Ouvrir l'espace

Guide · Loi d'un État américain

NJDPA : la loi du New Jersey expliquée sans jargon juridique

La New Jersey Data Privacy Act est en vigueur depuis le 15 janvier 2025 et exige que le site respecte le GPC depuis juillet 2025. Dans ce guide, vous comprenez qui doit s'y conformer, ce qui compte comme donnée sensible, les amendes, la situation de la réglementation et ce qui change pour un site avec AdSense ou Ad Manager.

Auditer mon site pour les États-UnisLire le guide
  • ✓Basé sur les questions fréquentes de la Division des affaires de consommation
  • ✓Exemples pratiques pour les sites avec publicités
  • ✓Audit en lecture seule, sans modifier le site
100 000consommateurs du New Jersey par an : le principal seuil de la loi
25 000consommateurs suffisent si l'entreprise gagne de l'argent avec la vente de données personnelles
10 000 USDd'amende maximale pour la première violation
20 000 USDd'amende maximale par violation répétée

Définition

Une loi de confidentialité sans exemption pour les organisations à but non lucratif

La New Jersey Data Privacy Act, ou NJDPA, est la loi générale de confidentialité du New Jersey. Elle a été promulguée en janvier 2024 et est entrée en vigueur le 15 janvier 2025. Les entreprises concernées et les sous-traitants qui travaillent pour elles doivent respecter la loi depuis cette date.

Le modèle suit celui du Connecticut, avec quelques points plus stricts. Les données financières et le statut de personne transgenre ou non binaire sont des données sensibles. Les organisations à but non lucratif et les petites entreprises ne sont pas exemptées si elles dépassent les seuils. Et le site doit respecter les signaux universels d'opt-out, comme le GPC, depuis le 15 juillet 2025.

La loi charge la Division des affaires de consommation de créer une réglementation, et une proposition de règles a même été présentée pour commentaires publics. Mais l'obligation de respecter la loi ne dépend pas de ces règles : entreprises et sous-traitants doivent s'y conformer depuis le 15 janvier 2025. Avant de suivre le moindre détail de réglementation, vérifiez sur le site de la Division ce qui est réellement en vigueur.

Pour un site avec des visiteurs des États-Unis, le New Jersey pèse par la taille de son public. L'État est très peuplé, donc un portail avec un trafic américain significatif peut dépasser 100 000 consommateurs sans s'en apercevoir.

Checklist

Ce que vous devez respecter

Si votre site dépasse les seuils de la NJDPA, ces points doivent fonctionner.

  1. Respecter le GPC

    Depuis le 15 juillet 2025, le site doit accepter les signaux universels d'opt-out, comme le GPC. Celui qui arrive avec le signal activé doit être traité comme quelqu'un qui a refusé la vente et les annonces ciblées.

    Exemple

    Visiteur avec GPC activé : le site active le traitement restreint des données de Google seulement pour lui, sans demander un autre clic.

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  2. Montrer un chemin clair pour refuser

    Celui qui vend des données ou fait de la publicité ciblée doit offrir un moyen clair de refuser. L'avis de confidentialité doit expliquer comment le visiteur utilise ce droit.

    Exemple

    Le message de réglementations des États de Google affiche le lien Do Not Sell or Share My Personal Information.

  3. Avis de confidentialité complet

    L'avis indique quelles données le site traite, pourquoi, avec qui il les partage et comment le visiteur demande l'accès, la correction, la suppression ou fait un recours.

    Exemple

    Pour demander l'accès, la correction ou la suppression de vos données, écrivez à confidentialite@votresite.com.

  4. Politique avec les phrases que Google exige

    AdSense exige que la politique de confidentialité signale les cookies publicitaires de Google et d'autres fournisseurs. Elle doit aussi dire comment le visiteur refuse les annonces personnalisées.

    Exemple

    Des fournisseurs tiers, dont Google, utilisent des cookies pour afficher des annonces selon des visites précédentes sur votre site ou sur d'autres sites. Vous pouvez désactiver la publicité personnalisée dans les Paramètres des annonces Google.

  5. Consentement pour les données sensibles

    Les données sensibles ne peuvent être traitées qu'avec consentement. Dans le New Jersey, la liste inclut les informations financières.

    Exemple

    Un simulateur de crédit demande d'abord : Pouvons-nous utiliser vos réponses pour afficher des offres ? Oui ou Non.

