Ouvrir l'espace

Guide · Loi d'un État américain

ICDPA : la loi de confidentialité de l'Iowa, la plus légère des États-Unis

L'Iowa Consumer Data Protection Act s'applique depuis le 1er janvier 2025 et est connue pour donner moins de droits que les autres lois d'État. Dans ce guide, vous comprendrez qui doit se conformer, ce que le visiteur peut demander, ce qu'il en est de la publicité ciblée et ce qui change pour un site avec AdSense ou Ad Manager.

Auditer mon site pour les États-UnisLire le guide
  • ✓Basé sur le chapitre 715D du Code de l'Iowa
  • ✓Exemples pratiques pour les sites avec publicités
  • ✓Audit en lecture seule, sans modifier le site
100 000consommateurs de l'Iowa par an : le principal seuil de la loi
90 jourspour répondre aux demandes, le délai le plus long parmi les lois d'État
90 jourspour corriger la défaillance après l'avis du procureur général
7 500 USDd'amende civile maximale par violation

Définition

Une loi de confidentialité avec un minimum d'obligations

L'Iowa Consumer Data Protection Act, ou ICDPA, est la loi générale de confidentialité de l'Iowa. Elle a été promulguée en 2023, figure au chapitre 715D du Code de l'Iowa et est entrée en vigueur le 1er janvier 2025.

La loi suit le modèle de la Virginie, mais a supprimé plusieurs éléments. Il n'y a pas de droit de rectification des données. Il n'y a pas d'exigence d'évaluation de protection des données. Il n'y a pas d'obligation d'accepter les signaux universels d'opt-out. Et les données sensibles fonctionnent sur le modèle de l'avis et du refus, pas du consentement préalable.

Cela ne veut pas dire que la loi est inoffensive pour les sites avec annonces. Ceux qui dépassent les seuils doivent dire, de façon claire et visible, s'ils vendent des données ou font de la publicité ciblée, et expliquer comment le visiteur peut refuser ces activités.

Pour ceux qui ont des visiteurs de plusieurs États, l'Iowa est rarement l'État le plus exigeant. Mais il est bon de connaître les différences pour ne pas promettre sur la page de confidentialité des droits que votre processus ne fournit pas, ni oublier ce que la loi demande réellement.

Checklist

Ce que vous devez respecter

Si le site dépasse les seuils de l'ICDPA, voici la liste de base. L'Iowa demande moins que d'autres États.

  1. Dire qu'il y a vente ou publicité ciblée

    Celui qui vend des données ou fait de la publicité ciblée doit le dire de façon claire et visible et expliquer comment le visiteur refuse.

    Exemple

    Lien en pied de page : Do Not Sell or Share My Personal Information, menant à un écran de refus.

  2. Publier un avis de confidentialité complet

    L'avis doit être clair et facile à trouver. Il liste les données traitées, les finalités, les droits, comment faire un recours, les données transmises et les catégories de tiers.

    Exemple

    Incluez dans l'avis les canaux de demande, comme un formulaire et une adresse e-mail.

  3. Prévenir avant d'utiliser des données sensibles

    L'Iowa ne demande pas de consentement pour les données sensibles. Elle demande un avis clair et la possibilité de refuser avant l'usage. Les données sensibles d'enfants suivent la COPPA.

    Exemple

    Avant d'utiliser la localisation précise, affichez un avis avec l'option Ne pas utiliser ma localisation.

  4. Répondre aux demandes sous 90 jours

    Répondez sous 90 jours, avec une prolongation de 45 jours si vous en indiquez le motif. N'exigez pas de nouveau compte pour la demande.

  5. Avoir une procédure de recours

    Celui dont la demande a été refusée peut faire un recours. Répondez au recours par écrit sous 60 jours et, en cas de refus, indiquez un moyen en ligne de contacter le procureur général.

  6. Assurer la sécurité des données

    La loi demande des pratiques de sécurité administratives, techniques et physiques raisonnables pour les données personnelles.

  7. Transmettre le refus à Google

    Google n'exige pas de CMP pour les États américains. Utilisez le message de réglementations des États américains, dans Confidentialité et messages, ou activez le traitement restreint des données, le RDP, dans la balise pour ceux qui ont refusé. Avec GPP, Google lit la section US National pour l'Iowa.

