Utah, États-Unis
Loi sur la protection de la vie privée des consommateurs
UCPA de l’Utah: Qui est concerné et ce que les sites web doivent faire
La loi de l’Utah sur la protection de la vie privée des consommateurs (Utah Consumer Privacy Act) ne s’applique que si une entreprise remplit à la fois un critère de chiffre d’affaires de 25 millions de dollars et un critère lié aux données. Si elle s’applique, votre site web doit permettre de s’opposer à la publicité ciblée et à la vente, prévoir une information et une possibilité d’opposition pour les données sensibles, ainsi qu’une procédure de demandes qui inclut désormais la rectification.
En bref
- Qui peut être concerné
- Responsables du traitement et sous-traitants qui exercent une activité dans l’Utah ou ciblent l’Utah, dont le chiffre d’affaires annuel atteint au moins 25 millions de dollars et qui traitent en outre chaque année les données d’au moins 100 000 consommateurs de l’Utah, ou d’au moins 25 000 consommateurs avec plus de 50 % du chiffre d’affaires issu de la vente de données. Les organisations à but non lucratif sont exemptées.
- De quoi il s’agit
- Une loi d’État sur la protection de la vie privée des consommateurs : l’Utah Consumer Privacy Act (Utah Code, titre 13, chapitre 61), en vigueur depuis le 31 décembre 2023 et dont l’application relève du procureur général (Attorney General).
- Choix à proposer
- Opposition à la publicité ciblée et à la vente. Pour les données sensibles, une information claire et la possibilité de s’opposer avant le traitement, et non un consentement préalable (opt-in) général. Les données d’un enfant connu comme tel sont traitées conformément au COPPA.
- Actions sur le site web
- Appliquez le critère de chiffre d’affaires et un critère lié aux données, puis vérifiez les exemptions.
- Indiquez et testez les moyens de s’opposer à la publicité ciblée et à la vente.
- Informez et offrez une possibilité d’opposition avant de traiter des données sensibles.
- Répondez aux demandes d’accès, de suppression, de portabilité et de rectification sous 45 jours.
- Sources primaires
- Utah Code, titre 13, chapitre 61 : Utah Consumer Privacy Act ; Utah Division of Consumer Protection : UCPA
- Dernière vérification
L’UCPA s’applique-t-il à votre entreprise ?
Suivez ces étapes dans l’ordre. L’UCPA ne s’applique que si vous répondez oui aux étapes 1 à 3 et qu’aucune exemption ne s’applique.
- Lien avec l’Utah : exercez-vous une activité dans l’Utah, ou proposez-vous un produit ou un service destiné aux résidents de l’Utah ?
- Chiffre d’affaires : votre chiffre d’affaires annuel atteint-il 25 000 000 $ ou plus ? Le chiffre d’affaires seul ne vous fait jamais entrer dans le champ d’application.
- Données : au cours d’une année civile, contrôlez-vous ou traitez-vous les données personnelles d’au moins 100 000 consommateurs de l’Utah, ou tirez-vous plus de 50 % de votre chiffre d’affaires brut de la vente de données personnelles tout en traitant les données d’au moins 25 000 consommateurs ?
- Exemptions : êtes-vous une organisation exemptée, ou les données elles-mêmes sont-elles exemptées ?
La disposition sur le champ d’application exempte notamment les sociétés à but non lucratif, les établissements d’enseignement supérieur, les entités gouvernementales, les tribus, les entités couvertes par HIPAA et leurs partenaires commerciaux (business associates), les institutions financières soumises au GLBA et les transporteurs aériens. Les données exemptées comprennent les informations de santé protégées et les données des salariés ou des candidats à un emploi.
Un consommateur est un résident de l’Utah qui agit dans un cadre individuel ou familial. Comptez les résidents de l’Utah dont vous traitez les données, et non les pages vues, et conservez une note datée des chiffres sur lesquels repose votre décision.
Que doit proposer un site web concerné ?
Votre politique de confidentialité doit être raisonnablement accessible et claire, et couvrir les catégories de données personnelles, les finalités, la manière d’exercer les droits, ainsi que les catégories de données partagées et de tiers qui les reçoivent.
Si vous vendez des données personnelles ou faites de la publicité ciblée, vous devez indiquer de manière claire et visible comment les consommateurs peuvent s’y opposer. Dans l’Utah, une vente suppose une contrepartie monétaire, alors que la publicité ciblée est une activité distincte : la mention « nous ne vendons pas de données » ne règle donc pas la question de l’opposition à la publicité.
Exemple : un commerçant concerné utilise un réseau publicitaire pour toucher des visiteurs sur des sites web sans rapport avec le sien. Lorsqu’un client de l’Utah s’oppose à la publicité ciblée, vérifiez à la fois la balise côté navigateur et tout import d’audience qui utilise ses données. Le traitement des commandes peut continuer.
L’UCPA ne mentionne pas les signaux d’opposition envoyés par le navigateur, comme Global Privacy Control. Respecter le GPC pour les visiteurs de l’Utah relève de votre choix, et non d’une exigence de l’UCPA.
Comment l’Utah traite-t-il les données sensibles ?