  6. Consentement des adolescents

    Si vous savez ou devriez savoir que le visiteur a entre 13 et 16 ans, la Division indique que son consentement est nécessaire avant de traiter ses données personnelles.

  7. Évaluation de la protection des données

    Quand vous traitez des données sensibles ou faites des activités à risque élevé, consignez par écrit une évaluation des risques et des avantages.

En pratique

Ce qui est correct et ce qui ne l'est pas

Outils officiels

CMP certifiées et liens officiels

Google n'exige ni CMP certifiée ni GPP pour le New Jersey, donc vous pouvez utiliser le message de Google lui-même ou une CMP avec GPP.

Qui doit s'y conformer

Les seuils qui placent votre site dans la NJDPA

La loi s'applique à ceux qui font des affaires au New Jersey ou proposent des produits et services destinés aux résidents de l'État et qui, sur une année civile, dépassent l'un des seuils ci-dessous.

100 000 consommateurs

Contrôle ou traite les données personnelles d'au moins 100 000 consommateurs du New Jersey pendant l'année.

25 000 et vente de données

Contrôle ou traite les données d'au moins 25 000 consommateurs et gagne de l'argent avec la vente de données personnelles, selon les termes de la Division des affaires de consommation.

Les organisations à but non lucratif aussi

Les organisations à but non lucratif et les petites entreprises ne sont pas exclues. Si elles dépassent les seuils, elles doivent respecter la loi.

Les sous-traitants aussi

Les fournisseurs qui traitent des données au nom d'une entreprise concernée ont aussi des devoirs, comme suivre les instructions et le contrat.

Définitions

Les mots de la loi, dans le langage de ceux qui ont un site

Les définitions du New Jersey ressemblent à celles du Connecticut, avec une liste de données sensibles plus large.

Donnée personnelle

Information qui identifie ou peut identifier une personne précise. Sur le site, cela inclut les cookies, les identifiants d'appareil, l'IP et l'e-mail de newsletter.

Donnée sensible

Origine raciale ou ethnique, croyance religieuse, état de santé, informations financières, vie et orientation sexuelles, situation migratoire, statut de personne transgenre ou non binaire, données génétiques ou biométriques, géolocalisation précise et données d'enfant.

Vente

L'échange de données personnelles contre de l'argent ou une autre contrepartie de valeur avec un tiers. Les transferts à des sous-traitants sont exclus.

Publicité ciblée

Publicité choisie à partir des données de l'activité du visiteur dans le temps sur des sites et applications d'autres entreprises. La publicité selon le contexte de la page n'est pas incluse.

Droits des personnes

Ce que le résident du New Jersey peut demander

Le consommateur ne peut pas poursuivre l'entreprise sur la base de cette loi, mais peut se plaindre auprès de la Division des affaires de consommation. L'entreprise doit répondre aux demandes et offrir un recours.

Confirmer et accéder

Savoir si l'entreprise traite ses données et avoir accès à ces données.

Corriger

Demander la correction de données erronées.

Supprimer

Demander la suppression des données personnelles.

Portabilité

Recevoir une copie des données dans un format qu'il peut emporter vers un autre service.

Refuser les publicités ciblées et la vente

Demander que les données ne soient pas utilisées pour la publicité ciblée et ne soient pas vendues, y compris par un signal universel comme le GPC.

Refuser le profilage automatisé

Refuser les profilages qui mènent à des décisions ayant un effet juridique ou un impact similaire.

Obligations du site

Ce que le site concerné doit avoir en place

  1. Avis de confidentialité completL'avis doit expliquer quelles catégories de données sont traitées, pourquoi, comment exercer ses droits et former un recours, quelles données vont à des tiers et quels types de tiers reçoivent ces données.
  2. Opt-out clair et GPCQui vend des données ou fait de la publicité ciblée doit montrer un chemin clair pour refuser et, depuis le 15 juillet 2025, accepter les signaux universels d'opt-out, comme le GPC.
  3. Consentement pour les données sensiblesLes données sensibles, y compris les informations financières, ne peuvent être traitées qu'avec le consentement du visiteur.
  4. Protection des adolescentsPour les consommateurs de 13 à 16 ans, l'entreprise a besoin d'un consentement avant d'utiliser les données pour la publicité ciblée, la vente ou le profilage. Pour les moins de 13 ans, s'applique la loi fédérale COPPA.
  5. Évaluation de la protection des donnéesAvant les traitements à risque élevé, comme la vente de données, les données sensibles et les profilages pouvant causer un traitement injuste ou un préjudice, l'entreprise doit évaluer par écrit les risques et les avantages.
  6. Contrats avec les sous-traitantsLes fournisseurs qui traitent des données au nom de l'entreprise suivent ses instructions, dans le cadre d'un contrat fixant les règles du traitement.

