Bannière cookies CCPA : guide de conformité 2026

By Passiro Team 2026-07-24

Le CCPA et le CPRA n'exigent pas de bannière cookies opt-in à la manière du GDPR, mais ils imposent trois obligations concrètes que tout site web concerné doit respecter : un avis de collecte (Notice at Collection) affiché au moment ou avant la collecte des données, un lien visible « Do Not Sell or Share My Personal Information » sur la page d'accueil et dans le pied de page, ainsi qu'une gestion efficace des opt-out incluant la prise en compte des signaux Global Privacy Control (GPC). Manquer à l'une de ces obligations constitue un risque d'application au regard de la position actuelle de la California Privacy Protection Agency (CPPA).

Trois actions à mener dès cette semaine pour réduire immédiatement ce risque :

Ajoutez un lien « Do Not Sell or Share My Personal Information » dans le pied de page et sur la page d'accueil de votre site, renvoyant vers un formulaire d'opt-out interactif.
Mettez à jour votre bannière cookies pour afficher une option « Refuser tout » sur le premier niveau, avec la même visibilité que « Tout accepter ».
Configurez votre plateforme de gestion du consentement pour détecter et respecter les signaux GPC comme des demandes d'opt-out valides pour l'appareil ou le navigateur qui les émet.

Le CPPA Enforcement Advisory No. 2024-02 et les réglementations CCPA du 15 mars sont les deux principales sources encadrant ces exigences. Toutes deux sont citées tout au long de ce guide.

Sommaire

À quelles entreprises les règles cookies du CCPA/CPRA s'appliquent-elles ?
Que le CCPA/CPRA exige-t-il réellement pour les cookies et les avis ?
À quoi votre bannière cookies doit-elle ressembler et comment doit-elle se comporter ?
Comment respecter les opt-out : étapes techniques de mise en œuvre
Comment la CPPA fait-elle appliquer les règles sur les bannières cookies ?
Que mettre à jour dans votre politique de confidentialité et vos mentions cookies
Un calendrier de mise en œuvre pratique et une check-list
Votre check-list de conformité cookies CCPA/CPRA pour cette semaine
Points clés à retenir
Ce que la plupart des guides de conformité négligent
Passiro gère l'aspect technique pour que vous puissiez vous concentrer sur les décisions
Sources utiles pour approfondir

Le CCPA et le CPRA s'appliquent aux entreprises à but lucratif qui collectent des données personnelles de consommateurs californiens et qui atteignent au moins l'un des trois seuils suivants : un chiffre d'affaires annuel brut dépassant un seuil élevé ; l'achat, la vente, la réception ou le partage des données personnelles d'un grand nombre de consommateurs ou de foyers par an ; ou la génération d'une part importante de leurs revenus annuels grâce à la vente ou au partage des données personnelles de consommateurs. Une entreprise n'a pas besoin d'être immatriculée en Californie. Dès lors qu'elle s'adresse à des résidents californiens et qu'elle atteint un seuil, la loi s'applique.

Le suivi par cookies déclenche ces obligations lorsque les données collectées via cookies, pixels ou identifiants inter-appareils constituent des « données personnelles » au sens de la loi, ce qui inclut les adresses IP, les identifiants d'appareil, l'historique de navigation et les profils déduits. Un site e-commerce utilisant le suivi de conversion Google Ads, un éditeur intégrant des pixels de réseaux publicitaires tiers ou une plateforme SaaS utilisant des outils d'analyse qui partagent des données de session avec des prestataires sont autant d'exemples d'activités où une vente ou un partage de données personnelles via cookies a lieu.

Types de sites courants et leurs obligations types :

E-commerce avec publicité ciblée : la vente ou le partage d'identifiants avec des réseaux publicitaires déclenche le lien Do Not Sell or Share et la gestion des opt-out.
Éditeurs de contenu avec réseaux publicitaires : les pixels tiers qui partagent des données de navigation à des fins de publicité comportementale constituent un « partage » au sens du CPRA.
Sites d'analyse uniquement : si les données d'analyse ne sont ni vendues ni partagées avec des tiers, le lien Do Not Sell or Share peut ne pas être exigé, mais l'avis de collecte reste applicable.
Plateformes SaaS B2B : si la plateforme traite les données personnelles de consommateurs californiens (et pas seulement de contacts professionnels), les obligations du CCPA peuvent s'appliquer.

