Ce que 20 lois actives signifie réellement
Le paysage des lois américaines sur la confidentialité au niveau des États a évolué plus rapidement que la plupart des équipes de conformité ne l’anticipaient lorsque le CCPA californien est entré en vigueur en janvier 2020. En six ans, les États-Unis sont passés d’une loi complète sur la confidentialité à vingt — couvrant une population de consommateurs agrégée représentant la grande majorité des résidents américains économiquement actifs.
Trois États ont franchi la ligne d’arrivée le 1er janvier 2026 : l’Indiana, le Kentucky et le Rhode Island. L’Indiana SB 5 et le Kentucky HB 15 suivent largement le modèle de la Virginia Consumer Data Protection Act, qui est devenu la référence pour la plupart des lois complètes sur la confidentialité au niveau des États : seuils de 100 000 consommateurs ou tirant 50 % des revenus de la vente des données de 25 000 consommateurs, droits de désinscription pour la publicité ciblée et la vente de données, évaluations de protection des données pour les traitements à haut risque, et délai de cure de 30 jours pour les violations avant application. Le HB 7787 du Rhode Island fixe un seuil inférieur — 35 000 consommateurs ou 10 000 consommateurs tout en tirant plus de 20 % des revenus de la vente de données — et omet notamment la reconnaissance universelle de désinscription et les délais de cure.
Les cinq États qui ont amendé des lois existantes sur la confidentialité en 2025-2026 sont tout aussi importants pour les planificateurs de conformité. Le Connecticut a abaissé son seuil d’applicabilité de 100 000 à 35 000 clients et interdit la vente des données de mineurs. Le Colorado a supprimé son délai de cure de 60 jours à compter du 31 décembre 2025 — retirant le filet de sécurité sur lequel les équipes de conformité s’appuyaient pour la correction des erreurs. L’Oregon interdit désormais la vente de données de géolocalisation et de données personnelles de toute personne de moins de 16 ans. La Californie impose aux courtiers en données de traiter les demandes de suppression dans les 45 jours.
La tendance est claire : les seuils baissent, les délais de cure disparaissent, et de nouvelles catégories de données (géolocalisation, données de mineurs, données de santé) reçoivent une protection renforcée dans plusieurs États simultanément.
La réalité de l’application : 1,55 million, 85 000 et 1 milliard USD
Le passage d’une conformité volontaire à une application active n’est plus théorique. Trois actions coercitives de 2025 définissent le nouveau paysage :
Californie — 1,55 million USD (juillet 2025) : Le Bureau du procureur général de Californie a réglé avec un éditeur d’informations de santé en ligne pour le règlement CCPA le plus important à ce jour. Les violations : manquement à honorer les demandes de désinscription des consommateurs, partage inapproprié de données personnelles avec des tiers et — notamment — maintien d’un « bandeau de cookies inefficace » techniquement présent mais non fonctionnel. L’action coercitive a établi que la conformité cosmétique (avoir un bandeau, avoir une politique de confidentialité) n’est pas la même chose que la conformité opérationnelle.
Connecticut — 85 000 USD (2025) : Le procureur général du Connecticut a réglé avec un prestataire de billetterie dont l’avis de confidentialité était décrit comme « largement illisible » et dont le mécanisme de désinscription était « mal configuré ou inopérant ». Le procureur général avait précédemment envoyé un avis de carence que l’entreprise n’avait pas suffisamment traité. Le montant du règlement était modeste, mais la séquence d’application — avis de carence, échec à remédier, action formelle — a établi le modèle que le Connecticut appliquera à l’avenir.
Texas — plus de 1 milliard USD (2025) : Le Texas a signalé la posture d’application la plus agressive de tout procureur général d’État, réglant avec une grande entreprise technologique pour plus de 1 milliard USD en vertu du Texas Data Privacy and Security Act. Le Texas a explicitement décrit son paysage d’application comme « fort et actif ».
Publicité
Ce que les entreprises mondiales doivent faire en 2026
1. Cartographiez votre population de consommateurs américains par rapport à chaque seuil d’État applicable
L’analyse des seuils est plus complexe que « avons-nous des clients américains ? » La plupart des lois des États s’appliquent en fonction du nombre de consommateurs dont les données sont traitées — pas nécessairement du nombre de clients payants. Une entreprise qui exploite un outil gratuit ou collecte des données via une intégration d’analyse de site web peut traiter les données de bien plus de consommateurs américains que son nombre de clients ne le suggère. Le seuil de 35 000 consommateurs du Rhode Island signifie que des entreprises plus petites sont désormais dans le périmètre.
2. Auditez les mécanismes de désinscription pour leur fonctionnalité opérationnelle, pas seulement leur présence légale
Les actions coercitives de Californie et du Connecticut ont toutes deux ciblé des mécanismes de désinscription non fonctionnels — des systèmes qui semblaient conformes mais ne traitaient pas correctement les demandes des consommateurs. Les équipes de conformité doivent effectuer des tests fonctionnels trimestriels de chaque mécanisme orienté consommateur : outils de consentement aux cookies, liens de désinscription à la vente/au partage, formulaires de demande de suppression de données et flux de désabonnement par e-mail. La norme de test est de savoir si une demande de consommateur soumise via chaque mécanisme est réellement reçue, traitée et satisfaite dans le délai légal.
