Si vous avez déjà vendu une liste de clients, concédé sous licence des adresses e-mail à un partenaire marketing ou transmis des données d'acheteurs à une société d'analyse, le New Jersey vient d'attribuer un prix à cette transaction — et ce prix commence à 5 000 dollars par an. Même si vous ne touchez que quelques milliers d'enregistrements de résidents du New Jersey.
Le 30 juin 2026, le New Jersey a promulgué la loi A5328 (P.L.2026, c.25), la loi sur l'enregistrement des courtiers en données la plus coûteuse du pays. Contrairement aux lois plus anciennes de la Californie et du Vermont qui visaient les courtiers en données tiers classiques, la version du New Jersey s'applique à toute entreprise qui vend ou concède sous licence des données personnelles de résidents du New Jersey — y compris les détaillants, les éditeurs, les applications et les entreprises de services ayant une relation directe avec le consommateur. Si vous monétisez des données que vous avez vous-même recueillies, vous êtes désormais un « collecteur de données » réglementé dans le New Jersey, soumis aux mêmes frais annuels, au même registre public et à la même interdiction des données sensibles qu'un courtier traditionnel.
Voici ce qui a changé, ce que cela coûtera, qui est concerné et comment préparer vos livres et vos opérations avant l'ouverture de la fenêtre d'enregistrement à la mi-2027.
Pourquoi cette loi est différente de celle de tous les autres États
La plupart des lois des États sur les courtiers en données suivent le modèle californien : si vous n'avez pas de relation directe avec le consommateur et que vous vendez des données achetées ailleurs, vous vous enregistrez et payez des frais fixes modestes. La Californie facture environ 6 000 dollars par an. Le Vermont, le Texas et le Connecticut facturent quelques centaines de dollars.
Le New Jersey a réécrit ce modèle de trois manières :
-
Elle couvre les vendeurs de première partie. Un « courtier en données » désigne toujours une entité qui vend des données qu'elle n'a pas recueillies directement auprès du consommateur. Mais le New Jersey a ajouté une catégorie parallèle, « collecteur de données », pour les entités qui ont effectivement recueilli les données directement — auprès de leurs propres clients, abonnés ou visiteurs du site web — puis les vendent ou les concèdent sous licence en aval. Si vous gérez une boutique en ligne et vendez votre fichier clients à une base de données coopérative, vous êtes un collecteur de données.
-
Les frais sont liés au volume, pas à un taux fixe. Les frais vont de 5 000 à 1,5 million de dollars par an selon le nombre d'enregistrements de consommateurs du New Jersey que vous traitez. Les frais fixes de la Californie semblaient chers jusqu'à ce que cette loi les fasse paraître comme des frais de dépôt.
-
La vente de données sensibles est interdite sans appel. La loi modifie la loi sur la confidentialité des données du New Jersey (NJDPA) pour interdire la vente ou la concession sous licence de données sensibles par pratiquement toute entité — pas seulement les courtiers et les collecteurs, pas seulement les grandes entreprises, et pas avec le consentement comme échappatoire. Cette interdiction a pris effet immédiatement le 30 juin.
Le projet de loi a également été accéléré. Présenté le 28 juin, adopté par les deux chambres en deux jours et signé par la gouverneure Mikie Sherrill le 30 juin, il est passé de l'idée à la loi plus rapidement que la plupart des entreprises ne peuvent mettre à jour leur politique de confidentialité.
Le barème de frais en 7 paliers qui commence à 5 000 dollars
Les courtiers et collecteurs concernés doivent s'enregistrer chaque année auprès de la Division de la protection des consommateurs du New Jersey, qui tiendra un registre public. L'enregistrement nécessite le paiement des frais, la mention de votre nom légal, de votre adresse physique, de vos sites web, d'un historique de courtier en données incluant les violations et les événements de cybersécurité, et des instructions claires sur la manière dont les consommateurs peuvent se désinscrire.
