Si votre entreprise collecte les e-mails des clients pour une newsletter, diffuse des publicités ciblées sur Instagram ou stocke l'historique des commandes dans un CRM, vous pourriez penser que les lois des États sur la vie privée sont un problème des États côtiers — la Californie, peut-être le Colorado, certainement pas le Midwest ou la Nouvelle-Angleterre. Cette hypothèse vient de devenir beaucoup plus coûteuse à maintenir. Depuis le 1er janvier 2026, l'Indiana, le Kentucky et le Rhode Island ont tous des lois complètes sur la protection des données des consommateurs, portant à vingt le nombre total d'États dotés de ce type de loi. Si votre entreprise a des clients, des employés ou des visiteurs de site Web dans l'un de ces trois États, les règles qui semblaient auparavant réservées aux « grandes entreprises et grands États » s'appliquent désormais à vous aussi.
Voici ce qui a réellement changé, qui doit se conformer et ce qu'un propriétaire de petite entreprise devrait faire à ce sujet ce trimestre.
Pourquoi trois États à la fois ?
L'Indiana, le Kentucky et le Rhode Island n'ont pas coordonné une attaque surprise contre la paperasse des petites entreprises — ils représentent la dernière vague d'un schéma qui se construit depuis que la Virginie a adopté la première « loi de deuxième génération » sur la vie privée en 2021. Chaque nouvelle loi d'État a tendance à s'inspirer largement d'une loi antérieure (principalement celle de la Virginie), avec de petites modifications concernant les seuils, l'application et les droits des consommateurs. C'est une bonne nouvelle pour les entreprises multi-États : une fois que vous comprenez l'une de ces lois, les deux autres vous sont familières à 80 %.
La mauvaise nouvelle, ce sont les 20 % restants. De petites différences dans les seuils d'applicabilité, les délais de correction et les exigences de refus signifient que vous ne pouvez pas simplement copier une politique de confidentialité conforme à la loi de la Virginie et la considérer comme valable dans les trois États. Chacune a ses propres particularités.
Indiana Consumer Data Protection Act (ICDPA)
La loi de l'Indiana est la plus favorable aux entreprises des trois, et il est utile de comprendre pourquoi.
Qui elle couvre : Les entreprises à but lucratif qui exercent des activités dans l'Indiana ou ciblent des biens/services vers les résidents de l'Indiana, et qui, au cours d'une année civile, soit :
- Contrôlent ou traitent les données personnelles d'au moins 100 000 résidents de l'Indiana, ou
- Contrôlent ou traitent les données personnelles d'au moins 25 000 résidents de l'Indiana et tirent plus de 50 % de leur revenu brut de la vente de données personnelles
Ce deuxième seuil est celui qui rattrape discrètement les petites opérations — un courtier en données ou une entreprise de technologie publicitaire avec un nombre modeste de clients mais un modèle de revenus fortement axé sur la vente de données peut déclencher cette limite bien avant d'atteindre six chiffres de « clients ».
Ce qui la rend favorable aux entreprises :
- Un délai de correction permanent de 30 jours — aucune date d'expiration, contrairement à certains États où la période de grâce pour corriger une infraction avant l'application de la loi expire après quelques années
- Aucune obligation de reconnaître les mécanismes universels de refus comme le signal Global Privacy Control (plus d'informations sur l'importance de ce point ci-dessous)
- Application exclusive par le Procureur général de l'Indiana — pas de droit d'action privé, donc les consommateurs individuels ne peuvent pas vous poursuivre directement pour une infraction
- Exemptions standard pour les entités couvertes par HIPAA, les organismes à but non lucratif, les établissements d'enseignement supérieur et certaines institutions financières
Si votre entreprise est déjà conforme à la loi sur la vie privée de la Virginie ou du Colorado, la conformité à l'Indiana consiste en grande partie à mettre à jour votre avis de confidentialité pour faire référence à la nouvelle loi et à confirmer que vos processus existants de refus et de traitement des demandes des personnes concernées couvrent les résidents de l'Indiana.