    Exemple

    AdSense ou Ad Manager : Confidentialité et messages, carte Réglementations des États américains, Créer. Choisissez ensuite les sites et publiez.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

En pratique

Ce qui est correct et ce qui ne l'est pas

Outils officiels

CMP certifiées et liens officiels

Google n'exige ni CMP certifiée ni GPP pour les lois des États américains. Vous pouvez utiliser le message de Google lui-même ou activer le RDP dans la balise.

Qui doit se conformer et définitions

Les seuils de l'ICDPA et les mots-clés de la loi

La loi s'applique à ceux qui font des affaires en Iowa ou proposent des produits et services destinés aux résidents de l'État et qui, sur une année civile, dépassent l'un des deux seuils ci-dessous. Le consommateur est le résident de l'Iowa agissant en tant que personne physique, hors contexte commercial ou professionnel. Les définitions figurent à la section 715D.1.

100 000 consommateurs

Contrôle ou traite les données personnelles d'au moins 100 000 consommateurs de l'Iowa.

25 000 et vente de données

Contrôle ou traite les données d'au moins 25 000 consommateurs et tire plus de 50 % du revenu brut de la vente de données personnelles.

Donnée personnelle

Information liée, ou pouvant raisonnablement être liée, à une personne physique identifiée ou identifiable. Les données dépersonnalisées, agrégées et publiques sont exclues.

Donnée sensible

Origine raciale ou ethnique, croyance religieuse, diagnostic de santé, orientation sexuelle, situation migratoire, données génétiques ou biométriques qui identifient la personne, données d'enfant connu et géolocalisation précise.

Vente

Seulement l'échange de données personnelles contre de l'argent avec un tiers. Les autres contreparties de valeur ne comptent pas, et les transferts à des sous-traitants, à des entreprises du même groupe ou à la demande du consommateur sont exclus.

Publicité ciblée

Annonce choisie à partir de données sur l'activité du visiteur au fil du temps sur des sites et applis d'autres entreprises. Les annonces contextuelles, les annonces propres et la mesure de performance sont exclues.

Droits des personnes

Ce que le résident de l'Iowa peut demander, et ce qu'il ne peut pas

La liste des droits de l'Iowa est la plus courte parmi les lois d'État. La réponse peut prendre jusqu'à 90 jours, avec une prolongation de 45 jours si nécessaire et annoncée dans le délai initial. Deux demandes par an sont gratuites.

Confirmer et accéder

Savoir si l'entreprise traite ses données et avoir accès à ces données.

Supprimer ce qu'il a fourni

Demander la suppression des données que le consommateur a lui-même fournies. Les données obtenues d'autres sources ne figurent pas dans le texte de ce droit.

Portabilité

Recevoir une copie des données qu'il a fournies, dans un format portable, lorsque le traitement est automatisé.

Refuser la vente

Demander que ses données ne soient pas vendues. C'est le seul droit de refus qui figure dans la liste des droits de la loi.

Pas de droit de rectification

L'Iowa ne donne pas au consommateur le droit de demander la correction de données erronées, contrairement à la plupart des États.

Recours

Si la demande est refusée, le consommateur peut faire appel. L'entreprise répond par écrit sous 60 jours et, si elle refuse de nouveau, indique comment se plaindre auprès du procureur général.

Publicité ciblée

Ce n'est pas dans la liste des droits, mais l'opt-out doit exister

Un doute courant sur l'Iowa est de savoir si le visiteur peut refuser la publicité ciblée. La liste des droits de la section 715D.3 ne comporte que le refus de la vente de données. Il n'y a pas de droit distinct de refuser les annonces ciblées, comme il en existe en Virginie ou au Colorado.

Mais la section 715D.4 crée un devoir pour l'entreprise : celui qui vend des données personnelles à des tiers ou fait de la publicité ciblée doit le divulguer de façon claire et visible, ainsi que la manière dont le consommateur peut refuser cette activité. En pratique, le site couvert doit montrer le chemin d'opt-out pour les annonces ciblées.

Les données sensibles suivent la même logique d'avis et de refus. Avant de traiter des données sensibles pour une finalité non exemptée, l'entreprise doit donner un avis clair et la possibilité de refuser. Les données d'enfants connus suivent la loi fédérale COPPA.

C'est pourquoi la configuration pratique d'un site avec annonces ressemble à celle d'autres États : lien d'opt-out visible, page de confidentialité expliquant l'utilisation des données pour les annonces et refus qui désactive réellement la personnalisation.