Selon la loi et les orientations ultérieures de la Division, les frais annuels varient en fonction du nombre de consommateurs du New Jersey dont vous vendez ou concédez sous licence les données personnelles :
- 5 000 dollars pour 100 000 consommateurs du New Jersey ou moins
- 10 000 à 15 000 dollars pour 100 001 à 500 000 consommateurs
- 100 000 à 200 000 dollars pour 500 001 à 1 million de consommateurs
- 500 000 dollars pour 1 million à 2 millions de consommateurs
- 750 000 à 1 million de dollars pour 2 millions à 4,5 millions de consommateurs
- 1,5 million de dollars pour plus de 4,5 millions de consommateurs
Les seuils finaux des paliers ont été décrits avec des variations mineures dans les synthèses des cabinets d'avocats, mais la structure est cohérente : sept paliers, fortement progressifs, les deux paliers supérieurs atteignant sept chiffres. Pour contexte, le New Jersey compte environ 9,5 millions de résidents — un courtier traitant des données sur la moitié de l'État paie le maximum.
Le défaut d'enregistrement ou de paiement entraîne une amende civile de 2 500 dollars par jour. Étant donné que le registre ne devrait pas être opérationnel avant le 27 mars 2027 (neuf mois après la promulgation), la Division du procureur général ayant indiqué dans une alerte de début août 2026 qu'elle n'exigera pas la conformité aux exigences d'enregistrement et de frais avant juin 2027, vous avez une fenêtre pour évaluer votre exposition — mais pas pour l'ignorer.
Une comparaison rapide des coûts
| État | Frais annuels de courtier en données |
|---|---|
| Californie | ~6 000 dollars fixes |
| Vermont, Texas, Oregon | 100 à 500 dollars fixes |
| Connecticut | 500 dollars fixes |
| New Jersey | 5 000 à 1 500 000 dollars par paliers |
Le New Jersey n'a pas seulement relevé le plafond ; il a créé un nouveau plancher 10 fois plus élevé que les frais totaux de la plupart des États.
Qui est réellement concerné ? Plus d'entreprises que vous ne le pensez
Vous n'avez pas besoin de vous considérer comme un « courtier en données » pour être concerné.
Vous êtes probablement un courtier en données si : vous achetez, agrégez ou concédez sous licence des données personnelles provenant de sources autres que le consommateur directement, puis vendez ou concédez sous licence ces données. Les exemples incluent les sites de recherche de personnes, les fournisseurs de notation de risque, les opérateurs de coopératives marketing et les revendeurs de génération de prospects.
Vous êtes probablement un collecteur de données si : vous avez une relation directe avec le consommateur — il a créé un compte, acheté un produit, s'est inscrit à une newsletter — et vous vendez ou concédez sous licence ses données personnelles à quelqu'un d'autre. Les exemples qui concernent les petites entreprises ordinaires :
- Une marque de commerce électronique qui monétise son fichier clients en le vendant à une coopérative de données ou en le partageant avec des annonceurs non affiliés en échange d'une rémunération.
- Un site ou une application de médias locaux qui concède sous licence ses données d'abonnés ou de visiteurs à un réseau publicitaire au-delà du contexte de fournisseur de services.
- Un opérateur de programme de fidélité qui vend l'historique d'achat à une société d'analyse tierce.
- Un service B2B qui recueille des données de contact de petites entreprises et les concède sous licence comme liste de prospects.
Qu'est-ce qui ne déclenche pas l'enregistrement ? Si vous utilisez uniquement un fournisseur de services ou un processeur pour traiter des données en votre nom — par exemple, une plateforme d'e-mail qui envoie vos propres campagnes, ou un processeur de paiement qui touche aux données de transaction uniquement pour finaliser la vente — et que vous ne vendez ni ne concédez sous licence les données sous-jacentes au profit du fournisseur, vous ne vendez pas de données au sens de la loi. L'utilisation interne des données pour commercialiser auprès de vos propres clients n'est pas non plus une vente.
La distinction qui compte dans vos livres : la rémunération. Une « vente » dans le New Jersey signifie l'échange de données personnelles contre une contrepartie monétaire ou autre valeur. Si le flux de données fait partie de la fourniture du service contractuel et que le destinataire ne peut pas le réutiliser à ses propres fins commerciales, il s'agit plus probablement d'un arrangement de fournisseur de services que d'une vente.
