Texas Data Privacy and Security Act : les règles cookies pour les visiteurs du Texas

Qu’est-ce que le Texas Data Privacy and Security Act ?

Le Texas Data Privacy and Security Act (TDPSA) a été adopté sous le nom de House Bill 4 en 2023 et a ajouté le chapitre 541 au Texas Business and Commerce Code. Il est entré en vigueur le 1er juillet 2024, à l’exception de la disposition sur les signaux d’opposition, la section 541.055(e), entrée en vigueur le 1er janvier 2025. Ses droits et obligations suivent le modèle de la Virginie, mais son champ est bien plus large, et le Texas a été le premier État dont le procureur général a engagé une action en justice au titre d’une loi générale sur la vie privée. Pour une vue d’ensemble, voir les lois des États américains sur la vie privée.

À qui s’applique le TDPSA ?

La section 541.002 applique la loi à toute personne qui :

• exerce une activité au Texas ou propose un produit ou un service consommé par des résidents du Texas,
• traite des données personnelles ou en vend, et
• n’est pas une petite entreprise au sens de la US Small Business Administration.

Il n’y a ni nombre minimal de consommateurs texans ni seuil de chiffre d’affaires. La définition de la SBA dépend du secteur et repose en général sur le chiffre d’affaires annuel ou sur le nombre de salariés, si bien qu’une entreprise de taille moyenne avec une audience texane modeste peut être couverte alors qu’elle resterait sous le seuil de 100 000 consommateurs en Virginie ou au Colorado. Même une petite entreprise exemptée ne peut pas vendre de données sensibles sans le consentement préalable du consommateur (section 541.107).

La loi exempte les agences de l’État et les collectivités, les institutions financières régies par le Gramm-Leach-Bliley Act, les entités régies par HIPAA, les organisations à but non lucratif et les établissements d’enseignement supérieur, ainsi que les données couvertes par des lois comme FCRA et FERPA, et les données liées à l’emploi.

Qu’exige le TDPSA pour les cookies et les traceurs ?

La loi régit l’usage des données personnelles, ce qui inclut les données pseudonymes comme les identifiants de cookies lorsqu’elles peuvent raisonnablement être reliées à une personne. Pour un site web, les points clés sont les suivants :

• Opposition à la publicité ciblée. La publicité ciblée consiste à afficher des publicités choisies sur la base de données personnelles obtenues à partir des activités d’un consommateur dans le temps et sur des sites ou applications non affiliés. Les cookies des réseaux publicitaires et les pixels de remarketing en relèvent.
• Opposition à la vente. Une vente est le partage, la communication ou le transfert de données personnelles contre une contrepartie monétaire ou une autre contrepartie de valeur, si bien que des données transmises à des partenaires ad tech contre un service ou une part de revenus peuvent compter.
• Opposition au profilage qui conduit à des décisions sur les services financiers ou de prêt, le logement, l’assurance, les soins de santé, l’éducation, l’emploi, la justice pénale ou l’accès aux biens de première nécessité.
• Le consentement pour les données sensibles : données révélant l’origine raciale ou ethnique, les croyances religieuses, la santé mentale ou physique, la sexualité, la nationalité ou le statut migratoire, données génétiques ou biométriques servant à identifier une personne, données personnelles d’un enfant connu de moins de 13 ans, et données de géolocalisation précise. Le consentement doit être libre, éclairé et univoque, et n’inclut ni l’acceptation de conditions générales, ni le fait de survoler, mettre en pause ou fermer un contenu, ni un accord obtenu par des dark patterns.

L’avis de confidentialité. Il doit lister les catégories de données personnelles traitées, y compris les données sensibles, les finalités, les catégories partagées avec des tiers et les catégories de ces tiers, ainsi que la manière d’exercer ses droits et de faire appel. Un responsable de traitement qui vend des données personnelles ou les utilise pour de la publicité ciblée doit l’indiquer de façon claire et visible, ainsi que la manière de s’y opposer. Le Texas impose aussi deux mentions mot pour mot : un responsable de traitement qui vend des données personnelles sensibles doit afficher « NOTICE: We may sell your sensitive personal data. » (avis : nous pouvons vendre vos données personnelles sensibles), et celui qui vend des données biométriques « NOTICE: We may sell your biometric personal data. » (avis : nous pouvons vendre vos données personnelles biométriques).

