Ouvrir l'espace

Guide · États-Unis

Confidentialité aux États-Unis : ce qu'un site avec annonces doit savoir

Aux États-Unis, il n'existe pas de loi fédérale unique sur la confidentialité. Chaque État crée la sienne, presque toutes sur le modèle du refus (opt-out) : les annonces peuvent s'afficher, mais le visiteur a le droit de dire non. Ce guide explique ce modèle, la Californie, les signaux GPC et GPP et la façon dont Google traite les États américains.

Auditer mon site maintenantLire le guide
  • ✓Basé sur les sources officielles de la Californie, du Colorado, du Connecticut et de la Virginie
  • ✓Vue d'ensemble avec des liens vers les guides de chaque État
  • ✓Lecture du site sans rien modifier
45 joursdélai de la Virginie pour répondre aux demandes, prolongeable une fois
100 000consommateurs ou foyers, l'un des seuils de la loi de Californie
7 988 USDamende maximale par violation intentionnelle en Californie en 2025
2023année où les premières lois d'État après la Californie ont commencé à s'appliquer

Vue d'ensemble

Un patchwork, et non une loi unique

Les États-Unis n'ont pas de loi fédérale générale sur la confidentialité comme le GDPR ou la LGPD. Au niveau fédéral, il existe des lois par secteur et par public. Les plus importantes pour un site avec annonces sont la loi de la Federal Trade Commission (FTC Act), qui interdit les pratiques trompeuses et déloyales, et la COPPA, qui protège les données des enfants de moins de 13 ans.

En pratique, cela signifie que la politique de confidentialité doit dire la vérité. Si le site affirme ne pas partager de données et les transmet à des réseaux publicitaires, la FTC peut y voir une pratique trompeuse. Et si le contenu s'adresse aux enfants, les annonces personnalisées sont exclues.

L'espace laissé par l'échelon fédéral a été occupé par les États. La Californie a ouvert la voie avec la CCPA, et depuis 2023 une liste croissante d'États a adopté des lois complètes sur la confidentialité des consommateurs. Chaque loi a ses seuils d'application, ses délais et ses détails, mais presque toutes suivent le même schéma.

Checklist

Ce que vous devez respecter

Chaque État a ses propres détails, mais ces obligations figurent dans la plupart des lois et dans les règles de Google.

  1. Offrez un chemin facile pour refuser

    Celui qui fait de la publicité ciblée ou vend des données doit montrer clairement comment le visiteur refuse. En Californie, le lien se trouve dans l'en-tête ou le pied de page de la page d'accueil.

    Exemple

    Pied de page de toutes les pages : Do Not Sell or Share My Personal Information

  2. Traitez le GPC comme un refus

    La Californie, le Colorado depuis le 1er juillet 2024 et le Connecticut depuis le 1er janvier 2025 exigent d'accepter le Global Privacy Control comme demande de refus. Le visiteur n'a rien à cliquer.

  3. Transmettez le refus à Google

    Google active le traitement restreint des données, le RDP, quand il reçoit le refus via la string GPP ou via la balise elle-même. Avec le RDP, cette visite ne reçoit que des annonces non personnalisées.

    // GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
  googletag.pubads().setPrivacySettings({
    restrictDataProcessing: true
  });
});

  4. Gardez la politique de confidentialité complète

    La Virginie, l'Utah et le Colorado demandent que la politique indique quelles données vous traitez, pourquoi, avec quels types de tiers et comment le visiteur exerce ses droits.

    Exemple

    Nous utilisons des cookies de partenaires publicitaires pour afficher des annonces selon votre navigation. Pour refuser, utilisez le lien Do Not Sell or Share My Personal Information en bas de page.

  5. Demandez la permission avant d'utiliser des données sensibles

    La Virginie, le Colorado et le Connecticut exigent un consentement pour des données comme la santé, la religion et l'orientation sexuelle. En Utah, il faut un avis clair et la possibilité de refuser au préalable.

  6. Répondez aux demandes dans les délais

    Les demandes d'accès, de correction ou de suppression reçoivent une réponse sous 45 jours en Californie, en Virginie, au Colorado, dans le Connecticut et en Utah, avec une prolongation de 45 jours. En Californie, le refus doit être traité sous 15 jours ouvrables.

  7. Faites attention aux mineurs

    En Californie, vendre ou partager les données de quelqu'un que vous savez avoir moins de 16 ans exige une autorisation préalable. En dessous de 13 ans, l'autorisation vient des parents.

