TL;DR
Le RGPD et le CCPA sont les deux cadres réglementaires majeurs qui encadrent la gestion des cookies sur les sites web, mais ils fonctionnent de manière fondamentalement différente. Le RGPD (Europe) impose un consentement explicite avant le dépôt de tout cookie non essentiel (opt-in). Le CCPA/CPRA (Californie) autorise le dépôt de cookies par défaut, mais exige un mécanisme d'opt-out pour la vente ou le partage de données personnelles. Un site qui cible des utilisateurs dans les deux zones doit gérer les deux logiques simultanément, ce qui nécessite une CMP capable de différencier les règles par géolocalisation.
Pourquoi ce comparatif est indispensable
Le RGPD part du principe que rien ne doit être collecté sans accord préalable. Le CCPA part du principe que la collecte est autorisée, mais que l'utilisateur doit pouvoir s'y opposer. Cette distinction a des conséquences directes sur la configuration de votre bannière cookies, le blocage des scripts, et l'architecture de votre CMP.
RGPD et CCPA : deux cadres, deux philosophies
Le RGPD en résumé
Le RGPD est en vigueur depuis mai 2018 dans l'Union européenne. Il définit les données personnelles de manière large : adresses IP, identifiants de cookies, données de navigation. Tout cookie non strictement nécessaire nécessite un consentement préalable, libre, éclairé, spécifique et univoque. C'est le modèle opt-in.
Le CCPA/CPRA en résumé
Le CCPA est en vigueur depuis janvier 2020, renforcé par le CPRA depuis janvier 2023. Il s'applique aux entreprises dépassant certains seuils (25 M$ de CA, 100 000 résidents, ou 50 % de revenus issus de la vente de données). Le CCPA suit un modèle opt-out : les cookies peuvent être déposés dès le chargement, mais l'utilisateur doit pouvoir s'opposer via un lien Do Not Sell or Share et via le signal GPC.
Les différences concrètes pour les cookies
Sous le RGPD, si votre site charge Google Analytics ou un pixel publicitaire avant que l'utilisateur n'ait cliqué Accepter, vous êtes en infraction. Sous le CCPA, ces scripts peuvent se charger immédiatement, mais l'utilisateur doit pouvoir empêcher la vente ou le partage de ses données via un opt-out accessible.
Ce que ça change concrètement pour votre site
Si vous ciblez uniquement l'Europe
Bloquez tous les scripts non essentiels avant le consentement. Votre bandeau cookies doit proposer un choix granulaire avec un bouton Refuser aussi visible que le bouton Accepter. Les preuves de consentement doivent être stockées.
Si vous ciblez uniquement la Californie
Vous pouvez charger vos scripts de tracking dès le chargement. Affichez un lien Do Not Sell or Share accessible depuis toutes les pages. Votre site doit respecter le signal GPC.
Si vous ciblez les deux zones
Votre CMP doit détecter la localisation du visiteur et appliquer les règles correspondantes. Pour choisir une CMP qui gère les deux réglementations, vérifiez qu'elle supporte la géolocalisation, le GPC et le Consent Mode v2.
Les cookies concernés par chaque réglementation
Les deux réglementations ne ciblent pas exactement les mêmes types de cookies. Les cookies strictement nécessaires sont exemptés dans les deux cas. Les cookies analytics nécessitent un opt-in sous le RGPD. Les cookies publicitaires sont concernés par les deux réglementations.
Erreurs fréquentes (et comment les éviter)
Appliquer les mêmes règles partout. Appliquer le RGPD à tous les visiteurs réduit inutilement le taux de consentement en Californie. Appliquer le CCPA à tous les visiteurs n'est pas conforme au RGPD.
Ignorer le signal GPC. Le CCPA/CPRA impose le respect du Global Privacy Control. En 2025, Tractor Supply a été sanctionné de 1,35 million de dollars, notamment pour ne pas avoir respecté le GPC.
Confondre Do Not Sell et Reject All. Le lien Do Not Sell du CCPA cible spécifiquement la vente et le partage de données, pas tous les cookies.
Oublier le Consent Mode v2. Si vous utilisez Google Analytics et ciblez l'EEE, le Consent Mode v2 est obligatoire depuis mars 2024. Ce paramètre est distinct des exigences CCPA.
Négliger la documentation. Le RGPD exige une documentation complète. Le CCPA exige une politique de confidentialité à jour et un avis de collecte. Les deux demandent une mise à jour annuelle.
Comment configurer votre CMP pour les deux réglementations
Géolocalisation pour identifier la localisation du visiteur. Bannière adaptée par zone. Blocage conditionnel des scripts. Stockage des preuves de consentement. Utilisez un scanner de cookies pour vérifier que votre configuration CMP fonctionne correctement.
Checklist conformité CCPA + RGPD pour les cookies
- Identifier la localisation de vos visiteurs et les réglementations applicables.
- Configurer votre CMP avec des règles différenciées par géolocalisation.
- Bloquer les scripts non essentiels avant consentement pour les visiteurs européens.
- Afficher un lien Do Not Sell or Share pour les visiteurs californiens.
- Configurer le respect du signal GPC.
- Stocker les preuves de consentement pour les visiteurs UE.
- Mettre à jour votre politique de confidentialité avec les mentions RGPD et CCPA.
- Configurer le Consent Mode v2 pour les visiteurs EEE.
- Scanner votre site pour vérifier le blocage et l'opt-out.
- Planifier une revue annuelle de votre configuration CMP.
Conclusion et prochaine étape
Le RGPD et le CCPA imposent des obligations différentes : opt-in en Europe, opt-out en Californie. Un site qui reçoit du trafic des deux zones doit gérer les deux logiques. Commencez par un scan de votre site pour identifier tous les cookies et traceurs actifs. En 2026, RGPD et CCPA continuent de se renforcer, et les sites opérant entre les États-Unis et l'Europe doivent maîtriser les deux cadres.