Si vous employez ne serait-ce qu'une personne résidant en Californie, le formulaire W-4 au dossier, le numéro de routage du dépôt direct et les heures que vous suivez à chaque période de paie ne sont plus de simples registres de paie. Depuis le 1er janvier 2023, ils sont le *informations personnelles de cette personne en vertu de la loi de l'État sur la confidentialité, avec les mêmes droits de savoir, de supprimer et de corriger que tout consommateur parcourant votre site Web. Et bien que le Colorado et la Virginie aient pris une voie différente, les nouvelles modifications de 2025 et 2026 signifient que vous ne pouvez plus vous fier à une « exemption d'employé » pour ignorer la confidentialité de la paie où que vous soyez — surtout si vous utilisez des pointeuses biométriques, des outils d'embauche par IA ou un fournisseur de paie dans le cloud.
La bonne nouvelle : la solution n'est pas un projet juridique sur mesure pour chaque État. C'est une série d'habitudes courtes — un avis clair, une cartographie des données, un calendrier de conservation, des contrats honnêtes avec les fournisseurs et un plan de réponse — qui satisfont l'État le plus strict (la Californie) et vous amènent à 90 % du chemin partout ailleurs.
Pourquoi les données de paie sont devenues des « informations personnelles »
Pendant des années, la première loi de confidentialité complète du pays, la loi californienne sur la confidentialité des consommateurs (CCPA) telle que modifiée par la loi californienne sur les droits de confidentialité (CPRA), incluait une exception temporaire pour les données relatives à la main-d'œuvre. Les employeurs n'avaient qu'à fournir un avis de confidentialité et à assurer la sécurité raisonnable des données.
Cette exception est arrivée à expiration le 31 décembre 2022. Elle n'a pas été renouvelée. Le 1er janvier 2023, les employés, les candidats à un emploi, les travailleurs indépendants, et même les contacts d'urgence et les bénéficiaires de prestations de Californie sont devenus des « consommateurs » à part entière à des fins de confidentialité.
Deux autres mesures précoces et complètes ont adopté l'approche inverse. La loi virginienne sur la protection des données des consommateurs (VCDPA), en vigueur en janvier 2023, et la loi du Colorado sur la confidentialité (CPA), en vigueur en juillet 2023, définissent toutes deux un « consommateur » comme un résident agissant seul dans un contexte individuel ou familial — excluant explicitement toute personne agissant dans un contexte commercial ou d'emploi. Selon cette définition, les dossiers RH et de paie ordinaires sont hors la sphère de la CPA et de la VCDPA.
Alors pourquoi votre TODO indique-t-il encore de traiter les données de paie comme protégées dans les trois États ? Parce que la mosaïque a évolué.
- Les règlementations de 2026 de la Californie relèvent encore la barre (plus de détails ci-dessous).
- L'État du Colorado, à compter du 1er juillet 2025, a réintégré les identifiants biométriques dans sa loi pour les employés et les candidats — empreintes digitales, visages, voix, scans de l'iris collectés via une pointeuse ou un badge de sécurité déclenchent désormais les obligations de la CPA, même si le reste du fichier de paie ne les déclenche pas.
- Au Colorado, des règles informatiques distinctes de 2026 imposent désormais des obligations d'avis et de révision humaine lorsque des outils décisionnels automatisés influencent matériellement l'embauche, la performance, la promotion ou le licenciement — des droits que la CPA ne confère pas elle-même aux salariés.
- La Virginie n'a pas réintégré les données générales relatives à l'emploi dans la VCDPA, mais son essor législatif 2026 — leur loi sur la transparence salariale, l'élargissement de la loi sur les droits de l'homme aux employés de cinq personnes et les nouvelles licences pour les processeurs de paie — montre la même direction : les informations sur la main-d'œuvre sont traitées comme sensibles et réglementées.
D'ici la mi-2026, une vingtaine d'États disposent de lois complètes sur la confidentialité des consommateurs en vigueur ou signées, la plupart suivant le modèle ménage de la Virginie et du Colorado. La Californie reste le seul État qui couvre pleinement la relation d'emploi. Si vous opérez dans un ou plusieurs de ces États — ou avez des employés distants qui le font — l'approche la plus sûre et la plus simple est de traiter les données de paie partout comme si elles étaient dans le périmètre.