Les signaux GPC s'appliquent par appareil et par navigateur. Un utilisateur qui active GPC sur un navigateur mobile s'est désinscrit pour ce navigateur ; le même utilisateur, sur un navigateur de bureau sans GPC, ne s'est pas désinscrit. Votre chaîne de traitement des opt-out doit gérer les deux de façon indépendante.

Conseil de pro : Si vous ignorez si votre site atteint un seuil de revenus ou de volume de données, commencez par auditer vos contrats avec vos prestataires d'analyse et de publicité. Beaucoup de sites franchissent sans le savoir le seuil de 100 000 consommateurs par la seule collecte d'analyse courante.

Que le CCPA/CPRA exige-t-il réellement pour les cookies et les avis ?

L'avis de collecte (Notice at Collection)

L'avis de collecte doit être affiché au moment ou avant le point de collecte des données personnelles. Pour un site web, cela signifie généralement un lien sur la page de collecte elle-même ou une bannière qui apparaît avant l'activation de tout traceur non essentiel. L'avis doit indiquer :

Les catégories de données personnelles collectées (par ex. identifiants, historique de navigation, géolocalisation).
Les finalités pour lesquelles chaque catégorie est collectée.
Si chaque catégorie est vendue ou partagée avec des tiers.
La durée de conservation de chaque catégorie, ou les critères utilisés pour la déterminer.
Un lien vers l'avis de droit d'opt-out de vente ou de partage (Notice of Right to Opt-Out of Sale or Sharing).

Pour les applications mobiles, l'avis doit apparaître avant ou au moment de la collecte, par exemple sur un écran d'autorisations ou dans le parcours d'onboarding de l'application.

Le California Consumer Privacy Act exige un lien clair et visible sur les pages d'accueil de l'entreprise, intitulé « Do Not Sell or Share My Personal Information ». Ce lien doit mener à une page où les consommateurs peuvent soumettre une demande d'opt-out. Les entreprises doivent proposer au moins deux méthodes désignées pour soumettre une demande d'opt-out, dont l'une doit être un formulaire web interactif accessible via ce lien. Les autres méthodes acceptables incluent un numéro de téléphone gratuit, une adresse e-mail et le courrier postal.

Le GPC comme opt-out valide

Les entreprises qui collectent des données personnelles en ligne doivent traiter les signaux GPC comme des demandes d'opt-out valides pour l'appareil ou le navigateur spécifique qui envoie le signal. Ce n'est pas facultatif. Une entreprise ne peut pas exiger d'un consommateur qu'il clique également sur le lien Do Not Sell or Share si le GPC est déjà activé. Le signal suffit à lui seul.

Obligations de délai

Une entreprise doit répondre à une demande d'opt-out dès que cela est raisonnablement possible et au plus tard dans les 15 jours ouvrés suivant sa réception. Si des données personnelles sont vendues ou partagées après la demande d'opt-out mais avant que la mise en conformité ne soit achevée, l'entreprise doit en informer les tiers concernés et leur enjoindre de ne pas vendre ni utiliser les informations de ce consommateur.

La symétrie des choix est le principe directeur

Le CPPA Enforcement Advisory No. 2024-02 définit le consentement comme « librement donné, spécifique, éclairé et univoque » et précise explicitement qu'un accord obtenu par des dark patterns ne constitue pas un consentement. Concrètement, pour la conception d'une bannière, « Tout accepter » et « Refuser tout » doivent avoir la même visibilité, la même taille de bouton, le même poids de couleur et le même nombre d'étapes pour y accéder.

Une bannière qui affiche « Tout accepter » sous forme de bouton principal plein et « Plus d'informations » sous forme de lien texte secondaire n'est pas conforme. Le California Code of Regulations identifie explicitement ce schéma comme asymétrique et interdit.

