Si vous gérez un site Web avec un formulaire de contact, une liste d'envoi ou un CRM qui stocke les numéros de téléphone des clients, vous collectez des données personnelles. Depuis le 1er janvier 2026, ce simple fait suffit à vous placer sous une loi complète sur la confidentialité dans au moins un État américain — et peut-être dans plusieurs à la fois, si vous vendez à des clients au-delà des frontières de l'État.
Vingt États ont désormais des lois complètes sur la protection des consommateurs, et trois d'entre eux — l'Indiana, le Kentucky et le Rhode Island — ont activé les leurs le 1er janvier 2026. Le Texas, dont la loi sur la confidentialité et la sécurité des données (Texas Data Privacy and Security Act, TDPSA) est en vigueur depuis mi-2024, a ajouté un amendement spécifique à l'IA le même jour. Pendant des années, les propriétaires de petites entreprises pouvaient raisonnablement supposer que ces lois étaient un « problème de grande entreprise » — le CCPA californien, après tout, ne s'applique qu'aux entreprises ayant un chiffre d'affaires de 25 millions de dollars ou plus. Cette hypothèse n'est plus valable partout. Deux des trois nouvelles lois de 2026 n'ont aucun seuil de revenus, et le Texas n'en a jamais eu non plus.
Il ne s'agit pas d'une checklist de conformité que vous pouvez entièrement sous-traiter à un avocat et oublier. Que ces lois s'appliquent à vous dépend souvent de chiffres que vous devriez déjà suivre dans votre comptabilité : combien de dossiers clients vous détenez et — surtout — quelle part de vos revenus provient de la vente ou du partage de données personnelles. Si votre comptabilité ne peut pas répondre clairement à cette deuxième question, vous avez un problème plus grave que la loi sur la confidentialité.
Les trois nouvelles lois de 2026, en termes simples
Indiana Consumer Data Protection Act (INCDPA) s'applique aux entreprises à but lucratif qui soit :
- Contrôlent ou traitent les données personnelles de 100 000 résidents ou plus de l'Indiana au cours d'une année civile, ou
- Tirent plus de 50 % de leur chiffre d'affaires brut de la vente de données personnelles et traitent les données de 25 000 résidents ou plus de l'Indiana.
Kentucky Consumer Data Protection Act (KCDPA) reflète presque exactement les seuils de l'Indiana — même seuil de 100 000 consommateurs, même test alternatif de 50 % des revenus provenant de la vente de données à 25 000 consommateurs. Les deux lois sont des cousines proches de la loi virginienne de 2023, donc si vous avez déjà mis en place une conformité pour la Virginie ou le Colorado, la majeure partie du travail de base est réutilisable.
Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA) fixe un seuil nettement plus bas :
- Contrôle ou traite les données de 35 000 résidents ou plus du Rhode Island, ou
- Contrôle ou traite les données de 10 000 résidents ou plus et tire 20 % ou plus de son chiffre d'affaires brut de la vente de données personnelles.
Le Rhode Island supprime également la période de remédiation de 30 jours accordée par l'Indiana et le Kentucky aux contrevenants — une première infraction peut y être directement soumise à une action en justice du Procureur général, avec des pénalités allant jusqu'à 10 000 dans l'Indiana et le Kentucky).
Texas Data Privacy and Security Act (TDPSA) est le cas particulier qu'il convient de signaler séparément : il n'a aucun seuil de nombre de consommateurs ni de revenus. Il utilise plutôt une exemption pour les petites entreprises liée aux normes de taille de la Small Business Administration américaine (variables selon le secteur — une société de logiciels est qualifiée à un effectif différent d'un fabricant). L'inconvénient : cette exemption disparaît dès qu'une « petite » entreprise vend des données personnelles sensibles — informations de santé, géolocalisation précise, identifiants biométriques et catégories similaires. De nombreuses petites entreprises de commerce électronique et de marketing technologique tombent dans ce piège sans s'en rendre compte, car la définition de « vente de données » dans ces lois est suffisamment large pour inclure certaines intégrations de technologies publicitaires et d'analytique, pas seulement le courtage de données au sens littéral.
Pourquoi le seuil de revenus est la partie que la plupart des propriétaires comprennent mal
La façon la plus courante dont les petites entreprises évaluent mal leur exposition n'est pas le nombre de consommateurs — c'est le pourcentage de revenus. « 50 % du chiffre d'affaires brut provenant de la vente de données personnelles » semble ne s'appliquer qu'aux courtiers en données. Mais la définition juridique d'une « vente » dans la plupart de ces lois inclut le partage de données personnelles en échange d'une contrepartie monétaire ou d'une autre valeur — ce qui peut inclure les parts de revenus des réseaux publicitaires, les accords de co-marketing, et même certaines structures d'affiliation où les données clients circulent parallèlement à la transaction.