La réalité des trois États
Californie : Couverte entièrement, et plus exigeante en 2026
Qui est concerné ? Vous êtes une « entreprise » soumise au CCPA/CPRA si vous faites des affaires en Californie et répondez à l'un des seuils ajustés 2024 suivants : 25 millions de dollars de revenus annuels bruts ou plus ; vous traitez les informations personnelles de 100 000 résidents ou foyers californiens ou plus dans l'année ; ou vous tirez au moins 50 % de vos revenus annuels de la vente ou du partage des informations personnelles. Les prestataires de services et sous-traitants qui traitent les données en votre nom ont également leurs propres obligations.
Si un résident de Californie est sur votre Liste de paie, leurs données comptent pour ce seuil de 100 000 résidents, aux côtés de vos clients et visiteurs de site Web. De nombreuses petites entreprises avec une liste de clients modeste passent précisément en raison du fait que les dossiers des salariés les font dépasser le seuil.
Quels droits les salariés ont-ils? Les mêmes que les consommateurs :
- Droit de savoir ce que vous avez collecté, vos sources, vos buts, et avec qui vous l'avez partagé
- Droit à l effacement, sous réserve des exceptions de conservation légales (registres fiscaux, salariaux et de prestations que vous devez conserver)
- Droit de rectification des informations inexactes
- Droit d'option de s'opposer à la vente ou au partage de vos informations personnelles et de limiter l'utilisation des informations personnelles sensibles
- Droit de non-discrimination pour avoir exercé ces droits
Que compte comme informations personnelles sensibles ? La paie coche presque toutes les cases : numéros de sécurité sociale, numéros de permis de conduire ou passeport, numéro de compte financier associé à des identifiants, géolocalisation précise (téléphone professionnel ou GPS d'un parc de véhicules), l'origine raciale ou ethnique, et les données biométriques.
Quoi de neuf le 1er janvier 2026? Le 23 septembre 2025, l'Agence californien de protection de la vie privée a obtenu l'approbation finale de son mise à jour du règlement du CCPA. Les modificationents essentielles prennent effet le 1er janvier 2026, avec des calendriers de conformité échelonnés :
- Évaluations des risques pour les traitements à haut risque — incluant toute utilisation d'Informations Personnelles Sensibles, vente/partage, ou déautomation process décisionnel — sont exigées à partir du 1er janvier 2026, avec documentaire à présenter au CPPA sur demande et dépôt officiel avant le 1er avril 2028.
- Les règles sur la technologie de décision automatisée (TES) * avec ses droits à l'information l'opposition et à l'explication, prennent effet le 1er janvier 2027.
- Audits annuels de cybersécurité par un professionnel indépendant sont exigés selon un calendrier fondé sur les revenus : certification avant le 1er avril 2028 pour les entreprises > 100 M.
Pour un petit employeur qui utilise un tri de CV par IA, un score de productivité ou un outil de rémunération dynamique — même à travers un fournisseur, ce sont des problèmes plus à venir.
Sanctions : Le Procureur général californien et le CPPA peuvent intenter des actions civiles. Les violations volontaires du CCPA atteignent 7 500 , avec une période de remédiation de 30 jours, plus du délai de grâce n'est plus garanti. Les salariés ont également un droit d'action privé limité pour les violations de données causées par le défaut de mise en œuvre de mesures de sécurité raisonnables.
Colorado et Virginie : Exemptés, mais pas comme vous le pensez
L'exemptionexemption de base est large. En vertu de la CPA et de la VCDPA, un employé qui pointe ou un prestataire qui soumet une facture n'est pas un « consommateur ». Vous ne leur devez pas les droits CCPA complets de savoir/supprimer/s'opposer pour des faits de rémunération ordinaires.
Cela surprend les propriétaires qui supposent que chaque état imite. C'est pourquoi les listes de contrôle nationales disant « la VCDPA et la CPA ne s'appliquent pas aux données RH » étaient techniquement correctes en 2023–2024.