  8. Passez en revue les partenaires publicitaires

    Dans AdSense et Ad Manager, le contrôle Examiner vos partenaires publicitaires, dans Confidentialité et messages, définit quels acheteurs peuvent diffuser des annonces dans les États qui ont une loi.

    Exemple

    Confidentialité et messages > Réglementations des États américains > icône des paramètres > Examiner vos partenaires publicitaires

En pratique

Ce qui est correct et ce qui ne l'est pas

Outils officiels

CMP certifiées et liens officiels

Google n'exige pas de CMP certifiée pour les États américains. Il indique que l'usage de GPP ou d'une CMP n'est pas obligatoire, mais que le refus du visiteur doit arriver jusqu'aux annonces. Voici les chemins officiels.

Le modèle des États

Opt-out : les annonces peuvent s'afficher, mais la personne peut dire non

En Europe, la règle est de demander la permission avant. Dans les États américains, la règle est d'autoriser et de donner au visiteur un moyen facile de refuser.

Publicité ciblée

Le visiteur peut refuser que ses données soient utilisées pour des annonces basées sur ce qu'il fait sur d'autres sites et applis.

Vente ou partage

Le visiteur peut refuser la vente de ses données. En Californie, cela inclut le partage pour la publicité comportementale intercontextuelle.

Données sensibles

La santé, l'origine raciale, la religion, l'orientation sexuelle et la localisation précise bénéficient d'une protection supplémentaire. Dans plusieurs États, elles exigent un consentement, et en Californie le visiteur peut en limiter l'usage.

Signal automatique du navigateur

La Californie, le Colorado et le Connecticut, entre autres, exigent de respecter les signaux de refus envoyés par le navigateur, comme le Global Privacy Control.

Californie

CCPA et CPRA : la loi qui sert de référence

Le California Consumer Privacy Act (CCPA) a été étendu par la Proposition 24, adoptée en novembre 2020, connue sous le nom de CPRA. Elle s'applique aux entreprises à but lucratif qui font des affaires en Californie et atteignent au moins l'un de ces seuils.

Chiffre d'affaires

Revenu brut annuel à partir de 26 625 000 $ US l'année précédente, montant corrigé de l'inflation depuis le 1er janvier 2025.

Volume de personnes

Acheter, vendre ou partager les données de 100 000 résidents ou foyers de Californie ou plus. Un site avec beaucoup de trafic américain peut y arriver.

Revenu issu des données

Tirer 50 % ou plus du revenu annuel de la vente ou du partage de données personnelles de résidents de Californie.

Lien de refus

Celui qui vend ou partage doit avoir un lien clair, en général en pied de page, avec le texte Do Not Sell or Share My Personal Information, Your Privacy Choices ou Your California Privacy Choices.

Les autres États

Quels États ont déjà des lois complètes

Après la Californie, les premières lois entrées en vigueur ont été celles de la Virginie, le 1er janvier 2023, et celles du Colorado et du Connecticut, le 1er juillet 2023. L'Utah est venu ensuite, avec une loi plus légère.

La liste s'est poursuivie avec le Texas, l'Oregon, le Montana, l'Iowa, le Delaware, le Nebraska, le New Hampshire, le New Jersey, le Tennessee, le Minnesota et le Maryland. Les lois de l'Indiana, du Kentucky et du Rhode Island sont entrées en vigueur le 1er janvier 2026.

Les seuils varient d'un État à l'autre. En Virginie, par exemple, la loi touche ceux qui traitent les données d'au moins 100 000 consommateurs par an, ou de 25 000 consommateurs avec plus de la moitié du revenu provenant de la vente de données. Au Colorado, le seuil est de 100 000 consommateurs, ou un revenu issu de la vente de données de 25 000 consommateurs ou plus.

Comme chaque État a ses propres détails, ConsentMode propose des guides séparés pour les principaux. Cette page donne la vue d'ensemble. La règle pratique est de configurer le site une fois selon le modèle le plus exigeant et d'appliquer le refus à tous les États ayant une loi en vigueur.

Droits

Les droits qui reviennent dans presque toutes les lois

Les noms varient, mais l'ensemble des droits est très semblable d'un État à l'autre.

Savoir et accéder

Demander quelles données l'entreprise détient et à quoi elle les utilise.

Corriger

Demander la correction de données erronées.

Supprimer

Demander la suppression des données, avec quelques exceptions prévues par la loi.

Portabilité

Recevoir une copie des données dans un format pouvant être transmis à un autre service.

