> Bandeau cookies CCPA : ce que la loi californienne exige vraiment, le lien Do Not Sell, le signal GPC et les sanctions de 2025 à connaître. > > Canonical: https://www.flowconsent.com/fr/blog/bandeau-cookies-ccpa-californie [Réglementation](https://www.flowconsent.com/fr/blog?category=regulation) # Bandeau cookies CCPA : ce qu'exige la loi en Californie Par Roland Vekemans · Publié le 29 octobre 2026 · 9 min de lecture En bref La CCPA, la loi californienne sur la vie privée, n'impose pas de bandeau cookies au sens du RGPD : c'est un régime d'opt-out, les cookies peuvent donc se charger avant tout clic. Mais dès que vos cookies « vendent » ou « partagent » des données (pixels publicitaires, retargeting), il vous faut ce qu'apporte un bandeau cookies CCPA : une information au moment de la collecte, un refus « Do Not Sell or Share » qui fonctionne, des choix équilibrés et le respect automatique du signal Global Privacy Control. En 2025, le régulateur californien a sanctionné Honda et Todd Snyder précisément pour des refus de cookies mal conçus. Si vous avez déjà construit un bandeau pour vos visiteurs européens avec notre [guide du bandeau cookies conforme au RGPD](https://www.flowconsent.com/fr/blog/bandeau-cookies-conforme-rgpd-guide), les règles californiennes vous sembleront proches en surface et très différentes en profondeur. Cet article explique ce que la California Consumer Privacy Act (modifiée par la CPRA) exige vraiment pour les cookies, ce que doit contenir un bandeau cookies CCPA et comment le tester depuis l'Europe. ## La CCPA en Californie impose-t-elle un bandeau cookies ? Pas en ces termes. Ni la loi ni son règlement d'application n'emploient l'expression « bandeau cookies ». Ils posent en revanche quatre obligations qui touchent les cookies dès qu'ils collectent une donnée personnelle, ce qui en Californie inclut les identifiants de cookies, les adresses IP et les identifiants d'appareil : 1. **L'information au moment de la collecte** (« notice at collection », section 7012 du règlement) : le visiteur doit savoir, au plus tard au moment de la collecte, quelles catégories de données vous collectez et pourquoi. 2. **Le droit de refuser la vente et le partage** (Civil Code 1798.120) : si vos traceurs vendent ou partagent des données, le visiteur doit pouvoir dire non, via un lien « Do Not Sell or Share My Personal Information » ou le lien alternatif « Your Privacy Choices ». 3. **Les signaux de préférence** (section 7025) : le signal Global Privacy Control envoyé par le navigateur vaut demande de refus. 4. **La symétrie des choix** (section 7004) : refuser ne doit pas demander plus d'efforts qu'accepter. Le bandeau est simplement l'endroit le plus pratique pour réunir les quatre. ### Qui doit s'y conformer La CCPA s'applique aux entreprises à but lucratif qui exercent une activité en Californie et franchissent l'un de trois seuils : un chiffre d'affaires annuel supérieur à 26 625 000 dollars (montant révisé par l'agence californienne de protection de la vie privée, la CPPA, depuis janvier 2025), l'achat, la vente ou le partage des données de 100 000 consommateurs ou foyers californiens ou plus, ou au moins 50 % du chiffre d'affaires tiré de la vente ou du partage de données. Une entreprise française qui vise le marché américain peut donc être concernée par le deuxième ou le troisième critère. Les seuils et le texte sont résumés sur notre [page consacrée à la CCPA et à la CPRA](https://www.flowconsent.com/fr/laws/ccpa-cpra). ## Quand vos cookies « vendent » ou « partagent » des données C'est la question qui décide si vous avez besoin d'un mécanisme de refus. Depuis la CPRA, « partager » (sharing) signifie transmettre des données à un tiers pour de la publicité comportementale