Lois américaines sur la protection de la vie privée, destinées aux petites entreprises.

En octobre 2026, 19 États américains disposaient de lois complètes en matière de protection de la vie privée. Il s'agit de la Californie, de la Virginie, du Colorado, du Connecticut, de l'Utah, du Texas, de l'Oregon, du Montana, de l'Iowa, du Delaware, du Nebraska, du New Hampshire, du New Jersey, du Tennessee, du Minnesota, du Maryland, de l'Indiana, du Kentucky et du Rhode Island.

L'Oklahoma et la Louisiane disposent de lois qui entreront en vigueur le 1er janvier 2027, l'Alabama le 1er mai 2027 et le Vermont le 1er janvier 2028.

Les lois étatiques américaines sur la protection de la vie privée s'appliquent à une petite entreprise dès lors qu'elle dépasse un certain seuil fixé par l'État, lequel est généralement déterminé en fonction du nombre de consommateurs. De nombreux États fixent ce seuil à 100 000 consommateurs par an, tandis que d'autres le fixent à 35 000 ou 25 000. La plupart appliquent ce seuil à un nombre inférieur lorsque l'entreprise vend des données à caractère personnel. Le Texas et le Nebraska exemptent les petites entreprises selon la définition de la SBA, mais exigent tout de même le consentement avant toute vente de données sensibles.

Consultez le tableau figurant sur cette page en fonction du nombre de visiteurs et de clients que vous avez dans chaque État.

Aucune loi d'État américaine n'exige l'affichage d'une bannière de consentement avant le chargement des cookies pour les visiteurs majeurs. Les lois des États prévoient un modèle de « refus » (opt-out) pour la vente de données et la publicité ciblée.

Ces lois exigent un moyen clair de se désinscrire, un consentement explicite pour les données sensibles et, dans 10 États, le respect du « Global Privacy Control ». Plusieurs États ajoutent des règles plus strictes concernant les mineurs, telles que l’obligation d’obtenir le consentement pour la publicité ciblée destinée aux adolescents. Privacy Consent affiche le lien « Vos choix en matière de confidentialité », respecte le Global Privacy Control et demande d’abord l’avis de chaque visiteur lorsqu’un fournisseur traite des données sensibles.

Dix États exigent des entreprises qu'elles respectent les signaux universels de refus, tels que le Global Privacy Control. La Californie a été la première à appliquer cette règle, suivie du Colorado à compter du 1er juillet 2024, puis du Connecticut, du Texas, du Montana et du New Hampshire à compter du 1er janvier 2025.

Le New Jersey suivra le 15 juillet 2025, le Minnesota le 31 juillet 2025, puis l'Oregon et le Delaware le 1er janvier 2026. Le Vermont s'y joindra le 1er janvier 2028.

Le générateur de politique de confidentialité rédige une section consacrée au CCPA et au CPRA pour la Californie, et aucune section ne mentionne les autres lois des États. La politique énumère les données que vous collectez, les finalités, le partage des données et les droits des consommateurs, éléments exigés par toutes les lois des États.

Vérifiez que la procédure de recours et les modalités de désinscription sont conformes aux lois des États dans lesquels vous avez des clients.