Exemple de texte de bannière de premier niveau pour les utilisateurs californiens

Variante courte :

Variante développée (pour un second niveau ou un centre de préférences) :

Check-list des bonnes et mauvaises pratiques

À faire :

Afficher « Tout accepter » et « Refuser tout » sur le premier niveau avec la même visibilité.
Utiliser un langage clair ; éviter les formulations comme « améliorer votre expérience » en remplacement d'une information sur le partage des données.
Considérer qu'un utilisateur qui ferme la bannière sans faire de choix n'a ni consenti ni refusé ; ne pas activer les traceurs non essentiels.
Renvoyer directement vers l'avis de collecte et la politique de confidentialité depuis la bannière.

À ne pas faire :

Utiliser un bouton « Accepter » vif et plein à côté d'une option « Refuser » à faible contraste ou en texte seul.
Obliger les utilisateurs à accéder à un menu secondaire pour trouver « Refuser tout ».
Utiliser des doubles négations (« Ne décochez pas pour vous désinscrire »).
Ajouter des étapes de confirmation supplémentaires pour refuser qui n'existent pas pour accepter.

Conseil de pro : Testez votre bannière avec le GPC activé dans un navigateur basé sur Chromium (le navigateur Brave active GPC par défaut) et vérifiez qu'aucun pixel de suivi tiers ne se déclenche au chargement de la page. Exécutez également le parcours avec un lecteur d'écran pour confirmer que les options accepter et refuser sont également accessibles par navigation clavier.

Comment respecter les opt-out : étapes techniques de mise en œuvre

Check-list de mise en œuvre

Détectez les signaux GPC. Lisez l'en-tête HTTP Sec-GPC: 1 et la propriété JavaScript navigator.globalPrivacyControl à chaque chargement de page. Associez le signal à l'appareil/navigateur et supprimez immédiatement tous les traceurs liés à la vente ou au partage.
Mettez en place le formulaire Do Not Sell or Share. Créez ou configurez un formulaire web interactif accessible depuis le lien du pied de page. Le formulaire ne doit pas exiger la création d'un compte ni d'informations au-delà de ce qui est nécessaire pour traiter la demande.
Bloquez les traceurs non essentiels avant que le consentement ne soit déterminé. Utilisez un blocage automatique des scripts pour empêcher le déclenchement des pixels tiers, balises publicitaires et scripts d'analyse tant que la préférence de l'utilisateur n'est pas connue. Cela s'applique à la fois aux interactions avec la bannière et à la détection du GPC.
Intégrez l'IAB TCF v2.3. Si votre site utilise des prestataires enregistrés auprès de l'IAB, configurez votre plateforme de gestion du consentement en tant que CMP enregistrée IAB TCF v2.3. Cela garantit que les chaînes de consentement au niveau des prestataires sont générées et transmises correctement aux partenaires en aval. Pour des conseils sur la conception et la mise en œuvre des bannières, une CMP enregistrée s'en charge automatiquement.
Intégrez Google Consent Mode v2. Transmettez l'état du consentement aux balises Google via l'API gtag('consent', 'update', {...}) afin que les produits de mesure et de publicité de Google respectent le choix de l'utilisateur.
Informez les tiers dans un délai de 15 jours ouvrés. Si un événement de vente ou de partage survient entre la réception d'une demande d'opt-out et la mise en conformité complète, envoyez une notification écrite à chaque tiers concerné pour lui enjoindre de ne pas vendre ni utiliser les données de ce consommateur.

Persistance et portée

Les préférences d'opt-out doivent persister d'une session à l'autre pour le navigateur ou l'appareil sur lequel elles ont été définies. Un cookie ou une entrée de stockage local enregistrant l'état d'opt-out doit avoir une durée de vie d'au moins 12 mois. La loi interdit de solliciter à nouveau un consommateur qui s'est désinscrit pendant au moins 12 mois. Les signaux GPC, en revanche, sont réévalués à chaque chargement de page car l'utilisateur contrôle le signal au niveau du navigateur ; votre système ne doit pas remplacer un signal GPC actif par une préférence « opt-in » enregistrée lors d'une session précédente.