entre sites, qu'il y ait paiement ou non. « Vendre » (selling) couvre toute transmission contre une « contrepartie de valeur », notion plus large qu'un paiement en argent. Concrètement : - **Les pixels publicitaires** (Meta Pixel, TikTok Pixel, remarketing Google Ads, LinkedIn Insight Tag) envoient la navigation à des plateformes qui l'utilisent pour cibler des publicités ailleurs. C'est le cas d'école du partage. - **La mesure d'audience** confiée à un prestataire lié par un contrat de « service provider » qui limite l'usage des données n'est en général pas une vente. Le même outil configuré pour alimenter un réseau publicitaire peut le devenir. - **Les cookies strictement nécessaires** (session, panier, sécurité) ne sont ni vendus ni partagés et ne demandent aucun refus. Le procureur général de Californie l'a illustré en août 2022 avec un accord de 1,2 million de dollars conclu avec Sephora : le distributeur laissait des traceurs tiers collecter des données sur son site en échange de services d'analyse et de publicité, sans dire qu'il vendait des données et sans respecter Global Privacy Control. Avant de décider quoi que ce soit, il faut savoir ce qui se déclenche réellement sur vos pages. **Vérifiez en 30 secondes quels cookies votre site dépose avec le** [**scanner gratuit**](https://www.flowconsent.com/fr/scan), puis classez chacun : nécessaire, mesure d'audience ou publicité. ## Ce que doit contenir un bandeau cookies CCPA Dès que certains cookies vendent ou partagent des données, le bandeau (ou l'ensemble bandeau et liens de pied de page) doit couvrir les points suivants. ### Une information au moment de la collecte Une phrase sur le bandeau indique que le site utilise des cookies de mesure et de publicité, avec un lien vers la notice de collecte ou la section de la politique de confidentialité qui liste les catégories, les finalités, les durées de conservation et le fait que les données sont vendues ou partagées. Notre article sur la différence entre [notice, bandeau et politique cookies](https://www.flowconsent.com/fr/blog/bandeau-cookies-politique-cookies-differences) montre comment ces documents s'articulent. ### Un moyen clair de refuser Le règlement prévoit deux formats. Soit un lien « Do Not Sell or Share My Personal Information » (et « Limit the Use of My Sensitive Personal Information » si vous traitez des données sensibles), soit un lien unique « Your Privacy Choices » accompagné de l'icône officielle en forme d'interrupteur. Le lien doit figurer dans le pied de page ou à un autre endroit visible de chaque page. Sur le bandeau, un bouton « Refuser la vente et le partage » qui agit immédiatement remplit le même rôle. ### Des choix de même poids La section 7004 donne des exemples explicites de ce qui n'est pas symétrique : « Tout accepter » à côté de « En savoir plus », ou « Oui » à côté de « Plus tard ». Si accepter prend un clic, refuser doit prendre un clic. En mars 2025, la CPPA a infligé 632 500 dollars à Honda, notamment parce que son outil de gestion de la vie privée ne présentait pas les choix de façon symétrique. Exemple concret d'un bandeau conçu à l'inverse : FlowConsent affiche par défaut « Accepter » et « Refuser » avec la même taille et la même couleur, et la personnalisation graphique ne peut pas rompre cet équilibre. C'est la même logique que celle des [dark patterns sanctionnés par la CNIL](https://www.flowconsent.com/fr/blog/dark-patterns-cookies-cnil-interdit). ### Aucun obstacle au refus Une demande de refus ne nécessite pas de vérifier l'identité. Exiger une adresse e-mail, un compte ou une preuve de résidence pour arrêter le partage de cookies est une infraction. Honda a aussi été sanctionnée pour avoir demandé trop d'informations, et en mai 2025 la marque