L'interdiction des données sensibles qui s'applique à tous
Indépendamment de l'enregistrement des courtiers/collecteurs, le New Jersey interdit désormais la vente ou la concession sous licence de données sensibles par toute entité, que vous soyez un courtier, un collecteur ou simplement une petite entreprise qui a un jour partagé une liste sensible avec un partenaire :
- Données personnelles révélant l'origine raciale ou ethnique
- Données liées à la santé et données génétiques
- Informations financières (au-delà de ce qui est nécessaire pour traiter un paiement)
- Orientation sexuelle, statut transgenre/intersexe et données connexes
- Citoyenneté et statut d'immigration
- Croyances religieuses
- Identifiants biométriques et génétiques
- Géolocalisation précise
- Données concernant les enfants
Contrairement à l'interdiction plus étroite de géolocalisation du Connecticut ou à d'autres États qui autorisent la vente de données sensibles avec consentement explicite, le New Jersey interdit la vente même avec consentement. Les violations entraînent 50 000 dollars par enregistrement vendu, proposé à la vente ou concédé sous licence. Ce n'est pas par violation ou par fichier de consommateurs — c'est par enregistrement. Une liste de 1 000 lignes d'enregistrements clients géolocalisés proposée à 500 dollars pourrait théoriquement déclencher une exposition à une amende de 50 millions de dollars.
Cette partie de la loi a pris effet immédiatement. Si vous avez actuellement un accord de partage de données qui touche à l'une de ces catégories pour des résidents du New Jersey, vous auriez dû déjà le suspendre et le réexaminer avec un avocat.
Ce que le registre public montrera à propos de votre entreprise
Une fois opérationnelle, la Division publiera un registre consultable listant pour chaque courtier et collecteur :
- Nom légal, adresse physique principale et adresse postale, et site web
- Si l'entité permet aux consommateurs de se désinscrire des ventes de données personnelles et comment le faire
- Indicateurs des demandes de désinscription reçues et traitées
- Historique des violations de données et des événements de cybersécurité
- Contact pour les demandes des consommateurs
C'est plus de divulgation que ce que la Californie exige. Pour les petites entreprises, le point de réputation est aussi important que les frais : si vous finissez sur une liste publique de courtiers en données, les clients et partenaires vous y trouveront.
Une liste de contrôle en 6 étapes avant juin 2027
Vous avez environ 10 mois entre la promulgation et l'échéance de conformité attendue. Utilisez-les pour prendre une décision défendable quant à savoir si vous êtes concerné et pour nettoyer vos flux de données.
1. Cartographiez les sorties de données personnelles de votre entreprise en échange de valeur
Examinez vos 12 derniers mois de fournisseurs et de registres de revenus. Recherchez toute ligne où vous avez reçu un paiement (espèces, crédits, services à prix réduit, partage de revenus) et partagé des données personnelles en retour. Coupables courants :
- Revenus de « licence de données » ou « extension d'audience »
- Frais de participation à des bases de données coopératives
- Revenus de location de listes
- Paiements de référencement liés au partage de données de contact
- Partenariats d'analyse où vous fournissez des données clients brutes au-delà de la portée du service
Si le paiement est lié aux données elles-mêmes — pas au service d'envoi d'un e-mail ou de traitement d'un paiement — signalez-le.
2. Comptez les enregistrements du New Jersey séparément
Les frais sont par consommateur du New Jersey, pas par total d'enregistrements. Segmentez vos données par État. Même si vous vendez un fichier national de 2 millions d'enregistrements, seul le sous-ensemble des résidents du New Jersey compte pour le palier. Cela peut représenter 2 à 3 % pour une liste nationale typique, mais si vous êtes fort dans le New Jersey, cela pourrait être beaucoup plus élevé.
Si vous ne pouvez pas actuellement segmenter par État, c'est votre première tâche d'ingénierie. Vous ne pouvez pas calculer un palier ou argumenter que vous êtes sous un seuil sans cela.
3. Arrêtez immédiatement toute vente de données sensibles
Exécutez chaque flux de données sortant contre les catégories sensibles ci-dessus. Rappelez-vous que les déductions comptent : un historique d'achat qui révèle des conditions de santé ou un fichier code postal plus origine ethnique peut être traité comme sensible même si vous ne l'avez pas étiqueté ainsi.
Si vous trouvez des données sensibles dans un pipeline de vente, arrêtez la vente, documentez la date d'arrêt et ne vous fiez pas à un ancien formulaire de consentement pour justifier la poursuite. L'interdiction du New Jersey n'a pas d'exception de consentement pour cette utilisation.
