La loi H.211 du Vermont sur les courtiers en données : Votre petite entreprise est-elle désormais un 'courtier en données' ?

Si votre entreprise a déjà loué une liste d'adresses e-mail, vendu des analyses agrégées de vos clients à un partenaire marketing, ou géré un programme de fidélisation qui partage les données d'achat avec une chaîne de vente au détail, vous êtes peut-être déjà un « courtier en données » selon la loi du Vermont — et depuis cet été, cette étiquette vient de devenir bien plus coûteuse à porter.

Le 16 juin 2026, le gouverneur Phil Scott a signé la loi H.211 (désormais Act 138), une refonte majeure de la loi sur l'enregistrement des courtiers en données du Vermont — la première du genre aux États-Unis lors de son adoption initiale en 2018. Ces amendements n'entrent en vigueur que le 1er janvier 2027, mais la période de mise en conformité est plus courte qu'il n'y paraît une fois que l'on comprend à quel point les nouvelles définitions sont plus larges. De nombreuses petites entreprises qui ne se sont jamais considérées comme des « courtiers en données » sont sur le point de découvrir qu'elles le sont.

Ce qu'est réellement la loi du Vermont sur les courtiers en données​

Le Vermont a été le premier État à exiger que les entreprises qui commercialisent des données de consommation s'enregistrent auprès du gouvernement, bien avant que la Californie, le Texas, l'Oregon et une poignée d'autres États ne suivent avec leurs propres versions. L'idée centrale a toujours été simple : si vous collectez délibérément puis vendez ou concédez sous licence des informations personnelles concernant des personnes avec lesquelles vous n'avez aucune relation directe, l'État veut savoir qui vous êtes, ce que vous vendez et quelle quantité de données est échangée.

Depuis 2018, cela signifie un enregistrement annuel auprès du secrétaire d'État du Vermont, des frais de 100 $ et quelques obligations de divulgation de base. Pendant près de huit ans, cet enregistrement a surtout été une formalité de conformité pour la poignée d'entreprises suffisamment grandes pour correspondre clairement à l'étiquette de « courtier en données » — pensez aux sociétés de vérification des antécédents, aux agrégateurs de données marketing et aux sites de recherche de personnes.

La H.211 change la donne pour un ensemble beaucoup plus large d'entreprises.

Ce qui a réellement changé​

La définition de « relation directe » est devenue plus restrictive — et c'est l'élément qui prend les gens au dépourvu. Selon l'ancienne loi, le simple fait de collecter des informations directement auprès d'un consommateur suffisait généralement à établir une « relation directe » et à rester en dehors de la définition de courtier en données. La loi modifiée exige que le consommateur interagisse délibérément avec votre entreprise. Cette distinction vise spécifiquement les entreprises qui opèrent en coulisses d'une transaction — les processeurs de paiement, les fournisseurs de programmes de fidélisation et les fournisseurs de plateformes en marque blanche sont cités comme exemples dans les commentaires législatifs. Si la relation du consommateur est en réalité avec le détaillant, le restaurant ou l'application qu'il pense utiliser — et que votre entreprise est l'infrastructure capturant discrètement ses données en arrière-plan — vous pourriez ne plus bénéficier de l'exception pour relation directe simplement parce que vous avez techniquement collecté les données vous-même.

Les « informations personnelles négociées » ont également été considérablement élargies. L'ancienne loi listait des catégories spécifiques de données qui comptaient. La nouvelle loi remplace cette liste par une norme générale : toute information liée ou raisonnablement susceptible d'être liée à une personne identifiée ou identifiable — ou à un appareil domestique — y compris les données dérivées et les identifiants uniques. Il s'agit d'un alignement délibéré sur le type de définitions larges utilisées dans les lois globales des États sur la vie privée, et cela englobe des éléments comme les identifiants d'appareils, les profils comportementaux et les attributs déduits que la liste énumérée originale ne couvrait pas clairement.

De nouvelles obligations de diligence raisonnable entrent en vigueur avant de pouvoir vendre ou concéder sous licence des données. Les courtiers en données doivent désormais identifier qui reçoit les informations personnelles négociées, comprendre ce qu'ils ont l'intention d'en faire et obtenir une certification qu'ils ne les utiliseront à aucune autre fin. Si un courtier a des motifs raisonnables de croire que les données seront utilisées à mauvais escient — ou de manière illicite — il est tenu de refuser la transaction. Il s'agit d'une véritable obligation opérationnelle, et non d'un simple exercice de paperasse : cela implique un processus d'accueil et de vérification documenté pour chaque partenaire de partage de données, et non un simple dépôt d'enregistrement unique.

Une exception utile : l'exception pour les sociétés affiliées. Le partage de données avec des sociétés affiliées est désormais explicitement exclu de la définition d'une « vente », ce qui aligne le Vermont sur la façon dont le Texas traite le partage de données intra-entreprise. Si vos mouvements de données sont confinés à des entités sous propriété commune, cet amendement vous maintient probablement hors du champ d'application pour cette activité spécifique — bien qu'il vaille la peine de confirmer que votre structure d'entreprise se qualifie réellement avant de vous y fier.

L'aspect financier est devenu sérieux​

La structure des frais et des pénalités est l'endroit où la H.211 cesse d'être une nuisance de conformité pour devenir une véritable ligne budgétaire :

Des frais annuels de 900 $et une caution de 20 000$ ne sont pas le genre de montants qu'une petite entreprise absorbe sans s'en apercevoir. Et la structure de pénalité journalière signifie qu'une erreur d'enregistrement non corrigée ne reste pas simplement silencieuse — elle s'accumule, de la même manière qu'une obligation fiscale impayée accumule des intérêts, tant qu'elle n'est pas traitée.

