Connecticut Data Privacy Act : les règles cookies pour les visiteurs du Connecticut

Qu’est-ce que le Connecticut Data Privacy Act ?

Le Connecticut Data Privacy Act (CTDPA), Senate Bill 6 de 2022, a été signé le 10 mai 2022 et est entré en vigueur le 1er juillet 2023. Il suit le modèle de la Virginie, avec des responsables de traitement, des sous-traitants, des droits des consommateurs et des analyses d’impact, mais ajoute des règles de consentement plus strictes, une interdiction des dark patterns et l’obligation de respecter les signaux d’opposition du navigateur. Le Connecticut l’a modifié presque chaque année : le Public Act 23-56 a ajouté des protections pour les mineurs à partir du 1er octobre 2024, et des règles sur les données de santé des consommateurs ont suivi en 2023. Le Public Act 25-113 (Senate Bill 1295), signé le 24 juin 2025, a réécrit le champ d’application et plusieurs droits à partir du 1er juillet 2026. Pour la comparaison du Connecticut avec les autres États, voir les lois des États américains sur la vie privée.

À qui s’applique le CTDPA ?

Jusqu’au 30 juin 2026, la loi couvrait les entreprises qui exercent une activité au Connecticut ou ciblent ses résidents et qui, au cours de l’année civile précédente, ont traité les données personnelles d’au moins 100 000 consommateurs (hors données traitées uniquement pour réaliser un paiement), ou d’au moins 25 000 consommateurs en tirant plus de 25 % de leur chiffre d’affaires brut de la vente de données personnelles.

Depuis le 1er juillet 2026, la loi s’applique à toute entreprise de ce type qui :

• traite les données personnelles d’au moins 35 000 consommateurs, hors données servant uniquement au paiement, ou
• contrôle ou traite des données sensibles de n’importe quel consommateur, hors données servant uniquement au paiement, ou
• propose à la vente des données personnelles de consommateurs dans le cadre d’une activité commerciale.

Le procureur général relève que l’extension de la loi à toute entreprise qui vend des données personnelles ou traite des données sensibles, sans seuil de volume, est propre au Connecticut. Un site qui partage les données de ses visiteurs avec des réseaux publicitaires contre une contrepartie peut donc être couvert même avec une petite audience au Connecticut. Les responsables de traitement de données de santé des consommateurs sont couverts quelle que soit leur taille. Les organisations à but non lucratif, l’enseignement supérieur, les entités couvertes par HIPAA, les assureurs, les banques et les coopératives de crédit sont exemptés, même si les règles sur les données de santé des consommateurs s’appliquent aux organisations à but non lucratif.

Qu’exige le CTDPA pour les cookies et les traceurs ?

La loi donne aux résidents du Connecticut le droit de s’opposer à trois choses : la publicité ciblée, la vente de données personnelles (un échange contre de l’argent ou une autre contrepartie de valeur), et le profilage en vue de décisions produisant des effets juridiques ou d’importance similaire. Les cookies publicitaires, les pixels de remarketing et les balises des réseaux publicitaires relèvent de la publicité ciblée, et transmettre des données à des partenaires ad tech contre une contrepartie peut constituer une vente.

Un responsable de traitement qui vend des données personnelles ou les utilise pour de la publicité ciblée doit l’indiquer de façon claire et visible, ainsi que la manière de s’y opposer, et doit fournir sur son site un lien clair et visible vers une page où le consommateur, ou un mandataire, peut s’opposer. Le rapport de contrôle 2025 du procureur général se demande si un lien enfoui dans le pied de page d’une longue page respecte cette exigence, et recommande une information bien visible et un mécanisme d’opposition évident.

Bandeaux cookies. Le même rapport indique que ses services ont mené plusieurs vérifications de bandeaux cookies qui rendent l’opposition plus difficile que l’acceptation. Sa position est nette : une entreprise dont le bandeau propose d’accepter tous les cookies devrait aussi proposer une option symétrique pour refuser tous les cookies, et les boutons des cookies publicitaires ou de vente devraient être désactivés par défaut, à titre de bonne pratique. Au sens de la loi, le consentement exclut l’acceptation de conditions générales, le fait de survoler, couper le son, mettre en pause ou fermer un contenu, et un accord obtenu par des dark patterns.

