Les nouvelles règles de confidentialité 2026 de la Californie couvrent désormais la paie, les données biométriques et de santé des employés

Si vous dirigez une petite entreprise en Californie et que vous pensiez que le droit de la protection des consommateurs était l'affaire des géants de la tech, 2026 est l'année où cette hypothèse cesse de tenir. Les données que votre entreprise collecte chaque jour sur ses employés et candidats — le numéro de sécurité sociale sur un formulaire W-4, l'empreinte digitale d'une pointeuse, le certificat médical pour un congé FMLA, ou même le CV qu'un candidat vous a envoyé par e-mail — relèvent désormais pleinement du droit californien de la confidentialité, et une nouvelle série de réglementations d'État entrant en vigueur le 1er janvier 2026 relève à nouveau la barre sur la manière dont ces données doivent être traitées.

Comment les données des employés se sont retrouvées couvertes par une loi sur la protection des « consommateurs »​

Lors de sa première adoption, le California Consumer Privacy Act (CCPA) accordait un répit aux employeurs : une exemption faisait que les données concernant leurs propres employés, candidats et sous-traitants étaient largement mises de côté, le temps que les législateurs élaborent des règles spécifiques à l'emploi. Cette exemption a toujours été temporaire, et elle a expiré le 1er janvier 2023, lorsque les amendements du California Privacy Rights Act (CPRA) sont pleinement entrés en vigueur. Depuis, les dossiers RH, les données de paie, les informations d'adhésion aux avantages sociaux et les systèmes de suivi des candidatures sont traités de la même manière que l'historique d'achat d'un client : comme des informations personnelles soumises aux règles d'accès, de suppression, de correction et de divulgation prévues par la loi.

Cette seule date d'expiration a transformé une quantité considérable de paperasse ordinaire des entreprises. Chaque formulaire I-9, chaque formulaire de virement direct, chaque évaluation de performance, chaque relevé de pointeuse biométrique — tout cela constitue désormais des informations personnelles qu'un employé a le droit légal de consulter, de corriger et, dans de nombreux cas, de faire supprimer.

Qui est réellement tenu de se conformer​

Toutes les petites entreprises ne sont pas concernées, et les seuils comptent bien plus que ce que laissent entendre les gros titres. Le CPRA s'applique à toute entreprise à but lucratif qui exerce une activité en Californie et collecte des informations personnelles de résidents californiens (y compris ses employés) si elle remplit au moins l'une de ces conditions :

• Chiffre d'affaires brut annuel supérieur à 25 millions de dollars (au 1er janvier de l'année civile), ou
• Achète, vend ou partage les informations personnelles de 100 000 consommateurs, foyers ou appareils californiens ou plus par an, ou
• Tire 50 % ou plus de son chiffre d'affaires annuel de la vente ou du partage d'informations personnelles de consommateurs

Beaucoup d'employeurs véritablement petits se situent en dessous de ces trois seuils et ne sont pas couverts. Mais le deuxième critère — 100 000 consommateurs, foyers ou appareils — englobe plus d'entreprises qu'on ne le pense, car les « appareils » peuvent inclure les visiteurs d'un site web suivis par des cookies, et pas seulement les clients ou les employés. Un cabinet de conseil de dix personnes avec un blog populaire ou une boutique e-commerce à fort trafic peut franchir ce seuil bien avant d'embaucher son centième employé. Si vous n'êtes pas sûr de votre situation, il vaut mieux le confirmer avec un avocat plutôt que de présumer que la loi ne s'applique pas à vous — l'exposition aux sanctions décrite plus bas est bien réelle et rend la devinette risquée.

Les droits dont disposent réellement les employés aujourd'hui​

Pour les employeurs couverts, les employés actuels et anciens, les candidats à l'embauche et les sous-traitants indépendants bénéficient des mêmes droits fondamentaux que la Californie accorde aux consommateurs :

• Droit de savoir quelles catégories d'informations personnelles vous collectez à leur sujet et pourquoi
• Droit d'accès à une copie des données précises que vous détenez sur eux
• Droit de rectification des informations inexactes
• Droit à l'effacement de leurs informations personnelles, sous réserve d'exceptions (vous pouvez toujours conserver ce dont vous avez besoin pour vos dossiers fiscaux, la conformité légale ou une procédure judiciaire en cours)
• Droit de limiter l'utilisation des informations personnelles sensibles — une catégorie qui inclut les numéros de sécurité sociale, les coordonnées de comptes financiers, la géolocalisation précise, l'origine raciale ou ethnique, les informations de santé et les données biométriques collectées à des fins d'identification

C'est cette dernière catégorie qui prend souvent au dépourvu les petits employeurs. Les pointeuses biométriques sont courantes dans le commerce de détail, la restauration, les entrepôts et le bâtiment, car elles réduisent le pointage frauduleux entre collègues. Sous le régime du CPRA, une empreinte digitale ou un scan de la main utilisé pour pointer une arrivée constitue une « information personnelle sensible », ce qui implique des obligations de notification et de limitation d'usage plus strictes qu'une simple feuille de temps.

