Ouvrir l'espace

Guide · Loi d'un État américain

MTCDPA : la loi du Montana s'est durcie en 2025

La Montana Consumer Data Privacy Act est en vigueur depuis le 1er octobre 2024 et a été renforcée par un amendement entré en vigueur le 1er octobre 2025. Dans ce guide, vous comprenez les nouveaux seuils, la fin du délai de correction, le signal universel d'opt-out et ce qui change pour un site avec AdSense ou Ad Manager.

Auditer mon site pour les États-UnisLire le guide
  • ✓Basé sur le Code du Montana et sur le Département de la Justice de l'État
  • ✓Exemples pratiques pour les sites avec publicités
  • ✓Audit en lecture seule, sans modifier le site
25 000consommateurs du Montana par an : le seuil depuis l'amendement de 2025
15 000consommateurs suffisent si plus de 25% du chiffre d'affaires brut vient de la vente de données
45 jourspour répondre aux demandes, avec une prorogation de 45 jours
7 500 USDd'amende civile maximale par violation, ajoutée par l'amendement de 2025

Définition

Une loi de confidentialité qui a déjà connu une réforme

La Montana Consumer Data Privacy Act, ou MTCDPA, est la loi générale de confidentialité du Montana. Elle a été adoptée en 2023, figure au Titre 30, chapitre 14, partie 28 du Code du Montana et est entrée en vigueur le 1er octobre 2024.

Le modèle suit celui du Connecticut. Le visiteur peut accéder à ses données, les corriger, les supprimer et les emporter, et peut refuser la vente, la publicité ciblée et certains profilages automatisés. Les données sensibles ne peuvent être utilisées qu'avec consentement. Et le site concerné doit accepter les signaux universels d'opt-out, comme le GPC.

En 2025, l'État a adopté l'amendement SB 297, promulgué en mai 2025 et en vigueur depuis le 1er octobre 2025. Il a abaissé les seuils d'application, supprimé le délai de correction avant le contrôle, fixé une amende pouvant aller jusqu'à 7 500 USD par violation et créé de nouvelles règles pour les moins de 18 ans.

Pour un site avec des visiteurs des États-Unis, le Montana est devenu un État à surveiller. Avec 25 000 consommateurs par an, on peut déjà être dans le champ de la loi, et il n'y a plus d'avertissement préalable garanti avant une action du procureur général.

Checklist

Ce que vous devez respecter

Si le site dépasse les seuils de la MTCDPA, voici la liste de base, du plus urgent au moins urgent.

  1. Relier l'avis à la page d'accueil avec le mot privacy

    L'avis de confidentialité a besoin d'un lien visible sur la page d'accueil qui utilise le mot privacy.

    Exemple

    Pied de page de la page d'accueil : Privacy Policy.

  2. Avoir un chemin de refus en dehors de l'avis

    Celui qui vend des données ou fait de la publicité ciblée doit avoir un chemin de refus clair en dehors de l'avis de confidentialité.

    Exemple

    Lien en pied de page : Your Opt-Out Rights ou Your Privacy Rights.

  3. Accepter le signal de préférence du navigateur

    Depuis le 1er janvier 2025, le site doit accepter le refus envoyé par un signal de préférence. Si le signal contredit un choix antérieur, c'est le signal qui prévaut.

    Exemple

    Visiteur avec GPC activé : arrêtez la vente et la publicité ciblée pour lui.

  4. Demander le consentement pour les données sensibles et les adolescents

    Données sensibles uniquement avec consentement. Si l'entreprise sait, ou ignore volontairement, que le visiteur a entre 13 et 15 ans, la publicité ciblée et la vente exigent aussi un consentement.

  5. Garder l'avis complet et à jour

    L'avis liste les données, les finalités, les tiers, les droits et une adresse e-mail active, avec la date de la dernière mise à jour. Il doit exister dans chaque langue dans laquelle le site propose le service.

    Exemple

    En haut de l'avis : Dernière mise à jour le 3 novembre 2026.

  6. Ne pas exiger de compte et faciliter le retrait

    Le visiteur ne peut pas être obligé de créer un nouveau compte pour exercer ses droits. Retirer le consentement doit être aussi facile que le donner.

  7. Réaliser l'évaluation de protection des données

    La publicité ciblée, la vente, les profilages à risque et les données sensibles exigent une évaluation enregistrée, que le procureur général peut demander.

