Lois des États américains sur la vie privée : les règles cookies hors Californie

Quels États ont une loi sur la vie privée ?

Depuis que la Californie a adopté le CCPA en 2018, dix-huit autres États ont adopté des lois générales sur la protection des données des consommateurs, toutes en vigueur au 1er janvier 2026 : Virginie (1er janvier 2023), Colorado et Connecticut (1er juillet 2023), Utah (31 décembre 2023), Texas et Oregon (1er juillet 2024), Montana (1er octobre 2024), Delaware, Iowa, Nebraska et New Hampshire (1er janvier 2025), New Jersey (15 janvier 2025), Tennessee (1er juillet 2025), Minnesota (31 juillet 2025), Maryland (1er octobre 2025), et Indiana, Kentucky et Rhode Island (1er janvier 2026). La Floride a une loi plus étroite visant les très grandes plateformes. D’autres États ont des projets en cours, et plusieurs lois existantes ont été modifiées pour abaisser les seuils ou ajouter des protections pour les enfants.

Ces lois suivent le modèle de la Virginie plutôt que celui de la Californie : elles se ressemblent plus qu’elles ne diffèrent. Cette page décrit le modèle commun et signale les principales variantes ; pour la Californie, qui fait exception, voir la page CCPA/CPRA.

À qui s’appliquent-elles ?

Chaque loi s’applique aux entreprises qui exercent une activité dans l’État ou ciblent ses résidents et atteignent un seuil. Les tests habituels sont le contrôle ou le traitement des données personnelles de 100 000 résidents ou plus par an, ou de 25 000 résidents ou plus tout en tirant une part de revenus (souvent de 25 % à 50 %) de la vente de données personnelles. Certains États fixent des chiffres plus bas : le Connecticut est passé à 35 000 consommateurs, le Delaware et le New Hampshire retiennent 35 000, le Montana 50 000 et le Maryland 35 000. Le Texas et le Nebraska adoptent une autre approche et couvrent toute entreprise qui n’est pas une petite entreprise au sens de la définition de la US Small Business Administration, avec une règle précise selon laquelle même les petites entreprises ont besoin d’un consentement avant de vendre des données sensibles. La plupart des lois exemptent les organisations à but non lucratif, l’enseignement supérieur et les données couvertes par des lois fédérales comme HIPAA et GLBA, l’Oregon, le Delaware, le New Jersey, le Minnesota et le Maryland atteignant certaines organisations à but non lucratif.

Qu’exigent-elles pour les cookies et les traceurs ?

Ces lois régissent l’usage des données, pas le cookie lui-même. Trois notions commandent les obligations :

• Publicité ciblée : afficher des publicités choisies sur la base de données personnelles obtenues à partir de l’activité du consommateur sur des sites ou applications non affiliés. Les pixels publicitaires et les cookies des réseaux publicitaires font exactement cela. Les consommateurs ont le droit de s’y opposer.
• Vente de données personnelles : échange contre de l’argent (Virginie, Iowa, Indiana, Tennessee, Utah, Kentucky) ou contre de l’argent ou une autre contrepartie de valeur (Colorado, Connecticut, Texas, Oregon et la plupart des lois récentes, qui attrapent les données partagées avec des partenaires ad tech sans paiement). Les consommateurs peuvent s’y opposer.
• Données sensibles : santé, origine, religion, orientation sexuelle, géolocalisation précise, données des enfants et catégories similaires. Leur traitement exige un consentement préalable, et le Maryland interdit tout bonnement de les vendre.

La mesure d’audience pour l’usage propre du site est en général permise sans consentement, avec une information dans la politique de confidentialité. Le profilage en vue de décisions produisant des effets juridiques ou d’importance similaire ouvre un droit d’opposition dans la plupart des États, et des analyses d’impact sont exigées pour la publicité ciblée et les ventes.

Signaux universels d’opposition. La grande différence pratique entre États est l’obligation ou non de respecter un signal de navigateur ou d’extension, comme Global Privacy Control, comme une demande d’opposition. La Californie, le Colorado (depuis le 1er juillet 2024), le Connecticut (depuis le 1er janvier 2025), le Texas, le Montana, le Delaware, le New Jersey, le New Hampshire, le Nebraska, le Minnesota, le Maryland et l’Oregon (depuis le 1er janvier 2026) l’imposent ; le procureur général du Colorado tient une liste publique des mécanismes reconnus, avec Global Privacy Control comme seule entrée à ce jour. La Virginie, l’Utah, l’Iowa, le Tennessee, l’Indiana, le Kentucky et le Rhode Island ne l’imposent pas. Comme un signal est global, la plupart des entreprises le respectent partout.

