Ouvrir l'espace

Guide · Loi d'un État américain

UCPA : la loi de l'Utah expliquée à ceux qui ont des publicités

L'Utah a l'une des lois d'État sur la vie privée les plus légères des États-Unis et ne touche que les grandes entreprises. Malgré cela, ceux qui sont concernés doivent expliquer la publicité ciblée et offrir un moyen simple de refuser. Voyez quand elle s'applique à votre site et ce que Google fait du signal.

Auditer mon site pour l'UtahLire le guide
  • ✓Basé sur le texte officiel du Code de l'Utah
  • ✓Exemples pensés pour les sites avec AdSense et Ad Manager
  • ✓Audit en lecture seule, sans modifier le site
25 M USDchiffre d'affaires annuel minimal pour que la loi s'applique, cumulé avec un seuil de consommateurs
100 000consommateurs de l'Utah par an, le seuil de volume pour les entreprises qui dépassent le chiffre d'affaires
30 joursdélai pour corriger un manquement après l'avis écrit du procureur général
7 500 USDamende maximale par violation, en plus des dommages réels aux consommateurs

Définition

Une loi allégée, pensée pour ne pas peser sur les petites entreprises

La Utah Consumer Privacy Act, ou UCPA, figure au chapitre 61 du titre 13 du Code de l'Utah. Elle a été adoptée en 2022 et est entrée en vigueur le 31 décembre 2023.

La UCPA suit la structure de la loi de Virginie, mais en plus léger. Elle n'exige pas d'évaluations de protection des données, n'oblige pas le site à respecter les signaux automatiques du navigateur et permet de traiter des données sensibles avec un avis et une option de refus, au lieu d'un consentement préalable.

C'est aussi la seule de ce groupe de lois à exiger un chiffre d'affaires minimal. Une entreprise n'est concernée que si elle a un revenu annuel d'au moins 25 millions de dollars US et, en plus, un volume important de consommateurs de l'Utah.

Pour ceux qui sont concernés, la règle centrale ne change pas : le site doit signaler qu'il fait de la publicité ciblée et offrir au visiteur un chemin clair pour refuser.

Checklist

Ce que vous devez respecter

Elles ne s'appliquent qu'à ceux qui ont un chiffre d'affaires annuel de 25 millions de dollars US ou plus et qui dépassent aussi l'un des seuils de volume.

  1. Montrez clairement comment refuser

    Celui qui vend des données ou fait de la publicité ciblée doit montrer de façon claire et visible comment le visiteur refuse. La loi ne définit pas le texte du lien.

    Exemple

    Pied de page : Do Not Sell or Share My Personal Information

  2. Publiez un avis de confidentialité clair

    L'avis liste les catégories de données, les finalités, comment exercer les droits, les données transmises à des tiers et les types de tiers.

    Exemple

    Nous utilisons des données de navigation pour afficher des annonces. Nous partageons ces données avec des réseaux publicitaires. Pour refuser, utilisez le lien en pied de page.

  3. Prévenez avant d'utiliser des données sensibles

    Avant de traiter des données sensibles, le site donne un avis clair et la possibilité de refuser. Pour un enfant connu, la loi COPPA s'applique.

  4. Répondez sous 45 jours

    Les demandes reçoivent une réponse sous 45 jours. S'il faut 45 jours de plus, le site prévient le visiteur et indique combien de temps cela prendra en plus.

  5. Donnez suite à la demande de correction

    Depuis le 1er juillet 2026, le visiteur peut aussi demander la correction de données erronées.

  6. Utiliser la section US National avec Google

    Google n'accepte pas la section de l'Utah de la string GPP. Pour l'Utah, la CMP doit envoyer la US National, ou le site active le RDP directement dans la balise.

    // GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
  googletag.pubads().setPrivacySettings({
    restrictDataProcessing: true
  });
});

  7. Corrigez vite si vous êtes notifié

    Le procureur général prévient par écrit et accorde 30 jours pour corriger. Si le manquement continue, l'amende peut atteindre 7 500 dollars US par violation.

En pratique

Ce qui est correct et ce qui ne l'est pas

Outils officiels

CMP certifiées et liens officiels

Google n'exige pas de CMP certifiée pour l'Utah. Le message d'États américains de Google couvre l'Utah et enregistre le choix dans la section US National. Voici les liens officiels.

À qui il s'applique

Chiffre d'affaires et volume, les deux à la fois

La loi s'applique à ceux qui font des affaires dans l'Utah ou offrent des produits et services aux résidents de l'État et qui remplissent la condition de revenus et l'une des conditions de volume.

Revenus de 25 millions de dollars US

Revenu annuel de 25 millions de dollars US ou plus. Sans cette condition, la loi ne s'applique pas, quelle que soit l'importance du trafic.

