Ouvrir l'espace

Guide · Loi d'un État américain

TDPSA : la loi du Texas expliquée pour ceux qui ont des publicités

La loi du Texas n'utilise pas un nombre de visiteurs pour décider qui doit s'y conformer. Elle regarde si l'entreprise est petite selon les critères fédéraux. Dans ce guide, vous comprenez cette règle, ce que le visiteur peut refuser et comment le procureur général du Texas exerce son contrôle.

Auditer mon site pour le TexasLire le guide
  • ✓Basé sur la loi et sur la page du procureur général du Texas
  • ✓Exemples pensés pour les sites avec AdSense et Ad Manager
  • ✓Audit en lecture seule, sans modifier le site
2avis avec texte obligatoire pour ceux qui vendent des données sensibles ou biométriques
30 joursdélai pour corriger une défaillance après l'avis du procureur général, avant l'action
7 500 USDamende civile maximale par violation
45 joursdélai pour répondre aux demandes des consommateurs, prorogeable de 45 jours

Définition

Une loi d'État à large portée et à contrôle actif

La Texas Data Privacy and Security Act, ou TDPSA, figure au chapitre 541 du Code des affaires et du commerce du Texas. Elle a été adoptée en 2023 et est entrée en vigueur le 1er juillet 2024.

La structure ressemble à celle de la Virginie : droits du consommateur, opt-out de la publicité ciblée et de la vente, consentement pour les données sensibles et évaluations de protection des données. La grande différence tient à qui doit s'y conformer.

Au lieu d'exiger un nombre minimal de visiteurs, la TDPSA s'applique à ceux qui font des affaires au Texas ou dont les produits ou services sont consommés par des Texans, traitent des données personnelles et ne sont pas une petite entreprise selon les critères de l'agence fédérale des petites entreprises, la SBA.

Pour un site avec publicités, cela signifie que la taille de l'entreprise compte plus que le trafic. Et le procureur général du Texas a déjà montré qu'il utilise la loi : en janvier 2025, il a poursuivi l'assureur Allstate et l'entreprise de données Arity sur cette base.

Checklist

Ce que vous devez respecter

Si votre entreprise n'est pas petite selon les critères de la SBA et a des visiteurs du Texas, voici la liste de base.

  1. Publier un avis de confidentialité complet

    L'avis doit être clair et facile à trouver. Il liste les données traitées, les finalités, les données transmises, les catégories de tiers, les canaux de demande et comment faire un recours.

    Exemple

    Lien Politique de confidentialité dans le pied de page de toutes les pages, menant à l'avis complet.

  2. Dire qu'il y a de la publicité ciblée et comment refuser

    Celui qui vend des données ou fait de la publicité ciblée doit le dire de façon claire et visible. Il doit aussi expliquer comment le visiteur refuse.

    Exemple

    Phrase dans l'avis : nous utilisons vos données pour de la publicité ciblée. Pour refuser, utilisez le lien Do Not Sell or Share My Personal Information.

  3. Utiliser la phrase exacte si vous vendez des données sensibles

    La loi impose de publier un avis au texte fixe, en anglais, pour ceux qui vendent des données sensibles ou biométriques.

    Exemple

    NOTICE: We may sell your sensitive personal data. Pour les données biométriques : NOTICE: We may sell your biometric personal data.

  4. Demander le consentement pour les données sensibles

    Les données sensibles ne peuvent être traitées qu'avec consentement. Même la petite entreprise a besoin d'un consentement avant de vendre ces données.

    Exemple

    Avant d'utiliser la localisation précise du visiteur, affichez une question avec les options Autoriser et Ne pas autoriser.

  5. Accepter le refus envoyé par le navigateur

    Depuis le 1er janvier 2025, le visiteur peut refuser par un paramètre global du navigateur ou de l'appareil. Donnez suite quand la demande peut être vérifiée.

    Exemple

    Visiteur avec GPC activé : traitez-le comme s'il avait cliqué sur refuser.