Voici le problème pratique : si votre plan comptable regroupe les « revenus publicitaires », les « revenus d'affiliation » et les « revenus de produits » dans une seule ligne de revenus non différenciée, vous ne pouvez pas répondre à la question que ces lois vous posent. Vous avez besoin que vos livres séparent les flux de revenus suffisamment clairement pour pouvoir dire, avec un chiffre, si une catégorie liée à des accords de partage de données dépasse 20 % (Rhode Island) ou 50 % (Indiana, Kentucky) du revenu total. Attendre que le bureau du Procureur général vous le demande n'est pas le bon moment pour découvrir que votre comptabilité ne peut pas produire cette ventilation.
C'est un cas où « utile à savoir » et « utile à prouver » sont le même exercice. Un grand livre en texte brut, versionné, où chaque compte de revenus est étiqueté par source — Income:Publicité, Income:PartageAffiliation, Income:VentesProduits — vous permet de calculer ce pourcentage en quelques minutes au lieu de le reconstituer à partir d'une année de relevés bancaires et de factures.
Une checklist pratique de conformité
Vous n'avez pas besoin d'un directeur juridique à plein temps pour maîtriser les bases. Procédez dans cet ordre :
- Comptez vos enregistrements, pas vos clients. Obtenez un décompte approximatif des individus uniques dont vous stockez ou traitez les données personnelles au cours d'une année civile — les visiteurs du site Web avec des cookies de suivi, les abonnés à une liste d'envoi, les contacts CRM et les enregistrements de transactions comptent tous dans les définitions de la plupart des États, pas seulement les clients payants.
- Vérifiez où vivent ces personnes. Ces lois sont déclenchées par la résidence dans l'État du consommateur, pas par l'emplacement de votre siège social. Une entreprise enregistrée dans le Delaware, fonctionnant à distance et vendant à l'échelle nationale peut être soumise à la loi de l'Indiana même sans aucun employé dans l'Indiana.
- Isolez les revenus liés au partage de données. Si une partie de vos revenus implique le partage de données clients avec un réseau publicitaire, une coopérative de données ou un partenaire — même indirectement — isolez ces revenus dans un compte dédié et calculez-les en pourcentage du brut.
- Publiez un avis de confidentialité réel. Les quatre États exigent un avis clair et accessible décrivant les données que vous collectez, pourquoi, et comment les consommateurs peuvent exercer leurs droits (accès, rectification, suppression et opposition au ciblage publicitaire ou à la vente de données). Un modèle générique copié d'un autre site avec la mauvaise date d'effet ou le mauvais nom d'entreprise est pire que rien — les régulateurs ont spécifiquement signalé les avis de confidentialité obsolètes comme une violation facile à repérer au premier coup d'œil.
- Mettez en place le mécanisme d'opposition avant d'en avoir besoin. Les consommateurs des trois nouveaux États ont le droit de s'opposer au ciblage publicitaire, à la vente de données et à certains profilage. Si votre site Web n'a pas de lien fonctionnel « Ne pas vendre ou partager mes informations personnelles » ou de centre de préférences équivalent, c'est la correction la plus rapide de cette liste et celle qui a le plus de chances d'être signalée en premier.
- Utilisez la période de remédiation si vous en avez une. L'Indiana et le Kentucky accordent 30 jours pour corriger une infraction après notification par le Procureur général avant que des pénalités ne s'appliquent. Ce n'est pas le cas du Rhode Island — ce qui rend la mise en œuvre correcte des étapes 1 à 5 avant le 1er janvier bien plus précieuse là-bas que dans les deux autres États.
- Recalculez chaque année. Les seuils sont évalués en continu, généralement par année civile. Une entreprise qui était exonérée en 2025 parce qu'elle restait sous les 100 000 enregistrements peut basculer dans le champ d'application dès que la croissance (ou un accord de partage de données) la fait franchir le seuil — il s'agit d'une vérification comptable récurrente, pas d'un audit ponctuel.
Là où les petites entreprises sont prises au dépourvu
Deux angles morts reviennent fréquemment dans les premières orientations sur les lois de 2026 :
- « Nous sommes trop petits » n'est pas une défense universelle. Le Texas n'a aucun seuil, et son exemption pour les petites entreprises disparaît dès que des données sensibles sont vendues — un piège courant pour les entreprises qui utilisent des outils d'analytique ou des pixels publicitaires tiers sans vérifier quelles données ces outils transmettent réellement.
- L'application est menée par le Procureur général de l'État, pas par des poursuites privées (pour la plupart). Aucune des trois nouvelles lois de 2026 n'inclut un large droit d'action privé, ce qui est une bonne nouvelle en soi — cela signifie qu'un consommateur individuel ne peut généralement pas poursuivre directement votre entreprise pour une violation de la vie privée. Mais cela signifie aussi que le pouvoir discrétionnaire d'application revient au bureau du Procureur général de l'État, qui a tout intérêt à faire un exemple précoce et visible d'une entreprise qui a ignoré une loi clairement datée et nouvelle.