de vêtements Todd Snyder a accepté de payer 345 178 dollars pour des défaillances de ses mécanismes de refus et des exigences de vérification excessives. ### Le respect du signal Global Privacy Control C'est l'exigence la plus souvent oubliée par les sites européens, elle mérite sa propre section. ## Global Privacy Control : le signal que votre bandeau doit lire Global Privacy Control (GPC) est un réglage du navigateur qui envoie l'en-tête `Sec-GPC` (valeur 1) à chaque requête et expose `navigator.globalPrivacyControl` aux scripts. Firefox, Brave et DuckDuckGo le prennent en charge, des extensions l'ajoutent ailleurs. Selon la section 7025, une entreprise doit traiter ce signal comme une demande valable de refus de la vente et du partage pour ce navigateur, sans demander de confirmation. Le règlement modifié depuis janvier 2026 permet d'afficher que le signal a bien été pris en compte. Les contrôles sont réels. Tractor Supply a écopé de 1,35 million de dollars d'amende de la CPPA en 2025, en partie pour ne pas avoir respecté GPC, et en juillet 2025 le procureur général a annoncé un accord de 1,55 million de dollars avec Healthline pour des refus non appliqués. Le 9 septembre 2025, la Californie, le Colorado et le Connecticut ont lancé une enquête conjointe visant les sites qui ignorent le signal. La pression va augmenter : l'Opt Me Out Act (AB 566), signé en octobre 2025, oblige les navigateurs à proposer un réglage de refus à partir du 1er janvier 2027. Techniquement, respecter GPC signifie que le script du bandeau lit le signal avant de charger tout tag publicitaire et, s'il est présent, garde ces tags bloqués et enregistre le refus. ## Bandeau CCPA et bandeau RGPD : deux logiques opposées Les deux modèles partent de principes contraires, comme le détaille notre [comparatif CCPA et RGPD pour les cookies](https://www.flowconsent.com/fr/blog/ccpa-vs-rgpd-differences-cookies) : - **Le RGPD et la directive ePrivacy** exigent un consentement préalable : les cookies non essentiels restent bloqués tant que le visiteur n'a pas accepté. C'est l'opt-in. - **La CCPA** autorise les cookies par défaut et impose un moyen simple de refuser leur vente ou leur partage. C'est l'opt-out. Notre article sur l'[opt-in et l'opt-out](https://www.flowconsent.com/fr/blog/opt-in-opt-out-definition-rgpd) explique la différence avec des exemples. Pour un site qui reçoit des visiteurs européens et californiens, deux stratégies tiennent la route. La première applique l'opt-in partout : plus strict que ce qu'exige la Californie, mais une seule configuration et aucune erreur de géolocalisation. La seconde géolocalise, avec un bandeau opt-in pour l'Union européenne et le Royaume-Uni et un bandeau opt-out pour la Californie : elle maximise la collecte aux États-Unis mais double la configuration à tester. D'autres États américains dotés d'une loi générale sur la vie privée (Colorado, Connecticut, Texas, Oregon, entre autres) suivent aussi la logique d'opt-out, avec des variantes. ## Mettre en place un bandeau cookies CCPA, étape par étape 1. **Inventorier les traceurs.** Scanner le site, lister chaque cookie et script, son fournisseur et sa finalité. 2. **Les classer.** Nécessaire, mesure sous contrat de prestataire, publicité ou profilage entre sites (vente ou partage). 3. **Choisir le modèle.** Opt-in partout, ou opt-out géolocalisé pour la Californie. 4. **Rédiger la notice de collecte** et la relier depuis le bandeau. 5. **Ajouter le refus.** Un lien « Do Not Sell or Share » ou « Your Privacy Choices » en pied de page, et un bouton de refus sur le bandeau aussi visible que le bouton d'acceptation. 6. **Respecter GPC.** Bloquer les tags publicitaires quand le signal est présent et journaliser le refus. 7. **Tester.