Dark patterns. Le Colorado, le Connecticut et la plupart des lois récentes précisent qu’un consentement obtenu par une interface trompeuse n’est pas un consentement, et les règles du Colorado détaillent des standards de conception pour les choix.

Enfants et adolescents. Plusieurs lois exigent un consentement préalable pour la publicité ciblée ou les ventes impliquant des consommateurs de 13 à 15 ans (Connecticut, Delaware, New Jersey, Oregon, Maryland entre autres), et le Maryland interdit la publicité ciblée envers toute personne de moins de 18 ans que l’entreprise connaît ou devrait connaître.

Que doit faire un avis conforme ?

• Un avis de confidentialité qui liste les catégories de données, les finalités, les catégories de tiers, si les données sont vendues ou utilisées pour la publicité ciblée, et comment exercer ses droits.
• Un moyen clair et visible de s’opposer à la publicité ciblée et aux ventes, souvent un lien « Your Privacy Choices » (vos choix de confidentialité) ou « Do Not Sell or Share My Personal Information » (ne pas vendre ni partager mes informations personnelles), l’opposition prenant effet sous 15 à 45 jours selon l’État.
• La reconnaissance de Global Privacy Control là où elle est exigée, appliquée au navigateur et, si le visiteur est connecté, au compte.
• Un consentement préalable avant de traiter des données sensibles ou des données d’enfants connus.
• Une procédure d’appel pour les demandes refusées, et une procédure de mandataire autorisé dans la plupart des États.

Un bandeau de consentement aux cookies à l’européenne n’est pas exigé et ne remplace pas l’avis, mais un bandeau configuré en opposition peut porter le lien et répondre au signal.

Contrôles et sanctions

Les procureurs généraux font appliquer ces lois, avec des sanctions civiles en général jusqu’à 7 500 $ par infraction (Virginie, Texas, Oregon, Montana et la plupart des autres), 5 000 $ par infraction intentionnelle au Connecticut, 20 000 $ par infraction au Colorado, et des délais de régularisation expirés dans la plupart des États (celui du Connecticut le 1er janvier 2025, celui de l’Oregon le 1er janvier 2026). Il n’y a pas de droit d’action privé.

Les contrôles sont arrivés en 2025. Le 13 janvier 2025, le procureur général du Texas a poursuivi Allstate et sa filiale Arity au titre du Texas Data Privacy and Security Act, en alléguant qu’un logiciel de suivi intégré dans des applications mobiles avait collecté les données de localisation et de conduite de plus de 45 millions d’Américains sans information ni consentement, première action en justice d’un procureur général d’État au titre d’une loi générale sur la vie privée. Le 8 juillet 2025, le procureur général du Connecticut a annoncé un accord de 85 000 $ avec TicketNetwork, dont l’avis de confidentialité était illisible, omettait des droits et dont les mécanismes d’opposition étaient défaillants, première sanction au titre du Connecticut Data Privacy Act. En septembre 2025, la Californie, le Colorado et le Connecticut ont annoncé une opération conjointe visant les entreprises qui ne respectent pas les signaux de préférence d’opposition. Attendez-vous à des constats au niveau des cookies : la première vague de courriers visait les traceurs publicitaires qui continuent de se déclencher après qu’un visiteur s’est opposé ou a envoyé un signal GPC.

Comment Cookiequiet gère les lois des États américains

Pour les visiteurs des États américains dotés d’une loi sur la vie privée (Californie, Virginie, Colorado, Connecticut, Utah, Texas, Oregon, Montana et les autres), Cookiequiet peut afficher un avis d’opposition à la place du bandeau de consentement, avec un lien « Do Not Sell or Share My Personal Information » qui ouvre le centre de préférences, et il respecte automatiquement Global Privacy Control comme une opposition. Les balises marketing retenues par le système de catégories s’arrêtent quand le visiteur s’oppose, Google Consent Mode v2 désactive la personnalisation des annonces, et chaque opposition est inscrite dans le registre des consentements avec sa date et la version du bandeau, pour que vous puissiez montrer comment une demande a été traitée. Ailleurs aux États-Unis, vous pouvez n’afficher rien, le même avis, ou le bandeau complet. Les politiques de Cookiequiet sont des modèles rédigés pour le CCPA/CPRA plutôt que pour chaque loi d’État : vérifiez les mentions propres à chaque État, comme l’avis sur les données sensibles exigé au Texas, avec votre conseiller. Voir aussi le lien Do Not Sell expliqué.