4. Recontractualisez les relations avec les fournisseurs qui sont en réalité des relations de fournisseur de services
Si un fournisseur est un véritable processeur, assurez-vous que votre contrat le stipule : les données ne peuvent être utilisées que pour vous fournir le service, doivent être supprimées ou restituées à la fin du contrat, et ne peuvent être vendues, conservées ou utilisées pour construire les propres produits du fournisseur. En l'absence de ce langage, les régulateurs peuvent traiter le transfert comme une vente.
5. Budgétez les frais et décidez si le revenu en vaut la peine
Faites un P&L rigoureux sur chaque ligne de vente de données :
- Revenu brut de la vente de données
- Frais d'enregistrement annuels du New Jersey pour votre palier
- Coûts juridiques et d'audit pour maintenir la conformité (conseil en confidentialité, inventaire des données, infrastructure de désinscription)
- Réserve de risque pour les amendes si votre classification est erronée
De nombreuses petites entreprises découvriront qu'une location de liste annuelle de 3 000 dollars qui les pousse dans le palier de 5 000 dollars est déjà non rentable, avant même de compter les frais de conformité. Certaines sortent complètement de l'activité secondaire. D'autres se restructurent pour rester un fournisseur de services — par exemple, en laissant l'annonceur cibler des audiences via votre plateforme sans jamais transférer les enregistrements sous-jacents.
6. Préparez les intrants du registre tôt
Si vous concluez que vous êtes concerné, vous aurez besoin :
- D'un historique écrit des violations de données et des événements de sécurité remontant sur plusieurs années
- D'une documentation du mécanisme de désinscription et des comptes de demandes honorées
- D'un support de calcul des frais alternatif (votre méthodologie de comptage des consommateurs du New Jersey)
- D'une comptabilité prouvant que les frais ont été payés et que l'enregistrement a été renouvelé chaque année
Gardez ces éléments comme un dossier de conformité, pas des e-mails dispersés. Les examinateurs voudront voir la méthodologie, pas seulement un chiffre.
Comptabilité et traitement fiscal : ne enterrez pas les frais
Les frais du New Jersey sont un coût annuel récurrent de l'activité si vous restez un courtier ou un collecteur, pas des frais de dépôt uniques. La manière dont vous les comptabilisez importe pour les décisions internes et les rapports externes.
Créez un centre de coûts de conformité séparé. Ne mélangez pas les frais d'enregistrement avec vos « licences et permis » avec votre licence commerciale locale ou vos frais de rapport annuel de LLC. Créez un compte distinct du grand livre comme Conformité : Enregistrement courtier en données – NJ et comptabilisez le montant total du palier là chaque année. Cela rend honnête le test de rentabilité de l'étape 5 ci-dessus : vous pouvez voir en une ligne si le revenu de la vente de données couvre son propre coût réglementaire.
Traitez-le comme une dépense d'entreprise ordinaire et nécessaire, mais suivez les hypothèses de déductibilité. Pour l'impôt fédéral sur le revenu, les frais d'enregistrement annuels ordinaires et nécessaires pour opérer dans une juridiction sont généralement déductibles comme dépenses d'entreprise dans l'année payée ou accumulée. Ce n'est pas un conseil fiscal ; les frais d'État peuvent interagir avec les règles de capitalisation s'ils sont liés à un actif incorporel de 15 ans ou avec la section 162(f) s'il s'agit techniquement d'une pénalité. Conservez la facture et la citation de la loi avec l'entrée et faites confirmer le traitement par votre CPA avant de déposer. Si une partie est une pénalité pour enregistrement tardif (2 500 dollars par jour), cette partie n'est pas déductible.
Ne compensez pas les frais avec le revenu de la vente de données. Comptabilisez le revenu brut des ventes de données comme Revenu : Licence de données et les frais comme une dépense d'exploitation. Les compenser sous-estime les deux et casse la réconciliation entre vos registres liés au 1099 (si applicable) et vos dépôts bancaires. Cela masque aussi à quel point vous êtes proche du palier de frais suivant si votre nombre de consommateurs du New Jersey augmente.
Rapprochez votre journal de ventes de données mensuellement. Tenez un tableau simple : mois, contrepartie, enregistrements partagés, enregistrements du New Jersey dans ce partage, rémunération reçue, type de contrat (vente vs fournisseur de services). Rapprochez ce journal avec votre compte de revenus et vos encaissements. Si vous êtes un jour examiné, la question sera « comment êtes-vous arrivés à 87 000 consommateurs du New Jersey ? » et vous aurez besoin de la requête source, pas d'une estimation.
