Conformité CCPA et CPRA
Le CPRA a modifié le California Consumer Privacy Act à compter de janvier 2023, en y ajoutant le droit de rectification, un encadrement des données sensibles et une agence de contrôle dédiée. Pour un site web, le point essentiel est que la Californie fonctionne à l’inverse de l’Europe : le pistage peut commencer, et le visiteur doit disposer d’un moyen clair de mettre fin à la vente ou au partage de ses données personnelles.
- Californie, depuis janvier 2020
- Opt-out, et non opt-in
- Des seuils déterminent qui est concerné
À partir de 10 € par mois. Sans carte bancaire, sans facturation par visiteur.
Ce qu’exigent le CCPA et le CPRA
Ils s’appliquent aux entreprises à but lucratif qui atteignent un seuil de chiffre d’affaires ou de volume de données, si bien que de nombreux sites plus modestes y échappent totalement. Vérifiez s’ils vous concernent avant de développer quoi que ce soit.
- Indiquer quelles données personnelles vous collectez, et pourquoi
- Offrir un moyen clair de s’opposer à la vente et au partage
- Donner suite aux demandes d’accès, de suppression et de rectification
- Permettre aux consommateurs de limiter l’usage de leurs données sensibles
- Respecter un signal d’opt-out envoyé par le navigateur
Cette page explique ce qu’exige la loi et ce que fait notre logiciel pour y répondre. Elle ne constitue pas un conseil juridique et ne peut pas vous dire si votre organisation est en conformité, car cela dépend de tout ce que vous traitez par ailleurs.
Ce que fait Consent Studio
Pose la question californienne, pas l’européenne
Un visiteur californien peut s’opposer à la vente et au partage, au lieu de recevoir une demande de consentement préalable. Les valeurs par défaut suivent la région du visiteur : une seule configuration couvre les deux cas, sans que votre équipe ait à en maintenir deux.
- Par région du visiteur
- Une seule configuration
- Correct dans les deux cas
Respecte le signal du navigateur
Global Privacy Control est traité comme une demande d’opt-out valable, comme l’exige la réglementation californienne. C’est important, car le signal arrive avant toute réponse à la bannière, et un outil qui n’écoute que les clics passera complètement à côté.
- Global Privacy Control
- Aucun clic nécessaire
Enregistre l’opt-out
Un opt-out est une demande, et toute demande appelle une réponse et une preuve. L’enregistrement indique ce qui a été demandé et à quel moment : c’est ce qui permet de montrer, et pas seulement d’affirmer, que vous respectez les demandes d’opt-out.
- Horodaté
- Exportable
- Par demande
Là où les sites se trompent sur la Californie
La bannière européenne est affichée à tous
Cela passe pour de la prudence, mais c’est une lacune. Une demande de consentement préalable n’offre pas le mécanisme Do Not Sell or Share que demande la Californie : un site peut donc bloquer plus que nécessaire sans pour autant offrir le dispositif requis.
Le partage est confondu avec la vente
Le CPRA vise le partage à des fins de publicité comportementale intercontextuelle, et pas seulement la vente contre de l’argent. Un site qui ne se fait pas payer pour des données peut tout de même les partager, et c’est exactement ce que font la plupart des pixels publicitaires.
Le signal du navigateur est ignoré
Global Privacy Control est envoyé par le navigateur, et non cliqué dans votre bannière. Les outils qui ne réagissent qu’à une interaction avec la bannière ne le voient jamais, et la réglementation californienne y voit une demande d’opt-out valable, qui doit être respectée.
Essential
10 €/par mois
Pour un site unique qui doit être conforme, et le rester.
- Pages et affichages illimités
- 200 000 actions de consentement par mois
- La stack complète, pas une version allégée
Professional
36 €/par mois
Pour les équipes en croissance pilotées par la donnée, et les agences qui les accompagnent.
Essayer Professional gratuitementEnterprise
Dès 250 €/par mois
Pour un volume, ou une obligation, hors de portée d’un forfait standard.
Découvrir EnterpriseAgences et revendeurs
Achetez au tarif partenaire et refacturez chaque site client au prix que vous fixez.
Découvrir le programme partenairesSecteur public
Administrations, santé et éducation s’appuient sur Enterprise.
Voir Enterprise
Déployé là où s’appliquent des règles comme celles-ci, dans plus d’un pays
D’autres règles susceptibles de s’appliquer à vous
Questions fréquentes sur la Californie
Le CCPA s’applique-t-il à mon entreprise ?
Uniquement si vous êtes une entreprise à but lucratif qui exerce une activité en Californie et que vous atteignez l’un des seuils : un chiffre d’affaires brut supérieur à 25 millions de dollars, l’achat ou la vente des données personnelles d’au moins 100 000 consommateurs ou foyers, ou la moitié de votre chiffre d’affaires tirée de la vente ou du partage de ces données. De nombreux sites y échappent totalement.
Ai-je besoin d’une bannière de cookies en Californie ?
Pas au sens européen. Ce qui est exigé, c’est d’informer sur ce que vous collectez et d’offrir un moyen clair de s’opposer à la vente et au partage, généralement un lien « Do Not Sell or Share My Personal Information ». Le consentement préalable, avant tout chargement, est une exigence européenne, pas californienne.
Qu’entend-on par vente ou partage de données personnelles ?
La vente couvre la communication de données contre de l’argent ou une autre contrepartie de valeur, et le partage, leur communication à des fins de publicité comportementale intercontextuelle, même sans échange d’argent. La plupart des pixels publicitaires et de remarketing relèvent de la seconde catégorie, et c’est là que les sites se font piéger.
Devons-nous respecter Global Privacy Control ?
Oui. La réglementation californienne considère un signal d’opt-out envoyé par le navigateur comme une demande valable : il doit donc être respecté sans que le visiteur clique sur quoi que ce soit dans votre bannière. Plusieurs autres États américains exigent désormais la même chose, et c’est pourquoi nous l’appliquons dès le premier chargement de page plutôt qu’après une interaction.
Consent Studio nous rend-il conformes ?
Aucun outil ne le peut à lui seul, et tout fournisseur qui prétend le contraire cherche à vous vendre quelque chose. Consent Studio assure la part qui revient à une plateforme de consentement : demander comme il se doit, faire respecter la réponse par chaque balise, conserver la preuve et vous prévenir quand le site change. Ce que vous traitez ailleurs reste de votre ressort.
Où nos données de consentement sont-elles stockées ?
À Amsterdam, sur une infrastructure détenue et exploitée par Scaleway, une entreprise française. Ici, la propriété compte davantage que l’emplacement : Scaleway est une entreprise française indépendante, et non la filiale européenne d’un groupe américain, si bien que ni Scaleway ni nous ne relevons du CLOUD Act américain. Consent Studio est lui-même conçu aux Pays-Bas, à capitaux néerlandais.
Lancez-vous avec The Full Consent Stack
Tout ce dont vous avez besoin, en une seule offre. Consent Studio traite et stocke les données de consentement des visiteurs de l’UE sur l’infrastructure d’entreprises européennes, au sein de l’UE (Scaleway, France ; Bunny, Slovénie). C’est vous qui décidez, dans Launcher, quelles balises envoient ensuite des données, et vers où.
Lire la documentation
Notre centre d’aide détaille pas à pas chaque intégration, extension et modèle, captures d’écran à l’appui. Il est rédigé et tenu à jour par l’équipe qui développe Consent Studio.