Ouvrir l'espace

Guide · Loi d'un État américain

TIPA : la loi de confidentialité du Tennessee sans jargon juridique

La Tennessee Information Protection Act est en vigueur depuis le 1er juillet 2025 et ne touche que les grandes entreprises. Dans ce guide, vous comprenez qui doit s'y conformer, quels droits le visiteur a gagnés, comment fonctionne la défense fondée sur le NIST et ce qui change pour un site avec AdSense ou Ad Manager.

Auditer mon site pour les États-UnisLire le guide
  • ✓Basé sur le texte de la loi et sur le résumé du procureur général du Tennessee
  • ✓Exemples pratiques pour les sites avec publicités
  • ✓Audit en lecture seule, sans modifier le site
25 M USDde chiffre d'affaires annuel : en dessous, l'entreprise est hors du champ de la loi
175 000consommateurs du Tennessee par an : le principal seuil de volume
60 joursde délai pour corriger après l'avis du procureur général, sans date de fin
45 jourspour répondre aux demandes des consommateurs, avec explication et recours en cas de refus

Définition

Une loi d'État sur la confidentialité axée sur les grandes entreprises

La TIPA est la loi générale de confidentialité de l'État du Tennessee, aux États-Unis. Elle a été adoptée en 2023 et est entrée en vigueur le 1er juillet 2025. La loi donne aux résidents de l'État des droits sur leurs données et crée des devoirs pour les entreprises qui utilisent ces données.

Le modèle suit celui des lois de la Virginie et du Colorado. Le visiteur peut demander l'accès, la correction et la suppression des données et peut refuser la vente des données, la publicité ciblée et certains types de profilage automatisé. Les données sensibles ne peuvent être utilisées qu'avec consentement.

Deux choses distinguent la TIPA. La première est le seuil élevé : seules les entreprises avec un chiffre d'affaires annuel supérieur à 25 millions USD entrent dans la loi. La seconde est la défense fondée sur le NIST : l'entreprise qui maintient un programme de confidentialité écrit, aligné sur le Privacy Framework du NIST, peut l'invoquer comme défense dans un procès.

Pour le propriétaire d'un site brésilien avec des visiteurs aux États-Unis, la question pratique est simple : votre activité dépasse-t-elle les seuils ? Si oui, le site a besoin d'un avis de confidentialité complet, d'un chemin clair pour l'opt-out et de vigilance sur ce que les partenaires publicitaires font des données.

Checklist

Ce que vous devez respecter

Si votre entreprise dépasse les seuils de la TIPA, ces points doivent fonctionner.

  1. Chemin pour refuser la vente et les annonces

    Le résident du Tennessee peut refuser la publicité ciblée, la vente de ses données et certains profilages. Le site doit offrir ce chemin et faire en sorte que le refus modifie la demande d'annonces.

    Exemple

    Le message de réglementations des États de Google affiche le lien Do Not Sell or Share My Personal Information pour les visiteurs du Tennessee.

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  2. Avis de confidentialité accessible

    L'entreprise doit avoir un avis de confidentialité raisonnablement accessible. Il explique comment le visiteur exerce ses droits et comment faire appel d'une réponse négative.

    Exemple

    Un lien Confidentialité dans le pied de page de toutes les pages, menant à l'avis complet.

  3. Politique avec les phrases que Google exige

    AdSense exige que la politique de confidentialité signale les cookies publicitaires de Google et d'autres fournisseurs. Elle doit aussi dire comment le visiteur refuse les annonces personnalisées.

    Exemple

    Des fournisseurs tiers, dont Google, utilisent des cookies pour afficher des annonces selon des visites précédentes sur votre site ou sur d'autres sites. Vous pouvez désactiver la publicité personnalisée dans les Paramètres des annonces Google.

  4. Réponse sous 45 jours

    Les demandes d'accès, de correction, de suppression, de portabilité et d'opt-out doivent recevoir une réponse sous 45 jours après réception.

    Exemple

    Une adresse e-mail de confidentialité avec suivi de la date d'arrivée de chaque demande.

  5. Consentement pour les données sensibles

    Les données sensibles ne peuvent être traitées qu'avec le consentement du visiteur.

    Exemple

    Un site de santé demande avant d'utiliser le thème lu pour choisir les annonces : Acceptez-vous ? Oui ou Non.

En pratique

Ce qui est correct et ce qui ne l'est pas

Outils officiels

CMP certifiées et liens officiels

Google n'exige ni CMP certifiée ni GPP pour le Tennessee, donc vous pouvez utiliser le message de Google lui-même ou une CMP avec GPP.

Qui doit s'y conformer

Les seuils qui placent une entreprise dans la TIPA

La loi s'applique à ceux qui font des affaires au Tennessee ou proposent des produits et services destinés aux résidents de l'État. Mais seulement si l'entreprise passe les deux filtres ci-dessous.