  6. Recevoir les demandes sans exiger de nouveau compte

    Offrez au moins deux canaux sûrs pour les demandes et n'exigez pas de nouveau compte. Répondez sous 45 jours, prolongeables de 45 jours, et prévoyez un chemin de recours.

    Exemple

    Selon le procureur général, l'entreprise exclusivement en ligne ayant une relation directe avec le consommateur peut proposer seulement une adresse e-mail, comme confidentialite@votresite.com.

  7. Réaliser l'évaluation de protection des données

    La publicité ciblée, la vente de données et les données sensibles exigent une évaluation écrite des risques et des avantages. Le procureur général peut demander ce document.

  8. Transmettre le refus à Google

    Google n'exige pas de CMP pour les États américains. Utilisez le message de réglementations des États américains, dans Confidentialité et messages, ou activez le traitement restreint des données, le RDP, dans la balise pour ceux qui ont refusé. Avec GPP, Google lit la section US National pour le Texas.

    Exemple

    AdSense ou Ad Manager : Confidentialité et messages, carte Réglementations des États américains, Créer. Choisissez ensuite les sites et publiez.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

En pratique

Ce qui est correct et ce qui ne l'est pas

Outils officiels

CMP certifiées et liens officiels

Google n'exige ni CMP certifiée ni GPP pour les lois des États américains. Vous pouvez utiliser le message de Google lui-même ou activer le RDP dans la balise.

À qui il s'applique

La règle de la petite entreprise

La TDPSA n'a pas de seuil de visiteurs ni de chiffre d'affaires propre. La question principale est de savoir si votre entreprise est petite selon les critères de la SBA.

Activités liées au Texas

Faire des affaires au Texas ou avoir des produits et services consommés par des résidents de l'État. Un site avec un public texan peut être concerné.

Traiter ou vendre des données

Traiter des données personnelles ou vendre ces données. Les cookies et identifiants publicitaires sont des données personnelles.

Ne pas être une petite entreprise

La SBA définit la petite entreprise par secteur, selon le chiffre d'affaires ou le nombre d'employés. Qui dépasse cette taille entre dans la loi.

Exception qui vaut pour tous

Même la petite entreprise a besoin du consentement du consommateur avant de vendre ses données sensibles.

Définitions

Les termes qui comptent pour ceux qui vendent des publicités

Le Texas définit la vente de façon large, y compris les échanges qui n'impliquent pas d'argent.

Donnée personnelle

Information liée ou raisonnablement liable à une personne identifiée ou identifiable. Les données anonymisées et publiques sont exclues.

Donnée sensible

Origine raciale ou ethnique, religion, santé mentale ou physique, sexualité, situation migratoire, données génétiques et biométriques, données d'enfant connu et localisation précise.

Vente

Partager, divulguer ou transférer des données personnelles à un tiers en échange d'argent ou d'une autre valeur. Les partenariats de données en échange d'un service peuvent compter.

Publicité ciblée

Publicité choisie d'après les données des activités de la personne dans le temps sur des sites et applications d'autres entreprises. La publicité contextuelle n'est pas incluse.

Obligations du site

Avis de confidentialité avec phrases obligatoires

L'entreprise doit avoir un avis de confidentialité clair et accessible. Il liste les catégories de données traitées, les finalités, comment exercer ses droits et former un recours, les catégories de données transmises à des tiers et les catégories de ces tiers.

Le Texas impose une formulation exacte dans deux cas. Quiconque vend des données sensibles doit inclure dans l'avis la phrase NOTICE: We may sell your sensitive personal data. Quiconque vend des données biométriques doit inclure NOTICE: We may sell your biometric personal data. Ces avis figurent en anglais, comme l'exige la loi.

Qui vend des données ou fait de la publicité ciblée doit aussi le montrer de façon claire et visible, avec le chemin pour refuser. Le refus ne peut pas exiger la création d'un nouveau compte.

Les données sensibles ne peuvent être traitées qu'avec consentement. Pour un enfant connu de moins de 13 ans, s'applique la loi fédérale COPPA, avec le consentement des parents.

