Si votre entreprise collecte des données de santé, des scans biométriques ou des numéros d'identification gouvernementaux auprès de seulement quelques résidents du Connecticut, une loi entrée en vigueur le 1er juillet 2026 pourrait bien vous avoir placé dans l'un des régimes de protection des données les plus stricts du pays, quelle que soit votre taille.
La loi sur la protection des données du Connecticut (CTDPA) existe depuis 2023, mais les amendements de juillet dernier ont réécrit les règles de trois manières cruciales pour les petites et moyennes entreprises : le seuil de taille pour être couvert a été abaissé, la définition des « données sensibles » a été élargie pour inclure les données neurales, et toute entreprise utilisant l'IA sur des données clients doit désormais le déclarer dans un langage clair. Les entreprises qui pensaient que le CTDPA était un « problème de grande entreprise » doivent revoir cette hypothèse dès maintenant.
Pourquoi Cette Loi S'applique Désormais aux Entreprises Auparavant Exemptées
Le CTDPA original ne s'appliquait qu'aux entités traitant les données personnelles de 100 000 consommateurs ou plus du Connecticut, ou de 25 000 consommateurs si l'entreprise tirait plus de 25 % de ses revenus de la vente de données. Ce seuil exemptait en pratique la plupart des petites entreprises.
L'amendement de 2026 supprime cette exemption. Depuis le 1er juillet 2026, le CTDPA s'applique à toute entité faisant des affaires dans le Connecticut qui remplit l'une quelconque de ces trois conditions :
- A traité les données personnelles de 35 000 consommateurs ou plus au cours d'une année civile (contre 100 000 auparavant), à l'exclusion des données traitées uniquement pour effectuer une transaction de paiement
- A traité une quelconque quantité de données sensibles, quel que soit le nombre de consommateurs — même un seul
- A proposé des données personnelles à la vente, en quelque volume que ce soit
Ce deuxième déclencheur est celui qui prend les petites entreprises au dépourvu. Il n'y a pas de seuil minimal. Un service de facturation médicale de cinq personnes, un studio de fitness de boutique qui stocke des formulaires de bilan de santé, ou une agence de recrutement locale effectuant des vérifications d'antécédents avec des numéros d'identification gouvernementaux peuvent déclencher les obligations du CTDPA même s'ils ne servent que quelques centaines de clients dans le Connecticut.
Ce qui est Considéré comme « Données Sensibles » Désormais — Incluant les Données Neurales
L'amendement a considérablement élargi la catégorie des données sensibles qui déclenche la couverture quel qu'en soit le volume. Elle inclut désormais :
- L'origine raciale ou ethnique, les croyances religieuses, et les conditions ou diagnostics de santé
- L'orientation sexuelle et l'identité de genre
- La citoyenneté ou le statut d'immigration
- Les données neurales — signaux provenant du cerveau ou du système nerveux d'une personne, y compris les données collectées par des appareils de neurotechnologie grand public comme les bandeaux EEG, les dispositifs portables de méditation ou les interfaces cerveau-ordinateur
- Les données biométriques (empreintes digitales, empreintes vocales, géométrie faciale) et les données génétiques
- La géolocalisation précise
- Les numéros d'identification délivrés par le gouvernement
- Les numéros de compte financier et les identifiants de connexion
- Les données personnelles d'un mineur connu âgé de 13 à 17 ans
- Le statut de victime d'un crime
Les données neurales sont l'ajout qui fait les gros titres, et le Connecticut est l'un des premiers États à les réglementer explicitement en tant que données personnelles sensibles. Si votre produit touche aux technologies de bien-être, aux applications de méditation, aux dispositifs portables de suivi de la concentration, ou à toute interface cerveau-ordinateur, vous êtes directement concerné. Mais ne négligez pas les catégories plus courantes — les conditions de santé, les identifiants gouvernementaux et les informations d'identification financière apparaissent constamment dans la tenue de registres des petites entreprises (formulaires I-9 des employés, formulaires d'admission des clients, documents d'assurance), ce qui explique pourquoi le déclencheur « toute quantité » est si important.
La Nouvelle Obligation de Divulgation pour l'Entraînement de l'IA et des LLM
Indépendamment de l'élargissement des données sensibles, l'amendement ajoute une obligation de divulgation directement liée à l'essor de l'IA. Les avis de confidentialité doivent désormais indiquer, de manière apparente et accessible aux personnes handicapées, si l'entreprise utilise les données personnelles des consommateurs pour :
- Entraîner des grands modèles de langage ou d'autres systèmes d'IA
- Créer des profils utilisés pour la prise de décision automatisée
- Soutenir la publicité ciblée
Cela s'applique même si votre utilisation de l'« IA » se limite à alimenter un pipeline d'ajustement avec des transcriptions de support client ou à utiliser un outil d'IA tiers qui s'entraîne sur les données que vous lui téléchargez. Si vous ne savez pas si votre CRM, votre fournisseur de chatbot ou votre plateforme d'analyse entraîne des modèles sur les données de vos clients, c'est le moment de le découvrir — votre avis de confidentialité doit répondre à cette question, que vous vous la soyez posée en interne ou non.
Les consommateurs ont également obtenu de nouveaux droits dans le cadre de l'amendement : le droit de refuser le profilage utilisé pour des décisions ayant des effets juridiques ou similaires significatifs (crédit, emploi, logement, assurance, soins de santé), le droit de demander une explication d'une décision automatisée, et le droit d'obtenir une liste des tiers spécifiques ayant reçu leurs données — une norme plus stricte que le simple fait de nommer des catégories de destinataires.
