Pourquoi les États-Unis diffèrent de l'UE

Dans l'UE, un seul règlement fixe la base. Aux États-Unis, il n'existe pas de loi fédérale complète sur la vie privée couvrant le suivi général des sites web, si bien qu'un nombre croissant d'États individuels ont adopté la leur. La Californie a ouvert la voie et beaucoup d'autres ont suivi avec des lois qui se ressemblent mais ne sont pas identiques.

Pour un éditeur dont l'audience est nationale, la question pratique n'est pas « quelle loi unique s'applique ? » mais « quel ensemble commun de comportements fonctionne pour toutes ? ».

Opt-out contre opt-in : la différence centrale

La plupart des raisonnements de type UE partent de l'opt-in : pas de suivi tant que l'utilisateur n'a pas accepté. La plupart des lois d'État américaines partent de l'opt-out : vous pouvez traiter des données personnelles ordinaires, mais vous devez informer sur ce que vous faites et permettre aux personnes d'arrêter certaines activités.

• Publicité ciblée — les utilisateurs ont généralement un droit d'opposition.
• Vente ou partage de données personnelles — les utilisateurs ont généralement un droit d'opposition.
• Profilage — de nombreuses lois prévoient un droit d'opposition au profilage utilisé pour des décisions importantes.
• Données sensibles — la plupart de ces lois exigent un consentement opt-in avant leur traitement : c'est ici que le modèle s'inverse.

Vérifiez toujours le libellé exact pour les États où vous avez un trafic réel, car les définitions de « données sensibles » et de « vente » diffèrent.

Ce que les lois ont en commun

Malgré les différences, les mêmes éléments reviennent sans cesse :

1. Une politique de confidentialité claire et accessible décrivant les catégories de données, les finalités et les destinataires.
2. Un moyen visible de s'opposer à la publicité ciblée et à la vente ou au partage, comme un lien en pied de page.
3. Le respect des signaux de préférence d'opt-out dans les États qui l'exigent, par exemple Global Privacy Control.
4. Un processus de traitement des demandes des consommateurs telles que l'accès, la suppression et la rectification.
5. Des contrats avec les prestataires qui traitent des données pour votre compte.

Les signaux d'opt-out deviennent obligatoires

Plusieurs États exigent que les entreprises traitent un signal d'opt-out universel basé sur le navigateur comme une demande d'opt-out valide. En pratique, si le navigateur d'un visiteur envoie le signal Global Privacy Control, votre site doit appliquer l'opt-out automatiquement, sans demander au visiteur de cliquer sur autre chose.

La conséquence technique est simple : votre logique de consentement doit lire le signal avant de charger les balises publicitaires et analytiques, et la configuration de vos balises doit comporter un état qui représente « opt-out ».

Seuils et applicabilité

De nombreuses lois d'État ne s'appliquent qu'au-delà de certains seuils, comme le nombre de résidents dont vous traitez les données ou la part du chiffre d'affaires issue de la vente de données. Les seuils varient et évoluent avec le temps ; ne supposez donc pas qu'un petit éditeur est automatiquement hors champ. Demandez à un juriste de confirmer quelles lois s'appliquent à votre activité.

Transmettre le choix le long de la chaîne publicitaire

Pour les éditeurs publicitaires, recueillir le choix d'un utilisateur n'est que la moitié du travail. Le choix doit parvenir à vos partenaires publicitaires. La Global Privacy Platform (GPP) de l'IAB a été conçue pour cela : elle transporte une section nationale américaine et des sections propres à chaque État dans un seul signal afin que les fournisseurs d'ad tech puissent lire le statut de l'utilisateur. Si votre stack repose encore sur d'anciens signaux propres à un seul État, prévoyez de passer à une approche unifiée à mesure que de nouveaux États apparaissent.

Un modèle d'exploitation pratique

1. Listez les États d'où vous recevez un trafic significatif.
2. Choisissez le comportement commun le plus strict et appliquez-le largement si vous préférez la simplicité, ou localisez par État si vous devez préserver vos revenus.
3. Placez un point d'entrée permanent pour l'opt-out sur chaque page.
4. Testez que l'opt-out et le signal du navigateur arrêtent réellement les balises concernées.
5. Conservez une trace des choix faits par les utilisateurs.
6. Réexaminez régulièrement la liste des lois applicables, car de nouvelles continuent d'arriver.

Où s'insère FlexyConsent

FlexyConsent prend en charge IAB GPP v1.1 avec la section nationale américaine et 16 lois d'État américaines, de sorte que le choix d'opt-out de l'utilisateur peut être transmis à vos partenaires publicitaires dans un signal standard unique. La bannière est disponible en 57 langues, ce qui aide pour les audiences américaines hispanophones et autres audiences multilingues. Il s'agit d'un outil pour recueillir et transmettre des choix ; ce que votre entreprise doit faire au titre de chaque loi relève de votre propre conseil juridique.

Points clés à retenir

• Les lois d'État américaines sont surtout fondées sur l'opt-out, avec opt-in pour les données sensibles.
• Le socle commun : information, opt-out visible, respect des signaux d'opt-out et traitement des demandes des consommateurs.
• Lisez les signaux d'opt-out avant le déclenchement des balises, pas après.
• Utilisez un signal unifié comme GPP pour transmettre le choix aux partenaires publicitaires.
• Vérifiez l'applicabilité et les seuils avec un juriste, et réexaminez-les régulièrement.