Droits, opt-out et évaluations

Droits du visiteur, refus par le navigateur et évaluations

Le visiteur du Texas peut savoir si l'entreprise traite ses données, y accéder, en emporter une copie, les corriger, les supprimer et refuser la publicité ciblée, la vente et certains profilages, sans subir de représailles. L'entreprise répond sous 45 jours, prorogeables de 45 jours, et doit offrir un recours à celui dont la demande est refusée.

Depuis le 1er janvier 2025, la loi permet au visiteur de refuser la publicité ciblée et la vente de données au moyen d'une technologie, comme un réglage global du navigateur ou de l'appareil, qui fonctionne comme un agent autorisé. L'entreprise doit y répondre lorsqu'elle peut vérifier l'identité et l'autorisation. La loi ne cite pas le Global Privacy Control par son nom, mais le GPC est l'exemple le plus connu de ce type de réglage.

En pratique, la voie la plus sûre est que la CMP détecte le GPC, marque le visiteur comme ayant refusé et transmette ce refus à tous les partenaires publicitaires avant la première demande.

L'entreprise doit aussi réaliser des évaluations de protection des données pour la publicité ciblée, la vente de données, les données sensibles et certains profilages. L'évaluation compare les avantages et les risques et peut être demandée par le procureur général lors d'une enquête.

Chronologie

Les dates de la loi du Texas

Dates confirmées sur la page du procureur général du Texas et dans des communiqués officiels.

  1. 2023

    Loi adoptée

    Le Texas adopte la TDPSA, qui prend place au chapitre 541 du Code des affaires et du commerce.

  2. 1er juillet 2024

    Entrée en vigueur

    Les droits, les avis obligatoires, l'opt-out et les évaluations entrent en vigueur.

  3. 1er janvier 2025

    Refus par le navigateur

    Le refus au moyen d'un réglage global du navigateur ou de l'appareil entre en vigueur.

  4. janvier 2025

    Action en justice contre Allstate

    Le procureur général poursuit Allstate et Arity pour l'utilisation de données de localisation sans avis ni consentement.

Contrôle et amendes

Procureur général avec pouvoir exclusif et délai de 30 jours

Le procureur général du Texas a compétence exclusive pour appliquer la TDPSA. Il peut exiger des documents, demander une ordonnance judiciaire, réclamer des amendes et des honoraires. Le citoyen ne peut pas poursuivre l'entreprise, mais peut déposer une plainte sur le site du procureur général.

Avant d'engager une action, le procureur général doit prévenir par écrit. L'entreprise a 30 jours pour corriger et envoyer une déclaration écrite avec des documents prouvant la correction, y compris les changements de politiques internes. Ce délai n'a pas de date de fin.

Qui ne corrige pas dans le délai ou ne respecte pas la déclaration envoyée s'expose à une amende civile pouvant atteindre 7 500 USD par violation.

En janvier 2025, le procureur général a accusé Allstate et Arity de collecter et de vendre la localisation précise de conducteurs via des applications, sans l'avis et le consentement exigés pour les données sensibles.

AdSense et Ad Manager

Comment Google traite le visiteur du Texas

L'IAB Tech Lab a une section du Texas dans la string GPP, mais Google ne la liste pas parmi les sections acceptées par AdSense. Pour le Texas, Google lit la section US National.

Quand la US National indique un refus de la vente, du partage ou de la publicité ciblée, Google active le traitement restreint des données, le RDP, et n'affiche que des publicités non personnalisées.

Le Message de confidentialité pour les États américains, dans AdSense et Ad Manager, inclut le Texas et inscrit le choix dans la section US National. Avec une autre CMP, vérifiez qu'elle envoie la US National aux visiteurs texans et qu'elle marque le refus quand le GPC est activé.

Une autre option est d'activer le RDP directement dans la balise publicitaire, par exemple avec restrictDataProcessing dans GPT, pour ceux qui ont refusé. Le refus doit aussi parvenir au header bidding, à la vidéo et aux pixels.