Chiffre d'affaires supérieur à 25 millions USD

C'est le premier filtre et il est obligatoire. Une entreprise dont le chiffre d'affaires annuel est inférieur est hors de la TIPA, même si elle a beaucoup de visiteurs du Tennessee.

175 000 consommateurs

Outre le chiffre d'affaires, l'entreprise doit contrôler ou traiter les données d'au moins 175 000 consommateurs du Tennessee sur une année civile.

Ou 25 000 et vente de données

L'autre porte d'entrée : les données d'au moins 25 000 consommateurs et la moitié ou plus du chiffre d'affaires brut provenant de la vente d'informations personnelles.

Qui est exclu

Les organismes publics, les institutions financières, les entités de santé couvertes par la HIPAA, les organisations à but non lucratif et les établissements d'enseignement supérieur sont exemptés.

Définitions

Les mots de la loi, dans le langage de ceux qui ont un site

La TIPA utilise le terme information personnelle à la place de donnée personnelle. Le sens est le même que dans les autres lois d'États, avec une différence importante dans la définition de la vente.

Information personnelle

Toute information liée ou pouvant être liée à une personne identifiée ou identifiable. Dans le quotidien d'un site, cela inclut les cookies, les identifiants publicitaires, l'adresse IP et l'e-mail de newsletter.

Information sensible

Origine raciale ou ethnique, croyance religieuse, diagnostic de santé, orientation sexuelle, situation migratoire, données génétiques et biométriques, données d'enfant et géolocalisation précise, dans un rayon de 1 750 pieds.

Vente

Dans la TIPA, la vente est l'échange d'informations personnelles contre de l'argent avec un tiers. La loi ne parle pas d'autre contrepartie de valeur, comme le font des États tels que le Delaware et le Montana.

Publicité ciblée

Publicité choisie d'après le comportement du visiteur dans le temps sur des sites et applications d'autres entreprises. La publicité selon le contexte de la page n'entre pas dans cette définition.

Droits des personnes

Ce que le résident du Tennessee peut demander à votre site

Les demandes doivent recevoir une réponse sous 45 jours. Si l'entreprise refuse, elle doit en expliquer le motif et offrir un chemin de recours.

Confirmer et accéder

Savoir si l'entreprise traite ses données et y avoir accès.

Corriger

Demander la correction de données erronées, en tenant compte du type de donnée et de la finalité de l'usage.

Supprimer

Demander que les données qu'il a fournies ou obtenues à son sujet soient effacées. Les données agrégées ou dépersonnalisées sont exclues.

Portabilité

Recevoir une copie des données dans un format qu'il peut emporter vers un autre service, lorsque c'est techniquement possible.

Refuser les publicités ciblées et la vente

Demander que les données ne soient pas utilisées pour la publicité ciblée et ne soient pas vendues. C'est le droit qui touche le plus les sites avec publicités.

Refuser le profilage automatisé

Refuser l'utilisation des données dans des profilages qui mènent à des décisions ayant un effet juridique ou un impact similaire, comme le crédit, le logement ou l'emploi.

Obligations du site

Ce que l'entreprise concernée doit avoir en place

  1. Avis de confidentialité completL'avis doit dire à quoi servent les données, quelles catégories sont traitées, quelles catégories sont vendues à des tiers, comment exercer les droits et comment former un recours contre un refus. Il doit aussi expliquer le droit de refuser la vente.
  2. Ne collecter que le nécessaireLa collecte doit se limiter à ce qui est raisonnablement nécessaire aux finalités communiquées. Utiliser les données pour une autre finalité exige un consentement.
  3. Consentement pour les données sensiblesLes données sensibles ne peuvent être traitées qu'avec consentement. Les données d'enfants de moins de 13 ans suivent les règles de la loi fédérale COPPA.
  4. Évaluation de la protection des donnéesAvant d'utiliser des données pour la publicité ciblée, la vente, des profilages risqués ou des données sensibles, l'entreprise doit enregistrer une évaluation des risques et des avantages. La règle s'applique aux activités créées ou générées à partir du 1er juillet 2024.
  5. Contrats avec les sous-traitantsLes fournisseurs qui traitent des données au nom de l'entreprise ont besoin d'un contrat écrit prévoyant la confidentialité, la restitution ou la suppression des données, l'aide aux évaluations et les mêmes règles pour les sous-traitants ultérieurs.
  6. Sécurité raisonnableL'entreprise doit maintenir des pratiques de sécurité adaptées au volume et à la sensibilité des données, et ne peut pas traiter les données d'une façon qui viole les lois contre la discrimination.