Kentucky Consumer Data Protection Act (KCDPA)
La loi du Kentucky a emprunté un chemin inhabituel : l'Assemblée législative a adopté des amendements (HB 473) avant même que la loi originale n'entre en vigueur, de sorte que les entreprises se conforment à une version pré-corrigée dès le premier jour.
Ce que HB 473 a changé :
- Les données de santé détenues par des entités couvertes par HIPAA qui les conservent déjà en tant qu'informations de santé protégées sont exemptées des exigences de la KCDPA — comblant ainsi une lacune où les entreprises liées à la santé auraient pu faire face à des obligations HIPAA et KCDPA chevauchantes pour les mêmes données
- L'obligation de réaliser une évaluation d'impact sur la protection des données (DPIA) pour les activités de profilage a été restreinte aux seuls cas présentant un impact disparate illégal — ce qui signifie que le profilage a un potentiel de préjudice disproportionné pour les membres d'un groupe protégé, et non pour toute activité de profilage
Application et pénalités : Le Procureur général du Kentucky doit émettre un avis et accorder un délai de correction de 30 jours avant d'entamer des poursuites. Comme dans l'Indiana, ce délai de correction n'a actuellement pas de date d'expiration, ce qui constitue une position à risque sensiblement plus faible que dans les États où le délai de correction disparaît après un nombre d'années déterminé. Si une infraction n'est pas corrigée, des sanctions civiles peuvent aller jusqu'à 7 500 $ par infraction — et « par infraction » dans le droit de la vie privée signifie généralement par dossier de consommateur concerné, et non par incident, de sorte que cela peut rapidement augmenter avec la taille d'un ensemble de données.
Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA)
Le Rhode Island est le cas atypique des trois, avec le seuil d'applicabilité le plus bas et le cadre d'application le plus favorable aux consommateurs.
Qui elle couvre : Les entités qui contrôlent ou traitent les données personnelles d'au moins 35 000 consommateurs, ou de 10 000 consommateurs si plus de 20 % des revenus proviennent de la vente de données personnelles. Cette combinaison 10 000 consommateurs/20 % de revenus est un seuil vraiment bas — une petite entreprise de commerce électronique avec un flux de revenus secondaire provenant de la vente de listes de clients à des partenaires marketing pourrait atteindre ce seuil avec une liste de diffusion plus petite que de nombreux groupes Facebook locaux.
Exigences clés :
- Consentement explicite (opt-in) requis avant de traiter des données personnelles sensibles (données de santé, biométriques, de géolocalisation précise et catégories similaires), avec un mécanisme permettant aux consommateurs d'accorder et de révoquer ce consentement
- Les consommateurs peuvent refuser la publicité ciblée, la vente de données personnelles et le profilage — mais le Rhode Island n'exige pas d'honorer les signaux universels de refus comme le Global Privacy Control, donc les refus doivent être gérés site par site plutôt que via un signal unique au niveau du navigateur
- Les infractions sont traitées comme des pratiques commerciales trompeuses, avec des pénalités pouvant atteindre 10 000 $ par infraction
Ce cadrage de « pratiques commerciales trompeuses » mérite d'être souligné : il lie les violations de la vie privée au statut existant de protection des consommateurs du Rhode Island, ce qui peut entraîner ses propres schémas et précédents d'application au-delà de ce qu'une loi sur la vie privée spécialement conçue créerait par elle-même.
Le Point Commun : Les Évaluations des Risques
Dans les trois États, une obligation revient systématiquement et fait trébucher les petites entreprises plus que tout autre droit du consommateur : l'obligation de réaliser une évaluation de la protection des données (parfois appelée DPIA) avant de s'engager dans des activités de traitement « à haut risque ». Cela inclut généralement :
- La publicité ciblée
- La vente ou le partage de données personnelles avec des tiers
- Le traitement de catégories de données sensibles
- Le profilage pouvant entraîner des effets juridiques ou similaires significatifs pour un consommateur
Si votre entreprise diffuse des publicités de reciblage, vend ou concède sous licence une liste de clients, ou utilise des outils automatisés pour noter ou segmenter les clients, vous avez probablement besoin d'une évaluation documentée dans vos dossiers — et non pas générée de manière réactive si le bureau du Procureur général vient vous voir.