Contrôle et amendes

Amendes par violation et fin du délai de correction

La loi est contrôlée par le Bureau du procureur général du New Jersey et par la Division des affaires de consommation, avec les outils de la loi de l'État contre la fraude à la consommation.

10 000 USD pour la première

L'amende peut atteindre 10 000 USD pour la première violation.

20 000 USD pour les suivantes

Les violations répétées peuvent coûter jusqu'à 20 000 USD chacune. Le Bureau du procureur peut aussi demander une ordonnance judiciaire et une indemnisation pour les victimes.

Délai de correction terminé

Jusqu'au 1er juillet 2026, la Division prévenait l'entreprise et lui accordait 30 jours pour corriger les défaillances qui pouvaient l'être. Cette période est terminée.

Plainte du consommateur

Le consommateur dépose sa plainte sur le site de la Division des affaires de consommation. Il ne peut pas poursuivre l'entreprise sur la base de cette loi.

Chronologie

Les dates de la NJDPA

En novembre 2026, la loi est en vigueur, le GPC est obligatoire, le délai de correction est terminé et la réglementation doit encore être vérifiée sur le site de la Division.

  1. Janvier 2024

    Promulgation

    Le New Jersey adopte la loi générale de confidentialité.

  2. 15 janvier 2025

    Entrée en vigueur

    Les entreprises concernées et les sous-traitants commencent à respecter la loi.

  3. 2025

    Proposition de réglementation

    La Division des affaires de consommation présente une proposition de règles pour commentaires publics. La loi s'applique déjà indépendamment d'elle.

  4. 15 juillet 2025

    GPC obligatoire

    Le site concerné doit respecter les signaux universels d'opt-out, comme le Global Privacy Control.

  5. 1er juillet 2026

    Fin du délai de correction

    Fin de la période pendant laquelle la Division accordait 30 jours pour corriger avant d'agir.

Sites avec AdSense et Ad Manager

GPC obligatoire et le chemin de l'opt-out jusqu'à Google

Depuis le 15 juillet 2025, le site concerné doit respecter les signaux universels d'opt-out. Les questions fréquentes de la Division elles-mêmes citent le Global Privacy Control, ou GPC, comme exemple. Pour le visiteur qui arrive avec le GPC activé, le site doit agir comme s'il avait cliqué sur le lien d'opt-out.

Google propose dans AdSense et Ad Manager un message sur les réglementations des États américains, dans Confidentialité et messagerie, et le New Jersey fait partie des États pris en charge. Le message affiche le lien Do Not Sell or Share. Le refus active le traitement restreint des données, appelé RDP, et Google cesse d'utiliser le comportement antérieur pour choisir les publicités.

Concernant le GPC, Google indique que le partenaire qui a mis en œuvre le signal peut choisir d'activer le RDP en recevant un GPC d'opt-out. La configuration revient au site ou à la CMP, et peut se faire dans la balise, avec le paramètre restrictDataProcessing de GPT ou l'attribut data-restrict-data-processing d'AdSense.

Dans le GPP, il existe une section propre au New Jersey, mais elle ne figure pas dans la liste des sections acceptées par Google. Pour Google, la voie passe par la section US National, où le refus de la vente, du partage ou de la publicité ciblée active le RDP.

En pratique

Ce qui est permis et ce qui ne l'est pas au New Jersey

Exemples pour un site avec du trafic du New Jersey qui se monétise avec de la publicité programmatique.

