Colorado Privacy Act : les règles cookies pour les visiteurs du Colorado

Qu’est-ce que le Colorado Privacy Act ?

Le Colorado Privacy Act (CPA) a été adopté par le Senate Bill 21-190, signé le 7 juillet 2021, et est entré en vigueur le 1er juillet 2023. Il fait partie du Consumer Protection Act du Colorado et, contrairement à la loi de Virginie, il a donné au procureur général le pouvoir d’adopter un règlement. Les CPA Rules (4 CCR 904-3), déposées le 15 mars 2023, sont le règlement sur la vie privée le plus détaillé d’un État après celui de la Californie : elles fixent des standards pour les avis de confidentialité, le consentement, les dark patterns et les mécanismes universels d’opposition.

La loi a été modifiée plusieurs fois depuis. Le Senate Bill 24-041 a ajouté des protections pour les mineurs à partir du 1er octobre 2025, le House Bill 24-1058 a ajouté les données biologiques et neuronales aux données sensibles, et le Senate Bill 25-276, signé le 23 mai 2025, a ajouté les données de géolocalisation précise aux données sensibles et interdit de vendre des données sensibles sans consentement. Pour la comparaison du Colorado avec les autres États, voir les lois des États américains sur la vie privée.

À qui s’applique le Colorado Privacy Act ?

La loi s’applique aux entités qui exercent une activité au Colorado ou proposent des produits ou services commerciaux destinés aux résidents du Colorado et qui, au cours d’une année civile :

• contrôlent ou traitent les données personnelles de 100 000 consommateurs du Colorado ou plus, ou
• tirent des revenus ou bénéficient d’une remise sur des biens ou des services grâce à la vente de données personnelles et traitent les données personnelles de 25 000 consommateurs ou plus.

Le procureur général confirme que les 100 000 s’entendent de résidents du Colorado, pas de visiteurs de tous les États. Il n’y a pas de seuil de chiffre d’affaires, et les organisations à but non lucratif sont couvertes, ce qui distingue le Colorado de la Virginie et du Texas. Les institutions financières soumises au Gramm-Leach-Bliley Act sont exemptées, de même que les données couvertes par HIPAA et le Fair Credit Reporting Act. Les données des salariés et des candidats à l’emploi sont hors du champ de la loi. Les protections des mineurs ajoutées par le Senate Bill 24-041 s’appliquent à tout responsable de traitement qui exerce une activité au Colorado, quel que soit le volume.

Qu’exige la loi pour les cookies et les traceurs ?

Le CPA régit les finalités du traitement plutôt que le cookie. Les identifiants de cookies, les adresses IP et les identifiants d’appareil qui peuvent raisonnablement être reliés à une personne sont des données personnelles. Les obligations qui comptent pour un site web sont les suivantes :

• Opposition à la publicité ciblée et à la vente. La publicité ciblée désigne des publicités choisies à partir de données personnelles obtenues sur l’activité d’un consommateur dans le temps et sur des sites ou applications non affiliés, ce qui couvre les pixels de remarketing et les cookies des réseaux publicitaires. La vente désigne un échange contre de l’argent ou une autre contrepartie de valeur, si bien que transmettre des données à un partenaire ad tech en échange d’un service peut compter. Les consommateurs peuvent aussi s’opposer au profilage en vue de décisions produisant des effets juridiques ou d’importance similaire.
• Un moyen d’opposition clair et visible, disponible dans l’avis de confidentialité et dans un emplacement facilement accessible en dehors de celui-ci.
• Le consentement pour les données sensibles : données révélant l’origine raciale ou ethnique, les croyances religieuses, l’état de santé ou un diagnostic, la vie sexuelle ou l’orientation sexuelle, la nationalité ou le statut de citoyenneté, données génétiques ou biométriques, données biologiques et neuronales, données personnelles d’un enfant connu de moins de 13 ans et, depuis 2025, données de géolocalisation précise.
• Le consentement pour les mineurs. Depuis le 1er octobre 2025, un responsable de traitement qui sait ou ignore délibérément qu’un consommateur est mineur doit obtenir son consentement (celui d’un parent pour un enfant de moins de 13 ans) avant de traiter ses données à des fins de publicité ciblée, de vente ou de profilage significatif.

