Ouvrir l'espace

Guide · Loi d'un État américain

NDPA : la loi du Nebraska sans seuil de volume

La Nebraska Data Privacy Act est en vigueur depuis le 1er janvier 2025 et n'utilise ni seuils de chiffre d'affaires ni nombre de consommateurs. Dans ce guide, vous comprenez qui doit s'y conformer, la règle qui touche même les petites entreprises, l'opt-out par réglage du navigateur et ce qui change pour un site avec AdSense ou Ad Manager.

Auditer mon site pour les États-UnisLire le guide
  • ✓Basé sur la loi LB 1074 et sur le site du procureur général du Nebraska
  • ✓Exemples pratiques pour les sites avec publicités
  • ✓Audit en lecture seule, sans modifier le site
30 jourspour corriger la défaillance après l'avis du procureur général
7 500 USDd'amende civile maximale par violation
45 jourspour répondre aux demandes, avec une prorogation de 45 jours
60 jourspour répondre au recours d'un consommateur dont la demande a été refusée

Définition

Une loi d'État qui remplace les chiffres par la taille de l'entreprise

La Nebraska Data Privacy Act, ou NDPA, est la loi générale de confidentialité du Nebraska. Elle a été adoptée en 2024 par le projet LB 1074, figure aux sections 87-1101 à 87-1130 des lois de l'État et est en vigueur depuis le 1er janvier 2025.

Le texte suit le modèle du Texas. Au lieu de compter les consommateurs ou de regarder le chiffre d'affaires, la loi s'applique à ceux qui font des affaires au Nebraska ou proposent des produits et services consommés dans l'État, traitent ou vendent des données personnelles et ne sont pas une petite entreprise selon la définition fédérale américaine.

Les droits du visiteur sont les mêmes que dans les lois les plus complètes : accès, correction, suppression, portabilité et refus de la publicité ciblée, de la vente et des profilages automatisés. Les données sensibles exigent un consentement.

Pour un site avec des visiteurs des États-Unis, cela signifie que le volume de trafic du Nebraska n'est pas la bonne question. La question est la taille de l'entreprise. Et même une petite entreprise a besoin d'un consentement pour vendre des données sensibles.

Checklist

Ce que vous devez respecter

Si votre entreprise n'est pas petite au sens de la loi fédérale et a des visiteurs du Nebraska, voici la liste de base.

  1. Publier un avis de confidentialité complet

    L'avis doit être clair et facile à trouver. Il liste les données traitées, les finalités, comment exercer ses droits et faire un recours, les données transmises et les catégories de tiers.

    Exemple

    Lien Politique de confidentialité dans le pied de page de toutes les pages, menant à l'avis complet.

  2. Dire qu'il y a de la publicité ciblée et comment refuser

    Celui qui vend des données ou fait de la publicité ciblée doit le dire de façon claire et visible et expliquer comment refuser.

    Exemple

    Lien en pied de page : Do Not Sell or Share My Personal Information.

  3. Demander le consentement pour les données sensibles

    Données sensibles uniquement avec consentement. Même la petite entreprise a besoin d'un consentement avant de vendre ces données. Les données sensibles d'enfants suivent la COPPA.

  4. Accepter le refus envoyé par le navigateur

    Le visiteur peut refuser par un agent autorisé, y compris un paramètre global de l'appareil. Donnez suite quand la demande peut être vérifiée. Le paramètre ne peut pas être activé par défaut.

    Exemple

    Visiteur avec GPC activé : traitez-le comme s'il avait cliqué sur refuser.

  5. Recevoir les demandes sans exiger de nouveau compte

    Proposez deux canaux sûrs ou plus et n'exigez pas de nouveau compte. Répondez sous 45 jours et répondez au recours par écrit sous 60 jours.

  6. Réaliser l'évaluation de protection des données

    La publicité ciblée, la vente de données et les données sensibles exigent une évaluation enregistrée. Elle est confidentielle, mais le procureur général peut la demander.

  7. Transmettre le refus à Google

    Google n'exige pas de CMP pour les États américains. Utilisez le message de réglementations des États américains, dans Confidentialité et messages, ou activez le traitement restreint des données, le RDP, dans la balise pour ceux qui ont refusé. Avec GPP, Google lit la section US National pour le Nebraska.