  8. Transmettre le refus à Google

    Google n'exige pas de CMP pour les États américains. Utilisez le message de réglementations des États américains, dans Confidentialité et messages, ou activez le traitement restreint des données, le RDP, dans la balise pour ceux qui ont refusé. Avec GPP, Google lit la section US National pour le Montana.

    Exemple

    AdSense ou Ad Manager : Confidentialité et messages, carte Réglementations des États américains, Créer. Choisissez ensuite les sites et publiez.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

En pratique

Ce qui est correct et ce qui ne l'est pas

Outils officiels

CMP certifiées et liens officiels

Google n'exige ni CMP certifiée ni GPP pour les lois des États américains. Vous pouvez utiliser le message de Google lui-même ou activer le RDP dans la balise.

Qui doit s'y conformer

Les seuils après l'amendement de 2025

La loi s'applique à ceux qui font des affaires au Montana ou proposent des produits et services destinés aux résidents de l'État et dépassent l'un des seuils ci-dessous.

25 000 consommateurs

Contrôle ou traite les données d'au moins 25 000 consommateurs du Montana. Les données utilisées uniquement pour finaliser un paiement ne comptent pas. Avant l'amendement, le seuil était de 50 000.

15 000 et vente de données

Contrôle ou traite les données d'au moins 15 000 consommateurs et tire plus de 25% de son chiffre d'affaires brut de la vente de données personnelles. Avant, c'était 25 000 consommateurs.

Règles pour les mineurs sans seuil

Les règles de protection des mineurs s'appliquent à toute entreprise qui fait des affaires au Montana ou cible ses résidents, sans exigence de volume minimal.

Exemptions plus étroites

L'amendement a limité l'exemption des organisations à but non lucratif à celles qui luttent contre la fraude à l'assurance et remplacé l'exemption large des institutions financières par des exemptions spécifiques pour les banques, les coopératives de crédit et les assureurs.

Définitions

Les mots de la loi, dans le langage de ceux qui ont un site

Les définitions figurent à la section 30-14-2802 du Code du Montana.

Consommateur et mineur

Le consommateur est le résident du Montana hors contexte commercial ou d'emploi. L'adulte est celui qui a 18 ans ou plus. Le mineur est le consommateur de moins de 18 ans.

Donnée sensible

Origine raciale ou ethnique, religion, santé physique ou mentale, vie sexuelle, orientation sexuelle, situation migratoire, données génétiques ou biométriques qui identifient la personne, données d'enfant connu et géolocalisation précise.

Vente

L'échange de données personnelles contre de l'argent ou une autre contrepartie de valeur avec un tiers. Les transferts à des sous-traitants, à des entreprises du même groupe et lors de fusions sont exclus.

Publicité ciblée

Publicité choisie à partir de données obtenues ou déduites de l'activité du visiteur dans le temps sur des sites et applications d'autres entreprises. Les publicités selon le contexte de la recherche ou de la visite ne sont pas incluses.

Droits des personnes

Ce que le résident du Montana peut demander

La réponse doit être donnée sous 45 jours, avec une prorogation de 45 jours si nécessaire et annoncée dans le délai initial. En cas de refus, l'entreprise offre un recours et répond par écrit sous 60 jours.

Confirmer et accéder

Savoir si l'entreprise traite ses données et y avoir accès, sans que l'entreprise doive révéler un secret commercial.

Corriger

Demander la correction de données erronées.

Supprimer

Demander la suppression des données personnelles le concernant.

Portabilité

Recevoir dans un format portable les données qu'il a fournies, lorsque le traitement est automatisé.

Refuser les publicités ciblées et la vente

Demander que les données ne soient pas utilisées pour la publicité ciblée et ne soient pas vendues. Cela peut se faire par un signal universel, comme le GPC.

Refuser le profilage automatisé

Refuser les profilages qui mènent à des décisions ayant un effet juridique ou un impact similaire.

Obligations du site

Ce que le site concerné doit avoir en place

  1. Avis de confidentialité completL'avis doit contenir les catégories de données traitées, les finalités, les catégories de données vendues ou partagées, les catégories de tiers, un e-mail actif ou un autre contact, l'explication des droits et du recours, et la date de la dernière mise à jour.
  2. Lien avec le mot privacyAprès l'amendement, l'avis doit être relié depuis la page d'accueil par un lien visible contenant le mot privacy et être disponible dans chaque langue dans laquelle le site offre ses services.
  3. Opt-out en dehors de l'avisQui vend des données ou fait de la publicité ciblée doit offrir un chemin de refus clair en dehors de l'avis de confidentialité, comme un lien intitulé your opt-out rights ou your privacy rights.
  4. Consentement pour les données sensibles et les adolescentsDonnées sensibles uniquement avec consentement. Si l'entreprise sait, ou ignore volontairement, que le visiteur a entre 13 et 15 ans, elle a aussi besoin d'un consentement pour la publicité ciblée et la vente.
  5. Prudence avec les moins de 18 ansLes services en ligne utilisés par des mineurs connus exigent une diligence raisonnable pour éviter un risque élevé de préjudice, ainsi que des évaluations spécifiques de ce risque.
  6. Évaluation de la protection des donnéesLa publicité ciblée, la vente, les profilages risqués et les données sensibles exigent une évaluation enregistrée, que le procureur général peut demander lors d'une enquête.

