CCPA et CPRA : les règles cookies pour les visiteurs californiens

Que sont le CCPA et le CPRA ?

Le California Consumer Privacy Act (Code civil, section 1798.100 et suivantes) a été adopté en 2018 et s’applique depuis le 1er janvier 2020. Le California Privacy Rights Act, approuvé par les électeurs sous le nom de Proposition 24 en novembre 2020, l’a modifié avec effet au 1er janvier 2023 : il a ajouté la notion de partage à des fins publicitaires, le droit de limiter les données sensibles, et créé la California Privacy Protection Agency, premier régulateur dédié à la vie privée aux États-Unis. Le règlement de l’Agence est entré en vigueur le 29 mars 2023, et une version mise à jour, qui impose notamment d’afficher si un signal d’opposition a été pris en compte, s’applique depuis le 1er janvier 2026.

À qui s’applique-t-il ?

La loi vise les entreprises à but lucratif qui exercent une activité en Californie et franchissent l’un de trois seuils, ajustés pour l’inflation tous les deux ans : un chiffre d’affaires annuel brut supérieur à 26 625 000 $ (le chiffre depuis le 1er janvier 2025), l’achat, la vente ou le partage des informations personnelles de 100 000 consommateurs ou foyers ou plus par an, ou 50 % ou plus du chiffre d’affaires annuel tiré de la vente ou du partage d’informations personnelles. Exercer une activité en Californie n’exige pas d’y avoir un bureau ; une boutique en ligne ou un éditeur avec des clients californiens est concerné dès qu’il franchit un seuil. Les prestataires de services et les contractants qui traitent des données pour une entreprise ont leurs propres obligations, plus légères.

Qu’exige-t-il pour les cookies et les traceurs ?

Les notions clés sont la vente et le partage. Le partage désigne la communication d’informations personnelles à des fins de publicité comportementale intercontextuelle, qu’il y ait ou non un paiement. Un pixel Meta, une balise de remarketing Google Ads ou un cookie de réseau publicitaire qui construit des profils entre sites relèvent du partage. Les identifiants de cookies, les adresses IP et les identifiants d’appareil sont des informations personnelles au sens de la loi.

Plutôt qu’un consentement préalable, la loi donne aux consommateurs des droits que le site doit prendre en charge :

• Droit de s’opposer à la vente ou au partage (section 1798.120). L’entreprise doit cesser de vendre ou de partager sous 15 jours ouvrés et ne doit pas exiger la création d’un compte pour s’opposer.
• Le lien (section 1798.135). Un lien clair et visible « Do Not Sell or Share My Personal Information » sur la page d’accueil, et un lien « Limit the Use of My Sensitive Personal Information » (limiter l’utilisation de mes informations personnelles sensibles) le cas échéant, ou un lien unique « Your Privacy Choices » (vos choix de confidentialité) qui mène aux deux. Une entreprise qui respecte les signaux de préférence d’opposition sans friction peut s’en contenter au lieu d’afficher les liens.
• Signaux de préférence d’opposition (règlement, section 7025). Un signal du navigateur comme Global Privacy Control doit être traité comme une demande valable d’opposition à la vente et au partage, pour le navigateur et, quand le consommateur est connu, pour le compte. Depuis le 1er janvier 2026, l’entreprise doit afficher si elle a traité le signal.
• Mineurs. Vendre ou partager les informations personnelles d’un consommateur de moins de 16 ans exige un consentement préalable.
• Symétrie et absence de dark patterns (règlement, section 7004). S’opposer ne doit pas demander plus d’étapes qu’accepter, les choix doivent être présentés de façon équilibrée, et un consentement obtenu par une interface trompeuse n’est pas un consentement.
• Avis au moment de la collecte et politique de confidentialité, listant les catégories collectées, les finalités, et si elles sont vendues ou partagées.

La mesure d’audience seule n’est pas un partage si le prestataire agit comme prestataire de services sous un contrat conforme et n’utilise pas les données pour ses propres fins. L’usage publicitaire des mêmes données en est un.

Que doit faire un bandeau ou un avis conforme ?

Pour un visiteur californien, le bon schéma est un avis d’opposition, pas un bandeau de consentement à l’européenne : un court avis indiquant que le site partage des données à des fins publicitaires, un lien « Do Not Sell or Share My Personal Information » qui ouvre le centre de préférences, et des balises qui cessent de partager dès que le visiteur s’oppose ou envoie un signal GPC. Si vous servez à la fois des visiteurs européens et américains, le ciblage géographique permet de montrer à chaque public la bonne expérience. Afficher un bandeau de consentement européen aux Californiens est permis, mais il ne remplace ni le lien d’opposition, ni la prise en compte du GPC, ni la formulation de la politique de confidentialité.

Contrôles et sanctions

Le procureur général et la CPPA peuvent tous deux agir, et le délai de régularisation de 30 jours a disparu le 1er janvier 2023. Les sanctions sont de 2 663 $ par infraction et de 7 988 $ par infraction intentionnelle ou impliquant un consommateur que l’entreprise sait âgé de moins de 16 ans, montants ajustés le 1er janvier 2025 ; chaque consommateur concerné peut compter comme une infraction distincte.

Les cookies et les oppositions ont été le thème principal des contrôles jusqu’ici :

En septembre 2025, la CPPA et les procureurs généraux de Californie, du Colorado et du Connecticut ont annoncé une opération conjointe visant les entreprises qui ne respectent pas les signaux de préférence d’opposition. Les autres États suivent la même logique ; voir les lois des États américains sur la vie privée.

Comment Cookiequiet gère le CCPA

Pour les visiteurs de Californie (et des autres États américains dotés d’une loi sur la vie privée), Cookiequiet peut afficher un avis d’opposition à la place du bandeau de consentement, avec un lien « Do Not Sell or Share My Personal Information » qui ouvre le centre de préférences, et il respecte automatiquement Global Privacy Control comme une opposition. Les balises marketing retenues par le système de catégories s’arrêtent quand le visiteur s’oppose, et les signaux Google Consent Mode v2 sont mis à jour pour que Google Ads cesse la personnalisation. Chaque opposition est inscrite dans le registre des consentements avec sa date et la version du bandeau : c’est la trace dont vous avez besoin si le procureur général demande comment vous avez traité une demande. Le générateur de politique de confidentialité inclut les sections CCPA/CPRA (catégories, finalités, droits et manière de les exercer) sous forme de modèle ; ce n’est pas un conseil juridique, et les seuils ci-dessus décident si la loi s’applique à vous. Voir aussi le lien Do Not Sell expliqué.