    Exemple

    AdSense ou Ad Manager : Confidentialité et messages, carte Réglementations des États américains, Créer. Choisissez ensuite les sites et publiez.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

En pratique

Ce qui est correct et ce qui ne l'est pas

Outils officiels

CMP certifiées et liens officiels

Google n'exige ni CMP certifiée ni GPP pour les lois des États américains. Vous pouvez utiliser le message de Google lui-même ou activer le RDP dans la balise.

Qui doit s'y conformer

Sans seuil de chiffre d'affaires et sans nombre minimal de consommateurs

La loi s'applique à ceux qui remplissent les trois conditions ci-dessous, en même temps. Peu importe combien de visiteurs du Nebraska le site reçoit.

Activités liées au Nebraska

Fait des affaires au Nebraska ou produit un produit ou service consommé par des résidents de l'État. Un site avec un public américain s'y inscrit généralement.

Traite ou vend des données

Traite des données personnelles ou participe à la vente de ces données. Les cookies et identifiants publicitaires comptent comme des données personnelles.

N'est pas une petite entreprise

N'est pas une petite entreprise selon la loi fédérale américaine sur les petites entreprises, dans sa version du 1er janvier 2024. Les critères de cette loi varient selon le secteur.

La petite entreprise a aussi une règle

Même la petite entreprise ne peut pas vendre de données sensibles sans le consentement préalable du consommateur, et peut être sanctionnée si elle le fait.

Définitions

Les mots de la loi, dans le langage de ceux qui ont un site

Les définitions figurent à la section 2 de la LB 1074 et suivent les lois du Texas et de la Virginie.

Donnée personnelle

Information liée ou raisonnablement liable à une personne identifiée ou identifiable, y compris les données sensibles. Sur le site, cela inclut les cookies, les identifiants d'appareil, l'IP et l'e-mail.

Donnée sensible

Origine raciale ou ethnique, croyance religieuse, diagnostic de santé, orientation sexuelle, situation migratoire, données génétiques ou biométriques qui identifient la personne, données d'enfant connu et géolocalisation précise.

Vente

L'échange de données personnelles contre de l'argent ou une autre contrepartie de valeur avec un tiers. Les transferts à des sous-traitants et à des entreprises du même groupe sont exclus.

Publicité ciblée

Publicité choisie à partir des données de l'activité du visiteur sur des sites et applications d'autres entreprises. Les publicités selon le contexte de la recherche ou de la visite en cours ne sont pas incluses.

Droits des personnes

Ce que le résident du Nebraska peut demander

La réponse doit être donnée sous 45 jours, avec une prorogation de 45 jours si elle est annoncée dans le délai initial. Le recours contre un refus doit être tranché sous 60 jours.

Confirmer et accéder

Savoir si l'entreprise traite ses données et avoir accès à ces données.

Corriger

Demander la correction de données erronées.

Supprimer

Demander la suppression des données personnelles.

Portabilité

Recevoir une copie des données dans un format portable.

Refuser les publicités ciblées et la vente

Demander que les données ne soient pas utilisées pour la publicité ciblée et ne soient pas vendues, y compris par l'intermédiaire d'un agent autorisé.

Refuser le profilage automatisé

Refuser les profilages qui mènent à des décisions ayant un effet juridique ou un impact similaire.

Obligations du site

Ce que l'entreprise concernée doit avoir en place

  1. Avis de confidentialitéL'avis doit contenir les catégories de données traitées, les finalités, comment exercer ses droits et former un recours, les catégories de données partagées avec des tiers et les catégories de ces tiers.
  2. Divulguer la vente et les publicités cibléesSi le site vend des données ou fait de la publicité ciblée, il doit le dire de façon claire et visible et expliquer comment le visiteur peut refuser.
  3. Consentement pour les données sensiblesDonnées sensibles uniquement avec consentement. Pour la petite entreprise, la règle vaut pour la vente de ces données.
  4. Évaluation de la protection des donnéesLa publicité ciblée, la vente, les profilages risqués, les données sensibles et d'autres traitements à risque élevé exigent une évaluation enregistrée. Elle est confidentielle, mais le procureur général peut la demander.
  5. Accepter l'agent autoriséLe consommateur peut désigner un agent pour refuser les publicités ciblées et la vente, y compris par un réglage du navigateur. L'entreprise doit y répondre lorsqu'elle peut vérifier la demande avec des efforts commercialement raisonnables.
  6. Contrats avec les sous-traitantsLes fournisseurs qui traitent des données au nom de l'entreprise suivent ses instructions, dans le cadre d'un contrat fixant les règles du traitement.

