Si votre site web a reçu 35 000 visiteurs du Connecticut l’année dernière, vous avez peut-être découvert le 1er juillet 2026 que vous êtes une entreprise réglementée en vertu de l’une des lois sur la confidentialité les plus strictes du pays — sans avoir rien changé à votre façon de fonctionner.
C’est l’effet concret de la révision de 2026 de la loi sur la protection des données du Connecticut. L’État a réduit son seuil d’applicabilité de près des deux tiers, ajouté deux déclencheurs sans aucun seuil numérique, élargi la définition des données sensibles, supprimé la période de réparation garantie pour les premières infractions, et accumulé une deuxième vague d’exigences prenant effet le 1er octobre. Si vous vendez en ligne, diffusez des publicités ciblées, partagez des données clients avec des fournisseurs d’analyse ou de technologies publicitaires, ou collectez tout ce qui compte comme données sensibles, ce guide détaille exactement ce qui a changé et les mesures concrètes pour vous conformer.
Ce qui a réellement changé le 1er juillet 2026
La loi originale sur la confidentialité du Connecticut, en vigueur depuis 2023, s’appliquait principalement aux grandes organisations : celles qui traitaient les données personnelles d’au moins 100 000 résidents du Connecticut, ou d’au moins 25 000 résidents si plus d’un quart du revenu brut provenait de la vente de données personnelles. La plupart des petites et moyennes entreprises pouvaient raisonnablement conclure que la loi ne les concernait pas.
Les amendements, adoptés par le SB 1295, remplacent ce cadre par trois déclencheurs alternatifs. Si vous en respectez un seul au cours de l’année civile précédente, vous êtes concerné :
- Vous avez contrôlé ou traité les données personnelles d’au moins 35 000 consommateurs du Connecticut. Les données traitées uniquement pour finaliser une transaction de paiement ne comptent pas dans ce nombre, mais presque tout le reste compte — analyses de site web, listes de courriels, historiques de commandes, tickets de support, programmes de fidélité.
- Vous avez contrôlé ou traité les données sensibles d’un consommateur du Connecticut. Aucun volume minimum. Un seul enregistrement peut suffire.
- Vous avez proposé les données personnelles d’un consommateur du Connecticut à la vente. Là encore, aucun minimum. Et « vente » signifie ici l’échange de données personnelles contre une contrepartie monétaire ou autre — ce qui peut inclure le partage de données avec des réseaux publicitaires, des courtiers en données ou des fournisseurs d’analyse, de manière que de nombreuses entreprises ne considèrent pas comme une vente.
L’ancien déclencheur basé sur 25 % du revenu a complètement disparu. La direction est sans équivoque : là où la loi originale demandait « êtes-vous assez grand pour être réglementé », la loi amendée demande « avez-vous touché au mauvais type de données, ou partagé des données à tout moment ? »
Pourquoi 35 000 est plus facile à atteindre qu’il n’y paraît
Trente-cinq mille résidents du Connecticut représente environ 1 % de la population de l’État. Une boutique de commerce électronique régionale, un produit SaaS avec quelques milliers de comptes payants, un site de contenu avec un trafic modeste, ou une entreprise de services avec une grande liste de courriels peut franchir cette ligne sans jamais cibler spécifiquement le Connecticut — la loi couvre toute entreprise qui opère dans l’État ou qui cible ses produits ou services aux résidents. Si votre site est accessible aux acheteurs du Connecticut et que vos analyses montrent des visiteurs uniques annuels à cinq chiffres provenant de l’État, supposez que vous devez compter soigneusement plutôt que de supposer que vous êtes exclu.
Le piège des données sensibles : aucun seuil, définition élargie
Le changement le plus conséquent pour les petites entreprises n’est pas le nombre réduit — c’est la combinaison d’un déclencheur de données sensibles sans seuil avec une définition considérablement élargie de ce qui compte comme sensible.
En vertu de la loi amendée, la catégorie sensible inclut désormais les données révélant un handicap mental ou physique ou un traitement, le statut non binaire ou transgenre, les informations dérivées de données biométriques et génétiques, les données neurales, les informations sur les comptes financiers et les numéros d’identification délivrés par le gouvernement, en plus des catégories précédemment couvertes comme la géolocalisation précise, l’origine raciale ou ethnique, les croyances religieuses, la vie sexuelle ou l’orientation sexuelle, le statut de citoyenneté et les données des enfants.
Traiter tout cela — même pour un seul résident du Connecticut — vous place dans le champ d’application de la loi. Et une fois que vous êtes concerné, deux obligations supplémentaires s’attachent spécifiquement aux données sensibles :
- Limiter le traitement à ce qui est raisonnablement nécessaire pour les finalités que vous avez divulguées, et
- Obtenir le consentement du consommateur avant de les traiter — y compris, explicitement, avant de les vendre.