En pratique, la conformité suppose un avis de confidentialité écrit expliquant ce que vous collectez et pourquoi, une procédure permettant aux employés de soumettre des demandes, et — c'est le point qui pose le plus souvent problème — au moins deux méthodes désignées pour soumettre ces demandes, dont l'une doit généralement être un numéro de téléphone gratuit, complétée par une deuxième option comme un formulaire web ou une adresse e-mail. Un post-it indiquant « écrivez aux RH » ne satisfait pas cette exigence.

Les nouvelles règles qui entrent en vigueur le 1er janvier 2026​

Au-delà des exigences de base du CPRA, la California Privacy Protection Agency a finalisé en 2025 un nouvel ensemble de règlements qui s'appliquent progressivement à partir du 1er janvier 2026, et qui touchent spécifiquement la manière dont les employeurs utilisent la technologie pour gérer leur personnel :

• Analyses de risque avant tout traitement à haut risque. Avant qu'une entreprise couverte ne commence (ou ne poursuive) une activité présentant un « risque significatif » — vendre ou partager des informations personnelles, traiter des informations personnelles sensibles, utiliser une technologie de prise de décision automatisée pour une décision importante, ou utiliser la biométrie à des fins de vérification d'identité —, elle doit réaliser une analyse de risque documentée. Si l'activité était déjà en cours avant le 1er janvier 2026, l'échéance de l'analyse est reportée au 31 décembre 2027, ce qui laisse une marge aux programmes existants.
• Les règles relatives à la technologie de prise de décision automatisée (ADMT), dont la mise en conformité est fixée au 1er janvier 2027. C'est le point que les services RH devraient surveiller de près : le tri des CV assisté par IA, les outils de planification algorithmique et les systèmes automatisés de notation des performances utilisés pour des « décisions importantes » relatives à l'emploi, à la rémunération ou aux mesures disciplinaires nécessiteront une notification au consommateur, un droit de retrait et un droit d'accès.
• Des audits de cybersécurité indépendants annuels, déployés progressivement selon le chiffre d'affaires, en commençant par les plus grandes entreprises en 2028 et en descendant vers les entreprises couvertes plus petites d'ici 2030.

Rien de tout cela n'exige un service de conformité digne d'une entreprise du Fortune 500. Mais cela signifie qu'une petite entreprise utilisant un outil de suivi des candidatures prêt à l'emploi avec classement des CV par IA, ou la fonctionnalité de pointage biométrique d'un prestataire de paie, doit vraiment lire ce que ce fournisseur fait des données — car c'est l'employeur, et non le fournisseur, qui est responsable devant ses employés et devant les régulateurs.

Un scénario réaliste : le groupe de restaurants avec une pointeuse à empreinte digitale​

Imaginez un groupe de restaurants de 40 employés avec trois établissements dans le comté de Los Angeles. Il utilise une pointeuse biométrique pour empêcher le pointage frauduleux entre collègues, une plateforme de suivi des candidatures avec tri des CV assisté par IA pour gérer un volume élevé de candidats horaires, et un prestataire de paie qui stocke les données de virement direct et de retenue fiscale. Pris isolément, rien de tout cela ne semble inhabituel — ce sont des opérations standard pour une entreprise de restauration multi-établissements. Mais vu à travers le prisme du CPRA : les empreintes digitales constituent des informations personnelles sensibles nécessitant une notification spécifique et une limitation d'usage ; le tri des CV par IA est exactement le type de technologie de prise de décision automatisée visé par les règlements de 2026-2027 ; et chaque formulaire W-4 et de virement direct dans le système de paie constitue désormais une information personnelle qu'un employé peut demander à consulter, corriger ou faire supprimer.

Si ce groupe franchit les seuils de chiffre d'affaires ou de volume de données du CPRA, aucun de ces trois systèmes ne peut continuer à fonctionner exactement tel quel sans un avis de confidentialité, une procédure documentée de traitement des demandes des employés et — une fois les règles ADMT en vigueur — un moyen d'informer les candidats qu'un algorithme note leur CV et de leur permettre de refuser. Rien de tout cela n'exige de supprimer la technologie. Cela exige de documenter ce que fait la technologie et d'offrir aux employés la visibilité et le contrôle que la loi leur garantit désormais.