Les données sensibles comprennent les données révélant l’origine raciale ou ethnique, les convictions religieuses, l’orientation sexuelle, la citoyenneté ou le statut d’immigration, ou les antécédents médicaux et les informations de santé ; les données génétiques ou biométriques traitées pour identifier une personne ; et la géolocalisation précise à moins de 1 750 pieds (environ 530 mètres). Au titre des obligations du responsable du traitement, vous devez fournir une information claire et la possibilité de s’opposer avant de les traiter.
C’est la principale particularité de l’Utah. D’autres États exigent un consentement préalable (opt-in) pour le même type de données :
| État | Avant de traiter des données sensibles | Données d’enfants connus comme tels |
|---|---|---|
| Utah | Avant de traiter des données sensiblesInformation claire et possibilité de s’opposer | Données d’enfants connus comme telsTraitement conforme au COPPA |
| Virginie | Avant de traiter des données sensiblesConsentement préalable (opt-in) | Données d’enfants connus comme telsConsentement parental selon le COPPA |
| Colorado | Avant de traiter des données sensiblesConsentement préalable (opt-in), également avant de les vendre | Données d’enfants connus comme telsConsentement parental, et des règles pour tous les mineurs de moins de 18 ans |
Si vous proposez une même expérience pour plusieurs États, vous pouvez choisir l’opt-in pour tout le monde. Présentez-le comme votre propre politique plutôt que comme une exigence de l’Utah.
Quels droits devez-vous prendre en charge ?
Les consommateurs de l’Utah peuvent :
- obtenir la confirmation que vous traitez ou non leurs données personnelles, et y accéder ;
- supprimer les données personnelles qu’ils vous ont fournies ;
- obtenir une copie portable des données personnelles qu’ils ont fournies précédemment ;
- vous demander de rectifier des données personnelles inexactes ;
- s’opposer à la publicité ciblée et à la vente de données personnelles.
Changement au 1er juillet 2026 : une modification de 2025 du Utah Code § 13-61-201 (Laws of Utah 2025, chapitre 468) a ajouté le droit de faire rectifier les inexactitudes, compte tenu de la nature des données et des finalités du traitement. Ajoutez la rectification à votre politique de confidentialité et à votre formulaire de demande s’ils ne mentionnent que les droits d’origine.
L’Utah ne prévoit ni droit d’opposition au profilage ni procédure de recours obligatoire, et la suppression ne couvre que les données fournies par le consommateur. Vous pouvez offrir davantage, mais présentez les droits supplémentaires comme votre politique, et non comme des exigences de l’UCPA.
Selon les règles de réponse, donnez suite à une demande dans un délai de 45 jours. Vous pouvez prolonger ce délai une fois de 45 jours pour des demandes complexes ou nombreuses si vous en informez le consommateur avant la fin du premier délai. Si vous refusez, communiquez vos motifs dans les 45 jours. La première demande sur une période de 12 mois est gratuite.
Liste de contrôle pour votre site web
- Dossier sur le champ d’application : notez votre chiffre d’affaires, le critère lié aux données que vous remplissez et toute exemption, avec la date.
- Test d’opposition : opposez-vous à la publicité ciblée en tant qu’utilisateur test ; les balises publicitaires et les imports d’audience devraient s’arrêter pour cet utilisateur.
- Données sensibles : l’information et la possibilité d’opposition devraient apparaître avant qu’un formulaire ou une fonctionnalité ne collecte des données sensibles.
- Formulaire de droits : il devrait proposer la rectification en plus de l’accès, de la suppression, de la portabilité et des oppositions.
- Délai de réponse : enregistrez une demande test et vérifiez qu’elle reçoit une réponse sous 45 jours.
FAQ
L’UCPA exige-t-il un consentement pour chaque cookie ?
Non. Il ne prévoit aucune règle générale d’opt-in pour les cookies. Évaluez quelles données personnelles chaque outil traite et pourquoi, et vérifiez les autres lois qui s’appliquent à vos visiteurs.
Le partage de données avec un partenaire publicitaire constitue-t-il une vente ?
Seulement s’il s’agit d’un échange contre une contrepartie monétaire. L’Utah exclut aussi les communications aux sous-traitants et aux sociétés affiliées et, compte tenu du contexte, les communications qui correspondent aux attentes raisonnables du consommateur. La publicité ciblée est évaluée séparément.
S’opposer à la publicité ciblée signifie-t-il que toutes les publicités doivent disparaître ?
Non. Les publicités fondées sur l’activité sur vos propres sites ou sur des sites affiliés, les publicités contextuelles, les publicités affichées en réponse à une demande et la seule mesure publicitaire ne constituent pas de la publicité ciblée au sens de la définition de l’Utah.
Qui fait appliquer l’UCPA, et existe-t-il un délai de mise en conformité ?
La Division of Consumer Protection traite les plaintes et transmet les dossiers au procureur général, seul habilité à faire appliquer la loi. Le procureur général doit d’abord adresser un avis écrit avec un délai de 30 jours et ne peut pas engager de poursuites si vous remédiez à la violation et le confirmez par écrit. Il n’existe pas de droit d’action privé.
Et si nous sommes juste en dessous des seuils ?
L’UCPA ne s’applique pas, mais d’autres lois, des contrats et les règles des plateformes peuvent s’appliquer. Réévaluez la situation lorsque votre chiffre d’affaires ou vos volumes de données augmentent, ou si vous commencez à vendre des données personnelles.