Journalisation d'audit

Champ de journal	Ce qu'il faut enregistrer	Objectif
Horodatage	Date et heure de l'événement de préférence	Établit le moment de réception de l'opt-out
Méthode	Bannière, lien du pied de page, signal GPC	Identifie le canal d'opt-out
Portée	Identifiant navigateur/appareil ou identifiant de compte	Associe la préférence à la bonne identité
Version de la bannière	Version ou empreinte de la bannière/politique affichée	Confirme ce qui a été présenté à l'utilisateur
Notification aux tiers	Date et destinataire de la notification en aval	Documente la fenêtre de conformité de 15 jours

Conservez ces enregistrements pendant une période minimale cohérente avec votre politique de conservation des données et le délai de prescription potentiel des actions d'application de la CPPA. Les régulateurs attendent des preuves d'action rapide ; une piste d'audit lacunaire ou inexistante constitue en soi un risque d'application.

Depuis 2024, la position d'application de la CPPA s'est concentrée sur trois catégories d'infractions : les dark patterns dans les interfaces de consentement, un avis de collecte insuffisant ou absent, et le non-respect des signaux d'opt-out, y compris le GPC.

L'Enforcement Advisory No. 2024-02 fournit l'exposé le plus clair de ce que les régulateurs considèrent comme non conforme :

Parmi les déclencheurs d'application précis identifiés par l'avis :

Les bannières qui proposent « Tout accepter » sur le premier niveau mais obligent les utilisateurs à accéder à un écran secondaire pour refuser.
Les interfaces où le bouton « oui » est visuellement dominant et l'option « non » est atténuée par sa couleur, sa taille ou son emplacement.
Le fait de considérer la fermeture de la bannière ou l'inaction comme un consentement implicite au traitement des données.
Le fait d'enfouir le lien Do Not Sell or Share dans une politique de confidentialité plutôt que de le placer de manière visible sur la page d'accueil.

Mesures d'atténuation des risques :

Documentez chaque décision de conception de votre bannière et de votre parcours de consentement, y compris la justification des couleurs de boutons, de leur emplacement et du texte.
Réalisez des audits UX périodiques avec de vrais utilisateurs pour confirmer que les parcours d'opt-out ne sont pas plus difficiles à suivre que les parcours d'opt-in.
Conservez les journaux d'audit et les horodatages comme décrit ci-dessus ; les régulateurs peuvent demander la preuve du moment où les opt-out ont été reçus et traités.
Répondez rapidement à toute demande de la CPPA ; les réponses tardives aggravent le risque d'application.

Les régulateurs traitent l'architecture des choix au niveau de la conception comme une décision de conformité. Un simple changement visuel, comme rendre le bouton « Accepter » vert et le bouton « Refuser » gris, peut transformer une bannière licite en cible d'application.

Check-list de l'avis de collecte

Votre avis de collecte doit inclure :

Les catégories de données personnelles collectées, associées à chaque point de collecte.
La finalité spécifique de chaque catégorie.
Une déclaration claire indiquant si chaque catégorie est vendue ou partagée avec des tiers.
Les durées de conservation ou les critères utilisés pour les déterminer.
Un lien vers l'avis de droit d'opt-out de vente ou de partage.

Pour le web, l'avis peut être un lien sur la page de collecte. Pour le mobile, il doit apparaître avant ou au moment de la collecte.

Contenu obligatoire de la politique de confidentialité

Conformément aux recommandations de la CPPA, la politique de confidentialité doit couvrir :

Les catégories de données personnelles collectées au cours des 12 derniers mois et les sources de ces informations.
Les finalités commerciales ou professionnelles de la collecte.
Les catégories de tiers auxquels les données personnelles sont divulguées.
Les instructions pour exercer les droits d'opt-out, y compris le lien Do Not Sell or Share.
Une explication de la manière dont les signaux de préférence d'opt-out, y compris le GPC, sont traités.
Le processus de vérification des demandes d'exercice de droits des consommateurs.

Nom/catégorie du cookie	Type	Finalité	Vendu ou partagé ?	Conservation
_ga (Google Analytics)	Non essentiel	Analyse du trafic	Oui, partagé avec Google	2 ans
_fbp (Meta Pixel)	Non essentiel	Ciblage publicitaire	Oui, vendu/partagé	12 mois
session_id	Essentiel	Gestion de session	Non	Session
consent_pref	Essentiel	Stocke le choix de consentement	Non	12 mois

Étiquetez chaque cookie comme essentiel ou non essentiel. Les cookies essentiels, ceux strictement nécessaires au fonctionnement du site, n'exigent pas de gestion d'opt-out, mais ils doivent tout de même être mentionnés dans l'avis de collecte. Les cookies non essentiels qui sont vendus ou partagés nécessitent le mécanisme Do Not Sell or Share.

