CCPA: Ce que les droits californiens en matière de vie privée impliquent pour votre site web

CCPA et CPRA : une seule loi modifiée

Les électeurs californiens ont approuvé le California Privacy Rights Act (CPRA) en novembre 2020. Il a modifié le CCPA, avec des changements en vigueur depuis le 1er janvier 2023 : il n’existe donc pas de régime CPRA distinct. Évaluez votre site web au regard du CCPA tel que modifié.

Ce guide couvre le champ d’application et le parcours essentiel sur le site web. Le guide CPRA explique ce que les modifications ont changé, notamment les informations personnelles sensibles, la rectification, la durée de conservation et la réglementation de 2025.

Qui est concerné par le CCPA

Les seuils indiqués en haut de cette page proviennent de la FAQ de la California Privacy Protection Agency. Le seuil de chiffre d’affaires est ajusté en fonction de l’inflation chaque année impaire : le montant de 26 625 000 $ s’applique depuis le 1er janvier 2025, et le prochain ajustement est prévu le 1er janvier 2027.

Une entreprise située hors de Californie peut tout de même être concernée, tout comme les sociétés affiliées qui partagent la marque et les informations personnelles d’une entreprise concernée. Certaines organisations et certains types d’informations sont exemptés. Les visites du site web ne remplacent pas le critère des 100 000 consommateurs ou foyers.

Consignez pourquoi vous entrez ou non dans le champ d’application, et réévaluez la situation lorsque le chiffre d’affaires, le modèle économique ou les pratiques en matière de données changent.

Vente, partage, publicité et prestataires de services

L’opt-out couvre la vente et le partage. Qu’un outil en relève ou non dépend de ce que le destinataire fait des données et du contrat sous-jacent, et non du nom de l’outil.

Qualifier un outil d’« analytique », ou transférer le même événement d’un pixel vers une connexion côté serveur, ne change rien à l’analyse.

À quoi ressemble un dispositif « Do Not Sell or Share » qui fonctionne

Une entreprise qui vend ou partage des informations personnelles collectées en ligne doit proposer au moins deux méthodes d’opt-out. L’une consiste à traiter les signaux de préférence d’opt-out comme GPC. L’autre est l’une des suivantes :

• Lien « Do Not Sell or Share My Personal Information » dans l’en-tête ou le pied de page de la page d’accueil, qui enregistre immédiatement l’opt-out du visiteur ou mène à un formulaire d’opt-out.
• Lien d’opt-out alternatif (Alternative Opt-out Link) : un seul lien « Your Privacy Choices » ou « Your California Privacy Choices » accompagné de l’icône d’opt-out officielle, qui couvre l’opt-out et le droit de limiter l’utilisation des informations personnelles sensibles.
• Aucun lien : uniquement si vous traitez les signaux sans friction, que le signal exécute entièrement l’opt-out (y compris toute vente ou tout partage hors ligne) et que votre politique de confidentialité l’explique.

Un bandeau de cookies générique ou un panneau de paramètres des cookies n’est pas en soi une méthode acceptable, car il porte sur la collecte, et non sur la vente ou le partage. Le dispositif doit nommer la vente et le partage, nécessiter un minimum d’étapes et ne pas exiger de compte (réglementation CCPA, §7013, §7015 et §7026).

Exemple : le lien en pied de page d’une boutique en ligne

Exemple illustratif : une boutique en ligne qui vend du matériel de plein air utilise un pixel publicitaire et un envoi hebdomadaire de listes de clients pour de la publicité comportementale intercontextuelle. Son lien en pied de page « Your Privacy Choices », accompagné de l’icône d’opt-out, ouvre une page qui explique le droit et propose deux boutons aussi visibles l’un que l’autre : « M’opposer à la vente et au partage » et « Conserver les paramètres actuels ». Le statut actuel est indiqué en toutes lettres.

Lorsque le visiteur exerce son opt-out :

• Le pixel cesse d’envoyer les événements de ce navigateur à la plateforme à des fins de publicité comportementale intercontextuelle.
• Le compte d’un client connecté est signalé et exclu du prochain envoi de liste.
• Les tiers qui ont reçu les données après la demande, mais avant que la boutique n’agisse, sont informés de l’opt-out.
• La page confirme le résultat, par exemple « Opt-Out Request Honored ».
• Le passage en caisse, le panier et l’analyse d’audience assurée par des prestataires de services continuent de fonctionner.

Cessez dès que cela est matériellement possible et dans un délai de 15 jours ouvrés ; les transferts que vous pouvez arrêter instantanément, comme les enchères publicitaires en temps réel, doivent cesser immédiatement. Attendez ensuite au moins 12 mois avant de demander au visiteur de revenir sur son opt-out.

Respectez les signaux de préférence d’opt-out

Une entreprise concernée qui vend ou partage des informations doit traiter un signal conforme aux exigences, comme Global Privacy Control, comme un opt-out valable pour ce navigateur ou cet appareil et pour tout profil qui y est associé, ainsi que pour le consommateur s’il est connu. Publier les liens d’opt-out ne supprime pas cette obligation.

Testez une première visite, une visite de retour et un compte connecté, y compris les destinations côté serveur. Le guide Global Privacy Control traite des conflits avec des choix antérieurs et du message de statut requis.

Information des consommateurs et demandes

Les informations personnelles comprennent les identifiants de cookies, l’activité de navigation et les données liées à un foyer. Pour chaque outil, consignez ce qu’il collecte, pourquoi et qui le reçoit, y compris les services intégrés et les intégrations côté serveur.

Informez au moment de la collecte ou avant : les catégories, les finalités et si les informations sont vendues ou partagées, avec un lien vers votre politique de confidentialité. Vérifiez les formulaires de prospection, l’inscription aux comptes et les pages de destination des campagnes, et pas seulement la page d’accueil. La page CCPA du procureur général de Californie résume ces obligations.

Prenez en charge les demandes visant à connaître, supprimer, rectifier et recevoir sous une forme portable les informations, sous réserve des exceptions, sans pénaliser les personnes qui exercent leurs droits. Vérifiez l’identité de manière proportionnée pour ces demandes ; les demandes d’opt-out ne nécessitent aucune vérification. Assurez-vous que chaque demande parvient aux systèmes et aux fournisseurs qui détiennent les données.

Liste de contrôle pour votre site web

• Champ d’application : consignez quel seuil s’applique, ou pourquoi aucun ne s’applique.
• Destinataires : qualifiez chaque outil : vente, partage, prestataire de services ou contractant.
• Mécanisme d’opt-out : choisissez le lien, le lien alternatif ou la gestion des signaux sans friction.
• Effet : vérifiez que les pixels, les événements côté serveur et les envois de listes s’arrêtent après un opt-out.
• Signaux : testez GPC lors d’une nouvelle visite et sur un compte connecté.
• Demandes : suivez une demande d’accès, de suppression et de rectification à travers les systèmes connectés.

FAQ