Au sens du CPA, le consentement doit être un acte positif clair, libre, spécifique, éclairé et univoque. Les lignes directrices du procureur général précisent ce qui ne compte pas : l’acceptation de conditions d’utilisation générales, le fait de survoler un contenu, de le mettre en pause ou d’interagir autrement avec lui, et un accord obtenu par une interface trompeuse. Le règlement ajoute des standards de conception pour les demandes de consentement, si bien qu’un choix qui pousse vers le oui n’est pas un consentement valable.

La mesure d’audience pour l’usage propre du site n’est ni de la publicité ciblée ni une vente, et n’exige qu’une description dans l’avis de confidentialité.

Dois-je respecter Global Privacy Control au Colorado ?

Oui. La section 6-1-1306(1)(a)(IV) impose aux responsables de traitement, depuis le 1er juillet 2024, de permettre aux consommateurs de s’opposer à la vente de données personnelles et à la publicité ciblée au moyen d’un mécanisme universel d’opposition. La règle 5.07 imposait au procureur général de publier une liste des mécanismes reconnus ; après un appel à candidatures d’octobre à novembre 2023 et une consultation publique jusqu’en décembre 2023, le Department of Law a reconnu Global Privacy Control, qui reste le seul mécanisme de la liste. L’avis de confidentialité doit aussi expliquer comment sont traitées les demandes d’opposition envoyées par des mécanismes universels (règle 6.03).

En pratique, quand un navigateur envoie le signal GPC, un site assujetti doit arrêter les balises publicitaires et les ventes de données pour ce navigateur, et pour le compte si le visiteur est connecté. Le 9 septembre 2025, le Colorado, la Californie et le Connecticut ont annoncé une opération d’enquête conjointe visant les entreprises qui ignorent GPC. Le guide Global Privacy Control explique comment détecter et appliquer le signal.

Que doit faire un avis conforme pour les visiteurs du Colorado ?

• Un avis de confidentialité indiquant les catégories de données, les finalités, les tiers, les droits et la procédure d’appel, une mention claire de toute vente ou publicité ciblée, et la manière dont les signaux universels d’opposition sont traités.
• Un lien ou une commande visible pour s’opposer à la publicité ciblée et à la vente, en dehors de l’avis de confidentialité.
• La détection de Global Privacy Control, appliquée sans demander de confirmation au visiteur.
• Un consentement préalable, sans dark patterns, avant d’utiliser des données sensibles ou des données de mineurs connus à ces fins.
• Une réponse aux demandes d’exercice des droits sous 45 jours, délai prolongeable de 45 jours.

Contrôles et sanctions

Le procureur général et les procureurs de district ont une compétence exclusive pour faire appliquer la loi ; il n’y a pas de droit d’action privé. Jusqu’au 1er janvier 2025, ils devaient adresser une notification et laisser 60 jours pour régulariser une infraction qui pouvait l’être. Ce délai de régularisation a pris fin pour le cœur de la loi, même si une notification préalable s’applique encore aux dispositions sur les mineurs pendant une période transitoire. Une infraction est une pratique commerciale trompeuse, si bien que les sanctions découlent de la section 6-1-112 du Consumer Protection Act : jusqu’à 20 000 $ par infraction, ou 50 000 $ lorsque l’infraction est commise envers une personne âgée, chaque consommateur ou transaction comptant comme une infraction distincte.

Le 12 juillet 2023, le procureur général a annoncé le début des contrôles et a commencé à envoyer des courriers aux entreprises sur leurs obligations. Nous n’avons trouvé aucune amende ni aucun accord transactionnel annoncé au titre du seul CPA en octobre 2026 ; l’activité visible s’est limitée aux courriers, à la liste des mécanismes universels d’opposition et à l’opération conjointe sur GPC de septembre 2025.

Comment Cookiequiet gère le Colorado

Cookiequiet respecte Global Privacy Control comme une opposition dans chaque offre, ce que le Colorado demande aux entreprises assujetties. Avec le ciblage géographique, inclus gratuitement, les visiteurs du Colorado peuvent voir un avis d’opposition avec un lien « Do not sell or share my personal information » (ne pas vendre ni partager mes informations personnelles) tandis que les visiteurs de l’UE et du Royaume-Uni voient le bandeau de consentement préalable, et les balises marketing retenues par le système de catégories s’arrêtent quand un visiteur s’oppose. Vous pouvez vérifier quelles balises publicitaires votre site charge avec le scanner de cookies gratuit. Les modèles de politique sont rédigés pour le CCPA/CPRA : revoyez les mentions propres au Colorado avec votre conseiller.