Contrôle et amendes

Qui contrôle et combien coûte une erreur

Seul le procureur général du Nebraska contrôle la loi. Le consommateur peut se plaindre auprès des canaux du procureur général, mais ne peut pas poursuivre l'entreprise sur la base de la NDPA.

30 jours pour corriger

Avant d'engager une action, le procureur général envoie un avis écrit et accorde 30 jours pour corriger. La loi ne prévoit pas de date de fin pour ce délai.

Déclaration écrite

Pour clore le dossier, l'entreprise doit corriger, envoyer une déclaration écrite et des documents prouvant la correction.

Jusqu'à 7 500 USD par violation

Si la défaillance n'est pas corrigée dans le délai, ou si l'entreprise ne respecte pas la déclaration de correction, l'amende civile peut atteindre 7 500 USD par violation.

Canaux de plainte

Le procureur général reçoit les plaintes de confidentialité par formulaire en ligne, e-mail, courrier et téléphone.

Chronologie

Les dates de la NDPA

Le Nebraska a adopté la loi et laissé quelques mois de préparation.

  1. 2024

    Loi adoptée

    L'Assemblée du Nebraska adopte le projet LB 1074, qui crée la Data Privacy Act.

  2. 1er janvier 2024

    Référence pour la petite entreprise

    La loi utilise la définition fédérale de la petite entreprise telle qu'elle existait à cette date.

  3. 1er janvier 2025

    Entrée en vigueur

    La loi entre en vigueur, avec contrôle par le procureur général et délai de correction de 30 jours.

  4. Septembre 2025

    Google met à jour le GPP

    Google accepte désormais la version 2 de la section US National du GPP, la voie qu'il lit pour l'opt-out d'États comme le Nebraska.

Sites avec AdSense et Ad Manager

Opt-out par le navigateur et chemin jusqu'à Google

Le Nebraska traite le signal universel à sa façon. Le consommateur peut désigner un agent autorisé pour refuser les publicités ciblées et la vente au moyen d'une technologie, comme un lien, un réglage ou une extension du navigateur ou un réglage général de l'appareil. La technologie ne peut pas être activée par défaut et nécessite un choix actif du consommateur.

L'entreprise doit y répondre lorsqu'elle peut vérifier la demande avec des efforts commercialement raisonnables. La loi liste des exceptions, par exemple quand on ne peut pas confirmer que le consommateur habite au Nebraska ou quand l'entreprise ne traite pas des demandes similaires d'autres États. Comme le Global Privacy Control, ou GPC, est un signal de ce type, la voie la plus sûre est de le respecter pour le trafic des États-Unis.

Google propose dans AdSense et Ad Manager un message sur les réglementations des États américains, dans Confidentialité et messagerie, et le Nebraska fait partie des États pris en charge. Le refus du visiteur active le traitement restreint des données, appelé RDP. Google indique aussi que le partenaire peut activer le RDP en recevant un GPC d'opt-out.

Dans le GPP, il existe une section propre au Nebraska, mais elle ne figure pas dans la liste des sections acceptées par Google. Pour Google, la voie passe par la section US National, ou par le RDP directement dans la balise, avec le paramètre restrictDataProcessing de GPT ou l'attribut data-restrict-data-processing d'AdSense.

En pratique

Ce qui est permis et ce qui ne l'est pas au Nebraska

Exemples pour un site avec des visiteurs du Nebraska qui se monétise avec de la publicité programmatique.