** Activer GPC dans Firefox ou Brave, charger le site et vérifier dans l'onglet réseau qu'aucune requête publicitaire ne part. Puis cliquer sur le lien de refus sans GPC et vérifier le même résultat. Refaire le test après chaque nouveau tag. Pour la mise en page et les textes, nos [exemples de bandeaux cookies](https://www.flowconsent.com/fr/blog/exemples-bandeau-cookies-rgpd-bonnes-pratiques) montrent à quoi ressemble un design équilibré. ## Les erreurs fréquentes sur les sites qui visent la Californie - Un lien de refus qui mène à un formulaire de contact ou à une page de confidentialité générique. - Un bandeau avec un seul bouton « Accepter », le refus caché derrière « Gérer les préférences ». - Un refus enregistré qui n'arrête pas les tags Meta Pixel ou Google Ads. - GPC ignoré parce que la CMP a été configurée pour le RGPD seulement. - Une adresse e-mail demandée avant de traiter un refus de cookies. - Un outil de cookies qui a cessé de fonctionner après une mise à jour du site, le type de défaillance reproché à Todd Snyder. Des scans réguliers le détectent. ## Comment FlowConsent gère le bandeau cookies CCPA FlowConsent applique le modèle opt-in à tous les visiteurs, Californiens compris : les scripts publicitaires et de mesure restent bloqués tant que le visiteur n'a pas accepté, « Accepter » et « Refuser » ont le même poids et un bouton flottant permet de changer d'avis à tout moment. Cela couvre les exigences de symétrie et d'absence d'obstacle, et les données d'un visiteur qui n'accepte jamais ne sont jamais partagées avec un réseau publicitaire. Chaque choix est conservé comme preuve de consentement exportable, et le scan automatique des cookies aide à repérer les nouveaux traceurs après une mise à jour. Ce que la documentation ne décrit pas aujourd'hui, c'est un mode opt-out américain avec géolocalisation ou une détection automatique de GPC : le lien « Your Privacy Choices » et le traitement de GPC restent à votre charge. Si vous en avez besoin pour un site tourné d'abord vers les États-Unis, notre [comparatif Osano](https://www.flowconsent.com/fr/comparison/osano-vs-flowconsent) est un bon point de départ. Le style du bandeau et le bouton de réouverture sont détaillés dans le [guide de personnalisation du bandeau](https://www.flowconsent.com/fr/doc/banner-customization). [Retour au blog](https://www.flowconsent.com/fr/blog) Partager l'article · [LinkedIn](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.flowconsent.com%2Ffr%2Fblog%2Fbandeau-cookies-ccpa-californie) · [X](https://twitter.com/intent/tweet?url=https%3A%2F%2Fwww.flowconsent.com%2Ffr%2Fblog%2Fbandeau-cookies-ccpa-californie) Questions ## Questions fréquentes sur ce sujet. Une question qui n'est pas dans la liste ? Écrivez-nous, on répond vite. [Nous écrire](https://www.flowconsent.com/fr/demo) ### La CCPA impose-t-elle un bandeau cookies ? Pas explicitement. La CCPA n'emploie jamais l'expression bandeau cookies. Mais si vos cookies vendent ou partagent des données personnelles, par exemple via des pixels publicitaires, vous devez informer au moment de la collecte, proposer un refus de la vente et du partage qui fonctionne, présenter des choix de même poids et respecter Global Privacy Control. Un bandeau associé à un lien en pied de page est le moyen le plus simple de tout couvrir. ### Faut-il un lien Do Not Sell or Share si j'utilise des cookies ? Seulement si vos cookies vendent ou partagent des données personnelles, ce qui est en général le cas des pixels publicitaires et de retargeting. Les cookies strictement nécessaires et la mesure d'audience confiée à un prestataire sous contrat restrictif ne le déclenchent généralement pas. Quand le lien est requis, vous pouvez utiliser Do Not Sell or Share My Personal