Autres Changements Opérationnels à Connaître
Évaluations d'impact du profilage. Les entreprises qui utilisent le profilage pour des décisions juridiquement significatives doivent réaliser une évaluation d'impact documentée pour tout traitement de ce type généré après le 1er août 2026. Il ne s'agit pas d'un simple exercice de case à cocher — les régulateurs s'attendent à un enregistrement écrit des risques examinés et des mesures d'atténuation appliquées.
Protection renforcée des mineurs. La publicité ciblée et la vente de données appartenant à toute personne âgée de 13 à 17 ans sont désormais formellement interdites — le consentement n'y remédie pas. L'amendement restreint également les fonctionnalités de conception visant à « maximiser l'engagement » (défilement infini, lecture automatique, séquences et mécanismes similaires) destinées aux mineurs.
La période de remédiation de 60 jours a disparu. En vertu du CTDPA original, les entreprises en situation de non-conformité bénéficiaient d'un délai garanti de 60 jours pour résoudre le problème avant que le procureur général ne puisse engager des poursuites. Cette garantie a expiré et les autorités de contrôle ne sont plus tenues de vous donner un avertissement. Le procureur général du Connecticut a déjà émis au moins une pénalité publique (un règlement de 85 000 $ pour un avis de confidentialité déficient) en vertu de la loi antérieure aux amendements, et le champ d'application plus large de la loi modifiée, combiné à la perte de la période de remédiation, signifie que davantage d'entreprises sont exposées à ce type d'action avec moins de marge pour corriger les erreurs discrètement.
Pénalités. Les pénalités civiles peuvent atteindre 5 000 par infraction non volontaire, évaluées par infraction — ce qui peut s'accumuler rapidement sur l'ensemble d'une clientèle, d'un ensemble de contrats de fournisseurs ou d'un avis de confidentialité de plusieurs pages présentant plusieurs lacunes.
Une Liste de Contrôle de Conformité Pratique pour les Petites Entreprises
Vous n'avez pas besoin d'un service de conformité pour faire l'essentiel correctement. Suivez ces étapes :
- Inventoriez ce que vous collectez réellement. Listez chaque catégorie de données personnelles que vous traitez — dossiers clients, fichiers employés, formulaires W-9 des fournisseurs, formulaires d'admission, données d'appareils portables ou d'applications. Signalez tout ce qui entre dans la liste élargie des données sensibles, en particulier les données de santé, les identifiants gouvernementaux, les informations d'identification financière ou (si pertinent pour votre produit) les données neurales.
- Comptez votre empreinte dans le Connecticut. Même si vous êtes loin d'atteindre 35 000 consommateurs, vérifiez si vous traitez des données sensibles ou vendez des données personnelles — l'un ou l'autre déclencheur s'applique sans volume minimum.
- Auditez votre pile IA et de fournisseurs. Demandez à chaque outil SaaS, chatbot et fournisseur d'analyse que vous utilisez si les données clients que vous leur envoyez entraînent leurs modèles. Obtenez la réponse par écrit ; vous en aurez besoin pour rédiger une divulgation précise.
- Mettez à jour votre avis de confidentialité. Ajoutez une déclaration apparente et accessible concernant l'utilisation de l'IA/LLM, le profilage et la publicité ciblée — ne l'enfouissez pas dans un jargon juridique dense qui pourrait lui-même déclencher une réclamation pour lacune, comme le précédent règlement de 85 000 $ du Connecticut.
- Mettez en place un processus de refus et d'explication. Vous avez besoin d'un mécanisme réel et fonctionnel permettant aux consommateurs de refuser le profilage pour des décisions importantes et de demander une explication — pas seulement une phrase promettant qu'il existe.
- Documentez vos évaluations d'impact du profilage si vous utilisez la prise de décision automatisée pour le crédit, l'emploi, l'assurance, les soins de santé ou les résultats liés au logement.
- Examinez toute fonctionnalité destinée aux mineurs. Si des adolescents utilisent votre produit, supprimez les publicités ciblées et l'exposition à la vente de données pour cette tranche d'âge entièrement, et reconsidérez les mécanismes d'engagement qui leur sont destinés.
Le Connecticut n'agit pas seul — l'Indiana, le Kentucky et le Rhode Island ont également mis en ligne de nouvelles lois complètes sur la confidentialité pour 2026, et les divulgations sur les données neurales et l'entraînement de l'IA apparaissent également dans les amendements d'autres États. Si vous opérez dans plusieurs États, considérez la liste du Connecticut comme un aperçu de l'évolution des attentes en matière de conformité à l'échelle nationale, et non comme une particularité locale isolée.
Gardez Votre Piste de Conformité Aussi Claire que Vos Livres Comptables
La conformité en matière de confidentialité et la tenue de registres financiers partagent la même discipline fondamentale : savoir exactement quelles données vous collectez, pourquoi, et qui y a accès. Beancount.io apporte cette même clarté à vos finances grâce à la comptabilité en texte brut — des enregistrements transparents et versionnés, sans boîtes noires et sans dépendance envers un fournisseur. Commencez gratuitement et gardez vos données financières aussi audibles que vos pratiques de confidentialité doivent l'être.