Autorisé

  • Afficher des publicités contextuelles à ceux qui ont refusé la publicité ciblée
  • Appliquer l'opt-out quand le navigateur du visiteur envoie le GPC
  • Utiliser le message de Google sur les réglementations des États pour proposer le lien d'opt-out
  • Transmettre l'opt-out à Google via la section US National du GPP
  • Utiliser des évaluations de protection des données réalisées pour d'autres États, si elles couvrent le même traitement

Interdit

  • Conclure qu'on est hors du champ de la loi simplement parce qu'on a peu de trafic du Nebraska
  • Vendre la géolocalisation précise ou une autre donnée sensible sans consentement, même en étant une petite entreprise
  • Continuer avec des publicités personnalisées après que le visiteur a refusé
  • Laisser la page de confidentialité sans expliquer comment refuser la publicité ciblée
  • Ignorer le recours d'un consommateur dont la demande a été refusée

Erreurs courantes

Où les sites trébuchent avec la loi du Nebraska

L'absence de chiffres dans la loi déroute ceux qui ont l'habitude de compter les visiteurs par État.

Compter les visiteurs au lieu d'évaluer la taille

Le site a peu de visiteurs du Nebraska et se croit hors champ. Mais la loi n'a pas de seuil de volume : ce qui compte, c'est de ne pas être une petite entreprise.

Oublier la règle des données sensibles

L'entreprise est petite, mais utilise un partenaire qui achète la géolocalisation précise des visiteurs. Cette vente exige un consentement.

Opt-out qui n'arrive pas aux publicités

Le lien existe, mais les demandes à Google continuent sans RDP et sans opt-out dans le GPP.

Section d'État seule dans le GPP

La CMP n'envoie que la section du Nebraska, que Google ne lit pas. Sans la US National, Google ne reçoit pas le refus.

GPC traité uniquement en Californie

La CMP n'applique le GPC que pour la Californie, et le signal envoyé par les visiteurs du Nebraska est ignoré.

Politique générique

La page de confidentialité ne cite ni catégories de données, ni tiers, ni vente, ni publicité ciblée, ni comment former un recours.

Dans ConsentMode

Ce que l'audit vérifie pour le Nebraska

  • Ouvre le site comme un visiteur des États-Unis et cherche le lien d'opt-out dans le pied de page, dans le menu et dans le message de confidentialité.
  • Active le signal GPC dans le navigateur de l'audit et compare la page et les demandes de publicité avec et sans le signal.
  • Lit la string GPP et vérifie que la section US National existe et enregistre l'opt-out.
  • Identifie la CMP ou le message de Google sur les réglementations des États grâce au code de la page.
  • Vérifie que la page de confidentialité cite les catégories de données, les tiers, la vente, la publicité ciblée, les droits et le recours.
Lancer un auditVoir tout ce qui est vérifié

Questions fréquentes

Combien de visiteurs du Nebraska faut-il pour que la loi s'applique ?

Aucun nombre minimal. La loi s'applique à ceux qui font des affaires dans l'État ou dont les produits y sont consommés, traitent ou vendent des données personnelles et ne sont pas une petite entreprise selon la définition fédérale américaine.

Mon entreprise est petite. Suis-je tranquille ?

Presque. La petite entreprise échappe à la plus grande partie de la loi, mais ne peut pas vendre de données sensibles sans le consentement préalable du consommateur. Les critères de la petite entreprise varient selon le secteur, il vaut donc la peine de confirmer avec un avocat.

Le Nebraska exige-t-il de respecter le GPC ?

La loi permet au consommateur d'utiliser un réglage du navigateur comme agent pour refuser les publicités ciblées et la vente, et l'entreprise doit y répondre lorsqu'elle peut vérifier la demande. En pratique, respecter le GPC est la voie la plus sûre.

Le délai de 30 jours pour corriger va-t-il prendre fin ?

La loi ne prévoit pas de date de fin pour ce délai, contrairement à des États comme le Minnesota et le New Jersey.

Google lit-il la section du Nebraska dans le GPP ?

La liste des sections acceptées par Google n'inclut pas le Nebraska. Utilisez la section US National, le message de Google sur les réglementations des États ou le RDP dans la balise.

ConsentMode met-il mon site en conformité ?

ConsentMode n'est ni une CMP ni un cabinet d'avocats. L'audit montre ce que le site fait réellement avec l'opt-out, le GPC, le GPP et la page de confidentialité, pour que vous corrigiez avec votre fournisseur et votre avocat.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Découvrez si l'opt-out de votre site fonctionne au Nebraska

L'audit ouvre le site comme un visiteur des États-Unis, avec et sans GPC, et montre ce qu'il faut corriger, sans rien modifier.

Lancer l'audit