Information ou le lien alternatif Your Privacy Choices avec l'icône officielle, en pied de chaque page. ### Qu'est-ce que Global Privacy Control et faut-il le respecter ? Global Privacy Control est un réglage du navigateur, disponible dans Firefox, Brave et DuckDuckGo, qui indique à chaque site que le visiteur refuse la vente et le partage de ses données. Selon la section 7025 du règlement CCPA, l'entreprise doit le traiter comme un refus valable pour ce navigateur, sans demander de confirmation. Des entreprises ont été sanctionnées pour l'avoir ignoré, et dès 2027 la Californie impose aux navigateurs de proposer ce réglage. ### Un seul bandeau peut-il couvrir le RGPD et la CCPA ? Oui. Le plus simple est d'appliquer le modèle opt-in du RGPD à tout le monde : les cookies non essentiels restent bloqués jusqu'à l'acceptation, ce qui est plus strict que ce qu'exige la Californie. Il faut tout de même une information au moment de la collecte, un lien en pied de page comme Your Privacy Choices et un traitement correct de Global Privacy Control. L'alternative, géolocaliser, double les tests. ### Quelles sanctions en cas d'infraction CCPA sur les cookies ? Depuis janvier 2025, les amendes administratives atteignent 2 663 dollars par infraction et 7 988 dollars par infraction intentionnelle ou touchant des mineurs de moins de 16 ans, et chaque visiteur concerné peut compter comme une infraction distincte. Parmi les affaires récentes liées aux cookies : Sephora (1,2 million de dollars, 2022), Honda (632 500 dollars, mars 2025), Todd Snyder (345 178 dollars, mai 2025), Healthline (1,55 million, juillet 2025) et Tractor Supply (1,35 million, 2025). À lire aussi ## Pour aller plus loin. [Tous les articles](https://www.flowconsent.com/fr/blog) [Réglementation · 9 mars 2026](https://www.flowconsent.com/fr/blog/ccpa-vs-rgpd-differences-cookies) ### [CCPA vs RGPD : les différences concrètes pour les cookies](https://www.flowconsent.com/fr/blog/ccpa-vs-rgpd-differences-cookies) [CCPA et RGPD traitent les cookies différemment. Opt-in vs opt-out, sanctions, portée géographique : voici ce qui change pour votre site.](https://www.flowconsent.com/fr/blog/ccpa-vs-rgpd-differences-cookies) [Lire l'article ](https://www.flowconsent.com/fr/blog/ccpa-vs-rgpd-differences-cookies)· [Guides par plateforme · 24 octobre 2026](https://www.flowconsent.com/fr/blog/bandeau-cookies-framer-rgpd) ### [Bandeau cookies Framer : installer un consentement conforme au RGPD (2026)](https://www.flowconsent.com/fr/blog/bandeau-cookies-framer-rgpd) [Quand un site Framer a besoin d'un bandeau cookies, ce que contrôle vraiment le composant intégré de Framer, et comment installer et tester un bandeau qui bloque les scripts avant consentement.](https://www.flowconsent.com/fr/blog/bandeau-cookies-framer-rgpd) [Lire l'article ](https://www.flowconsent.com/fr/blog/bandeau-cookies-framer-rgpd)· [Bonnes pratiques · 15 juillet 2026](https://www.flowconsent.com/fr/blog/exemples-bandeau-cookies-rgpd-bonnes-pratiques) ### [Exemples de bandeau cookies RGPD : bonnes pratiques et modèles](https://www.flowconsent.com/fr/blog/exemples-bandeau-cookies-rgpd-bonnes-pratiques) [Des bandeaux cookies conformes et non conformes analysés, les formats qui fonctionnent, les dark patterns sanctionnés, des modèles de texte et une liste de contrôle complète.](https://www.flowconsent.com/fr/blog/exemples-bandeau-cookies-rgpd-bonnes-pratiques) [Lire l'article](https://www.flowconsent.com/fr/blog/exemples-bandeau-cookies-rgpd-bonnes-pratiques) ## Mettez votre site en conformité aujourd'hui. Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement. [Créer ma bannière](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Scanner mon site](https://www.flowconsent.com/fr/scan)