Obligations du site

Ce que l'entreprise concernée doit avoir en place

  1. Avis de confidentialitéL'avis doit contenir les catégories de données traitées, la finalité, la façon d'exercer les droits et de faire appel, les catégories de données partagées avec des tiers et les catégories de ces tiers.
  2. Divulguer la vente et les publicités cibléesSi le site vend des données ou fait de la publicité ciblée, il doit le dire de façon claire et visible et expliquer comment le visiteur peut refuser.
  3. Canal sécurisé pour les demandesL'entreprise doit offrir un ou plusieurs moyens sûrs et fiables pour les demandes, sans exiger que le consommateur crée un nouveau compte.
  4. Avis avant les données sensiblesTraiter des données sensibles exige un avis clair et la possibilité de refuser, et les données d'enfants suivent la COPPA.
  5. Sécurité et non-discriminationL'entreprise doit maintenir des pratiques de sécurité raisonnables et ne peut pas traiter moins bien celui qui exerce ses droits.
  6. Contrats avec les sous-traitantsLes fournisseurs qui traitent des données au nom de l'entreprise suivent ses instructions, dans le cadre d'un contrat fixant les règles du traitement.

Contrôle et amendes

Le délai de correction le plus long du pays

Seul le procureur général de l'Iowa peut faire appliquer la loi. Le consommateur ne peut pas poursuivre l'entreprise sur cette base.

90 jours pour corriger

Avant toute action, le procureur général envoie un avis écrit signalant les violations. L'entreprise a 90 jours pour corriger.

Déclaration écrite

Pour clore le dossier, l'entreprise doit corriger et déclarer par écrit qu'elle a corrigé et que le manquement ne se reproduira pas.

Jusqu'à 7 500 USD par violation

Si le manquement persiste, le procureur général peut demander une ordonnance judiciaire et une amende civile pouvant atteindre 7 500 $ US par violation.

Enquête

Le procureur général peut exiger des documents et des informations de l'entreprise pendant l'enquête.

Chronologie

Les dates de l'ICDPA

L'Iowa a laissé presque deux ans de préparation entre la promulgation et l'entrée en vigueur.

  1. 2023

    Promulgation

    L'Iowa devient l'un des premiers États, après la Californie, la Virginie, le Colorado, l'Utah et le Connecticut, à adopter une loi générale sur la confidentialité.

  2. 1er janvier 2025

    Entrée en vigueur

    La loi entre en application, avec l'exécution exclusivement assurée par le procureur général.

  3. Septembre 2025

    Google met à jour le GPP

    Google se met à accepter la version 2 de la section US National de la GPP, la voie qu'il lit pour l'opt-out d'États comme l'Iowa.

Sites avec AdSense et Ad Manager

Comment l'opt-out de l'Iowa parvient à Google

L'Iowa n'oblige pas le site à reconnaître les signaux universels d'opt-out, comme le Global Privacy Control, ou GPC. Malgré tout, respecter le GPC pour tout le trafic des États-Unis est une bonne pratique, car plusieurs États l'exigent et parce que cela simplifie la configuration de la CMP.

Google propose dans AdSense et Ad Manager un message sur les réglementations des États américains, sous Confidentialité et messages, et l'Iowa figure parmi les États pris en charge. Le message affiche le lien Do Not Sell or Share. Lorsque le visiteur refuse, Google active le traitement restreint des données, appelé RDP, et cesse d'utiliser le comportement antérieur pour choisir les annonces.

Il existe une section propre à l'Iowa dans la GPP de l'IAB Tech Lab, mais elle ne figure pas dans la liste des sections acceptées par Google. Pour Google, la voie est la section US National : le refus de la vente, du partage ou de la publicité ciblée dans cette section active le RDP.

Une autre option consiste à activer le RDP dans la balise elle-même, avec le paramètre restrictDataProcessing de GPT ou l'attribut data-restrict-data-processing d'AdSense, uniquement pour ceux qui ont demandé l'opt-out. Le test final est toujours le même : la demande d'annonce doit changer après le refus.

En pratique

Ce qui est permis et ce qui ne l'est pas en Iowa

Exemples pour une entreprise qui dépasse les seuils de la loi et se monétise avec de la publicité programmatique.

