Si votre entreprise collecte des adresses e-mail de clients, gère un programme de fidélité ou dépose un simple pixel de suivi sur son site web, le 1er juillet 2026 a discrètement modifié vos obligations légales — même si vous n'avez jamais entendu parler des lois sur la vie privée du Connecticut, de l'Arkansas ou de l'Utah. Ce qui a commencé comme une poignée de lois étatiques sur la vie privée visant les géants de la tech est devenu, en l'espace de deux ans, un patchwork de plus de 20 États qui touche désormais de plus en plus les petites entreprises ordinaires, et non plus seulement les géants du courtage de données.
La vague de mi-2026 diffère des précédentes sur un point important : les seuils qui déterminent qui est « couvert » continuent de baisser, et les catégories de données « sensibles » continuent de s'élargir. Une entreprise qui échappait sans risque à la réglementation en 2024 peut aujourd'hui se retrouver pleinement dans le champ d'application de la loi. Voici ce qui a réellement changé, à qui cela s'applique, et ce qu'il faut faire.
Ce qui a changé le 1er juillet 2026
Trois États — le Connecticut, l'Arkansas et l'Utah — ont vu des dispositions majeures de leurs lois sur la vie privée entrer en vigueur le 1er juillet 2026, s'ajoutant aux règles élargies de la Californie sur les courtiers en données, déployées plus tôt dans l'année. Ensemble, elles représentent la mise à jour de mi-année la plus importante en matière de vie privée depuis que les États ont commencé à adopter des législations complètes sur le sujet. Aucune de ces lois n'est identique, et aucune n'utilise les mêmes seuils ni les mêmes définitions, ce qui explique précisément pourquoi la conformité est devenue plus difficile, et non plus facile, à mesure que de nouveaux États s'y mettent.
Connecticut : le seuil vient de baisser considérablement
La loi sur la protection des données du Connecticut (CTDPA) a été modifiée par le SB 1295, et le changement majeur concerne le seuil d'applicabilité. Auparavant, la loi ne couvrait que les entreprises traitant les données personnelles d'au moins 100 000 résidents du Connecticut par an. À partir du 1er juillet, ce chiffre tombe à 35 000 résidents — une réduction de près des deux tiers qui fait entrer, pour la première fois, un nombre important de petites entreprises régionales et multi-États dans le champ d'application.
Il existe un second déclencheur, plus strict : si votre entreprise traite la moindre « donnée sensible » ou procède à une quelconque vente de données personnelles, vous êtes couvert quel que soit le volume. Cela signifie qu'une entreprise de cinq personnes traitant des informations sensibles pour ne serait-ce que quelques centaines de clients du Connecticut peut être soumise à la loi.
Le Connecticut a également élargi sa définition des données sensibles pour y inclure les pièces d'identité délivrées par le gouvernement, les numéros de comptes financiers, les numéros de sécurité sociale et — fait notable — les données neuronales (informations générées par des dispositifs d'interface cerveau-machine). Les données sensibles exigent désormais un consentement explicite avant la collecte et ne peuvent être vendues sans l'accord explicite du consommateur.
L'élément le plus novateur de l'amendement est une nouvelle exigence de transparence sur l'IA : les entreprises doivent indiquer dans leurs avis de confidentialité si elles collectent, utilisent ou vendent des données personnelles dans le but d'entraîner des grands modèles de langage. Si vous avez concédé sous licence des données clients à un fournisseur, utilisé une plateforme de chatbot qui s'entraîne sur vos saisies, ou signé un contrat contenant une clause d'« amélioration du modèle » enfouie dans les conditions, vous devez désormais le déclarer publiquement. Il s'agit de la première obligation de ce type imposée par un État, et d'autres devraient suivre.
Arkansas : une interdiction pure et simple de la publicité ciblée envers les mineurs
La loi sur la protection de la vie privée en ligne des enfants et des adolescents de l'Arkansas (ACTOPPA), également entrée en vigueur le 1er juillet, adopte une ligne plus dure que toute loi comparable existante. Pour les enfants de 12 ans et moins, la loi exige un consentement parental vérifiable avant toute collecte de données personnelles. Pour les adolescents de 13 à 16 ans, soit l'adolescent, soit un parent peut donner son consentement.
L'élément qui prend les entreprises au dépourvu est la règle sur la publicité : la publicité ciblée destinée aux mineurs est purement et simplement interdite par la loi, sans exception fondée sur le consentement, sans possibilité d'adhésion explicite, et sans contournement parental possible. Si votre entreprise mène une quelconque campagne de reciblage publicitaire, d'audiences similaires ou de publicité basée sur les centres d'intérêt, et que votre audience inclut des utilisateurs de moins de 17 ans, vous avez besoin de garde-fous adaptés à l'âge dans votre pile publicitaire — pas seulement d'une case à cocher dans vos conditions d'utilisation.
La collecte de données auprès des mineurs est également limitée à ce qui est « raisonnablement nécessaire » pour fournir le service, faisant écho au langage de minimisation des données qui apparaît dans la nouvelle vague de lois étatiques. Un élément de soulagement : seul le procureur général de l'Arkansas peut faire appliquer l'ACTOPPA — il n'existe aucun droit d'action privé, ce qui réduit (sans l'éliminer) l'exposition au contentieux.