Insérez ce qui suit dans votre politique de confidentialité et dans le pied de page de votre site :

Un calendrier de mise en œuvre pratique et une check-list

Plan de projet par phases

Découverte (jours 1-2) : auditez tous les scripts et pixels tiers présents sur votre site. Identifiez ceux qui constituent une vente ou un partage de données personnelles. Examinez votre bannière actuelle pour vérifier sa symétrie et sa gestion du GPC. Documentez les lacunes.
Conception de la bannière et configuration de la CMP (jours 3-5) : mettez à jour ou déployez une plateforme de gestion du consentement avec des boutons Tout accepter et Refuser tout de visibilité équivalente sur le premier niveau. Configurez le géociblage pour afficher la bannière spécifique à la Californie aux visiteurs californiens. Pour les sites WordPress, une CMP sous forme de plugin peut réduire cette phase à quelques heures.
Blocage des scripts (jours 3-5, en parallèle) : activez le blocage automatique des scripts afin que les traceurs non essentiels ne se déclenchent pas avant que le consentement ne soit déterminé. Testez avec le GPC activé pour confirmer qu'aucun pixel ne se charge à l'entrée de la page.
Points de terminaison d'opt-out côté serveur (jours 5-10) : créez ou configurez le formulaire interactif Do Not Sell or Share. Intégrez-le à votre CRM ou à votre plateforme de données pour supprimer la vente ou le partage pour les utilisateurs ayant fait un opt-out. Mettez en place le flux de notification aux tiers dans les 15 jours ouvrés.
Journalisation d'audit (jours 5-10, en parallèle) : mettez en œuvre les champs de journal décrits dans la section technique ci-dessus. Confirmez que les signaux GPC, les interactions avec la bannière et les soumissions via le lien du pied de page sont tous capturés.
Recette et lancement (jours 10-14) : simulez le GPC dans plusieurs navigateurs. Vérifiez qu'aucun pixel de suivi ne se déclenche avant le consentement. Vérifiez que les préférences d'opt-out persistent d'une session à l'autre. Confirmez que les flux de notification aux tiers se déclenchent correctement.

Estimations de calendrier selon la taille du site

Type de site	Calendrier estimé	Principaux facteurs d'effort
Petit site (1-5 pages, peu de prestataires)	1-2 jours	Mise à jour de la bannière, lien du pied de page, détection GPC
Site de taille moyenne (CMS, plusieurs prestataires pub/analyse)	1-2 semaines	Audit des scripts, configuration de la CMP, création du formulaire
Grande plateforme (plusieurs domaines, événements côté serveur)	—	API d'opt-out côté serveur, synchronisation inter-domaines, revue juridique

Conseil de pro : Pour les grandes plateformes, utilisez des feature flags pour déployer la gestion du GPC et le blocage des scripts de façon progressive. Déployez d'abord sur 5 à 10 % du trafic californien, surveillez les dysfonctionnements, puis étendez. Cela réduit le risque d'une panne à l'échelle du site due à une règle de gestionnaire de balises mal configurée.

Actions prioritaires à réaliser dans les prochains jours :

Ajoutez le lien Do Not Sell or Share sur votre page d'accueil et dans le pied de page de votre site. Le lien doit être intitulé exactement « Do Not Sell or Share My Personal Information » ou « Your Privacy Choices » et doit ouvrir un formulaire d'opt-out interactif.
Mettez à jour votre bannière pour afficher « Refuser tout » sur le premier niveau avec la même visibilité que « Tout accepter ». Supprimez toute conception qui rend le refus plus difficile ou moins visible que l'acceptation.
Activez la détection du GPC dans votre plateforme de gestion du consentement ou votre implémentation sur mesure. Testez avec navigator.globalPrivacyControl dans la console du navigateur et confirmez que les scripts non essentiels ne se chargent pas lorsque le GPC est actif.
Bloquez les traceurs non essentiels avant que le consentement ne soit déterminé. Vérifiez-le via l'onglet réseau de votre navigateur : aucune requête publicitaire ou d'analyse tierce ne doit apparaître au chargement initial de la page avant qu'un choix ne soit fait sur la bannière.
Mettez à jour votre avis de collecte pour inclure les catégories, les finalités, le statut de vente/partage, la conservation et le lien d'opt-out.
Ajoutez une mention sur la gestion du GPC dans votre politique de confidentialité.
Testez la persistance de l'opt-out en refusant, en fermant le navigateur, en le rouvrant et en confirmant qu'aucun traceur non essentiel ne se déclenche au retour.
Démarrez un journal d'audit capturant l'horodatage, la méthode, la portée et la version de la bannière pour chaque événement de préférence.

