Ce que le CPRA a changé dans la loi californienne sur la vie privée

Le lien entre le CPRA et le CCPA

Le CPRA a modifié le texte du CCPA au lieu d’ajouter une loi parallèle. Il existe aujourd’hui un seul cadre californien, le CCPA tel que modifié : ne créez donc pas d’expériences de consentement distinctes « CCPA » et « CPRA ».

Consultez le guide sur le CCPA pour savoir qui est couvert, ainsi que pour les informations à fournir, le lien d’opposition et les demandes des consommateurs. Cette page explique ce qui a changé et ce que cela implique pour votre site web. Les dates clés :

• Novembre 2020 : les électeurs californiens ont approuvé la Proposition 24, le CPRA.
• 1er janvier 2023 : les modifications apportées au CCPA par le CPRA sont entrées en vigueur.
• 1er juillet 2023 : l’application civile et administrative des dispositions modifiées a pu commencer, pour les violations commises à partir de cette date.

Ce qui a changé pour les sites web

Le tableau résume les changements qui concernent le plus souvent un site web ; les sections suivantes les expliquent un par un.

Partage à des fins de publicité comportementale intercontextuelle

La publicité comportementale intercontextuelle (cross-context behavioral advertising) consiste à cibler des publicités à partir de l’activité d’une personne sur les sites web, applications ou services d’autres entreprises. Listez les outils qui reçoivent des événements de navigation, des identifiants, des achats ou des données d’audience, et vérifiez si le destinataire les utilise de cette manière.

Une déclaration du type « nous ne vendons jamais d’informations personnelles » peut induire en erreur si elle ignore le partage. Alignez la déclaration, le contrôle d’opposition et la configuration, et testez les circuits côté navigateur comme côté serveur. Un fournisseur qui assure de la publicité comportementale intercontextuelle est un tiers, pas un prestataire de services.

Informations personnelles sensibles et droit de limitation

Les informations personnelles sensibles comprennent, entre autres catégories, les numéros de pièces d’identité officielles, les identifiants de connexion à un compte accompagnés du mot de passe, la géolocalisation précise, les informations de santé et l’origine raciale ou ethnique.

La loi autorise certaines utilisations sans droit de limitation, comme la fourniture des biens ou services demandés par le consommateur. Le droit de limitation s’applique aux utilisations qui vont au-delà. Utiliser les identifiants d’un compte pour connecter une personne est une utilisation autorisée ; réutiliser des données sensibles à des fins de profilage peut ne pas l’être. Si vous ne les utilisez qu’à des fins autorisées et l’indiquez dans votre politique de confidentialité, vous n’avez pas besoin du lien « Limit the Use of My Sensitive Personal Information ».

Droit de rectification

Un client peut vous demander de rectifier des informations personnelles inexactes, et vous devez déployer des efforts commercialement raisonnables pour le faire. Identifiez l’enregistrement de référence et les systèmes qui en copient les données.

Testez une demande, de sa réception à son traitement complet. Si une donnée corrigée est ensuite écrasée par une ancienne intégration, le processus doit encore être amélioré.

Conservation et minimisation des données

Au moment de la collecte ou avant, indiquez combien de temps vous comptez conserver chaque catégorie d’informations personnelles, ou les critères que vous utilisez, et ne les conservez pas plus longtemps que raisonnablement nécessaire. La collecte et l’utilisation doivent aussi être raisonnablement nécessaires et proportionnées aux finalités que vous avez indiquées.

Évitez un vague « aussi longtemps que nécessaire » lorsqu’une durée précise est possible. Comparez la conservation sur le site web, dans l’outil d’analyse, la plateforme client, les exports publicitaires et les sauvegardes.

Contrats et contrôle des destinataires

Vendre ou partager des données avec un tiers, ou les communiquer à un prestataire de services ou à un contractant, nécessite un accord qui limite l’utilisation à des finalités précises, transmet les obligations du CCPA et vous permet d’agir contre toute utilisation non autorisée. Une clause de confidentialité générique ne suffit pas.

Les contrats ne contrôlent pas à eux seuls les flux de données. Vérifiez que les paramètres et l’utilisation réelle de chaque destinataire correspondent à son rôle contractuel.

Évaluations des risques, audits de cybersécurité et ADMT

Le CPRA a aussi chargé l’agence californienne de protection de la vie privée de rédiger des règles sur les évaluations des risques, les audits de cybersécurité et les technologies de prise de décision automatisée (ADMT). Le conseil de la CPPA (CPPA Board) les a adoptées le 24 juillet 2025, l’Office of Administrative Law les a approuvées le 22 septembre 2025, et elles sont entrées en vigueur le 1er janvier 2026 (page de la CPPA consacrée à la réglementation). Les échéances de mise en conformité sont échelonnées :

Notez le déclencheur de l’évaluation des risques : une entreprise couverte qui partage des informations personnelles à des fins de publicité comportementale intercontextuelle vend ou partage des données, si bien que l’obligation peut s’appliquer à un site marketing ordinaire. Les évaluations doivent être mises à jour dans les 45 jours suivant un changement important et réexaminées au moins tous les trois ans.

Les échéances des audits de cybersécurité dépendent du chiffre d’affaires annuel brut : plus de 100 millions de dollars, premier rapport au plus tard le 1er avril 2028 ; de 50 à 100 millions de dollars, au plus tard le 1er avril 2029 ; moins de 50 millions de dollars, au plus tard le 1er avril 2030. Confrontez vos activités à ces règles, et menez cet examen séparément de la configuration du bandeau.

Liste de contrôle opérationnelle

Passez ces points en revue chaque fois que vous ajoutez une intégration publicitaire, une fonctionnalité de localisation ou un outil de personnalisation, même si le bandeau reste inchangé.

• Partage : listez chaque outil qui reçoit des données de navigation ou d’audience, avec son rôle.
• Effet de l’opposition : vérifiez que la vente et le partage cessent dans les flux côté navigateur et côté serveur.
• Données sensibles : déterminez si un contrôle « Limit » est requis, et consignez pourquoi.
• Conservation : faites correspondre les durées indiquées dans votre notice d’information aux paramètres réels de chaque système.
• Rectification : suivez une demande à travers chaque système connecté.
• Contrats : vérifiez que le contrat de chaque destinataire correspond à son utilisation réelle.
• Nouvelles obligations : examinez dès maintenant si vous devez réaliser des évaluations des risques, et d’ici le 1er janvier 2027 si l’ADMT vous concerne.

FAQ