Autorisé

  • Afficher des publicités contextuelles à ceux qui ont refusé ou sont arrivés avec le GPC activé
  • Utiliser le message de Google sur les réglementations des États pour proposer le lien d'opt-out
  • Transmettre l'opt-out à Google via la section US National du GPP
  • Appliquer le GPC à tout le trafic des États-Unis, pour simplifier la configuration
  • Continuer à respecter la loi même sans réglementation adoptée, sur la base du texte légal

Interdit

  • Ignorer le GPC et continuer à demander des publicités personnalisées pour ce visiteur
  • Traiter les informations financières du visiteur, comme les données d'un simulateur de crédit, sans consentement
  • Utiliser les données d'adolescents de 13 à 16 ans pour des publicités ciblées sans consentement
  • Croire que votre ONG ou association est hors champ simplement parce qu'elle est à but non lucratif
  • Compter sur 30 jours pour corriger après un avertissement : cette période s'est terminée en juillet 2026

Erreurs courantes

Où les sites trébuchent avec la NJDPA

Ces problèmes apparaissent sur des sites qui ont configuré la confidentialité américaine en ne regardant que la Californie.

Oublier les données financières

Les sites de finance collectent revenus ou dettes dans des formulaires et calculateurs et les transmettent à des partenaires. Au New Jersey, ce sont des données sensibles qui exigent un consentement.

GPC uniquement en Californie

La CMP n'applique le GPC que pour la Californie, et le signal des visiteurs du New Jersey est ignoré.

Attendre la réglementation

L'entreprise a reporté les ajustements en attendant les règles finales. La loi s'applique depuis janvier 2025, avec ou sans réglementation.

Opt-out qui ne change pas les publicités

Le visiteur refuse, mais les demandes de publicité continuent sans RDP et sans opt-out dans la string GPP.

Section d'État seule dans le GPP

La CMP n'envoie que la section du New Jersey, que Google ne lit pas. Sans la US National, l'opt-out n'arrive pas à Google.

Politique sans tiers

La page de confidentialité ne dit pas quels types de tiers, comme les réseaux publicitaires et les partenaires de mesure, reçoivent les données.

Dans ConsentMode

Ce que l'audit vérifie pour le New Jersey

  • Ouvre le site comme un visiteur des États-Unis et cherche le lien d'opt-out dans le pied de page, dans le menu et dans le message de confidentialité.
  • Active le signal GPC dans le navigateur de l'audit et compare la page et les demandes de publicité avec et sans le signal.
  • Lit la string GPP et vérifie que la section US National existe et enregistre l'opt-out.
  • Identifie la CMP ou le message de Google sur les réglementations des États grâce au code de la page.
  • Vérifie que la page de confidentialité contient les catégories de données, les finalités, les tiers, les droits et le recours.
Lancer un auditVoir tout ce qui est vérifié

Questions fréquentes

La réglementation du New Jersey est-elle déjà en vigueur ?

Une proposition de règles a été présentée pour commentaires publics, mais vérifiez sur le site de la Division des affaires de consommation s'il existe des règles finales en vigueur avant de suivre le moindre détail. La loi elle-même s'applique depuis le 15 janvier 2025, avec ou sans réglementation.

Suis-je obligé de respecter le GPC ?

Oui, si la loi s'applique à votre site. Depuis le 15 juillet 2025, les signaux universels d'opt-out, comme le GPC, doivent être respectés.

Mon association est à but non lucratif. Suis-je hors champ ?

Non. Au New Jersey, les organisations à but non lucratif et les petites entreprises doivent respecter la loi si elles dépassent les seuils.

Vendre des données en petite quantité me place-t-il déjà dans le seuil de 25 000 ?

Cela peut. Selon la Division des affaires de consommation, le second seuil s'applique à ceux qui traitent les données d'au moins 25 000 consommateurs et gagnent de l'argent avec la vente de données personnelles. La Division ne cite pas de montant minimal de revenu, il vaut donc la peine de confirmer votre cas avec un avocat.

Ai-je encore un délai pour corriger après un avertissement ?

Le délai de 30 jours valait jusqu'au 1er juillet 2026. Après cela, la Division peut agir sans accorder ce délai.

ConsentMode met-il mon site en conformité ?

ConsentMode n'est ni une CMP ni un cabinet d'avocats. L'audit montre ce que le site fait réellement avec l'opt-out, le GPC, le GPP et la page de confidentialité, pour que vous corrigiez avec votre fournisseur et votre avocat.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Voyez si votre site respecte le GPC au New Jersey

L'audit ouvre le site comme un visiteur des États-Unis, avec et sans GPC, et montre ce qu'il faut corriger, sans rien modifier.

Lancer l'audit