Les données sensibles exigent un consentement. Les données sensibles comprennent les données révélant l’origine raciale ou ethnique, les croyances religieuses, l’état de santé mentale ou physique, un handicap ou un traitement, l’activité ou l’orientation sexuelle, le statut non binaire ou transgenre, la nationalité ou le statut migratoire, les données de santé des consommateurs, les données génétiques et biométriques, les données neuronales, certains identifiants de comptes financiers et identifiants officiels, les données d’un enfant connu de moins de 13 ans et les données de géolocalisation précise. Depuis le 1er juillet 2026, un responsable de traitement ne peut pas non plus vendre de données sensibles sans consentement, et le procureur général indique que les données de géolocalisation précise ne peuvent pas être vendues.

Mineurs. Depuis le 1er octobre 2024, les responsables de traitement qui proposent des services en ligne à des mineurs de moins de 18 ans ont un devoir de vigilance et des obligations de consentement. À partir du 1er juillet 2026, le Public Act 25-113 supprime l’option du consentement : traiter les données personnelles d’un mineur connu à des fins de publicité ciblée ou de vente est interdit.

Dois-je respecter Global Privacy Control au Connecticut ?

Oui. Depuis le 1er janvier 2025, la section 42-520 impose aux responsables de traitement de permettre aux consommateurs de s’opposer à la publicité ciblée et aux ventes au moyen d’un signal de préférence d’opposition envoyé, avec le consentement du consommateur, par une plateforme ou un mécanisme. Le mécanisme ne doit pas être un réglage par défaut, doit être simple à utiliser et doit permettre au responsable de traitement de déterminer que le consommateur réside au Connecticut. Si le signal contredit un choix antérieur ou un programme de fidélité, le responsable de traitement doit suivre le signal et peut demander au consommateur de confirmer.

Le rapport 2025 du procureur général ajoute qu’un signal GPC devrait déclencher une opposition pour toutes les données personnelles, pas seulement celles collectées par des cookies ou des SDK, et s’appliquer à chaque appareil sur lequel un consommateur connecté utilise son compte. En 2025, le Connecticut, la Californie et le Colorado ont mené une opération conjointe visant les entreprises qui ne traitaient pas les signaux GPC. Le guide Global Privacy Control explique comment un site peut le détecter.

Contrôles et sanctions

Le procureur général a une compétence exclusive, et une infraction est une pratique commerciale déloyale au sens du Connecticut Unfair Trade Practices Act. Du 1er juillet 2023 au 31 décembre 2024, ses services devaient adresser une notification d’infraction et laisser 60 jours pour régulariser lorsque c’était possible. Depuis le 1er janvier 2025, la possibilité de régulariser est laissée à l’appréciation du procureur général, qui tient compte de facteurs comme le nombre d’infractions, la taille de l’entreprise et la sensibilité des données. Les sanctions civiles vont jusqu’à 5 000 $ par infraction, et le procureur général peut aussi demander des injonctions, la restitution et la restitution des profits. Il n’y a pas de droit d’action privé.

Le premier accord transactionnel conclu au titre de la loi l’a été avec TicketNetwork, annoncé le 8 juillet 2025. Les services du procureur général avaient adressé une notification de régularisation en novembre 2023 parce que l’avis de confidentialité de la société était illisible, omettait des droits essentiels et contenait des mécanismes d’exercice des droits défaillants ; TicketNetwork ne les a corrigés qu’en décembre 2024. Elle a payé 85 000 $ et s’est engagée à faire réviser son avis chaque année. Les services du procureur général font état de cinq vérifications d’avis de confidentialité, de plusieurs vérifications de bandeaux cookies et d’enquêtes en cours sur les véhicules connectés, les données de géolocalisation, les applications de santé grand public et les courtiers en données.

Comment Cookiequiet gère le Connecticut

Le bandeau Cookiequiet affiche « Tout accepter » et « Tout refuser » avec la même taille et le même poids, et les catégories facultatives restent désactivées jusqu’à ce que le visiteur les active, ce qui correspond à ce que le procureur général du Connecticut attend des bandeaux cookies. Pour les visiteurs du Connecticut, vous pouvez à la place utiliser le ciblage géographique, gratuit dans chaque offre, pour afficher un avis d’opposition avec un lien « Do not sell or share my personal information » (ne pas vendre ni partager mes informations personnelles), et Global Privacy Control est respecté comme une opposition. Voir les tarifs. Les modèles de politique sont rédigés pour le CCPA/CPRA : vérifiez les mentions propres au Connecticut, y compris la nouvelle mention sur l’entraînement de grands modèles de langage, avec votre conseiller.