Si vous arrêtez de vendre des données pour sortir du régime : comptabilisez les frais de dernière année si requis pour l'année où vous étiez actif, rédigez une note datée au dossier indiquant la décision commerciale et la date de cessation des ventes, et conservez les diagrammes de flux de données sous-jacents. Descendre sous le seuil n'efface pas rétroactivement la responsabilité des frais pour une année où vous étiez au-dessus.
Que se passe-t-il si vous ne faites rien
Trois risques convergent :
- Responsabilité immédiate pour les ventes de données sensibles — il n'y a pas de période de grâce pour cette interdiction, et l'amende par enregistrement est conçue pour rendre même les petites ventes douloureuses.
- Amendes quotidiennes pour défaut d'enregistrement — une fois le registre en ligne et le délai d'application levé en juin 2027, chaque jour sans enregistrement est une amende distincte de 2 500 dollars, indépendamment des données vendues ce jour-là.
- Répercussions contractuelles et de paiement — les acheteurs de données qui apprennent que leur fournisseur du New Jersey n'est pas enregistré peuvent résilier ou exiger une indemnisation. Certains accords maîtres de licence de données exigent déjà que le vendeur déclare qu'il se conforme aux lois applicables sur les courtiers en données.
Aucun de ces risques n'exige que le New Jersey prouve une intention. Ce sont des obligations de conformité strictes, et le procureur général du New Jersey a une autorité explicite pour les appliquer.
Devriez-vous sortir de l'activité de vente de données ?
Pour de nombreuses petites entreprises, la réponse sera oui — non pas parce que la loi interdit votre produit de base, mais parce qu'elle transforme une ligne de revenus secondaire en activité réglementée avec des suites d'audit à six chiffres.
Demandez-vous :
- Le revenu de la vente de données est-il significatif — disons, plus de 5 % du bénéfice brut — ou est-il opportuniste ?
- Pourriez-vous obtenir le même résultat marketing en gardant les données en interne et en vendant l'accès plutôt que les enregistrements bruts ? Par exemple, laisser des partenaires faire de la publicité auprès de vos audiences dans votre environnement sans exporter les données personnelles sous-jacentes.
- Avez-vous la capacité d'ingénierie pour segmenter par État, honorer les désinscriptions et maintenir les divulgations d'historique de violations pour un registre public ?
Si la réponse à la première est « non » et aux deux suivantes « pas facilement », sortir est la posture de conformité la moins coûteuse. Cette sortie elle-même doit être documentée : résiliez ou modifiez les contrats de vente de données, mettez à jour votre avis de confidentialité pour supprimer la divulgation « nous vendons des données » pour le New Jersey, et conservez les accords modifiés comme preuve de votre changement de statut.
Si les ventes de données sont au cœur de votre modèle — une activité de listes, une coopérative marketing, une plateforme de données d'audience — traitez le New Jersey comme le niveau le plus élevé et préparez-vous à ce que d'autres États le copient. Les frais de 6 000 dollars de la Californie semblaient être le plafond pendant une décennie ; le New Jersey l'a déplacé à 1,5 million de dollars en un seul projet de loi.
Simplifiez votre gestion financière
Que vous restiez dans l'activité des données ou que vous en sortiez, la loi du New Jersey est un rappel qu'une petite ligne de revenus peut créer des coûts de conformité démesurés si vous ne pouvez pas voir sa vraie marge. Garder les revenus de licence de données, les frais d'enregistrement, les coûts juridiques et les réserves pour amendes dans des livres séparés et versionnés rend cette marge visible avant qu'un avis de renouvellement ou un examinateur ne le fasse.
Beancount.io vous offre une comptabilité en texte brut à partie double, entièrement transparente et prête pour l'IA — pas de boîtes noires, pas de verrouillage fournisseur. Suivez les dépenses de conformité par juridiction, rapprochez les revenus de licence de données avec les espèces et conservez un historique complet de chaque reclassification dans git. Commencez gratuitement et découvrez pourquoi les développeurs et les professionnels de la finance passent à la comptabilité en texte brut.