Contrôle et défense par le NIST

Qui contrôle, le délai de correction et le programme qui peut servir de défense

Seul le procureur général du Tennessee peut contrôler la TIPA, et le consommateur ne peut pas poursuivre l'entreprise sur la base de cette loi. Avant d'engager une action, le procureur général doit envoyer un avis écrit et accorder 60 jours à l'entreprise pour corriger. Si l'entreprise corrige et en informe par écrit, l'affaire s'arrête, sauf si la défaillance se répète. Contrairement à d'autres États, ce délai n'a pas de date de fin.

Si la défaillance n'est pas corrigée dans le délai, le procureur général peut saisir la justice et demander les sanctions civiles prévues par la loi. Le procureur général peut agir à partir de ses propres enquêtes ou de plaintes de consommateurs, qui peuvent être envoyées par le site, par e-mail ou par courrier. Les montants exacts des amendes figurent dans le texte de la loi, et il vaut la peine de les vérifier avec un avocat.

La TIPA prévoit aussi une défense affirmative. L'entreprise qui maintient et suit un programme de confidentialité écrit, raisonnablement conforme au Privacy Framework du NIST, l'institut américain des normes et de la technologie, ou à un modèle comparable, peut l'invoquer comme défense. Le programme doit donner au consommateur les droits prévus par la loi et être mis à jour dans les deux ans suivant chaque nouvelle version du cadre. La certification Global CBPR peut aussi être prise en compte.

Il ne suffit pas d'avoir un document dans un tiroir. L'ampleur du programme se mesure à la taille de l'entreprise, au type d'activité et à la sensibilité des données. Pour qui vit de la publicité, documenter quelles données le site collecte, quels partenaires reçoivent ces données et comment fonctionne l'opt-out est déjà le début de ce programme.

Chronologie

Les dates de la TIPA

La loi a eu un long délai d'adaptation. En novembre 2026, elle est en vigueur depuis plus d'un an.

  1. 2023

    Loi adoptée

    Le Tennessee adopte la Tennessee Information Protection Act et rejoint la liste des États dotés d'une loi générale de confidentialité.

  2. 1er juillet 2024

    Jalon des évaluations

    Les activités de traitement créées ou générées à partir de cette date entrent dans la règle des évaluations de protection des données. Les activités antérieures ne sont pas visées.

  3. 1er juillet 2025

    Entrée en vigueur

    La TIPA entre en vigueur. Les entreprises concernées doivent répondre aux demandes, offrir l'opt-out et maintenir l'avis de confidentialité complet.

  4. 2025

    Documentation du procureur général

    Le procureur général publie un résumé de la loi, des questions fréquentes pour les consommateurs et les entreprises et un canal pour les plaintes sur la confidentialité.

Sites avec AdSense et Ad Manager

Comment l'opt-out du Tennessee arrive à Google

La TIPA n'oblige pas l'entreprise à reconnaître les signaux universels d'opt-out, comme le Global Privacy Control, ou GPC, envoyé par certains navigateurs. Le visiteur doit utiliser le chemin que propose le site. Malgré cela, honorer le GPC est une bonne pratique et évite des problèmes avec les États où il est obligatoire.

Google propose un message sur les réglementations des États américains dans AdSense et Ad Manager, dans la zone Confidentialité et messagerie. Il inclut le Tennessee parmi les États pris en charge et affiche le lien Do Not Sell or Share. Quand le visiteur refuse, Google active le traitement restreint des données, appelé RDP, et diffuse des publicités qui n'utilisent pas l'historique de comportement.

Qui utilise sa propre CMP peut transmettre le choix via le GPP, le protocole de l'IAB Tech Lab. Il existe une section propre au Tennessee dans le GPP, mais la liste des sections acceptées par Google ne l'inclut pas. Pour Google, la voie passe par la section US National : le refus de la vente, du partage ou de la publicité ciblée dans cette section active le RDP.

Il est aussi possible d'activer le RDP directement dans la balise, avec le paramètre restrictDataProcessing de GPT ou l'attribut data-restrict-data-processing d'AdSense, uniquement pour ceux qui ont demandé l'opt-out. L'important est que le refus du visiteur change réellement la demande de publicité.

En pratique

Ce qui est permis et ce qui ne l'est pas avec la TIPA

Exemples pour une entreprise qui dépasse les seuils de la loi et se monétise avec de la publicité programmatique sur ses sites.