100 000 consommateurs

En plus du revenu, contrôler ou traiter les données de 100 000 consommateurs de l'Utah ou plus au cours d'une année civile.

Ou 25 000 et vente de données

Ou traiter les données de 25 000 consommateurs et tirer plus de 50 % du chiffre d'affaires brut de la vente de données personnelles.

Qui est exclu

Organismes publics, organisations à but non lucratif, établissements d'enseignement supérieur et données couvertes par les lois fédérales sur la finance et la santé.

Définitions

Les termes qui comptent pour ceux qui vendent des publicités

L'Utah utilise des définitions étroites, proches de celles de la Virginie.

Donnée personnelle

Information liée ou raisonnablement liable à une personne identifiée ou identifiable. Les données anonymisées et publiques sont exclues.

Donnée sensible

Origine raciale ou ethnique, religion, orientation sexuelle, statut migratoire, antécédents médicaux et de santé, données génétiques, biométriques et localisation précise.

Vente

Échange de données personnelles contre de l'argent avec un tiers. Comme en Virginie, seul le paiement en argent compte.

Publicité ciblée

Publicité choisie d'après les données des activités de la personne dans le temps sur des sites et applications d'autres entreprises. La publicité contextuelle n'est pas incluse.

Droits

Ce que le visiteur de l'Utah peut demander

L'entreprise a 45 jours pour répondre, avec une possibilité de prorogation. La liste des droits est plus courte que dans les autres États.

Accès

Confirmer si l'entreprise traite ses données et y avoir accès.

Suppression et portabilité

Supprimer les données qu'il a lui-même fournies et recevoir une copie dans un format qu'il peut emporter vers un autre service.

Rectification, depuis le 1er juillet 2026

Une modification adoptée en 2025 a ajouté le droit de demander la rectification de données erronées, que la loi d'origine ne prévoyait pas.

Opt-out

Refuser l'utilisation des données pour la publicité ciblée et la vente de données personnelles.

Obligations du site

Avis de confidentialité, refus et données sensibles

L'entreprise doit avoir un avis de confidentialité accessible et clair. Il doit lister les catégories de données traitées, les finalités, la façon d'exercer les droits, les catégories de données transmises à des tiers et les catégories de ces tiers.

Si le site vend des données ou fait de la publicité ciblée, il doit montrer de façon claire et visible comment le visiteur peut refuser. La loi ne définit pas le texte du lien, mais il doit être facile à trouver, par exemple dans le pied de page.

Les données sensibles ne peuvent être traitées qu'après un avis clair et la possibilité de refuser. Pour les données d'un enfant connu, la loi fédérale COPPA s'applique, avec le consentement des parents.

L'Utah n'exige pas que le site respecte le Global Privacy Control ni d'autres signaux automatiques du navigateur, et n'exige pas d'évaluations de protection des données. Cela n'empêche pas l'entreprise de respecter le GPC de son propre chef, ce qui simplifie le fonctionnement dans plusieurs États.

Chronologie

Les dates de la loi de l'Utah

La UCPA a peu changé depuis son entrée en vigueur.

  1. 2022

    Loi adoptée

    L'Utah adopte sa loi générale sur la vie privée des consommateurs, la SB 227.

  2. 31 décembre 2023

    Entrée en vigueur

    Les droits, l'avis de confidentialité et l'opt-out de la publicité ciblée et de la vente entrent en vigueur.

  3. 2025

    Modification adoptée

    L'Assemblée de l'Utah approuve l'ajout du droit de rectification.

  4. 1er juillet 2026

    Droit de rectification en vigueur

    Le visiteur peut désormais demander la correction de données erronées.

Contrôle et amendes

Procureur général, division de protection des consommateurs et délai de 30 jours

Le procureur général de l'Utah a la compétence exclusive pour appliquer la loi. La Division de la protection des consommateurs de l'État reçoit les plaintes, enquête et peut transmettre le dossier au procureur général. Le citoyen ne peut pas poursuivre l'entreprise sur la base de l'UCPA.

Avant d'engager une action, le procureur général doit envoyer un avis écrit au moins 30 jours à l'avance, en indiquant chaque manquement. Si l'entreprise corrige dans ce délai et envoie une déclaration écrite confirmant qu'elle a corrigé et ne recommencera pas, il n'y a pas de poursuite. Ce délai de correction n'a pas de date de fin.

Si le manquement persiste ou se répète, le procureur général peut réclamer les dommages réels subis par les consommateurs et une amende pouvant atteindre 7 500 $ US par violation.

En pratique, le délai de 30 jours donne une seconde chance, mais seulement à ceux qui lisent la notification et corrigent vite. Avoir l'avis et le refus en place dès le départ évite le problème.