Contrôle et amendes

Plus de délai de correction depuis octobre 2025

Seul le procureur général du Montana contrôle la loi. Le consommateur ne peut pas poursuivre l'entreprise sur cette base, mais peut se plaindre auprès du canal du Département de la Justice.

Fin du délai de correction

La loi d'origine accordait 60 jours pour corriger avant une action. L'amendement de 2025 a supprimé cette garantie, qui ne se serait terminée qu'en 2026.

Jusqu'à 7 500 USD par violation

L'amendement a fixé une amende civile pouvant aller jusqu'à 7 500 USD par violation. Le procureur général peut aussi demander une ordonnance judiciaire et le remboursement des frais.

Enquête avec évaluations

Lors d'une enquête, le procureur général peut demander des documents et les évaluations de protection des données de l'entreprise.

Canal de plainte

La loi oblige le procureur général à publier des informations sur les devoirs des entreprises et un canal en ligne pour les plaintes.

Chronologie

Les dates de la MTCDPA

En un peu plus de deux ans, le Montana a adopté, mis en vigueur et réformé sa propre loi.

  1. 2023

    Loi adoptée

    Le Montana adopte la Consumer Data Privacy Act.

  2. 1er octobre 2024

    Entrée en vigueur

    La loi entre en vigueur, avec des seuils de 50 000 consommateurs, ou 25 000 avec vente de données, et un délai de correction de 60 jours.

  3. 1er janvier 2025

    Signal universel obligatoire

    Le site concerné doit accepter l'opt-out de la vente et de la publicité ciblée envoyé par un signal de préférence, comme le GPC.

  4. Mai 2025

    Amendement promulgué

    Le gouverneur promulgue la SB 297, qui réforme la loi.

  5. 1er octobre 2025

    Amendement en vigueur

    Les seuils de 25 000 et 15 000 consommateurs, les règles pour les mineurs, l'amende de 7 500 USD et la fin du délai de correction s'appliquent.

Sites avec AdSense et Ad Manager

GPC obligatoire et le chemin de l'opt-out jusqu'à Google

Depuis le 1er janvier 2025, le site concerné doit accepter l'opt-out de la vente et de la publicité ciblée envoyé par un signal de préférence, avec le consentement du visiteur. L'exemple le plus connu est le Global Privacy Control, ou GPC. Si le signal entre en conflit avec un réglage antérieur du visiteur, le signal l'emporte.

Google propose dans AdSense et Ad Manager un message sur les réglementations des États américains, dans Confidentialité et messagerie, et le Montana fait partie des États pris en charge. Le message affiche le lien Do Not Sell or Share, et le refus active le traitement restreint des données, appelé RDP, qui empêche les publicités fondées sur le comportement antérieur.

Concernant le GPC, Google indique que le partenaire qui a mis en œuvre le signal peut choisir d'activer le RDP en recevant un GPC d'opt-out. La configuration revient au site ou à la CMP. Une façon directe passe par la balise : le paramètre restrictDataProcessing de GPT ou l'attribut data-restrict-data-processing d'AdSense.

Dans le GPP de l'IAB Tech Lab, il existe une section propre au Montana, mais elle ne figure pas dans la liste des sections acceptées par Google. Pour Google, la voie passe par la section US National, où le refus de la vente, du partage ou de la publicité ciblée active le RDP.

En pratique

Ce qui est permis et ce qui ne l'est pas au Montana

Exemples pour un site avec du trafic du Montana qui se monétise avec de la publicité programmatique.

