairs publie sur son site le bilan annuel des plaintes, des actions et des amendes.

  4. Septembre 2025

    Google met à jour le GPP

    Google se met à accepter la version 2 de la section US National de la GPP, tout en conservant aussi la section propre à la Floride parmi celles acceptées.

Sites avec AdSense et Ad Manager

Comment le refus de la Floride parvient à Google

Le FDBR n'oblige pas le site à reconnaître les signaux universels de refus, comme le Global Privacy Control, ou GPC. Le visiteur doit utiliser la voie que le site propose. Malgré tout, respecter le GPC est une bonne pratique et vaut pour les États où il est obligatoire.

Google propose un message sur les réglementations des États américains dans AdSense et Ad Manager, sous Confidentialité et messages. La Floride figure dans la liste des États pris en charge. Le message affiche le lien Do Not Sell or Share, et le refus du visiteur active le traitement restreint des données, appelé RDP, qui empêche les annonces basées sur le comportement antérieur.

Pour ceux qui utilisent leur propre CMP, la Floride est l'un des rares États dont la section propre dans la GPP est acceptée par Google. Dans cette section, le refus de la vente ou de la publicité ciblée active le RDP. La section US National est aussi acceptée et fonctionne de la même façon pour la vente, le partage et la publicité ciblée.

Il existe aussi la voie par la balise elle-même : le paramètre restrictDataProcessing de GPT ou l'attribut data-restrict-data-processing d'AdSense, utilisés uniquement pour ceux qui ont demandé le refus. Quelle que soit la voie, le test est le même : la demande d'annonce doit changer après le refus.

En pratique

Ce qui est permis et ce qui ne l'est pas en Floride

Exemples pour un site qui reçoit des visiteurs de Floride et se monétise avec de la publicité programmatique.

Autorisé

  • Afficher des publicités contextuelles à ceux qui ont refusé la publicité ciblée
  • Utiliser la section de la Floride ou la section US National de la GPP pour informer Google du refus
  • Utiliser le message de Google sur les réglementations des États pour proposer le lien d'opt-out
  • Garder un seul avis de confidentialité pour les États-Unis, à condition qu'il contienne ce que la Floride demande
  • Réviser et mettre à jour la page de confidentialité au moins une fois par an

Interdit

  • Vendre des données sensibles, comme la géolocalisation précise, sans consentement préalable, même pour une petite entreprise
  • Vendre des données sensibles sans publier l'avis standardisé exigé par la loi
  • Continuer à vendre ou partager des données après le refus, le cas qui peut tripler l'amende
  • Laisser le lien de refus caché sur une page que personne ne trouve
  • Supposer que le partenaire publicitaire n'est pas concerné par la loi simplement parce que votre site est petit

Erreurs courantes

Où les sites trébuchent avec la loi de la Floride

La portée étroite de la loi fait croire à beaucoup de monde qu'ils n'ont rien à faire. Voici les erreurs les plus courantes.

Ignorer la règle sur les données sensibles

Le site utilise un SDK ou un script qui collecte la géolocalisation précise et la transmet à des partenaires. Cette vente exige un consentement, même sans le seuil de 1 milliard de dollars US.

Politique de confidentialité à l'abandon

La page de confidentialité n'a pas changé depuis des années. La loi demande une mise à jour au moins annuelle pour les responsables du traitement.

Message sans la Floride

Le message de refus de Google n'a été activé que pour la Californie, et le trafic de la Floride ne voit jamais le lien.

Mauvaise section d'État dans la GPP

La CMP envoie une section que Google n'accepte pas et laisse de côté celle de la Floride et la US National. Le refus n'atteint pas les annonces.

Un refus qui n'arrête pas la vente

Le visiteur clique, mais les demandes d'annonces continuent avec des données de personnalisation. En Floride, cela peut tripler l'amende.

Oublier les mineurs

Les violations concernant un enfant connu n'ont pas de délai de correction et peuvent entraîner une amende triplée.

Dans ConsentMode

Ce que l'audit vérifie pour la Floride

  • Ouvre le site comme un visiteur des États-Unis et cherche le lien d'opt-out dans le pied de page, dans le menu et dans le message de confidentialité.
  • Identifie la CMP ou le message de Google sur les réglementations des États grâce au code de la page.
  • Lit la chaîne GPP et indique si elle contient la section de la Floride ou la section US National, et si elle change après le refus.
  • Active le signal GPC dans le navigateur de l'audit et montre si la page et les demandes d'annonces réagissent.
  • Vérifie si la page de confidentialité mentionne la vente, la publicité ciblée, les droits, le recours et les avis de vente de données sensibles lorsqu'il y en a.
Lancer un auditVoir tout ce qui est vérifié

Questions fréquentes

Mon site est petit. La loi de la Floride s'applique-t-elle à moi ?

Pour la plupart des obligations, non, car le responsable du traitement doit avoir un revenu mondial supérieur à 1 milliard de dollars US et correspondre à l'un des trois profils de la loi. Mais la règle qui interdit de vendre des données sensibles sans consentement s'applique à toute entreprise à but lucratif qui fait des affaires en Floride et collecte des données.

Pourquoi se soucier alors du refus de la Floride ?

Parce que les partenaires qui achètent et diffusent des annonces sur votre site peuvent être des responsables du traitement au sens de la loi, et parce que d'autres États aux seuils plus bas peuvent toucher votre activité. Offrir le refus à tout le trafic des États-Unis simplifie le fonctionnement.

La Floride exige-t-elle que je respecte le GPC ?

Non. La loi ne prévoit pas de signaux universels de refus. Malgré tout, de nombreuses CMP traitent le GPC dans tous les États, ce qui aide pour les lois qui l'exigent.

Google lit-il la section de la Floride dans la GPP ?

Oui. La Floride figure dans la liste des sections acceptées par Google, avec US National, la Californie, le Colorado, le Connecticut et la Virginie. Le refus de la vente ou de la publicité ciblée dans cette section active le traitement restreint des données.

Qu'est-ce que l'avis NOTICE exigé par la loi ?

C'est un texte standardisé en anglais que doivent publier ceux qui vendent des données sensibles ou biométriques. Il prévient que le site peut vendre ce type de données. La plupart des sites avec annonces ne vendent pas ce type de données et n'ont pas besoin de l'avis.

ConsentMode met-il mon site en conformité avec la loi de la Floride ?

ConsentMode n'est ni une CMP ni un cabinet d'avocats. L'audit montre, avec des captures, ce que le site fait du refus, de la GPP et de la page de confidentialité, pour que vous corrigiez avec votre fournisseur et votre avocat.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Découvrez si le refus de la Floride atteint vos annonces

L'audit ouvre le site comme un visiteur des États-Unis et montre ce qu'il faut corriger, sans rien modifier.

Lancer l'audit