AdSense et Ad Manager

Comment Google traite le visiteur de l'Utah

L'IAB Tech Lab a créé une section propre à l'Utah dans la chaîne GPP, mais Google ne l'accepte pas. La page d'assistance d'AdSense classe la section de l'Utah parmi les chaînes non prises en charge.

Pour l'Utah, Google lit la section US National. Lorsqu'elle indique un refus de vente, de partage ou de publicité ciblée, Google active le traitement restreint des données, le RDP, et n'affiche que des annonces non personnalisées.

Le message de confidentialité pour les États américains, dans AdSense et Ad Manager, inclut l'Utah et enregistre le choix dans la section US National. Si vous utilisez une autre CMP, vérifiez qu'elle envoie la section US National pour les visiteurs de l'Utah, et pas seulement la section de l'État.

Une autre option consiste à activer le RDP directement dans la balise d'annonces, par exemple avec restrictDataProcessing dans GPT, pour ceux qui ont refusé. Pensez à transmettre aussi le refus aux partenaires de header bidding, de vidéo et de pixels.

En pratique

Ce qui est permis et ce qui ne l'est pas dans l'Utah

Exemples pour un site avec des annonces qui dépasse les seuils de la loi.

Autorisé

  • Afficher des annonces personnalisées sans demander la permission avant, avec un lien de refus visible
  • Enregistrer le refus des visiteurs de l'Utah dans la section US National de la GPP
  • Respecter le GPC par choix, même sans obligation
  • Traiter des données sensibles après un avis clair et une option de refus
  • Afficher des publicités contextuelles à ceux qui ont refusé

Interdit

  • Envoyer seulement la section de l'Utah en pensant que Google la lira
  • Cacher le refus au milieu de la politique de confidentialité
  • Traiter des données de santé ou de localisation précise sans avis et sans possibilité de refus
  • Ignorer une notification du procureur général et laisser passer le délai de 30 jours
  • Refuser la correction de données erronées après juillet 2026

Erreurs courantes

Où les sites se trompent le plus souvent avec l'Utah

La loi est simple, mais la partie technique pose souvent problème.

Mauvaise section de la GPP

La CMP envoie uniquement la section de l'Utah, que Google n'accepte pas, et la demande d'annonce part sans RDP.

Politique sans mention des annonces

La politique parle de cookies, mais ne dit pas qu'il y a de la publicité ciblée ni comment la refuser.

Croire que l'Utah n'a pas d'importance

L'entreprise dépasse 25 millions de dollars US de revenus et 100 000 visiteurs de l'Utah, et n'offre aucun refus.

Droits obsolètes

La politique ne mentionne pas le droit de rectification en vigueur depuis le 1er juillet 2026.

Dans ConsentMode

Ce que l'audit vérifie sur l'UCPA

  • Ouvre le site comme un visiteur de l'Utah et cherche le lien de refus de la publicité ciblée à un endroit visible.
  • Lit la chaîne GPP dans les demandes d'annonces et indique si elle contient la section US National, celle que Google lit pour l'Utah.
  • Identifie la CMP et vérifie si le refus modifie la chaîne avant les demandes d'annonces et de header bidding.
  • Indique si le site respecte le GPC, ce qui n'est pas exigé dans l'Utah, mais l'est dans d'autres États.
  • Lit la politique de confidentialité et signale s'il manque des finalités, des tiers, des droits ou la manière de refuser.
Lancer un auditVoir tout ce qui est vérifié

Questions fréquentes sur la loi de l'Utah

Mon site génère moins de 25 millions de dollars US de revenus. L'UCPA s'applique-t-elle ?

Non. La loi ne s'applique qu'à ceux dont le chiffre d'affaires annuel atteint au moins 25 millions de dollars US et qui dépassent aussi l'un des seuils de consommateurs. Malgré tout, les partenaires publicitaires peuvent demander les signaux de refus.

Dois-je respecter le GPC dans l'Utah ?

Ce n'est pas obligatoire selon l'UCPA. Beaucoup de sites le respectent quand même, car des États comme la Californie, le Colorado, le Connecticut et l'Oregon l'exigent.

Ai-je besoin d'un consentement pour les données sensibles ?

L'Utah demande un avis clair et la possibilité de refuser avant le traitement, et non un consentement préalable. Pour les enfants, c'est la loi fédérale COPPA qui s'applique.

Quelle section de la GPP dois-je envoyer pour l'Utah ?

Pour Google, la section US National. AdSense indique qu'il n'accepte pas la section de l'Utah.

ConsentMode configure-t-il ma CMP ?

Non. ConsentMode n'est pas une CMP et ne modifie pas le site. Il montre quelle section est envoyée et ce qu'il faut ajuster.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Découvrez si Google lit votre refus

L'audit ouvre le site comme un visiteur de l'Utah et affiche la chaîne envoyée aux annonces, sans rien modifier.

Lancer l'audit