Autorisé

  • Afficher des publicités contextuelles à ceux qui ont refusé ou sont arrivés avec le GPC activé
  • Utiliser dans le pied de page un lien intitulé your privacy rights pour l'opt-out, séparé de la politique
  • Utiliser la section US National du GPP pour transmettre l'opt-out à Google
  • Garder un seul avis de confidentialité pour les États-Unis, avec une date de mise à jour visible
  • Demander confirmation au visiteur quand le GPC entre en conflit avec un choix antérieur, sans cesser d'appliquer le signal

Interdit

  • Ignorer le GPC et continuer à demander des publicités personnalisées pour ce visiteur
  • Cacher l'opt-out dans le texte de la politique de confidentialité
  • Utiliser les données d'adolescents de 13 à 15 ans pour des publicités ciblées sans consentement
  • Publier la politique uniquement en anglais si le site est aussi proposé dans une autre langue
  • Attendre un avis de 60 jours avant de corriger : cette garantie a pris fin en octobre 2025

Erreurs courantes

Où les sites trébuchent avec la loi du Montana

L'amendement de 2025 a pris de court beaucoup de sites avec des configurations faites pour l'ancienne version de la loi.

Utiliser les anciens seuils

Le site se croyait hors champ avec moins de 50 000 consommateurs du Montana. Avec le nouveau seuil de 25 000, il peut y être.

GPC ignoré

La CMP ne lit le GPC que pour la Californie. Le Montana exige la même chose depuis janvier 2025.

Politique sans date

La page de confidentialité n'indique pas quand elle a été mise à jour, élément que l'amendement a rendu obligatoire.

Lien sans le mot privacy

La politique est cachée derrière un lien générique comme conditions ou juridique, sans le mot privacy sur la page d'accueil.

Section d'État que Google ne lit pas

La CMP n'envoie que la section du Montana dans le GPP et laisse de côté la US National. L'opt-out n'arrive pas à Google.

Opt-out qui ne change pas les publicités

Le visiteur refuse, mais les demandes de publicité continuent sans RDP et sans opt-out dans la string GPP.

Dans ConsentMode

Ce que l'audit vérifie pour le Montana

  • Ouvre le site comme un visiteur des États-Unis et cherche le lien d'opt-out et le lien contenant le mot privacy sur la page d'accueil.
  • Active le signal GPC dans le navigateur de l'audit et compare la page et les demandes de publicité avec et sans le signal.
  • Lit la string GPP et vérifie que la section US National existe et enregistre l'opt-out.
  • Identifie la CMP ou le message de Google sur les réglementations des États grâce au code de la page.
  • Vérifie que la page de confidentialité contient les catégories de données, les tiers, les droits, le recours, le contact et la date de dernière mise à jour.
Lancer un auditVoir tout ce qui est vérifié

Questions fréquentes

Qu'est-ce qui a changé au Montana en 2025 ?

L'amendement SB 297, en vigueur depuis le 1er octobre 2025, a abaissé les seuils à 25 000 consommateurs, ou 15 000 avec plus de 25% du chiffre d'affaires venant de la vente de données, supprimé le délai de correction, fixé une amende pouvant aller jusqu'à 7 500 USD par violation, exigé plus d'éléments dans l'avis de confidentialité et créé des règles pour les moins de 18 ans.

Suis-je obligé de respecter le GPC au Montana ?

Oui, si la loi s'applique à votre site. Depuis le 1er janvier 2025, l'opt-out de la vente et de la publicité ciblée envoyé par un signal de préférence doit être accepté.

Ai-je encore 60 jours pour corriger après un avertissement ?

Non. L'amendement a retiré au procureur général l'obligation d'accorder un délai de correction. Il peut agir directement.

Mon site n'est pas destiné aux enfants. Les règles pour les mineurs me concernent-elles ?

Elles peuvent vous concerner si vous savez, ou ignorez volontairement, qu'un visiteur est mineur. Pour les adolescents de 13 à 15 ans, la publicité ciblée et la vente exigent un consentement. Les règles pour les mineurs s'appliquent sans seuil de volume.

Google lit-il la section du Montana dans le GPP ?

La liste des sections acceptées par Google n'inclut pas le Montana. Pour transmettre l'opt-out à Google, utilisez la section US National, le message de Google sur les réglementations des États ou le RDP dans la balise.

ConsentMode met-il mon site en conformité ?

ConsentMode n'est ni une CMP ni un cabinet d'avocats. L'audit montre ce que le site fait réellement avec l'opt-out, le GPC, le GPP et la page de confidentialité, pour que vous corrigiez avec votre fournisseur et votre avocat.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Voyez si votre site est prêt pour la nouvelle loi du Montana

L'audit ouvre le site comme un visiteur des États-Unis, avec et sans GPC, et montre ce qu'il faut corriger, sans rien modifier.

Lancer l'audit