Refuser (opt-out)

Dire non à la publicité ciblée, à la vente de données et à certains types de profilage.

Faire appel

Dans plusieurs États, contester la réponse négative de l'entreprise et demander un nouvel examen. Les délais de réponse sont courts : en Virginie, 45 jours pour traiter les demandes, prolongeables une fois.

Signaux

GPC et GPP : les deux signaux que le site doit comprendre

Le Global Privacy Control (GPC) est un signal que le navigateur lui-même envoie, dans des navigateurs comme Firefox, Brave et DuckDuckGo ou par extension. Il fonctionne comme un bouton « arrêtez de vendre ou de partager mes données ». La Californie exige que les entreprises respectent ce signal comme une demande de refus valable.

Au Colorado, accepter les mécanismes universels de refus est devenu obligatoire le 1er juillet 2024, et le GPC a été le premier reconnu par l'État. Dans le Connecticut, l'obligation s'applique depuis le 1er janvier 2025. Autrement dit : un visiteur avec le GPC activé doit être traité comme s'il avait cliqué sur le lien de refus.

Le Global Privacy Platform (GPP) est autre chose. C'est le format créé par l'IAB Tech Lab pour que la CMP transmette le choix du visiteur à tous les partenaires publicitaires, avec des sections pour les États américains. Il remplace l'ancienne chaîne US Privacy, que l'IAB a abandonnée en janvier 2024.

En résumé : le GPC est la demande qui vient du navigateur. Le GPP est la façon dont la CMP informe Google et les autres réseaux du choix du visiteur.

Chronologie

Comment la carte américaine s'est formée

Dates confirmées dans les sources officielles de chaque État.

  1. Novembre 2020

    Proposition 24 en Californie

    Les électeurs approuvent la CPRA, qui étend la CCPA et crée l'agence d'État de la confidentialité (CPPA).

  2. 1er janvier 2023

    CPRA et Virginie

    Les nouvelles protections de la Californie et la loi de la Virginie entrent en vigueur. Google étend le traitement restreint des données aux lois d'État.

  3. 1er juillet 2023

    Colorado et Connecticut

    Les deux lois entrent en vigueur avec le droit de refuser la publicité ciblée.

  4. Janvier 2024

    Fin de la chaîne US Privacy

    L'IAB abandonne la chaîne US Privacy au profit de la GPP.

  5. 1er juillet 2024

    Opt-out universel au Colorado

    Les entreprises doivent désormais accepter des signaux comme le GPC.

  6. 1er janvier 2025

    Connecticut et nouvelles valeurs en Californie

    Le Connecticut se met à exiger le respect des signaux de refus. La Californie ajuste à l'inflation les seuils et les amendes.

  7. 1er janvier 2026

    Indiana, Kentucky et Rhode Island

    Trois nouvelles lois d'État entrent en vigueur. En Californie, des règles sur les décisions automatisées, les évaluations des risques et les audits entrent en application.

AdSense et Ad Manager

Comment Google traite les États américains

Google propose le traitement restreint des données (RDP) depuis 2019, créé pour la CCPA, et l'a étendu en janvier 2023 aux lois d'État. Avec le RDP activé, Google limite l'utilisation des identifiants et ne diffuse que des annonces non personnalisées pour cette visite.

Le RDP peut être activé de trois façons : par une CMP qui envoie le signal GPP, par une configuration dans chaque demande d'annonce dans la balise du site, ou pour tout le trafic des États concernés dans les paramètres de Confidentialité et messages. La configuration par demande s'accorde bien avec un lien de refus en pied de page.

Dans AdSense et Ad Manager, il existe aussi le contrôle Vérifier vos partenaires publicitaires, sous Réglementations des États américains, pour choisir quels acheteurs peuvent diffuser des annonces aux utilisateurs de ces États. Google recommande de passer de la chaîne US Privacy à la GPP, même s'il lit encore l'ancienne chaîne par compatibilité.

Contrairement à l'Europe, Google n'exige pas de CMP certifiée pour les États-Unis. Mais l'éditeur reste responsable de proposer le refus exigé par les lois d'État et de maintenir une politique de confidentialité correcte.

