Le CCPA (California Consumer Privacy Act) est une loi de l’État de Californie, adoptée en 2018, qui encadre la collecte et l’usage des données personnelles des résidents californiens par les entreprises et leur accorde des droits de contrôle.
Le texte vise les entreprises à but lucratif qui exercent une activité en Californie. Elles doivent remplir au moins un critère : un chiffre d’affaires annuel supérieur à un seuil révisé tous les deux ans ; l’achat, la vente ou le partage des données personnelles d’au moins 100 000 résidents ou foyers californiens ; ou au moins la moitié du chiffre d’affaires tirée de la vente de ces données. Le CPRA (California Privacy Rights Act), approuvé par les électeurs en novembre 2020 sous le nom de Proposition 24, l’a modifié ; ses nouvelles protections s’appliquent depuis le 1er janvier 2023.
La loi reconnaît au consommateur six droits : savoir quelles données sont collectées, les faire supprimer, les faire rectifier, s’opposer à leur vente ou à leur partage, limiter l’usage des données sensibles et ne pas être discriminé pour avoir exercé ces droits. L’entreprise doit informer au moment de la collecte et, si elle vend ou partage des données, afficher un lien intitulé « Do Not Sell or Share My Personal Information ». Le procureur général de Californie et l’Agence californienne de protection de la vie privée (CPPA) en assurent l’application.
Le CCPA se distingue du RGPD par sa logique. Le règlement européen fait reposer chaque traitement sur l’une de six bases légales. La loi californienne n’exige pas de base légale préalable, mais limite la collecte à ce qui est nécessaire et proportionné à sa finalité. Elle organise surtout un droit d’opposition, sauf pour les mineurs de moins de 16 ans, dont les données ne peuvent être vendues qu’avec un accord préalable. Elle peut concerner les entreprises européennes qui atteignent ses seuils et visent des résidents californiens.
Les critères d’application portent sur l’activité en Californie et sur des seuils, pas sur le lieu du siège. Une marque française qui vend en ligne aux États-Unis peut donc entrer dans le champ de la loi. Selon l’Agence californienne de protection de la vie privée (CPPA, Updated Monetary Thresholds, 2024), le seuil de chiffre d’affaires est de 26 625 000 dollars depuis le 1er janvier 2025. L’agence révise ce montant chaque année impaire.
Nous recommandons de commencer par mesurer l’exposition réelle : nombre de résidents californiens dans les bases, part du trafic et des commandes venant de Californie, flux de données vers des partenaires américains. Cette mesure décide de la suite, de l’adaptation complète à la simple veille.
Le point le plus sous-estimé est la notion de partage. Selon la page du procureur général de Californie consacrée au CCPA (2026), le partage vise la publicité comportementale entre contextes. Il s’agit de publicité fondée sur l’activité d’une personne sur plusieurs sites. Il n’exige aucun paiement. Un pixel de reciblage qui transmet des données à un partenaire publicitaire relève donc du droit d’opposition, au même titre que le tracking comportemental en général.
La même page précise que l’entreprise doit traiter un signal de refus émis par le navigateur, comme le Global Privacy Control, comme une demande valable d’opposition. Ce mécanisme rappelle le Do Not Track, mais il est ici juridiquement opposable. La géolocalisation précise figure parmi les données sensibles.
Quatre repères permettent de piloter le dispositif. Ce sont des indicateurs que nous proposons, non des obligations.
Advalians construit avec vous une roadmap marketing à 18-24 mois validée par votre comité de direction : quels chantiers lancer, dans quel ordre, et à quoi renoncer.
Advalians, cabinet de conseil indépendant en marketing et communication, vous aide à clarifier vos choix et à décider.
Le RGPD exige une base légale avant tout traitement, alors que le CCPA organise surtout un droit d’opposition après la collecte. Le premier s’applique à tous les traitements d’une entreprise établie dans l’Union, y compris ceux qui portent sur des résidents californiens. Le second ne vise que les entreprises qui dépassent ses seuils et exercent une activité en Californie.
En pratique, un dispositif conforme au RGPD couvre une bonne part des exigences californiennes. Il faut y ajouter le lien d’opposition à la vente ou au partage, la lecture du signal de refus du navigateur et les délais de réponse propres à la loi.
Commencez par l’inventaire des données de résidents californiens et de leurs destinataires, puis adaptez le site en quatre étapes.
Vérifiez trois critères ; un seul suffit pour entrer dans le champ de la loi. Le chiffre d’affaires annuel est comparé au seuil publié par l’Agence californienne de protection de la vie privée. Il est de 26 625 000 dollars depuis le 1er janvier 2025 et révisé chaque année impaire. Comptez ensuite les résidents ou foyers californiens dont vous achetez, vendez ou partagez les données : le seuil est de 100 000. Calculez enfin la part du chiffre d’affaires tirée de la vente de données. Refaites ce calcul chaque année.
Ignorer le partage de données à des fins publicitaires est l’erreur la plus courante. Un pixel de reciblage peut constituer un partage, même sans paiement. Les autres manquements fréquents sont l’absence de lien d’opposition, l’oubli du signal de refus émis par le navigateur et le dépassement des délais de réponse. L’amende administrative se calcule par infraction : un manquement répété sur un site très fréquenté peut donc vite peser. Contrôlez au moins une fois par an la liste des balises présentes sur le site et la date de chaque réponse aux demandes.
Les deux options se défendent ; le critère est la part de votre audience américaine. Si elle est marginale, un traitement ciblé des résidents californiens limite le coût, au prix d’une détection géographique imparfaite. Si elle est importante, nous recommandons un dispositif unique, aligné sur la règle la plus exigeante entre RGPD et CCPA. Il est plus simple à maintenir et évite les erreurs de détection. Renoncez à toute adaptation seulement si l’entreprise reste durablement sous les trois seuils, et vérifiez ce point chaque année.
Modèles, grilles et guides prêts à l’emploi pour vos projets marketing et communication.
