Les États-Unis adoptent de nouvelles lois étatiques sur la protection de la vie privée
À l'approche de 2026, l'application des lois sur la protection de la vie privée aux États-Unis devrait s'intensifier. Les entreprises opérant dans plusieurs États sont confrontées à davantage d'obligations en raison des nouvelles lois et de l'évolution des réglementations visant à renforcer la protection de la vie privée des consommateurs.
Californie : élargissement des règles relatives à la protection de la vie privée et à la prise de décision automatisée
La Californie continue de définir la norme en matière de réglementation étatique sur la protection de la vie privée. En 2025, l'Agence californienne de protection de la vie privée (CPPA) a finalisé les réglementations relevant de la loi californienne sur la protection de la vie privée des consommateurs (CCPA) couvrant les technologies de prise de décision automatisée (ADMT), les évaluations des risques et les audits de cybersécurité. Ces réglementations sont entrées en vigueur au début de l'année 2026 et imposent des obligations spécifiques aux entreprises utilisant l'IA ou des systèmes algorithmiques qui remplacent en grande partie la prise de décision humaine.
Les principales exigences sont les suivantes :
Droit de retrait : les consommateurs doivent pouvoir se retirer lorsque l'ADMT est utilisé pour prendre des décisions qui les affectent de manière significative.
Supervision humaine : les entreprises doivent s'assurer qu'une personne habilitée peut interpréter et, si nécessaire, corriger les décisions prises par l'ADMT.
Évaluation des risques : les entreprises doivent évaluer les risques potentiels chaque fois qu'elles traitent des données personnelles sensibles, utilisent l'ADMT pour prendre des décisions importantes concernant les consommateurs, ou vendent ou partagent des données à caractère personnel.
Audits de cybersécurité : les règles définissent ce qui constitue un « risque important » et décrivent les mesures raisonnables à prendre pour protéger les données à caractère personnel.
En outre, la California Delete Act a introduit le système DROP, qui permet aux consommateurs de soumettre des demandes de suppression et de refus que les courtiers sont tenus d'honorer dans un délai de 45 jours. Les courtiers en données qui ne se conforment pas à cette obligation s'exposent à des amendes de 200 dollars par infraction, des sanctions qui peuvent rapidement s'alourdir pour les grandes bases de données.
L'environnement réglementaire a déjà fait l'objet d'une activité de contrôle importante, l'année 2025 ayant enregistré des règlements records, notamment :
Tractor Supply Company : 1,35 million de dollars pour ne pas avoir correctement informé les consommateurs et fourni des mécanismes de désinscription efficaces.
Healthline Media LLC : 1,55 million de dollars pour avoir partagé de manière inappropriée des données sensibles sur les consommateurs et ne pas avoir respecté les demandes de désinscription.
D'autres États rattrapent leur retard
Si la Californie reste la plus active, d'autres États ont introduit des lois complètes sur la protection de la vie privée, notamment l'Indiana, le Kentucky et le Rhode Island, qui entreront toutes en vigueur en 2026. Bien que ces lois ne s'écartent pas radicalement des cadres existants en matière de protection de la vie privée, les entreprises doivent rester vigilantes, car une application coordonnée entre les États pourrait augmenter le risque de sanctions.
La loi sur la protection de la vie privée des consommateurs de l'Oregon, entrée en vigueur mi-2024, ainsi que les rapports du ministère de la Justice de cet État, montrent un engagement fort des consommateurs et indiquent que les mesures coercitives se multiplient dans les États dotés de lois actives en matière de protection de la vie privée. De même, le Texas s'est imposé comme une autorité de premier plan en matière d'application des lois sur la protection de la vie privée, signe d'une tendance plus générale à un contrôle plus strict au niveau des États.
Évolutions au niveau fédéral
Au niveau fédéral, la FTC a modifié la loi sur la protection de la vie privée des enfants en ligne (COPPA) en 2025, élargissant les exigences en matière de contrôle parental et de transparence pour les sites web qui collectent des données auprès d'enfants de moins de 13 ans. Les délais de mise en conformité s'étendent jusqu'en 2026, et les entreprises participant à des programmes de sphère de sécurité approuvés par la FTC doivent accorder une attention particulière aux nuances de ces délais.
En outre, le ministère de la Justice a publié des règles et des directives limitant le transfert massif de données personnelles sensibles vers certains pays étrangers, reflétant ainsi les préoccupations en matière de sécurité nationale. Ces règles ont des implications pratiques pour la gouvernance des données, les accords contractuels et les transactions transfrontalières.
Points clés à retenir pour les entreprises
Réviser et mettre à jour les programmes de conformité : les nouvelles exigences de la Californie en matière d'ADMT, d'évaluation des risques et de cybersécurité nécessitent une documentation minutieuse et une surveillance opérationnelle.
Surveiller les obligations multi-États : avec l'introduction de lois complètes sur la protection de la vie privée dans l'Indiana, le Kentucky, le Rhode Island et d'autres États, les entreprises doivent s'assurer que leurs politiques répondent à des normes variables.
Se préparer à l'application de la loi : les amendes record infligées en 2025 démontrent que les régulateurs sont prêts à imposer des sanctions importantes en cas de non-conformité.
Restez informé des réglementations fédérales : les modifications apportées à la COPPA et les règles du ministère de la Justice concernant les transferts de données en masse ajoutent une couche supplémentaire de complexité pour les entreprises américaines et celles qui opèrent à l'international.
Pour les organisations qui traitent de grands volumes de données sur les consommateurs ou qui utilisent l'intelligence artificielle pour prendre leurs décisions, le moment est venu de réévaluer leurs politiques, de garantir la responsabilité du personnel et de mettre en place des mécanismes transparents pour les droits des consommateurs.
Comment Gerrish Legal peut vous aider?
Gerrish Legal est un cabinet juridique numérique et dynamique. Nous sommes fiers de prodiguer des conseils juridiques experts et de haute qualité à nos précieux clients. Nous sommes spécialisés dans de nombreux aspects du droit numérique tels que le RGPD, la confidentialité des données, le droit numérique et technologique, le droit commercial et la propriété intellectuelle.
Nous offrons aux entreprises le soutien dont elles ont besoin pour gérer leurs activités avec succès et en toute confiance tout en se conformant aux réglementations légales, sans avoir à se plier aux exigences numériques en constante évolution.
Nous sommes là pour vous aider, contactez-nous dès aujourd’hui pour plus d’informations.
Article de Nathalie Pouderoux, Consultante pour Gerrish Legal