L'exception interprited au Colorado : La loi biométrique, House Bill 1130, effective depuis le 1er juillet 2025, l'emporte sur l'exemption dans un domaine à haut risque. Si vous collectez des identifiants biométriques d'employés candidats — empreinte digitale ou scanner paume pour la pointeuse, visage pour l'accès au bâtiment, empreinte pour l’authentification téléphonique — vous êtes désormais un « responsable de traitement » de ces données en vertu de la CPA concernant la loi, même pour les travailleurs.
Vous devez alors.
- Adopter et publier un calendrier écrit de conservation et de destruction des biométrie
- Obtenir le consentement avant la collectellection, sauf pour des finalités de contrôle d'accès sécurité étroitement définies par la loi
- N'utiliser les biométries que dans le but indiqué, les conserver pas plus longtemps que nécessaire et les supprimer selon un calendrier défini
- Les protéger de manière raisonnable et avoir un plan d’intervention écrite en cas d'incident
- Être prêt à fournir une documentation au procureur général ou aux procureurs de district, lesquels sont responsables de l’regarde de cette modification (pas de droit d’action privé)
La définition d'employé est large — temps plein, temps partiel, sur appel, les intérimaires, sous-traitants, stages ; ainsi donc le fingerprint d'un sous-traitant en construction sur la tablette de votre site compte.
La loi du Colorado d'autonomie num est une loi séparée surveillance celle-ci sur l’intelligence artificielle, ayant été également adoptée de mai 2026, en va plus loin. Un employeur qui utilise un ADMT soumis à une autorité pour influencer matériellement une mesure d'emploi consécutive doit donner un avis préalable, et après un effet défavorable offrir au travailleur la possibilité de corriger des données les inexactes et d'obtenir un réco human. Ces obligations existent même si la CPA elle-même exclut toujours les dossiers généraux de relations d'emploi.
La Virginie reste exempté pour les données consistent générales issuées du pronome'* mais deux tendances 2026 comblent l'écart.
- Le seuil pour être un employeur couvert a été réduit ailleurs. La loi Virginéenne (Virginia Human Rights Act) s'applique désormais aux employeurs de cinq employés ou plus, à partir du 1er juillet 2026, et sa loi sur la transparence salariale exige des fourchettes de salaire dans les offres d'emploi. Les entreprises qui mettent à jour leurs manuels pour ces lois constatent naturellement que leurs dossiers RH sont plus scrutés.
- L'absence fédérale alimente l'action des États. En l'absence de loi fédérale complète sur la confidentialité, le modèle virginien — 100 000 résidents ou 25 000 si vous vendez des données, plus des évaluations de protection des données pour la public marchés, la vente/mutil de données, profilage, traitement de données sensibles — laisse la très petite entreprise hors de périmètre . Mais si pour les données client vous dépassez les seuils, les auditeurs et s Les clients attendent effectivement que vous appliquiez une même rigueur aux données des employés.
Conséquence pratique : ne mettez pas en œuvre une politique du type « Les employés de Virginie n'ont aucun droit à la vie privée ». La loi dit que les fichiers salariaux ordinaires ne sont pas des données personnelles de consommation sous le VCDPA, mais le SSN d'un résident de la Virginie sur un W-2 reste une donnée sensible pour votre obligation élégale d'avis de violation, et le contrat de votre processeur de paie nécessite toujours les mêmes protections que celles que vous bâtissez pour les travailleurs californiens.
La mosaïque À laquelle vous devez prêter attention
Vers 2026, des lois complètes avec des seuils variés, des définitions de données sensibles et des droits sont en vigueur dans un nombre important d'États ( Californie, Virginie, Colorado, Connecticut, Utah, Texas, Delaware, Montana, Iowa, Indiana, Tennessee, Floride, etc.). Les variables clés :
- Seuils : 100 000 consommateurs est courant (Virginie, Colorado, États qui adoptent des modèles sim), contrairement à la Californie (100 000 résidents/foy.) et au Texas (100 000 or 25 000 si on vend des donné).CertainsEt allient une grande réputation (boutique en ligne) peut être concerné même avec cinq employés.
- Données sensibles : Toujours inclut : SSN, géolocalisation précise, biométrie, santé, données sur mineurs, mais certains États ajoutent des catégories supplémentaires.
