Colorado Privacy Act: GPC, données des mineurs et ce que votre site web doit faire

Le CPA s’applique-t-il à votre organisation ?

Les règles générales couvrent les responsables du traitement qui exercent une activité au Colorado ou ciblent intentionnellement ses résidents et qui :

• Volume : contrôlent ou traitent les données personnelles d’au moins 100 000 consommateurs du Colorado au cours d’une année civile ; ou
• Vente de données : tirent des revenus ou une remise de la vente de données personnelles et contrôlent ou traitent les données d’au moins 25 000 consommateurs.

Il n’existe pas de seuil de chiffre d’affaires, et les orientations du procureur général confirment que les organismes à but non lucratif sont couverts, contrairement à la Virginie et à l’Utah. Les exemptions comprennent les institutions financières soumises au GLBA, les transporteurs aériens, les données régies par la HIPAA et les données des salariés.

Les règles sur les mineurs et les données biométriques vont plus loin : elles s’appliquent aussi aux responsables du traitement situés en dessous de ces seuils, comme le montre le tableau ci-dessous.

Qu’est-ce qui a changé depuis l’entrée en vigueur de la loi ?

Comment traiter GPC et les autres signaux d’opposition ?

Si vous vendez des données personnelles ou les utilisez pour de la publicité ciblée, le CPA vous impose d’accepter les oppositions envoyées par un mécanisme universel d’opposition reconnu. La liste du procureur général en cite actuellement un seul : Global Privacy Control (GPC).

Selon les CPA Rules, GPC constitue une opposition valable à la publicité ciblée et à la vente pour ce navigateur ou cet appareil et, si vous connaissez la personne, pour ce consommateur. Cette opposition reste valable jusqu’à ce que la personne consente ; une visite ultérieure sans le signal ne vaut pas consentement, et vous ne pouvez pas exiger de connexion.

Les moyens d’opposition directs restent importants : présentez le moyen d’opposition dans votre notice de confidentialité et à un endroit accessible en dehors de celle-ci, comme un lien en pied de page. La notice doit aussi expliquer comment vous traitez les signaux d’opposition.

Passiro gère GPC dans toutes les offres et traite le signal comme une opposition ; le guide sur GPC explique comment tester ce que vos balises et vos flux côté serveur en font.

Qu’est-ce qui s’applique aux utilisateurs de moins de 18 ans ?

Depuis le 1er octobre 2025, le SB24-041 s’applique lorsque vous proposez un service en ligne à une personne dont vous savez, ou ignorez délibérément, qu’elle a moins de 18 ans. Vous devez faire preuve d’une diligence raisonnable pour éviter un risque accru de préjudice pour les mineurs.

Sans le consentement du mineur, ou d’un parent ou tuteur si le mineur a moins de 13 ans, vous ne pouvez pas :

• traiter les données d’un mineur à des fins de publicité ciblée, de vente ou de profilage significatif ;
• les utiliser au-delà des finalités indiquées lors de la collecte, ou les conserver plus longtemps que nécessaire ;
• utiliser des fonctionnalités de conception pour augmenter, entretenir ou prolonger de manière significative l’utilisation par un mineur ;
• collecter la géolocalisation précise, sauf si elle est nécessaire au service, conservée uniquement le temps nécessaire et signalée au mineur pendant toute la durée de la collecte.

La loi n’impose pas de vérification de l’âge. Lorsqu’une fonctionnalité crée un risque accru de préjudice, documentez une évaluation et un plan de réduction du risque, et n’utilisez pas de demandes de consentement conçues pour contourner le choix d’un mineur.

Dans quels autres cas avez-vous besoin d’un consentement ?

Vous avez besoin d’un consentement avant de traiter ou de vendre des données sensibles : données révélant l’origine raciale ou ethnique, les convictions religieuses, un état de santé ou un diagnostic, la vie sexuelle ou l’orientation sexuelle, ou le statut de citoyenneté ; données génétiques, biométriques, biologiques ou neuronales utilisées pour identifier une personne ; données d’un enfant identifié comme tel ; et géolocalisation précise dans un rayon de 1 850 pieds (environ 560 mètres).

Le consentement est aussi nécessaire pour des utilisations secondaires qui ne sont ni raisonnablement nécessaires ni compatibles avec les finalités indiquées, ainsi que pour la publicité ciblée ou la vente après une opposition. L’acceptation de conditions générales larges, ou un accord obtenu au moyen d’interfaces trompeuses (dark patterns), ne compte pas.

Les CPA Rules vous imposent de renouveler le consentement relatif aux données sensibles après 24 mois sans interaction, sauf si le consommateur peut modifier ses choix à tout moment sur une page de paramètres. Les identifiants biométriques nécessitent aussi une politique de conservation publique ainsi qu’une information sur la finalité et la durée de conservation avant la collecte.

Comment fonctionnent les demandes et les recours ?

Les consommateurs peuvent s’opposer, accéder à leurs données, les rectifier et les supprimer, et obtenir une copie portable jusqu’à deux fois par année civile. Pour une entreprise exclusivement en ligne, le procureur général indique qu’une adresse e-mail suffit comme moyen de présenter une demande.

Répondez dans un délai de 45 jours (prolongeable de 45 jours). Si vous refusez, indiquez pourquoi et comment former un recours. Le recours doit être bien visible et aussi simple que la demande ; répondez-y par écrit dans un délai de 45 jours (prolongeable de 60 jours) et indiquez au consommateur qu’il peut contacter le procureur général.

Liste de contrôle pour votre site web

• GPC activé : visitez le site avec GPC activé, puis sans ; les balises publicitaires et de vente devraient rester désactivées les deux fois, sans connexion.
• Clients connus : un client connecté ayant exercé son opposition devrait être absent du prochain envoi d’audience ou de liste de clients.
• Opposition directe : utilisez le lien d’opposition du pied de page en tant qu’utilisateur test ; il devrait arrêter les mêmes activités que GPC.
• Consentement : testez les formulaires et les demandes de localisation ; les données sensibles, y compris la localisation précise, ne devraient pas circuler avant l’enregistrement du consentement.
• Mineurs : pour les utilisateurs identifiés comme ayant moins de 18 ans, la publicité, la vente et la localisation précise devraient rester désactivées sans consentement.
• Demande et recours : refusez une demande test et formez un recours ; la réponse écrite devrait mentionner le procureur général.

FAQ