Que faire

Comment configurer un site avec du trafic américain

  1. Mesurez le trafic par ÉtatRegardez dans Analytics combien de visiteurs viennent de la Californie et des autres États ayant une loi. Cela aide à savoir quels seuils le site peut atteindre.
  2. Mettez à jour la politique de confidentialitéExpliquez quelles données les annonces utilisent, quels partenaires les reçoivent, quels droits le visiteur a et comment les exercer, en citant les lois d'État applicables.
  3. Placez le lien de refus en pied de pageUtilisez un texte accepté, comme Do Not Sell or Share My Personal Information ou Your Privacy Choices, menant à une page ou à un message qui fonctionne vraiment.
  4. Respectez le GPCConfigurez la CMP ou le site pour traiter le signal GPC comme un refus automatique, sans rien demander de plus au visiteur.
  5. Transmettez le choix à GoogleUtilisez la GPP via la CMP, le RDP par demande ou le message des États américains dans Confidentialité et messages.
  6. Vérifiez les partenairesDans AdSense ou Ad Manager, consultez sous Réglementations des États américains quels partenaires peuvent diffuser des annonces dans ces États.

En pratique

Ce qui est permis et ce qui ne l'est pas pour les visiteurs américains

Exemples basés sur le modèle de refus des lois d'État.

Autorisé

  • Afficher des annonces personnalisées par défaut, en offrant un refus clair
  • Utiliser un lien Your Privacy Choices en pied de toutes les pages
  • Activer le RDP de Google uniquement pour ceux qui ont refusé ou pour les États ayant une loi
  • Traiter le GPC comme un refus sans ouvrir aucune bannière
  • Utiliser la même page de refus pour tous les États ayant une loi
  • Envoyer le choix aux partenaires via la chaîne GPP

Interdit

  • Lien de refus qui mène à une page sans aucune action réelle
  • Exiger une inscription ou une connexion pour que le visiteur puisse refuser
  • Ignorer le signal GPC des visiteurs de Californie
  • Continuer d'envoyer des données pour le remarketing après le refus
  • Afficher le message européen du TCF au public américain
  • Cibler avec des annonces personnalisées un contenu pour enfants de moins de 13 ans

Dans ConsentMode

Ce que l'audit vérifie pour les visiteurs des États-Unis

  • Ouvre le site comme un visiteur de Californie et montre sur une capture si le lien de refus apparaît et où il mène.
  • Répète la visite avec le signal GPC activé et vérifie si le site et les balises changent de comportement.
  • Lit la chaîne GPP ou l'ancienne US Privacy dans le code de la page et identifie la CMP.
  • Vérifie si les demandes d'annonces portent le signal de traitement restreint après le refus.
  • Lit la politique de confidentialité et signale s'il manque des droits, des partenaires ou les lois d'État.
Lancer un auditVoir tout ce qui est vérifié

Questions fréquentes sur les lois des États-Unis

Mon site est brésilien. Les lois américaines s'appliquent-elles à moi ?

Elles peuvent s'appliquer, si le site fait des affaires avec des résidents de l'État et atteint les seuils de la loi, comme le volume de visiteurs de Californie. Chaque loi a ses propres critères. Dans le doute, offrir le refus et respecter le GPC est une configuration simple et sûre.

Ai-je besoin d'une bannière de cookies pour les États-Unis ?

En règle générale, pas au format européen. Le modèle américain demande un lien de refus et de la transparence dans la politique de confidentialité. Pour les données sensibles, certains États demandent un consentement.

Que se passe-t-il pour les revenus quand j'active le RDP ?

Les visites avec RDP ne reçoivent que des annonces non personnalisées, qui rapportent souvent moins. Il est donc préférable d'activer le RDP pour ceux qui ont refusé, et non pour tout le trafic mondial.

Quelle est la différence entre GPC et GPP ?

Le GPC est le signal que le navigateur du visiteur envoie pour dire « ne vendez pas mes données ». Le GPP est le format que la CMP utilise pour transmettre le choix du visiteur aux réseaux publicitaires.

Quelles sont les amendes en Californie ?

Depuis le 1er janvier 2025, jusqu'à 2 663 $ US par violation et jusqu'à 7 988 $ US par violation intentionnelle ou concernant des mineurs de moins de 16 ans. Les autres lois d'État ont leurs propres montants, comme jusqu'à 7 500 $ US par violation en Virginie.

Où trouver les détails de chaque État ?

ConsentMode propose des guides séparés pour les principaux États. Cette page résume ce qu'ils ont en commun et ce qui change chez Google.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Testez le refus de votre site comme un visiteur américain

L'audit vérifie le lien de refus, le GPC, la GPP et les signaux envoyés à Google, et montre ce qu'il faut corriger.

Lancer l'audit