Autorisé

  • Afficher des annonces contextuelles à ceux qui ont refusé la vente ou la publicité ciblée
  • Utiliser le message de Google sur les réglementations des États pour proposer le lien d'opt-out
  • Répondre aux demandes sous 90 jours, en prévenant à l'avance si vous avez besoin de 45 jours de plus
  • Facturer les demandes répétitives ou manifestement infondées, en prouvant qu'elles sont abusives
  • Appliquer la même politique d'opt-out et de GPC à tout le trafic des États-Unis

Interdit

  • Faire de la publicité ciblée sans le dire sur la page de confidentialité et sans expliquer comment refuser
  • Exiger la création d'un compte pour que le visiteur demande l'accès ou la suppression
  • Traiter des données sensibles sans avis clair et sans possibilité de refus
  • Ignorer le recours d'un consommateur dont la demande a été refusée
  • Promettre dans la politique des droits que l'Iowa ne donne pas et que votre processus ne remplit pas

Erreurs courantes

Là où les sites trébuchent avec la loi de l'Iowa

La loi la plus légère a aussi ses pièges, surtout pour ceux qui ne lisent que la liste des droits.

Croire qu'il n'y a pas d'opt-out pour les annonces

Comme le droit ne figure pas dans la liste, le site n'offre pas de refus de la publicité ciblée. Mais le devoir de divulguer et d'expliquer comment refuser existe.

Politique sans annonces ciblées

La page de confidentialité parle des cookies en général, mais ne dit pas que les données sont utilisées pour la publicité ciblée.

Message uniquement pour la Californie

Le message d'opt-out de Google a été configuré uniquement pour la Californie, et le trafic de l'Iowa ne voit jamais le lien.

Section de l'Iowa seule dans la GPP

La CMP n'envoie que la section d'État de l'Iowa, que Google ne lit pas. Sans la US National, l'opt-out n'atteint pas les annonces Google.

Lien d'opt-out qui ne change rien

Le visiteur clique, mais les demandes d'annonces restent identiques, sans RDP et sans opt-out dans la GPP.

Mal compter le volume

Le site ne considère que les inscrits. Les cookies et identifiants publicitaires identifient aussi des personnes et entrent dans le décompte.

Dans ConsentMode

Ce que l'audit vérifie pour l'Iowa

  • Ouvre le site comme un visiteur des États-Unis et cherche le lien d'opt-out dans le pied de page, dans le menu et dans le message de confidentialité.
  • Identifie la CMP ou le message de Google sur les réglementations des États grâce au code de la page.
  • Lit la chaîne GPP et vérifie si la section US National existe et enregistre l'opt-out après le clic.
  • Active le signal GPC dans le navigateur de l'audit et montre si la page et les demandes d'annonces réagissent.
  • Vérifie si la page de confidentialité dit qu'il y a de la publicité ciblée ou une vente de données et explique comment refuser.
Lancer un auditVoir tout ce qui est vérifié

Questions fréquentes

En Iowa, le visiteur peut-il refuser la publicité ciblée ?

La liste des droits de l'Iowa ne comporte que le refus de la vente. Mais la loi exige que celui qui fait de la publicité ciblée le divulgue de façon claire et explique comment le consommateur peut refuser cette activité. En pratique, le site couvert doit offrir ce chemin.

L'Iowa exige-t-il que je respecte le GPC ?

Non. La loi ne prévoit pas de signaux universels d'opt-out. Mais d'autres États l'exigent, et la plupart des CMP traitent le GPC pour tout le trafic des États-Unis.

Dois-je faire une évaluation de protection des données pour l'Iowa ?

Non. La loi de l'Iowa n'exige pas d'évaluations de protection des données. Si vous êtes aussi concerné par d'autres États qui l'exigent, l'évaluation faite pour eux reste nécessaire.

De combien de temps dispose-je pour répondre à une demande ?

Jusqu'à 90 jours, avec une prolongation de 45 jours si elle est nécessaire et annoncée dans le délai initial. Deux demandes par an de chaque consommateur doivent être gratuites.

L'Iowa exige-t-il une bannière de consentement ?

Non. La loi utilise le modèle d'opt-out même pour les données sensibles, avec avis et possibilité de refus. Pour les enfants, c'est la loi fédérale COPPA qui s'applique.

ConsentMode règle-t-il la conformité avec l'Iowa ?

ConsentMode n'est ni une CMP ni un cabinet d'avocats. L'audit montre ce que le site fait réellement avec le lien d'opt-out, la GPP et la page de confidentialité, pour que vous corrigiez avec votre fournisseur et votre avocat.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Vérifiez si l'opt-out de votre site fonctionne pour l'Iowa

L'audit ouvre le site comme un visiteur des États-Unis et montre ce qu'il faut corriger, sans rien modifier.

Lancer l'audit