Références réglementaires à partager avec votre équipe juridique : CPPA Enforcement Advisory No. 2024-02, les réglementations CCPA du 15 mars et les recommandations de la CPPA sur l'avis de collecte.

Cet article fournit des informations générales sur les exigences CCPA/CPRA et ne constitue pas un conseil juridique. Vérifiez les exigences en vigueur auprès de la California Privacy Protection Agency ou d'un avocat qualifié en matière de vie privée pour votre situation spécifique.

Points clés à retenir

Le CCPA et le CPRA exigent un avis de collecte, un lien Do Not Sell or Share visible et une gestion efficace des opt-out incluant le GPC, mais ils n'exigent pas de bannière de consentement opt-in à la manière du GDPR.

Point	Détails
Pas de bannière opt-in requise	Le CCPA/CPRA imposent un avis et un opt-out, non un consentement préalable ; le modèle GDPR ne s'applique pas en Californie.
La symétrie des choix est obligatoire	Accepter et Refuser doivent être équivalents en nombre d'étapes, en visibilité et en emplacement selon 11 CCR § 7004(a)(2).
Le GPC est un opt-out valide	Les entreprises doivent respecter les signaux GPC pour l'appareil ou le navigateur qui les émet, sans étape supplémentaire requise de l'utilisateur.
Fenêtre de conformité de 15 jours ouvrés	Les demandes d'opt-out doivent être traitées dans les 15 jours ouvrés ; les tiers doivent être informés si une vente survient durant cette fenêtre.
Passiro pour la mise en œuvre	Passiro est une CMP enregistrée IAB TCF v2.3 (ID 499) dotée d'un blocage automatique des scripts et d'une offre gratuite couvrant un nombre illimité de domaines, conçue pour répondre aux obligations d'avis et d'opt-out du CCPA/CPRA.

Ce que la plupart des guides de conformité négligent

La plupart des articles sur la conformité cookies au CCPA se concentrent sur la question de savoir si une bannière est techniquement obligatoire. C'est la mauvaise question. L'historique d'application de la CPPA montre clairement que l'agence s'intéresse bien davantage à la manière dont les choix sont présentés qu'à l'existence même d'une bannière. Une entreprise sans bannière mais disposant d'un lien Do Not Sell or Share fonctionnel dans le pied de page et d'une détection GPC opérationnelle est en meilleure position qu'une entreprise dotée d'une bannière élaborée qui enfouit l'option de refus derrière deux clics supplémentaires.

L'exigence de symétrie du 11 CCR § 7004(a)(2) n'est pas une préférence de conception. C'est une norme juridique, et les régulateurs l'appliquent au pixel près. Un bouton « Refuser » 20 % plus petit que « Accepter », ou rendu dans un gris qui ne respecte pas les normes de ratio de contraste, est précisément le genre de détail qui apparaît dans la correspondance d'application. Les exemples illustratifs de l'avis ne sont pas hypothétiques ; ils décrivent des schémas d'interface réels que la CPPA a signalés.

Il existe aussi une idée reçue tenace selon laquelle le GPC serait un signal de niche utilisé par une poignée d'utilisateurs soucieux de leur vie privée. Les contrôles de confidentialité au niveau du navigateur deviennent des fonctionnalités standard, et non des cas marginaux. Concevoir la gestion du GPC après coup, plutôt qu'en tant qu'entrée de premier plan de votre chaîne d'opt-out, est une dette technique qui s'aggrave avec le temps à mesure que davantage de navigateurs activent le signal par défaut.