Pour les petites entreprises ordinaires, les données sensibles apparaissent dans des endroits surprenants : un formulaire d’admission de bien-être notant une condition médicale, une demande d’emploi collectant un numéro de permis de conduire, un programme de fidélité stockant des informations de paiement avec l’historique d’achat, une fonctionnalité de fitness ou d’accessibilité générant des mesures adjacentes à la biométrie. Aucun de ces exemples ne nécessite une intention malveillante pour créer une exposition. Cartographiez où ces données entrent dans vos systèmes avant de supposer que vous n’en détenez aucune.
Nouveaux droits des consommateurs que vous devez être prêt à honorer
Les amendements donnent aux résidents du Connecticut plusieurs nouveaux droits qui se traduisent directement en travail opérationnel pour votre entreprise :
- Une liste des tiers spécifiques à qui leurs données personnelles ont été vendues. Une divulgation générique « nous partageons des données avec des partenaires » ne suffit plus — vous devez savoir, acheteur par acheteur, où les données sont allées.
- Des explications pour les décisions de profilage ayant des effets juridiques ou similaires importants, y compris le raisonnement derrière la décision et les données utilisées. Dans les décisions liées au logement spécifiquement, les consommateurs peuvent corriger des données inexactes et faire réévaluer la décision.
- Des droits d’accès élargis qui incluent explicitement les déductions et les informations de profilage. Notez la garde-fou dans l’autre sens : pour les catégories à risque plus élevé comme les numéros de sécurité sociale, certaines données financières et les éléments biométriques, vous devez confirmer que vous détenez les données plutôt que de remettre les valeurs réelles en réponse à une demande.
- Des mécanismes d’opposition renforcés pour la publicité ciblée, les ventes de données et le profilage conséquent, y compris par l’intermédiaire d’agents autorisés.
Séparément, votre avis de confidentialité doit désormais divulguer si vous collectez, utilisez ou vendez des données personnelles pour entraîner des grands modèles de langage — une exigence que le Connecticut partage avec le Vermont et qui importe à toute entreprise utilisant du contenu client ou des conversations de support comme matière première pour l’entraînement de modèles.
Il y a aussi de nouvelles protections pour les mineurs : les contrôleurs ne peuvent pas vendre, ni traiter à des fins de publicité ciblée, les données personnelles des consommateurs âgés de 13 à 17 ans.
L’application a maintenant de vraies dents
En vertu de la loi originale, les entreprises bénéficiaient d’une période de réparation garantie de 60 jours — un droit de corriger une infraction avant que des pénalités ne s’appliquent. Ce filet de sécurité a disparu. Le procureur général conserve le pouvoir discrétionnaire d’offrir une réparation, mais rien ne la garantit.
Les pénalités relèvent du cadre des pratiques commerciales déloyales de l’État : jusqu’à 5 000 $ par infraction volontaire et jusqu’à 2 500 $ par infraction non volontaire. Multipliées sur une liste de courriels ou une base de données clients, ces chiffres par infraction augmentent rapidement. Le bureau du procureur général a déjà publié des directives aux entreprises sur le champ d’application élargi et déposé un rapport annuel d’application décrivant une application active — la période d’attente pour prendre cette question au sérieux s’est terminée avec la date d’entrée en vigueur.
Un autre changement de portée avec un impact silencieux : l’ancienne exemption au niveau de l’entité pour les institutions financières en vertu de la loi Gramm-Leach-Bliley a été remplacée par une exemption au niveau des données, plus étroite. Si vous êtes un petit prêteur, courtier, assureur ou une entreprise liée aux technologies financières qui supposait une exemption générale, réexaminez quelles données et activités spécifiques sont réellement exclues plutôt que de vous fier à votre étiquette sectorielle.
Deuxième vague le 1er octobre : géolocalisation, courtiers en données et plus
Un ensemble complémentaire, le SB 4 tel qu’amendé par le HB 5222, prend effet le 1er octobre 2026 et ajoute des restrictions qu’il vaut la peine de préparer dès maintenant :
- Les ventes de géolocalisation précise sont explicitement interdites. Pas une question de consentement — interdites.
- Le consentement pour de nouvelles finalités devient plus strict. Auparavant, vous aviez besoin d’un consentement avant de traiter pour une nouvelle finalité sensiblement différente ; le qualificatif de matérialité est supprimé, donc toute nouvelle finalité qui n’est pas raisonnablement nécessaire ou compatible avec la finalité initialement divulguée nécessite un nouveau consentement.
- L’enregistrement des courtiers en données commence le 1er janvier 2027, avec une mise en place progressive jusqu’en 2031. Les entreprises qui vendent ou concèdent sciemment des données personnelles de consommateurs avec lesquels elles n’ont pas de relation directe doivent s’enregistrer auprès de l’État et fournir un mécanisme unique de demande de suppression couvrant tous les courtiers enregistrés.
- La tarification par surveillance — l’utilisation de données personnelles pour fixer des prix individualisés — fait face à de nouvelles restrictions, ainsi que de nouvelles obligations de divulgation et de consentement pour la reconnaissance faciale sur place et de nouvelles règles pour les entreprises de tests génétiques directement destinés aux consommateurs.