Une Liste de Contrôle de Conformité Pratique
Vous n'avez pas besoin d'un avocat externe pour mettre en place les bases. Commencez ici :
- Comptez votre exposition. Pour chaque État, estimez combien de résidents contrôlez ou traitez les données personnelles chaque année, et si une part significative des revenus provient de la vente de données. Cela détermine quelles lois s'appliquent réellement à vous.
- Mettez à jour votre avis de confidentialité. Ajoutez des références aux droits spécifiques des résidents de l'Indiana, du Kentucky et du Rhode Island (accès, rectification, suppression, refus de la vente/de la publicité ciblée/du profilage) si vous êtes concerné.
- Mettez en place (ou confirmez) un processus de traitement des demandes de droits des consommateurs. Vous avez besoin d'un moyen pour les consommateurs de soumettre — et pour vous de satisfaire — les demandes d'accès, de suppression et de rectification dans le délai de réponse prévu par la loi.
- Documentez vos traitements à haut risque. Si vous diffusez des publicités ciblées, vendez des données ou profilez des clients, notez ce que vous faites, pourquoi et quelles sont les mesures de protection en place. C'est votre évaluation de l'impact sur la protection des données.
- Séparez le traitement des données sensibles. Les données de santé, biométriques et de localisation précise nécessitent un consentement explicite dans le Rhode Island et une attention accrue en général — n'intégrez pas ce consentement dans une case à cocher générale des conditions d'utilisation.
- Surveillez vos contrats avec les fournisseurs. Si un processeur de paiement, une plateforme d'e-mailing ou un réseau publicitaire traite des données personnelles en votre nom, vos contrats avec eux doivent refléter leurs obligations en tant que « sous-traitant » en vertu de ces lois.
Pourquoi Cela Renvoie à Vos Livres Comptables
Un travail de conformité comme celui-ci fait souvent apparaître un problème moins évident : la plupart des petites entreprises n'ont pas de réponse claire à la question « quels fournisseurs ont accès aux données des clients, et que leur payons-nous ? » C'est vraiment une question de comptabilité autant que de droit. Si votre plan comptable ne sépare pas clairement les dépenses de technologie publicitaire, les frais de traitement des données et les abonnements CRM des coûts logiciels généraux, vous aurez du mal à identifier quelles relations avec les fournisseurs nécessitent un avenant sur le traitement des données — sans parler de prouver à un régulateur que vous savez où circulent les données des clients.
La comptabilité en texte brut rend ce type d'audit beaucoup plus facile que de fouiller dans un tableau de bord SaaS opaque. Parce que chaque transaction dans Beancount est une entrée lisible par l'homme et versionnée, vous pouvez parcourir votre grand livre pour trouver chaque paiement à une plateforme publicitaire, un courtier en données ou un fournisseur d'analyse en quelques secondes — transformant la question « lequel de nos fournisseurs touche aux données des clients ? » d'une chasse au trésor de plusieurs jours en une requête de cinq minutes.
Gardez Votre Conformité et Vos Livres au Même Endroit
Alors que de plus en plus d'États adoptent des lois sur la vie privée qui touchent des entreprises de plus en plus petites, savoir exactement quels fournisseurs traitent les données des clients — et ce que vous leur payez — cesse d'être optionnel. Beancount.io vous offre une comptabilité en texte brut avec une transparence totale et un historique des versions, de sorte que retracer vos relations avec les fournisseurs de données à travers vos registres financiers soit aussi simple que de rechercher dans un fichier texte. Commencez gratuitement et gardez votre récit de conformité aussi clair que vos livres comptables.