Vingt États disposent désormais de lois complètes sur la confidentialité des données, et depuis le 1er janvier 2026, cette liste s'est élargie pour inclure l'Indiana, le Kentucky et le Rhode Island. Si vous dirigez une petite entreprise et que votre vision de la « conformité en matière de confidentialité des données » se résume encore à « c'est un truc californien, et je n'ai pas 25 millions de dollars de chiffre d'affaires, donc ça ne me concerne pas », cela vaut la peine d'y regarder de plus près. Les règles qui comptent le plus pour un petit employeur ne concernent plus vraiment vos clients — elles concernent les numéros de sécurité sociale, les coordonnées bancaires, les notes médicales et les relevés biométriques de pointeuse de vos propres employés, qui se trouvent quelque part dans un dossier (ou un tableau de bord SaaS) de votre système RH.
Ce qui rend les choses confuses, c'est que ces lois ne traitent pas les « données des employés » de la même manière d'un État à l'autre. La Californie intègre les dossiers RH dans sa loi générale sur la confidentialité des consommateurs. Le Colorado et la Virginie excluent en grande partie les dossiers d'emploi de leurs lois générales sur la confidentialité — mais le Colorado vient d'ajouter une exception étroite et agressive concernant les données biométriques, qui prend de nombreuses petites entreprises au dépourvu. Que vous soyez comptable, responsable des opérations ou propriétaire touchant à la paie, voici ce qui a réellement changé, qui est concerné, et ce qu'il faut faire avant qu'une plainte d'employé (ou l'avocat d'un plaignant) n'en fasse votre problème.
Pourquoi les « données des employés » étaient un angle mort
Lorsque les États ont commencé à adopter des lois complètes sur la confidentialité — la Virginie et le Colorado en 2021, la plupart des autres dans les années qui ont suivi — presque tous ont repris une structure similaire : définir un « consommateur », accorder aux consommateurs des droits (accès, suppression, rectification, opt-out de la vente), et exiger des entreprises qui contrôlent des données personnelles qu'elles respectent ces droits.
Mais presque toutes ces lois, à l'exception de celle de la Californie, définissent explicitement le « consommateur » de manière à exclure toute personne agissant dans un contexte d'emploi. La loi du Colorado le dit directement, tout comme celle de la Virginie. La logique était que les relations de travail sont déjà régies par le droit du travail, si bien que les législateurs ne voulaient pas dupliquer les cadres existants. L'effet concret : un employé à Richmond ou à Denver ne peut généralement pas invoquer la loi de son État sur la confidentialité des consommateurs pour exiger que son employeur supprime son dossier personnel, corrige une évaluation de performance, ou explique ce qu'un outil d'analyse interne a déduit à son sujet.
La Californie a pris la direction opposée. Lorsque l'exemption sur les données des employés du California Consumer Privacy Act a expiré le 1er janvier 2023, le California Privacy Rights Act a étendu l'ensemble complet des droits des consommateurs — accès, suppression, rectification, opt-out et plus encore — aux employés, aux candidats à l'embauche et aux travailleurs indépendants. Pour un employeur californien concerné, un employé dispose désormais essentiellement des mêmes droits sur son dossier RH qu'un client sur son historique d'achats.
Cette divergence compte, car elle signifie que la question « suis-je concerné ? » n'a pas de réponse nationale unique — c'est une question qui se pose État par État, et de plus en plus, type de donnée par type de donnée.
Californie : le seul État où les données RH sont pleinement concernées
Si vous avez des employés ou des travailleurs indépendants résidant en Californie, commencez ici.
Qui est concerné. Le CCPA/CPRA s'applique à toute entreprise à but lucratif qui exerce une activité en Californie et qui remplit au moins l'un des trois critères suivants : (1) plus de 25 millions de dollars de chiffre d'affaires brut annuel, (2) achète, vend ou partage les informations personnelles de 100 000 consommateurs ou foyers californiens ou plus par an, ou (3) tire 50 % ou plus de son chiffre d'affaires annuel de la vente ou du partage d'informations personnelles. De nombreuses petites entreprises supposent que le seuil de 25 millions de dollars signifie qu'elles sont exemptées — mais les deuxième et troisième critères n'ont rien à voir avec le chiffre d'affaires, et une entreprise utilisant des pixels publicitaires ou des outils d'analyse qui « partagent » des données avec des tiers peut franchir le seuil des 100 000 personnes plus vite que prévu, une fois que les employés, les candidats à l'embauche et les visiteurs du site sont tous comptabilisés ensemble.