Si vos pratiques de tarification, de personnalisation ou de données de localisation touchent à l’un de ces domaines, le projet de conformité de juillet et celui d’octobre sont en réalité un seul programme avec deux échéances.
Votre liste de contrôle de conformité en 6 étapes
Vous n’avez pas besoin du budget d’un cabinet d’avocats pour faire des progrès significatifs. Procédez dans cet ordre :
1. Déterminez si vous êtes concerné
Rassemblez les chiffres complets de 2025 et les données de 2026 jusqu’à ce jour : visiteurs et clients uniques du Connecticut, tout détenteur de données sensibles, et tout partage de données pouvant être qualifié de vente — y compris les pixels de technologies publicitaires, les téléchargements de listes d’audience et les accords d’analyse. Parce que deux des trois déclencheurs n’ont pas de plancher de volume, supposez par défaut que vous êtes couvert jusqu’à ce que votre inventaire prouve le contraire.
2. Cartographiez vos flux de données
Construisez un inventaire simple : quelles données personnelles et sensibles vous collectez, où elles entrent (formulaires, paiements, pixels, imports), à quoi vous les utilisez, où elles sont stockées, et chaque tiers qui les reçoit. Portez une attention particulière aux pixels de suivi, aux échanges de listes et aux outils d’analyse « gratuits » payés par l’accès aux données. Cette carte est la base de tout ce qui suit — avis, consentements, traitement des droits et contrats avec les fournisseurs.
3. Actualisez les avis et les flux de consentement
Mettez à jour votre avis de confidentialité pour couvrir les divulgations nouvellement requises — profilage, publicité ciblée, utilisation pour l’entraînement de modèles de langage, ventes de données avec détail par acheteur — et assurez-vous que les avis sont visibles et accessibles. Conditionnez la collecte de données sensibles et toute vente de données sensibles à un consentement explicite, et confirmez que vos flux capturent et horodatent ce consentement.
4. Mettez en place des processus de traitement des droits
Établissez un processus reproductible pour les demandes d’accès, de correction, de suppression, d’opposition, de liste d’acheteurs et d’explication de profilage : un canal de réception, une vérification d’identité proportionnée à la sensibilité des données, un délai de réponse de 45 jours avec gestion des prolongations, et une voie de recours. Testez-le avec un exercice à blanc avant qu’une demande réelle n’arrive.
5. Examinez les fournisseurs et les systèmes de profilage
Renégociez les accords avec les fournisseurs pour refléter les obligations amendées — instructions de traitement, restrictions de vente, transparence des sous-traitants et coopération sur les demandes des consommateurs. Pour tout profilage qui conduit à des décisions conséquentes, préparez l’évaluation d’impact nouvellement requise couvrant la finalité, l’analyse des risques, les catégories de données, les indicateurs de performance, les mesures de transparence et la surveillance après déploiement. L’obligation d’évaluation s’applique aux activités créées ou générées à partir du 1er août 2026, et le procureur général peut demander à la voir.
6. Verrouillez les données des mineurs et la géolocalisation
Supprimez la publicité ciblée et les ventes de données pour les 13 à 17 ans, retirez les fonctionnalités de conception visant à maximiser l’engagement destinées aux mineurs, et cessez toute vente ou partage de données de géolocalisation précise avant l’interdiction du 1er octobre.
Là où la comptabilité rencontre la conformité à la confidentialité
La conformité à la confidentialité est autant un problème de comptabilité que juridique. Votre carte des données, les horodatages de consentement, les listes d’acheteurs, les contrats avec les fournisseurs et les évaluations d’impact sont des enregistrements — et les enregistrements nécessitent la même discipline que vos finances : complets, horodatés, réconciliables et récupérables sur demande.
C’est aussi là que les coûts se situent. Les abonnements aux outils de consentement, les réécritures d’avis, les renégociations avec les fournisseurs et le temps du personnel pour le traitement des droits sont de véritables dépenses de conformité. Suivez-les dans une catégorie de coûts de conformité dédiée plutôt que de les laisser se fondre dans les dépenses générales de logiciels ou juridiques. Quand la saison des renouvellements arrive — ou si le procureur général demande un jour ce que vous avez fait et quand — un grand livre propre montrant ce que vous avez dépensé, quels fournisseurs vous payez pour le traitement des données et quand chaque contrôle a été mis en place vaut bien plus qu’un dossier de captures d’écran. Séparer les coûts de conformité les rend également visibles au moment des impôts au lieu de les enfouir dans les frais généraux.
Simplifiez votre gestion financière
Pendant que vous travaillez sur la conformité à la confidentialité en parallèle de tout le reste qui requiert votre attention, maintenir des enregistrements financiers clairs rend l’ensemble du processus auditable. Beancount.io fournit une comptabilité en texte brut qui vous donne une transparence et un contrôle complets sur vos données financières — pas de boîtes noires, pas de verrouillage fournisseur. Commencez gratuitement et découvrez pourquoi les développeurs et les professionnels de la finance passent à la comptabilité en texte brut.