Le secrétaire d'État du Vermont est également tenu d'étudier la faisabilité d'une plateforme centralisée de traitement des demandes de suppression de données des consommateurs, avec un rapport attendu pour décembre 2028 — un signe qu'il s'agit très probablement de la première d'une série de mesures de durcissement, et non de la dernière.

Qui devrait réellement s'inquiéter​

Les grandes sociétés de recherche de personnes et de données marketing savent déjà qu'elles sont des courtiers en données. Les entreprises qui devraient prêter une attention plus soutenue sont celles qui n'ont jamais pensé que l'étiquette s'appliquait à elles :

• Les entreprises de commerce électronique et d'abonnement qui partagent l'historique d'achat ou les données d'engagement des clients avec un réseau publicitaire, une plateforme d'influenceurs ou un partenaire de co-marketing en échange d'argent ou de données réciproques.
• Les plateformes SaaS et les développeurs d'applications qui monétisent les données d'utilisation agrégées ou « anonymisées » — rappelez-vous, la nouvelle norme couvre tout ce qui est « raisonnablement susceptible d'être lié » à une personne ou à un appareil domestique, ce qui est un seuil bien inférieur à ce que la plupart des équipes techniques supposent lorsqu'elles qualifient les données d'« anonymisées ».
• Les opérateurs de programmes de fidélisation et les facilitateurs de paiement qui se situent entre un consommateur et le détaillant avec lequel il pense traiter — exactement le scénario ciblé par la définition rétrécie de « relation directe ».
• Les spécialistes du marketing d'affiliation et les entreprises de génération de leads dont le modèle entier consiste à capturer les informations d'un consommateur et à vendre ou concéder sous licence leur accès à d'autres entreprises.
• Les programmes de parrainage et de récompenses qui partagent les données des membres avec des partenaires de vente au détail ou d'hôtellerie dans le cadre d'un accord de promotion croisée.

Aucune de ces entreprises ne se décrirait comme un « courtier en données » dans une conversation informelle. En vertu de la loi modifiée du Vermont, certaines d'entre elles pourraient légalement l'être de toute façon — et l'ignorance de cette classification ne fait pas disparaître la pénalité de 200 $ par jour.

Que faire avant le 1er janvier 2027​

1. Cartographiez chaque endroit où les données clients quittent votre entreprise. Pas seulement les ventes de données évidentes — les intégrations de fournisseurs, les accords de co-marketing, les pixels de réseaux publicitaires et les partenariats de « partage de données » qui n'impliquent pas d'échange d'argent mais impliquent un accès réciproque aux informations des consommateurs.
2. Testez chaque flux de données par rapport à la nouvelle norme de « relation directe ». Demandez-vous honnêtement : le consommateur a-t-il délibérément interagi avec votre entreprise, ou êtes-vous l'infrastructure derrière la vitrine de quelqu'un d'autre ?
3. Vérifiez si l'exception pour les sociétés affiliées couvre réellement votre structure. Elle ne s'applique qu'aux données partagées au sein d'une véritable relation d'affiliation corporative — pas à des partenaires indépendants avec lesquels vous travaillez régulièrement.
4. Mettez en place un processus de diligence raisonnable pour les destinataires de données, y compris un moyen de documenter ce qu'ils vous ont dit que les données seraient utilisées, avant que la date limite de janvier 2027 n'en fasse une exigence légale plutôt qu'une bonne pratique.
5. Budgetez dès maintenant pour la nouvelle structure de frais. Des frais d'enregistrement annuels de 900 $et une caution de 20 000$ sont des coûts réels qui doivent figurer dans votre budget d'exploitation de l'année prochaine, et non une surprise que vous découvrez lorsqu'une échéance de conformité est déjà imminente.

Pourquoi cela appartient à vos livres, pas seulement à vos dossiers juridiques​

Des coûts de conformité comme ceux-ci ont tendance à se perdre entre les départements — le service juridique gère l'enregistrement, mais les finances finissent par absorber les frais, la prime de caution et toute exposition aux pénalités sans qu'un poste clair ne les suive. Traiter les frais d'enregistrement du Vermont, le coût de la caution et toute exposition potentielle aux pénalités journalières comme leurs propres comptes suivis — plutôt que de les enterrer dans un poste générique de « frais juridiques et professionnels » — permet de voir bien plus facilement le coût réel d'un manquement à la conformité et de budgétiser avec précision année après année. Si votre entreprise finit par s'enregistrer comme courtier en données, ces frais de 900 $ et la prime de caution sont des coûts récurrents qui méritent d'être suivis avec la même discipline que vous appliqueriez à un abonnement logiciel ou une prime d'assurance — et non traités comme un dépôt unique que vous oubliez jusqu'en janvier prochain.

Gardez vos coûts de conformité visibles​

Alors que de nouvelles lois d'État comme la H.211 du Vermont transforment des partenariats ordinaires de partage de données en activités réglementées, des registres financiers clairs permettent de suivre bien plus facilement les coûts de conformité, l'exposition aux pénalités et les obligations envers les fournisseurs sans perdre de vue ce qu'ils vous coûtent réellement. Beancount.io propose une comptabilité en texte brut, transparente, versionnée et facile à auditer — pas de boîtes noires, pas de dépendance à un fournisseur. Commencez gratuitement et découvrez pourquoi les développeurs et les propriétaires d'entreprise avertis en finances passent à la comptabilité en texte brut.