La posture de conformité la plus durable repose sur la documentation : consignez chaque décision de conception, chaque événement d'opt-out et chaque notification aux tiers. Les régulateurs n'attendent pas la perfection ; ils attendent la preuve d'une action de bonne foi et rapide.

Passiro gère l'aspect technique pour que vous puissiez vous concentrer sur les décisions

Mettre correctement en œuvre les mécanismes d'avis et d'opt-out du CCPA/CPRA nécessite une plateforme de gestion du consentement qui prend en charge la détection du GPC, le blocage automatique des scripts et la journalisation d'audit sans exiger un développement sur mesure pour chaque site. Passiro est une CMP enregistrée IAB TCF v2.3 (CMP ID 499), intégrant Google Consent Mode v2, une base de plus de 4 900 traceurs mise à jour quotidiennement à partir d'EasyPrivacy, et des bannières géociblées qui affichent automatiquement les avis spécifiques à la Californie aux visiteurs californiens.

L'offre gratuite couvre un nombre illimité de domaines et un trafic illimité, sans limite de pages ni expiration. Le concepteur visuel vous permet de configurer des boutons Tout accepter et Refuser tout de visibilité équivalente sans écrire de CSS, et la prise en charge de 25 langues gère les sites multi-régions depuis un seul compte. Deux limites à noter : Passiro n'inclut pas l'automatisation des DSAR (demandes d'accès des personnes concernées) et ne propose pas de fonctionnalités de gestion des risques liés aux prestataires. Pour ces fonctions, un outil dédié aux opérations de confidentialité est nécessaire en complément de la CMP.

Pour les sites WordPress, le plugin WordPress de Passiro s'installe en quelques minutes et gère le blocage des scripts, la détection du GPC et la journalisation du consentement dès l'installation. Les utilisateurs de créateurs de sites Wix, Squarespace ou Webflow peuvent déployer via l'intégration pour créateurs de sites. L'offre gratuite est permanente, et non un essai.

Sources utiles pour approfondir

Les documents primaires suivants constituent les références faisant autorité pour les exigences CCPA/CPRA en matière de cookies et de consentement. Partagez les références réglementaires avec votre équipe juridique et utilisez l'avis de la CPPA pour la revue UX.

CPPA Enforcement Advisory No. 2024-02 (Consentement) : la source principale pour les interdictions de dark patterns, l'exigence de symétrie des choix et la définition du consentement valide. À utiliser pour la revue de conception des bannières et la validation juridique.
Réglementations CCPA du 15 mars (OAG) : le texte réglementaire final couvrant les méthodes d'opt-out, la gestion du GPC, la fenêtre de conformité de 15 jours ouvrés et les exigences de notification aux tiers. À utiliser pour la recette technique et la conception de la chaîne d'opt-out.
Recommandations de la CPPA sur l'avis de collecte : précise le contenu et l'emplacement requis de l'avis de collecte et de la politique de confidentialité. À utiliser pour la rédaction des politiques et la construction du tableau des cookies.
Texte du California Consumer Privacy Act (CPPA) : le texte statutaire complet du CCPA et du CPRA, y compris les exigences relatives au lien Do Not Sell or Share au titre du Civil Code § 1798.135. À utiliser pour la revue juridique du périmètre et des seuils d'applicabilité.
California Code of Regulations, 11 CCR § 7004 (Westlaw) : le texte réglementaire sur les méthodes de soumission des demandes et d'obtention du consentement, y compris les exemples illustratifs d'interfaces asymétriques interdites. À utiliser pour la documentation de conformité UX.
Annonces de la CPPA (cppa.ca.gov) : les annonces actuelles de l'agence et les mises à jour d'application. Surveillez cette page pour les nouveaux avis et les activités réglementaires.
Aperçu du CCPA par l'OAG (oag.ca.gov) : l'aperçu du procureur général de Californie sur les droits du CCPA et les obligations des entreprises. Utile comme référence en langage clair pour les parties prenantes non juridiques.

Recommandé

Get compliant cookie consent — free

Passiro gives you a compliant cookie banner with IAB TCF v2.3 and Google Consent Mode v2, free on every site.

Get started free Learn more about cookie consent