- Airs droits et appels :* Tous donnent les droits : d’accès, de rectific, d’effacement, de « participation », de refus de publicité ciblée/vente, la plupart exigent processus de réexamen et de réponse sous 45 jours (et 45 prolongations).
- Évaluations : La plupart exigent une évaluation de la protection des données pour les traitements à risque avant de commencer, et de les produire à la demande de l'AG danss les 30 jours.
- Application :** Presque exclusivement par le procureur général, avec des délais de remédiation qui ré associé rétrécissent ou disparaissent. Celle de la Californie est la plus active. Lesbalayages 2026 du procureur général californien (AG) ont spécifiquement ciblé les avis de confidentialités des employeurs.
Vous n'avez pas besoin de 20 programmes de conformité — un, digne, calé sur les exigences les plus strictes des États o vivent vos collaborateurs.
Ce qui compte comme informations personnelles dans la paie
Cartographiez-le et vous comprenez suivrez les rigueurs du régulateur :
- Identifiants fondamentauxun : Nom, alias, numéro sécurité sociale, permis ou ID, numéro passeport, date de naissance, email personnel & e téléphone, adresse personnelles
- Données financières : Compte bancaire et numéro routier/RIB pour virement, numéro carte de paiement, taux, heures, retenues et charges, de la paie, les virements, 401(k ), stock options
- DRH sensibles : race, origine, ethnicity pour la EEO-1 ou action politique, documents sur nationalité/autorisation de travail, etc., handicap et aménagement, congés, accident travail
- Securité : identifiants et mots de passe, systèmes de temps et de code (badge, temps, verrouillage), journaux d’accès, caméras de surveillance, scans biométriques (doigt, visage) pour les pulsions, enregistrements de voix d' centres distants.
- Performance : évaluations, notes disciplinaires, enquêtes, surveillance du dispositif info 598, tableurs des temps,…
Chaque catégorie est « données personnelles » partout, ou « données spécifiques » en Californie. Une feuille de calcul avec des noms et salaires nets n’est pas sans risque – c'est un livre de données sensibles.
The Core Employer Obligations You Can't Ignore
1. Donner un avis de confidentialité de la main-d'œuvre au moment de la collecte.
La Californie exige un avis indiquant clairement en amont :
- Catégories d’informations personnelles collectées et leur utilisation
- La durée de conservation pour chaque catégorie (ou les critères que vous utilisez)
- Si vous vendez ou partagez les données, avec les conditions utilisésé et avec les tiers He ces
- Vos pratiques de conservation, de sécurité, et les droits que la personne peut exercer
Même si vous pensez être en dessous du seuil, faites-le-le. C’est peu coûteux, satisfait aux exigences du salarié californien, et sert transition et de transparence que tout procureur de l’État rencontrera en premier. Publiez-la dans votre portail RH, joignez–accompagnez à l’offre d’embauche, distribuez-le aux nouveaux collaborateurs dès le début.
2. Collecter au minimum, puis documenter le "pourquoi" de la conservation
La loi vie privée : ne collectez que ce qui est nécessaire à une finalité explicitement, ne conservez pas plus longtemps que nécessaire. La loi fiscale et sur les salaires dit : conservez les plusieurs années. Les deux sont vrais — répondry reliance avec un calendrier de conservation écrit.
- Paie et le temps enregistré : 3 ans selon FLSA et législations des États, et et dettes ; conserver les détails du calcul heures/paiement, pas juste le fic de paie final.
- Documents : W-4 / W-2, l’imposition des États, le chômage … : 4 ans après , selon
IRS(jusqu'à 6-7 yr. pour quelques termes, le '3...' ) - Avantages/Form 5500, COBRA, FMLA :** 6 à 8 ans selon le juris.
- Candidature & CV (non-retenus) : 1 an (3) si fédéral. Généralement le EEOC
- Typographies biométriques: au Colorado, obligatoire de la destruction dès que la finalité ou un calendrier explicite (p. ex., 30 jours après la fin de contrat, sauf litige).
- Journaux de sécurité & d’audit : au minimum 12 mois fondent, 2 ans notre recommandation — guide avec audits.
Rédigez le calendrier, publiez les durées dans votre avis, assignez des responsables à l’échéance. Un rappel La destruction des templates a lieu 30 jours fin parce que la loi dit que vous le faites—