Ce qui est désormais requis spécifiquement pour les données RH. Les employeurs concernés doivent fournir aux employés et aux candidats un avis de confidentialité décrivant les catégories d'informations personnelles collectées et les raisons de cette collecte, honorer les demandes d'accès, de rectification ou de suppression des informations personnelles (sous réserve des exceptions légales de conservation — vous ne pouvez pas supprimer des dossiers fiscaux ou de paie que vous êtes tenu de conserver), et obtenir un consentement avant certaines utilisations de données personnelles sensibles telles que les numéros de sécurité sociale, la géolocalisation précise ou les données de santé.
Le changement de 2026 à surveiller : les évaluations des risques pour les outils automatisés. Depuis le 1er janvier 2026, la Californie exige une évaluation documentée des risques en matière de confidentialité avant d'utiliser une technologie de décision automatisée (ADMT) pour prendre une « décision significative » concernant un candidat, un employé ou un travailleur indépendant — pensez aux logiciels de tri de CV, à la notation d'entretiens vidéo, ou aux outils algorithmiques de planification et de performance. La conformité complète à l'ADMT (comme donner aux travailleurs un moyen de refuser ou de contester une décision automatisée) sera mise en place progressivement jusqu'au 1er janvier 2027, mais l'obligation d'évaluation pour les traitements antérieurs à 2026 est due d'ici la fin de 2027. Si votre entreprise utilise un système de suivi des candidatures avec un classement de CV « propulsé par l'IA », ou un outil de gestion de la main-d'œuvre qui génère automatiquement des scores de performance, c'est la partie de la loi la plus facile à manquer, car elle est cachée dans les outils, pas dans la paperasse.
Colorado : les dossiers d'emploi sont exemptés — sauf pour la biométrie
Le Colorado Privacy Act, comme celui de la Virginie, exclut généralement les informations concernant une personne en sa qualité de candidat à l'embauche ou d'employé. Cette exemption reste la règle générale. Ce qui a changé, c'est un amendement étroit mais lourd de conséquences : le HB24-1130, le Privacy of Biometric Identifiers and Data Act, en vigueur depuis le 1er juillet 2025.
Cette loi supprime les seuils de taille habituels — peu importe le nombre de résidents du Colorado dont vous traitez les données ; si vous collectez un identifiant biométrique (une empreinte digitale, une connexion par reconnaissance faciale, une pointeuse à géométrie de la main) auprès d'un résident du Colorado, y compris un employé, vous êtes concerné. Avant de la collecter, vous devez fournir un avis et obtenir un consentement affirmatif, spécifique et éclairé — pas une simple ligne noyée dans un livret d'accueil. Les employeurs ne peuvent conditionner l'emploi au consentement biométrique que pour des raisons de sécurité étroitement définies, comme l'accès à un site sécurisé ou à du matériel sécurisé ; vous ne pouvez pas l'exiger pour suivre la localisation d'un employé ou surveiller le temps qu'il passe à utiliser une application. Vous avez également besoin d'une politique écrite et accessible au public couvrant les calendriers de conservation, les procédures en cas d'incident de sécurité et les pratiques de suppression des données biométriques.
Qui est réellement concerné : les petits fabricants, entrepôts, restaurants et cliniques qui utilisent des pointeuses à empreinte digitale ou à reconnaissance faciale au lieu de badges — une méthode courante pour empêcher le pointage frauduleux entre collègues — ainsi que toute entreprise utilisant un accès biométrique aux bâtiments ou des connexions biométriques aux systèmes de caisse. Si c'est votre cas, le raisonnement « je n'ai pas 25 millions de dollars de chiffre d'affaires », qui vous met à l'abri de la plupart des lois sur la confidentialité, ne s'applique absolument pas ici.