En pratique

Ce qui est permis et ce qui ne l'est pas au Texas

Exemples pour un site avec publicités entrant dans le champ de la loi.

Autorisé

  • Afficher des publicités personnalisées aux adultes sans demander d'autorisation préalable, avec un lien de refus visible
  • Traiter le GPC et d'autres réglages globaux comme un refus de la publicité ciblée
  • Enregistrer le refus dans la section US National du GPP
  • Afficher des publicités contextuelles à ceux qui ont refusé
  • Corriger la défaillance et envoyer la déclaration écrite dans les 30 jours après une notification

Interdit

  • Vendre des données sensibles sans consentement, même en étant une petite entreprise
  • Vendre des données sensibles sans la phrase d'avis obligatoire dans la politique
  • Exiger la création d'un compte pour refuser la publicité ciblée
  • Ignorer un réglage global de refus parce que le visiteur n'a pas cliqué sur la bannière
  • Collecter la localisation précise via une appli sans avis ni consentement

Erreurs courantes

Où les sites se trompent souvent avec le Texas

L'absence de seuil de visiteurs déroute beaucoup de monde.

Chercher un nombre de visiteurs

L'entreprise cherche un seuil de 100 000 visiteurs qui n'existe pas au Texas et ne vérifie pas si elle est une petite entreprise selon la SBA.

Section d'État sans US National

La CMP n'envoie que la section du Texas, qu'AdSense n'accepte pas, et les publicités restent personnalisées.

Réglage global ignoré

Le site respecte le GPC uniquement pour la Californie et oublie que, depuis 2025, la loi du Texas prévoit un refus par réglage global du navigateur.

Politique sans l'avis exigé

L'entreprise vend des données sensibles, mais la politique ne contient pas la phrase obligatoire.

Dans ConsentMode

Ce que l'audit vérifie sur la TDPSA

  • Ouvre le site comme un visiteur du Texas avec le GPC désactivé puis activé et compare les demandes de publicité.
  • Lit la string GPP et montre si la section US National est présente et indique le refus.
  • Cherche le lien de refus à un endroit visible et vérifie qu'il mène à un écran de choix, sans inscription.
  • Identifie la CMP et vérifie que les balises publicitaires et de header bidding attendent sa réponse.
  • Lit la politique de confidentialité et signale s'il manque les droits, les tiers, la publicité ciblée et les phrases obligatoires en cas de vente de données sensibles.
Lancer un auditVoir tout ce qui est vérifié

Questions fréquentes sur la loi du Texas

Mon site est petit. La TDPSA s'applique-t-elle à moi ?

Si l'entreprise est petite selon les critères de la SBA, la plus grande partie de la loi ne s'applique pas. L'exception est la vente de données sensibles, qui exige le consentement de toute entreprise. Les critères de la SBA varient selon le secteur, il vaut donc la peine de vérifier avec votre comptable ou votre avocat.

Ai-je besoin d'une bannière de consentement pour le Texas ?

Pour les publicités personnalisées destinées aux adultes, non. La loi demande un opt-out. Le consentement est exigé pour les données sensibles.

Le Texas oblige-t-il à respecter le GPC ?

Depuis le 1er janvier 2025, la loi impose de répondre aux refus envoyés par un réglage global du navigateur ou de l'appareil, lorsqu'il est possible de vérifier l'identité et l'autorisation. La loi ne cite pas le GPC par son nom, mais c'est l'exemple le plus connu, et le respecter est la voie la plus sûre.

Quelle section du GPP dois-je envoyer pour le Texas ?

Pour Google, la US National. La section du Texas existe dans la norme de l'IAB, mais AdSense ne la liste pas comme acceptée.

ConsentMode dit-il si je suis une petite entreprise ?

Non. C'est une analyse juridique et comptable. ConsentMode audite le site de l'extérieur et montre si le lien, les signaux et la politique sont en place.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Voyez si le refus du Texas arrive aux publicités

L'audit ouvre le site comme un visiteur du Texas, avec et sans GPC, et montre ce qu'il faut corriger sans rien modifier.

Lancer l'audit