Les candidats à l'embauche bénéficient des mêmes protections que les employés​

Il est tentant de penser que la « confidentialité des employés » commence le premier jour de l'emploi, mais la définition d'« employé » retenue par le CPRA à ces fins remonte bien plus tôt. Les candidats à l'embauche sont eux aussi couverts, ce qui compte pour toute entreprise effectuant des vérifications d'antécédents, utilisant un logiciel d'analyse de CV ou des évaluations pré-embauche. Un candidat écarté a le même droit de savoir quelles informations personnelles vous avez collectées durant le processus de recrutement, et — sous réserve d'exceptions comme une obligation légale de conservation en cours — le même droit de vous demander de les supprimer. Si votre système de suivi des candidatures conserve indéfiniment les CV écartés « au cas où », cette pratique de conservation est exactement le genre de chose qu'une analyse de risque de confidentialité est censée faire apparaître.

Là où les règles sur la prise de décision automatisée frappent le plus fort​

Les exigences relatives à l'ADMT méritent une attention particulière, car elles visent précisément les outils que les petites entreprises ont adoptés pour gagner du temps sur le recrutement et la planification : classement algorithmique des CV, notation automatisée des entretiens, logiciels de planification des équipes qui attribuent des heures en fonction d'un score de productivité, et outils de surveillance des performances qui signalent des employés à examiner sans intervention humaine préalable. Aucun de ces outils n'est interdit. Mais à partir du 1er janvier 2027, leur utilisation pour une « décision importante » — embauche, promotion, mesure disciplinaire ou licenciement — nécessitera de donner à la personne concernée un avis clair indiquant qu'une ADMT a été utilisée, un droit de retrait dans la plupart des cas, et un moyen de demander quels facteurs sont entrés dans la décision. Si votre panoplie d'outils RH inclut un outil qui se présente comme « propulsé par l'IA », c'est un signal fort qu'il mérite de figurer sur votre liste d'analyse de risque bien avant l'échéance de 2027.

Des sanctions bien réelles, même pour les petites structures​

L'application de ces règles n'est pas théorique. Les infractions peuvent entraîner des sanctions civiles allant jusqu'à 2 500 $par infraction non intentionnelle et jusqu'à 7 500$ par infraction intentionnelle, et les sanctions sont généralement évaluées par personne concernée — ce qui signifie qu'une demande de données mal traitée ou une violation de données non chiffrées touchant quelques centaines de dossiers d'employés peut vite représenter une somme importante pour une entreprise de cette taille. Le procureur général de Californie et la California Privacy Protection Agency disposent tous deux d'un pouvoir de sanction, et contrairement à certaines lois d'État, la Californie n'exige pas de période de mise en conformité formelle avant chaque type d'infraction.

Une liste de contrôle pratique pour démarrer​

Si vous êtes un employeur couvert (ou pensez être proche du seuil), voici par où commencer :

1. Faites l'inventaire de ce que vous collectez réellement. Paie, avantages sociaux, pointeuses biométriques, vérifications d'antécédents, évaluations de performance, données de suivi des candidatures — regroupez tout cela dans une seule liste avant de rédiger un avis à ce sujet.
2. Signalez séparément les informations personnelles sensibles. Numéros de sécurité sociale, informations de santé, données biométriques et numéros de comptes financiers requièrent un traitement supplémentaire.
3. Rédigez (ou mettez à jour) votre avis de confidentialité des employés pour refléter les catégories de données actuelles, leurs finalités et les durées de conservation.
4. Mettez en place au moins deux canaux de soumission des demandes, dont un numéro gratuit si vous êtes tenu d'en avoir un.
5. Demandez directement à vos fournisseurs de technologies RH et de paie si leurs outils utilisent la prise de décision automatisée pour des décisions d'embauche ou de performance, et obtenez cette information par écrit.
6. Notez dans votre calendrier l'échéance de l'analyse de risque applicable à votre entreprise — le 1er janvier 2026 pour les nouveaux traitements à haut risque, le 31 décembre 2027 pour les traitements antérieurs à la règle.

Gardez vos dossiers financiers aussi propres que votre programme de confidentialité des données​

Bien gérer les données des employés révèle souvent la même lacune que l'on retrouve en comptabilité : personne ne peut produire un registre clair et vérifiable de ce qui s'est passé, et quand. La même rigueur qui permet de répondre facilement à une demande de confidentialité — savoir exactement ce que vous avez, où cela se trouve et qui y a eu accès — est aussi ce qui rend la période fiscale indolore. Beancount.io vous offre une comptabilité en texte brut entièrement transparente et versionnée, afin que chaque dépense de paie et chaque coût d'avantages sociaux dispose d'une piste claire et vérifiable au lieu d'une boîte noire. Commencez gratuitement et découvrez pourquoi développeurs et chefs d'entreprise soucieux de leurs finances passent à la comptabilité en texte brut.