International6 min de lecture
CCPA et CPRA : ce que le droit américain implique pour les cookies
CCPA et CPRA appliqués aux cookies : quand les traceurs publicitaires valent vente ou partage, le lien d'opt-out, les signaux GPC et ce qu'il faut à votre site.
Le CCPA, tel que modifié par le CPRA, n’exige pas de consentement avant le dépôt de cookies. Il considère en revanche de nombreux cookies et pixels publicitaires comme une « vente » (sale) ou un « partage » (sharing) d’informations personnelles, et donne aux résidents californiens le droit de s’y opposer. Les entreprises concernées doivent indiquer ce qu’elles collectent, proposer un lien d’opposition clair et respecter les signaux envoyés par le navigateur, comme Global Privacy Control.
Que sont le CCPA et le CPRA ?
Le California Consumer Privacy Act (CCPA) est la principale loi californienne de protection de la vie privée des consommateurs. Le California Privacy Rights Act (CPRA) l’a modifié et étendu : aujourd’hui, « CCPA » désigne donc généralement la loi consolidée, telle que modifiée.
Le CPRA a ajouté de nouveaux droits, introduit la notion de « partage » pour la publicité comportementale intercontextuelle (cross-context behavioral advertising) et créé une autorité dédiée, la California Privacy Protection Agency (CPPA). L’agence rédige une réglementation détaillée et partage les pouvoirs de contrôle avec le procureur général de Californie.
La loi s’applique aux entreprises à but lucratif qui exercent une activité en Californie, traitent des informations personnelles de résidents californiens et atteignent au moins un seuil. Ces seuils sont un chiffre d’affaires annuel brut supérieur à un montant fixé et indexé sur l’inflation ; l’achat, la vente ou le partage des informations personnelles d’au moins 100 000 consommateurs ou foyers ; ou la réalisation d’au moins la moitié du chiffre d’affaires annuel grâce à la vente ou au partage d’informations personnelles. Il n’est pas nécessaire d’avoir des bureaux en Californie pour être concerné.
Les cookies sont-ils des informations personnelles au sens du CCPA ?
Souvent, oui. Le CCPA définit largement les informations personnelles, et sa définition des identifiants uniques mentionne expressément les cookies, les balises web (beacons) et les pixels.
Les identifiants de cookies, les identifiants publicitaires, les adresses IP et l’historique de navigation liés à un consommateur, à un foyer ou à un appareil remplissent généralement les conditions. Ce qui compte, c’est ce qu’il advient ensuite de ces données. Un cookie de session propriétaire qui maintient une personne connectée soulève peu de questions au regard du CCPA, alors qu’un pixel publicitaire tiers qui transmet l’activité de navigation à une régie publicitaire est une tout autre affaire.
Quand un cookie constitue-t-il une « vente » ou un « partage » ?
Un cookie constitue une vente ou un partage lorsqu’il permet à un tiers de recevoir des informations personnelles pour ses propres finalités ou à des fins de publicité comportementale intercontextuelle. Aucune somme d’argent n’a besoin de changer de mains.
- La vente désigne la communication d’informations personnelles à un tiers contre une contrepartie monétaire ou toute autre contrepartie de valeur. Des outils gratuits que vous payez en réalité avec les données de vos visiteurs peuvent entrer dans cette catégorie.
- Le partage désigne la communication d’informations personnelles à un tiers à des fins de publicité comportementale intercontextuelle, c’est-à-dire de publicités ciblées à partir de l’activité d’une personne sur les sites et applications d’autres entreprises, qu’une contrepartie de valeur soit échangée ou non.
- Les prestataires de services (service providers) et sous-traitants (contractors) qui traitent les données uniquement pour votre compte, dans le cadre d’un contrat contenant les clauses exigées par la loi, ne sont généralement pas des tiers : les communications qui leur sont faites ne constituent donc pas des ventes.
En pratique, les pixels de reciblage, les cookies des régies publicitaires et les pixels de suivi des réseaux sociaux sont les suspects habituels. Réalisez un audit des cookies pour identifier quels fournisseurs reçoivent des données, et dans quel cadre contractuel, avant de qualifier chacun d’eux.
Comment le CCPA se compare-t-il au RGPD pour les cookies ?
La différence fondamentale tient au réglage par défaut. Les règles de l’UE exigent un consentement préalable (opt-in) avant le chargement des cookies non essentiels, tandis que la Californie autorise leur chargement mais exige un moyen simple de s’y opposer.
| RGPD et ePrivacy (UE) | CCPA et CPRA (Californie) | |
|---|---|---|
| Modèle | Consentement préalable (opt-in) avant les cookies non essentiels | Opposition (opt-out) à la vente et au partage |
| Bandeau de consentement | Requis en pratique | Non requis |
| Principal contrôle utilisateur | Choix d’acceptation et de refus | Lien « Do Not Sell or Share My Personal Information » |
| Signaux du navigateur | Effet juridique moins établi | Obligation de respecter les signaux de préférence d’opposition comme GPC |
| Enfants | Règles spécifiques pour le consentement des enfants | Consentement préalable avant de vendre ou partager les données des moins de 16 ans |
| Contrôle | Autorités nationales de protection des données | CPPA et procureur général de Californie |
Si vous vous adressez aux deux publics, le géociblage vous permet d’afficher un bandeau de consentement préalable dans l’UE et un parcours d’opposition en Californie. Pour le volet européen, consultez RGPD et cookies : les règles du consentement expliquées.