Demandes. Les responsables de traitement doivent proposer au moins deux moyens de soumettre une demande ; une entreprise qui exerce uniquement en ligne et a une relation directe avec le consommateur peut se contenter d’une adresse e-mail. Les réponses sont dues sous 45 jours, délai prolongeable une fois de 45 jours. Des analyses d’impact sont exigées pour la publicité ciblée, les ventes, certains profilages et les données sensibles.

Dois-je respecter Global Privacy Control au Texas ?

Oui, dans la plupart des cas. Le Texas formule la règle comme une disposition sur les mandataires autorisés : depuis le 1er janvier 2025, un consommateur peut désigner un mandataire pour s’opposer à la publicité ciblée et aux ventes au moyen d’une technologie comme un lien vers un site, un réglage ou une extension du navigateur, ou un réglage global d’un appareil. La technologie doit exiger un choix positif et libre plutôt qu’un réglage par défaut. Un responsable de traitement doit donner suite à une telle demande, sauf si elle n’est pas claire et univoque, s’il ne peut pas vérifier par un effort commercialement raisonnable que le consommateur vit au Texas, s’il ne peut pas la traiter, ou s’il ne traite pas les demandes similaires qu’il reçoit au titre des lois d’autres États. Une entreprise qui respecte déjà GPC pour les visiteurs du Colorado, du Connecticut ou de Californie ne peut donc pas invoquer la dernière exception. Le guide Global Privacy Control montre comment lire le signal.

Contrôles et sanctions

Le procureur général a une compétence exclusive. Avant d’agir en justice, ses services doivent adresser une notification écrite qui identifie les infractions ; l’entreprise a 30 jours pour y remédier et doit envoyer une déclaration écrite attestant qu’elle a corrigé l’infraction, informé le consommateur lorsque c’était possible, documenté la correction et modifié ses règles internes si nécessaire. Ce délai de régularisation n’a pas de date d’expiration. Une entreprise qui ne régularise pas, ou manque à sa déclaration, s’expose à des sanctions civiles jusqu’à 7 500 $ par infraction, à des injonctions, et au remboursement des honoraires d’avocat et des frais de l’État. Il n’y a pas de droit d’action privé.

Le 13 janvier 2025, le procureur général a poursuivi Allstate et sa filiale Arity, en alléguant qu’un logiciel intégré secrètement dans des applications mobiles comme Life360 avait collecté les données de localisation et de déplacement de Texans, partie d’une base couvrant plus de 45 millions de consommateurs dans tout le pays, et que les sociétés les avaient vendues à des assureurs sans l’information et le consentement que le TDPSA exige pour la géolocalisation précise, qui est une donnée sensible. Ses services l’ont présentée comme la première action engagée par le procureur général d’un État au titre d’une loi générale sur la protection des données.

Comment Cookiequiet gère le Texas

Comme le Texas n’a pas de seuil de visiteurs, de nombreux sites qui ont des clients texans sont couverts. Avec le ciblage géographique, gratuit dans chaque offre, Cookiequiet peut montrer aux visiteurs du Texas un avis d’opposition avec un lien « Do not sell or share my personal information » (ne pas vendre ni partager mes informations personnelles), tandis que les visiteurs de l’EEE ou du Royaume-Uni voient le bandeau de consentement préalable, et il respecte Global Privacy Control comme une opposition. Lancez le scanner de cookies gratuit pour voir quelles balises publicitaires seraient concernées. Les modèles de politique n’ajoutent pas la mention texane sur les données sensibles : ajoutez-la vous-même si vous vendez ce type de données.