3. Publiez des avis de confidentialité qu’un non-juriste peut lire en moins de deux minutes
Le règlement de 85 000 USD du Connecticut reposait sur un avis de confidentialité décrit comme « largement illisible ». Les avis de confidentialité doivent décrire, en langage clair : quelles données personnelles sont collectées, dans quels buts, avec qui elles sont partagées, comment les consommateurs peuvent exercer leurs droits et combien de temps les données sont conservées. Un format d’avis de confidentialité à deux niveaux — résumé court en haut, divulgation détaillée en dessous — est désormais la norme de facto pour la conformité en matière de lisibilité.
4. Éliminez la dépendance au délai de cure comme stratégie de conformité
La suppression par le Colorado de son délai de cure de 60 jours à compter du 31 décembre 2025, et l’application par le Connecticut d’avis de carence restés sans réponse adéquate, établissent que le délai de cure est une ressource qui se réduit dans le paysage des États américains. Plusieurs États qui maintiennent actuellement des délais de cure les réexaminent dans le cadre de sessions législatives 2026. Les entreprises qui ont traité les délais de cure comme un filet de sécurité — s’appuyant sur la capacité à corriger les violations après un avis du procureur général — sont structurellement exposées au fur et à mesure que les délais de cure disparaissent.
La leçon structurelle : l’application multi-État simultanée est la nouvelle norme
Le paysage américain de la confidentialité a atteint un seuil qui rend la conformité État par État impraticable pour toute organisation traitant des données à l’échelle. Vingt lois, avec des exigences qui se chevauchent mais ne sont pas identiques, créent une matrice de conformité qui ne peut être gérée que par une approche de référentiel commun.
Le référentiel qui satisfait la combinaison la plus stricte des exigences actuelles des États — Californie, Connecticut, Colorado et Rhode Island — fonctionne comme une norme nationale de facto. Une organisation qui construit son programme de confidentialité pour satisfaire les exigences de ces quatre États sera automatiquement en conformité avec les États du modèle Virginia (Indiana, Kentucky et la plupart des autres), puisque le modèle Virginia est moins exigeant sur les seuils, les délais de cure et les protections renforcées des catégories de données.
L’investissement stratégique ne porte pas sur le suivi de chaque loi d’État — c’est une fonction juridique — mais sur la construction de l’infrastructure opérationnelle qui rend la conformité automatique : mécanismes de désinscription fonctionnels, avis en langage clair, flux de données documentés et flux de traitement des demandes respectant les délais de réponse légaux de 30 à 45 jours.
La vague d’application 2026, portée par les procureurs généraux des États qui ont désormais établi des antécédents d’application et une jurisprudence claire dans les actions de Californie, du Connecticut et du Texas, va s’accélérer. La marge de non-conformité qui existait pendant la phase de conformité volontaire des lois américaines sur la confidentialité des États a disparu.
Foire aux questions
Q : Les 20 lois des États s’appliquent-elles aux entreprises dont le siège est en dehors des États-Unis ?
Oui. La plupart des lois complètes américaines sur la confidentialité s’appliquent en fonction du lieu de résidence des consommateurs, et non du lieu du siège de l’entreprise. Une entreprise européenne ou algérienne qui traite des données de résidents de l’Indiana, du Kentucky ou du Rhode Island au-delà des seuils applicables est soumise aux lois de ces États. Le mécanisme pratique d’application est l’action d’enquête du procureur général — qui cible généralement les entreprises ayant une présence sur le marché américain ou des produits accessibles aux États-Unis, indépendamment du siège mondial.
Q : Existe-t-il des exemptions pour les petites entreprises ?
Oui, en général. La plupart des lois américaines sur la confidentialité incluent des seuils de revenus ou de volume de traitement conçus pour exempter les petites entreprises. L’Indiana et le Kentucky exigent 100 000 consommateurs ou des revenus provenant de la vente de données de 25 000 consommateurs. Le seuil inférieur de 35 000 consommateurs du Rhode Island signifie que davantage de petites entreprises entrent dans le périmètre.
Q : Quel est le risque pour une entreprise qui reçoit un avis de carence du procureur général et n’y répond pas adéquatement ?
L’affaire du Connecticut fournit la réponse : le procureur général a escaladé de l’avis de carence à l’action coercitive formelle, réglant pour 85 000 USD mais établissant un dossier d’application public. Au-delà du montant du règlement, la nature publique de l’action crée une exposition réputationnelle et, dans les juridictions où les ordonnances d’application sont publiques, un dossier permanent de non-conformité.
Sources et lectures complémentaires
- Toutes les lois complètes sur la confidentialité entrant en vigueur en 2026 — Multistate
- Protection des données en 2026 : l’application au niveau des États prend le devant de la scène — Smith Law
- Nouvelle année, nouvelles règles : exigences de confidentialité des États américains — IAPP
- Les lois sur la confidentialité marquent la nouvelle année : les exigences des États se développent — Baker Donelson
- Lois sur la protection des données 2026 — Smarsh