De quoi votre site a-t-il besoin ?
Les entreprises concernées ont besoin d’informations claires, d’un mécanisme d’opposition et des processus internes qui rendent cette opposition effective. Utilisez cette checklist comme point de départ.
- Avis lors de la collecte. Au moment de la collecte ou avant, indiquez aux personnes quelles catégories d’informations personnelles vous collectez, pourquoi, si vous les vendez ou les partagez et combien de temps vous les conservez.
- Politique de confidentialité. Décrivez les droits des consommateurs et la manière de les exercer, et mettez la politique à jour au moins une fois tous les 12 mois.
- Lien d’opposition. Proposez un lien clair « Do Not Sell or Share My Personal Information », ou le lien d’opposition alternatif unique autorisé par la réglementation, généralement en pied de page.
- Respect de GPC. Traitez un signal Global Privacy Control comme une opposition valable pour ce navigateur, et pour le compte du consommateur si vous savez de qui il s’agit.
- Arrêt du flux de données. Lorsqu’une personne s’oppose, cessez de déclencher les balises qui vendent ou partagent ses données. Un lien qui se contente d’enregistrer une préférence ne suffit pas.
- Limitation des données sensibles. Si vous utilisez des informations personnelles sensibles au-delà des finalités autorisées par la loi, proposez un lien « Limit the Use of My Sensitive Personal Information ».
- Conservation des traces. Consignez les demandes d’opposition et la manière dont vous les avez traitées, comme vous le feriez pour les preuves de consentement, afin de pouvoir démontrer que votre processus fonctionne.
Qu’en est-il des autres États américains ?
La Californie n’est plus seule. Un nombre croissant d’États américains ont adopté des lois générales sur la protection de la vie privée prévoyant des droits similaires d’opposition à la publicité ciblée et à la vente de données personnelles, et plusieurs imposent aux entreprises de respecter les signaux universels d’opposition.
Les détails diffèrent, notamment les seuils d’application, les définitions et la question de savoir si certaines données, comme les données sensibles, nécessitent un consentement préalable. Vérifiez chaque loi applicable à votre public. Mettre en place un parcours d’opposition unique et robuste, qui respecte GPC partout, est souvent plus simple que de gérer des exceptions État par État.
En résumé
Pour les cookies, le CCPA et le CPRA reposent sur la transparence et un droit d’opposition effectif, et non sur le consentement préalable. Identifiez les traceurs qui vendent ou partagent des données, offrez aux Californiens un moyen clair de dire non, respectez automatiquement GPC et assurez-vous que l’opposition met réellement fin au flux de données. Des outils comme Cookiesh peuvent afficher pour vous des bandeaux CCPA géociblés et respecter les signaux GPC.
Cet article est fourni à titre d’information générale et ne constitue pas un avis juridique. Pour toute décision concernant votre situation, consultez un professionnel qualifié de la protection des données.
Questions fréquentes
Ai-je besoin d'un bandeau cookies pour respecter le CCPA ?
Le CCPA n'exige pas de bandeau de consentement au sens du RGPD. Il vous faut en revanche un avis lors de la collecte et un moyen opérationnel de s'opposer à la vente et au partage, et de nombreux sites utilisent un bandeau ou un lien en pied de page pour remplir ces deux obligations.
Le CCPA s'applique-t-il aux entreprises situées hors de Californie ?
Oui, si l'entreprise atteint les seuils fixés par la loi et traite des informations personnelles de résidents californiens. Il n'est pas nécessaire d'avoir des bureaux ou du personnel en Californie pour que la loi s'applique.
Utiliser Google Analytics constitue-t-il une vente ou un partage au sens du CCPA ?
Cela dépend de la configuration et du cadre contractuel. Les données de mesure d'audience traitées uniquement pour votre compte dans le cadre d'un contrat de prestataire de services sont traitées différemment de celles utilisées pour la publicité comportementale intercontextuelle : examinez donc avec votre conseil juridique des paramètres comme les intégrations publicitaires.
Qui fait respecter le CCPA et le CPRA ?
Le procureur général de Californie (California Attorney General) et la California Privacy Protection Agency, créée par le CPRA, disposent tous deux de pouvoirs de contrôle et de sanction. L'agence publie aussi la réglementation qui précise les modalités opérationnelles, comme la manière de traiter les signaux de préférence d'opposition.
Sources
Équipe éditoriale Cookiesh
Ingénieurs vie privée et spécialistes de la conformité, nous rédigeons des guides pratiques sur le consentement, les cookies et la protection des données pour les équipes produit.