Utah : droits de rectification et portabilité sur les réseaux sociaux
La contribution de l'Utah, le HB 418, modifie le Digital Choice Act de l'État en y ajoutant deux nouveaux droits pour les consommateurs. Premièrement, un droit de rectification des données personnelles inexactes — les consommateurs peuvent désormais demander à une entreprise de corriger des informations erronées les concernant, et non plus seulement de les supprimer ou de refuser leur vente. Deuxièmement, plus spécifique aux plateformes, de nouvelles exigences de portabilité et d'interopérabilité des données pour les services de réseaux sociaux, destinées à permettre aux utilisateurs de transférer leurs données entre plateformes concurrentes.
Pour la plupart des petites entreprises, c'est le droit de rectification qui compte réellement. Si vous conservez des dossiers clients — un CRM, une liste d'e-mails, une base de données de membres — vous aurez besoin d'un processus de réception et de vérification pour les demandes de rectification, similaire à ce que de nombreuses entreprises ont déjà mis en place pour les demandes de suppression au titre des lois sur la vie privée précédentes.
Californie : les courtiers en données doivent désormais nommer les noms
Les règles californiennes sur les courtiers en données, renforcées par le SB 361 et déployées tout au long de 2026, obligent les courtiers en données enregistrés à divulguer non seulement les catégories de données qu'ils collectent, mais aussi s'ils ont partagé ou vendu ces données à des acteurs étrangers, des entités gouvernementales, des forces de l'ordre ou des développeurs d'IA générative. Le terme « acteur étranger » vise spécifiquement les entités liées à des nations adverses, notamment la Chine, la Russie, l'Iran et la Corée du Nord.
Cela concerne principalement les entreprises qui répondent à la définition légale californienne d'un courtier en données — des entreprises qui vendent des données de consommateurs à des tiers avec lesquels elles n'ont aucune relation directe. Mais si votre entreprise travaille avec un courtier en données en tant que fournisseur, ou revend des données clients enrichies dans le cadre de son modèle de revenus, il vaut la peine de vérifier si cette qualification s'applique à vous avant la prochaine échéance annuelle d'enregistrement auprès de la CPPA.
Ces lois s'appliquent-elles réellement à vous ?
C'est la question qui déroute la plupart des propriétaires de petites entreprises, car la réponse honnête est « cela dépend d'où vivent vos clients, pas d'où se trouve votre entreprise ». Les lois étatiques sur la vie privée s'appliquent généralement en fonction de la résidence des personnes dont vous traitez les données, et non de l'État d'origine ou de la taille de votre entreprise au sens traditionnel.
Voici quelques signaux pratiques indiquant que vous pourriez être concerné quelque part :
- Vous avez des clients, des abonnés e-mail ou des visiteurs de site web dans le Connecticut, et vous traitez l'une des catégories de données sensibles récemment élargies (informations financières, pièces d'identité gouvernementales, données de santé).
- Votre marketing touche des utilisateurs de moins de 17 ans en Arkansas — y compris via des plateformes publicitaires tierces que vous n'avez pas construites vous-même.
- Vous conservez des dossiers clients pour des résidents de l'Utah et n'avez pas mis en place de processus de demande de rectification.
- Vous utilisez un courtier en données, un réseau publicitaire ou un fournisseur de location de listes quelconque et n'avez jamais demandé ce qu'il fait de ces informations.
Si aucun de ces cas ne s'applique, vous pourriez véritablement être hors du champ d'application pour l'instant — mais « pour l'instant » porte une lourde charge dans cette phrase, étant donné la vitesse à laquelle les seuils ont chuté.
Une liste de contrôle pratique pour la conformité
Vous n'avez pas besoin d'un service de conformité pour faire les choses correctement dès le départ. Commencez ici :
- Faites l'inventaire de ce que vous collectez. Vous ne pouvez pas respecter des règles par catégorie de données que vous n'avez pas cartographiées. Répertoriez chaque endroit où des données clients entrent dans votre entreprise — formulaires de site web, systèmes de point de vente, inscriptions par e-mail, pixels publicitaires.
- Vérifiez vos contrats fournisseurs à la recherche de clauses sur l'entraînement de l'IA. Si vous utilisez un CRM, un chatbot ou un outil d'analyse, recherchez les clauses concernant l'utilisation de vos données pour « améliorer » ou « entraîner » des modèles. Le Connecticut vous oblige désormais à le déclarer publiquement.
- Mettez à jour votre politique de confidentialité. Ajoutez, le cas échéant, une mention de divulgation sur l'entraînement des LLM, et assurez-vous que votre politique reflète réellement ce que vous faites — les régulateurs comparent de plus en plus le texte des politiques avec les pratiques réelles.
- Mettez en place un processus de demande léger. Une seule adresse e-mail ou un seul formulaire permettant aux clients de demander la rectification, la suppression ou le refus de la vente de leurs données couvre la plupart des obligations à travers les États.
- Segmentez le ciblage publicitaire pour les mineurs si pertinent. Si votre audience penche vers les jeunes, désactivez les publicités basées sur les centres d'intérêt et le reciblage pour ce segment, plutôt que d'essayer de construire une exception État par État.
Gardez vos registres financiers aussi propres que votre politique de confidentialité
La conformité en matière de vie privée et la tenue de registres financiers reposent sur la même discipline sous-jacente : savoir exactement ce que vous collectez, où cela se trouve, et qui peut le voir. Beancount.io apporte cette même transparence à vos livres grâce à une comptabilité en texte clair, versionnée, auditable et exempte de tout verrouillage propriétaire — pas de boîte noire, pas de conjecture sur ce qui a changé ou quand. Commencez gratuitement et gardez vos données financières aussi bien organisées que votre programme de conformité.