Autorisé

  • Afficher des publicités contextuelles, choisies selon le sujet de la page, à ceux qui ont demandé l'opt-out
  • Utiliser le message de Google sur les réglementations des États pour proposer le lien Do Not Sell or Share
  • Garder un seul avis de confidentialité pour tous les États, à condition qu'il couvre ce que demande la TIPA
  • Réutiliser des évaluations de risques faites pour d'autres lois d'États, si elles sont comparables
  • Utiliser le programme de confidentialité fondé sur le NIST comme défense, s'il est écrit et à jour

Interdit

  • Continuer d'envoyer des données pour des publicités personnalisées après que le visiteur a refusé
  • Collecter la géolocalisation précise pour des publicités sans consentement
  • Laisser la page de confidentialité sans dire comment former un recours contre une demande refusée
  • Exiger que le visiteur crée un compte pour demander la suppression ou l'opt-out
  • Traiter le NIST comme un label : sans programme réellement suivi, il n'y a pas de défense

Erreurs courantes

Où les sites trébuchent avec la TIPA

Ces problèmes apparaissent fréquemment sur des sites qui s'occupent déjà du GDPR et de la Californie, mais oublient le Tennessee.

Message uniquement pour la Californie

Le message d'opt-out a été configuré il y a des années uniquement pour la Californie. Les visiteurs du Tennessee ne voient jamais le lien.

Lien qui ne fait rien

Le pied de page a le lien d'opt-out, mais il mène à une page de texte. La demande de publicité reste identique après le clic.

Avis sans vente ni publicités

La politique de confidentialité parle de cookies, mais ne dit pas que des données sont utilisées pour la publicité ciblée ni comment refuser.

GPP sans la section US National

La CMP ne génère que des sections d'États que Google ne lit pas. L'opt-out existe, mais il n'arrive pas aux publicités de Google.

Évaluation jamais réalisée

L'entreprise utilise des données pour des publicités ciblées depuis 2024, mais n'a aucune évaluation de protection des données enregistrée.

Croire qu'on est trop petit

Le groupe cumule plusieurs sites et dépasse 25 millions USD de chiffre d'affaires, mais chaque site est traité comme s'il était hors du champ de la loi.

Dans ConsentMode

Ce que l'audit vérifie pour le Tennessee

  • Ouvre le site comme un visiteur des États-Unis et cherche le lien d'opt-out dans le pied de page, dans le menu et dans le message de confidentialité.
  • Identifie la CMP ou le message de Google grâce au code de la page.
  • Lit la string GPP dans les demandes de publicité et vérifie que la section US National existe et change après l'opt-out.
  • Active le signal GPC dans le navigateur de l'audit et montre si le comportement de la page et des demandes de publicité change.
  • Vérifie que la page de confidentialité cite la vente, la publicité ciblée, les droits, le recours et le moyen de contact.
Lancer un auditVoir tout ce qui est vérifié

Questions fréquentes

Mon site brésilien a des visiteurs du Tennessee. Dois-je respecter la TIPA ?

Seulement si votre entreprise dépasse les seuils : chiffre d'affaires annuel supérieur à 25 millions USD et données d'au moins 175 000 consommateurs de l'État, ou 25 000 consommateurs avec la moitié ou plus du chiffre d'affaires issue de la vente de données. La plupart des petits sites sont hors champ. Pourtant, des États aux seuils plus bas, comme le Delaware, le Maryland et le Nebraska, peuvent vous concerner, il vaut donc la peine d'offrir l'opt-out à tout le trafic des États-Unis.

La TIPA oblige-t-elle à respecter le GPC ?

Non. La loi n'exige pas la reconnaissance des signaux universels d'opt-out. Mais plusieurs autres États l'exigent, donc la plupart des CMP traitent déjà le GPC pour tout le trafic des États-Unis.

Qu'arrive-t-il aux revenus quand le visiteur refuse ?

Google utilise le traitement restreint des données et diffuse des publicités qui n'utilisent pas l'historique du visiteur. Le revenu pour mille impressions est généralement plus faible pour ce public, mais la publicité continue d'apparaître.

La TIPA exige-t-elle une bannière de cookies ?

Non. La loi fonctionne sur le modèle de l'opt-out : le site peut utiliser des données pour des publicités jusqu'à ce que le visiteur refuse. L'exception concerne les données sensibles, qui exigent un consentement préalable.

Ai-je besoin d'un programme NIST pour respecter la loi ?

Non. Le programme fondé sur le NIST est une défense facultative. Il aide en cas d'enquête, mais l'entreprise doit de toute façon respecter la loi.

ConsentMode règle-t-il la conformité à la TIPA ?

ConsentMode n'est ni un cabinet d'avocats ni une CMP. L'audit montre ce que le site fait réellement avec l'opt-out, le GPP et la page de confidentialité, pour que vous corrigiez avec votre fournisseur et votre avocat.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Voyez si l'opt-out de votre site arrive aux publicités

L'audit ouvre le site comme un visiteur des États-Unis et montre ce qu'il faut corriger, sans rien modifier.

Lancer l'audit