Comparaison des quatre lois
| Indiana | Kentucky | Rhode Island | Texas | |
|---|---|---|---|---|
| Date d'effet | 1er janvier 2026 | 1er janvier 2026 | 1er janvier 2026 | En vigueur depuis 2024 ; amendement sur l'IA le 1er janvier 2026 |
| S'applique à | 100 000 résidents+, ou 25 000+ avec 50 %+ de revenus provenant de la vente de données | 100 000 résidents+, ou 25 000+ avec 50 %+ de revenus provenant de la vente de données | 35 000 résidents+, ou 10 000+ avec 20 %+ de revenus provenant de la vente de données | Pas de seuil — les petites entreprises selon la SBA sont exonérées sauf si elles vendent des données sensibles |
| Période de remédiation | 30 jours | 30 jours | Aucune | 30 jours |
| Pénalité maximale | 7 500 $/infraction | 7 500 $/infraction | 10 000 $/infraction | Jusqu'à 7 500 $/infraction |
| Poursuites privées | Non — AG uniquement | Non — AG uniquement | Non — AG uniquement | Non — AG uniquement |
Le modèle à remarquer : la combinaison du Rhode Island — un faible seuil de consommateurs, un faible pourcentage de revenus déclencheur, et aucune période de remédiation — en fait le moins indulgent des quatre pour une petite entreprise en croissance rapide qui franchit la ligne sans s'en apercevoir. Le Texas présente un profil de risque opposé — la plupart des petites entreprises commencent exonérées, mais une seule nouvelle intégration de technologie publicitaire qui partage des données sensibles peut effacer cette exemption du jour au lendemain.
Questions fréquentes
Cela s'applique-t-il à mon entreprise si je ne suis pas physiquement situé dans l'un de ces États ? Oui. Toutes les quatre lois sont déclenchées par l'endroit où vivent vos clients ou visiteurs du site Web, et non par l'emplacement de votre entreprise. Si vous avez des clients ou des visiteurs en ligne dans l'Indiana, le Kentucky, le Rhode Island ou le Texas, vous devez vérifier l'applicabilité de ces lois à votre entreprise.
Mon entreprise ne collecte que les noms et adresses e-mail. Cela compte-t-il comme des données personnelles en vertu de ces lois ? Oui. Toutes les quatre lois définissent les données personnelles de manière large — elles incluent généralement tout identifiant qui peut être lié à une personne spécifique. Les adresses e-mail sont explicitement incluses, tout comme les noms associés à d'autres informations. Même les identifiants en ligne comme les adresses IP et les identifiants de cookies peuvent être considérés comme des données personnelles dans certains contextes.
Que se passe-t-il si mon entreprise dépasse le seuil au milieu de l'année ? La plupart des seuils sont évalués sur une base annuelle (généralement par année civile). Si vous dépassez le seuil en milieu d'année, vous pourriez être tenu de vous conformer pour le reste de l'année civile. Il est prudent d'examiner votre situation trimestriellement et de mettre en œuvre la conformité dès que vous prévoyez franchir le seuil.
Puis-je être poursuivi par un consommateur pour violation de la vie privée en vertu de ces lois ? En général, non. Aucune des quatre lois n'accorde un large droit d'action privé. Cela signifie qu'un consommateur individuel ne peut généralement pas vous poursuivre directement devant un tribunal civil pour une violation. Cependant, le Procureur général de l'État peut intenter une action en justice en votre encontre, et certaines lois sur la vie privée (comme le CCPA en Californie) offrent un droit d'action privé limité en cas de violations spécifiques, comme une faille de sécurité.
Tenez vos registres suffisamment propres pour répondre aux questions difficiles
La conformité en matière de confidentialité et la tenue de registres financiers s'avèrent plus liées que la plupart des propriétaires ne le pensent : les deux reposent sur la question de savoir si vos données — les données clients d'un côté, les données de revenus de l'autre — sont organisées suffisamment bien pour produire une réponse claire en cas d'examen. Si votre comptabilité ne peut pas actuellement vous dire quel pourcentage de vos revenus provient d'une source spécifique, cela vaut la peine d'être corrigé, quelle que soit la loi sur la confidentialité de l'État qui s'applique à vous.
Beancount.io propose une comptabilité en texte brut qui vous donne une transparence et un contrôle complets sur vos données financières — chaque flux de revenus étiqueté, versionné et requêtable, sans logiciel boîte noire entre vous et les chiffres que les régulateurs (ou votre propre diligence raisonnable) pourraient demander. Commencez gratuitement et découvrez pourquoi les développeurs et les propriétaires d'entreprise soucieux de leurs finances passent à la comptabilité en texte brut.