Virginie : surveillez la tendance, pas (encore) une obligation
Le Consumer Data Protection Act de Virginie conserve son exclusion générale pour les dossiers d'emploi, et il n'existe pas, en 2026, d'équivalent virginien à la dérogation biométrique du Colorado. La raison de rester vigilant malgré tout est la tendance observée : le Colorado a retiré une partie de l'exemption relative à l'emploi dès qu'un type de données spécifique (la biométrie) est devenu un risque visible. L'Illinois dispose depuis plus d'une décennie d'une loi dédiée à la confidentialité biométrique assortie d'un droit d'action privé, et elle a donné lieu à certains des plus importants règlements amiables liés à la confidentialité en matière d'emploi du pays. Que la Virginie, ou un autre État, se dote de sa propre exception sur les données des employés — pour la biométrie, pour les outils de recrutement basés sur l'IA, ou pour autre chose — n'est qu'une question de temps. Prendre dès maintenant l'habitude de documenter quelles données d'employés vous collectez et pourquoi vous évitera de vous précipiter le jour où votre État emboîtera le pas.
Une liste de contrôle pratique pour les petits employeurs
Pas besoin d'un service de conformité pour bien poser les bases :
- Faites l'inventaire de ce que vous collectez réellement. Les numéros de sécurité sociale et coordonnées bancaires pour la paie, les informations de santé pour les demandes de congé, les données biométriques de toute pointeuse ou système d'accès, et tout ce qu'une plateforme RH ou ATS déduit automatiquement (comme un « score d'engagement » ou un classement automatisé des candidats).
- Vérifiez votre pointeuse. Si elle scanne une empreinte digitale ou un visage, vous avez probablement besoin d'une politique biométrique écrite et d'un consentement documenté, quel que soit votre chiffre d'affaires.
- Lisez vos contrats avec les fournisseurs. Les prestataires de paie, les services de vérification des antécédents et les systèmes de suivi des candidatures doivent s'engager contractuellement à protéger les données que vous leur confiez — être « conforme SOC 2 » est un bon début, mais ne remplace pas un accord écrit de traitement des données.
- Si vous avez des employés en Californie, mettez en place dès maintenant le processus de traitement des demandes. Quelqu'un doit être responsable de répondre à une demande d'accès, de rectification ou de suppression dans le délai légal, et quelqu'un doit savoir quels dossiers vous êtes légalement tenu de conserver malgré une demande de suppression (les dossiers fiscaux, par exemple).
- Ne comptez pas sur « l'État exempte les dossiers d'emploi » comme protection permanente. C'est vrai aujourd'hui dans la plupart des États, mais le Colorado vient de montrer à quelle vitesse une exception étroite peut apparaître.
La place de la comptabilité dans l'histoire de la conformité
Rien de tout cela ne concerne vraiment un logiciel de comptabilité — il s'agit de savoir quelles données sensibles se trouvent où, et d'être capable de justifier votre démarche si un régulateur ou un employé vous le demande un jour. C'est autant un problème de tenue de dossiers qu'un problème juridique. Si vos registres financiers vivent dans des formats propriétaires et opaques, éparpillés entre plusieurs outils, il est vraiment difficile d'auditer qui a accès à quoi, ou de prouver que vous ne conservez pas de données plus longtemps que ne le prévoit votre politique.
Beancount.io adopte l'approche inverse : une comptabilité en texte brut et versionnée où chaque écriture est transparente, auditable et sous votre contrôle — aucun fournisseur boîte noire ne retient votre historique financier en otage. Cela n'écrira pas votre politique de consentement biométrique, mais si « qui peut voir ces données, et pendant combien de temps » est une question à laquelle vous voulez pouvoir répondre clairement dans toute votre entreprise, commencer par des registres financiers que vous possédez entièrement est un bon moyen de prendre cette habitude. Commencez gratuitement et découvrez à quoi ressemble la comptabilité en texte brut en pratique.