> Lien « Do Not Sell My Personal Information » : formulation, emplacement, icône Your Privacy Choices, formulaire, GPC et délai de 15 jours sous le CCPA. > > Canonical: https://www.flowconsent.com/fr/blog/lien-do-not-sell-my-personal-information [Réglementation](https://www.flowconsent.com/fr/blog?category=regulation) # « Do Not Sell My Personal Information » : le lien CCPA expliqué Par Roland Vekemans · Publié le 3 novembre 2026 · 9 min de lecture En bref « Do Not Sell My Personal Information » (« ne vendez pas mes informations personnelles ») est le lien d'opposition que la loi californienne CCPA impose aux entreprises qui vendent ou partagent des données personnelles. Depuis la réforme CPRA, il s'intitule « Do Not Sell or Share My Personal Information », ou peut être remplacé par un lien unique « Your Privacy Choices » accompagné de l'icône officielle. Ce lien CCPA doit figurer dans l'en-tête ou le pied de page du site, mener à un vrai formulaire d'opposition (un bandeau cookies seul ne suffit pas), et la demande doit être exécutée sous 15 jours ouvrés. Pour un site européen, ce mécanisme surprend : le RGPD fonctionne à l'inverse, avec un consentement préalable dont notre guide sur les [conditions de validité du consentement RGPD](https://www.flowconsent.com/fr/blog/consentement-rgpd-conditions-validite) détaille les exigences. En Californie, les traceurs peuvent se charger par défaut, et c'est le lien « Do Not Sell » qui permet au visiteur de dire non. Voici comment le mettre en place quand votre site a une audience américaine. ## Que signifie « Do Not Sell My Personal Information » ? La première version du CCPA, en vigueur depuis janvier 2020, a donné aux résidents californiens le droit d'interdire à une entreprise de vendre leurs données, et imposé un lien « Do Not Sell My Personal Information » sur la page d'accueil. Le California Privacy Rights Act (CPRA) a étendu ce droit au « partage » à partir de janvier 2023 : le titre obligatoire est devenu « Do Not Sell or Share My Personal Information ». Deux notions font tout le mécanisme : - **Vendre** (sell) : communiquer des données personnelles à un tiers contre de l'argent ou toute autre « contrepartie de valeur ». Un outil gratuit d'analyse ou de publicité qui réutilise les données de vos visiteurs en échange de son service peut constituer une vente. - **Partager** (share) : communiquer des données à un tiers pour de la publicité comportementale entre sites, payée ou non. Les pixels de reciblage et les balises des régies publicitaires en sont l'exemple type. Pour le visiteur, cliquer sur le lien revient à dire « stop ». Pour l'entreprise, c'est une obligation assortie de délais, et les régulateurs vérifient que le lien fonctionne réellement. La différence entre les deux logiques est expliquée dans notre article [opt-in et opt-out](https://www.flowconsent.com/fr/blog/opt-in-opt-out-definition-rgpd), et notre guide du [consentement explicite, implicite et éclairé](https://www.flowconsent.com/fr/blog/consentement-explicite-implicite-eclaire) montre pourquoi une absence d'opposition ne vaudrait jamais consentement en Europe. ## Le lien CCPA est-il obligatoire pour votre site ? Il l'est si deux conditions sont réunies. D'abord, votre entreprise entre dans le champ du CCPA : société à but lucratif qui fait des affaires en Californie et dont le chiffre d'affaires annuel dépasse 26 625 000 dollars (seuil 2025), ou qui achète, vend ou partage les données de 100 000 consommateurs ou foyers californiens ou plus, ou qui tire au moins la moitié de son chiffre d'affaires de la vente ou du partage de données. Une entreprise européenne peut donc être concernée. Les seuils et le texte sont résumés sur notre [page consacrée au CCPA et au CPRA](https://www.flowconsent.com/fr/laws/ccpa-cpra). Ensuite, vous vendez ou partagez effectivement des données. En Californie, les identifiants de cookies, les adresses IP et les identifiants d'appareil sont des données personnelles : un Meta Pixel, un pixel TikTok ou le remarketing Google Ads suffisent en général. Si vous ne vendez ni ne partagez rien, l'article 7013(g) du règlement d'application vous dispense du lien, à condition que votre politique de confidentialité l'affirme. Cette affirmation doit être exacte : lors de la transaction de 2022 avec Sephora, le procureur général de Californie a reproché au distributeur d'avoir laissé des traceurs tiers collecter des données sur son site sans informer les visiteurs qu'il les vendait. ## Où placer le lien « Do Not Sell or Share » ? L'article 7013(c) exige le lien dans l'en-tête ou le pied de page de la page d'accueil. L'article 7003(c) précise qu'il doit ressembler aux liens voisins : au moins la même taille et la même couleur approximatives, pas une mention grise en petits caractères. Concrètement : - placez-le dans le pied de page global, pour qu'il apparaisse sur toutes les pages ; - reprenez le titre exact, en anglais : « Do Not Sell or Share My Personal Information » ; - si vous utilisez des données sensibles au-delà de ce que la loi autorise, ajoutez « Limit the Use of My Sensitive Personal Information », ou utilisez le lien combiné décrit ci-dessous ; - pour une application mobile, l'article 7003(d) impose que la politique de confidentialité soit accessible depuis la fiche de l'application dans le store, le lien pouvant aussi figurer dans l'application. ## « Do Not Sell or Share » ou « Your Privacy Choices » ? L'article 7015 propose une alternative : un lien unique intitulé « Your Privacy Choices » ou « Your California Privacy Choices », avec l'icône officielle d'opposition (un interrupteur bleu et blanc) placée juste à côté du titre, à peu près de la taille des autres icônes de l'en-tête ou du pied de page. Ce lien remplace à la fois « Do Not Sell or Share » et « Limit the Use of My Sensitive Personal Information ». La contrepartie : la page de destination doit expliquer les deux droits et permettre d'exercer les deux en ligne. Si seule l'opposition à la vente et au partage vous concerne, le lien classique est plus simple. Si vous couvrez aussi d'autres États américains, « Your Privacy Choices » est un titre neutre qui se lit naturellement hors de Californie. ## Ce qui doit se passer après le clic L'article 7013(a) donne au lien un objectif : rendre l'opposition effective immédiatement. Deux conceptions sont conformes. 1. **Effet immédiat.** Le clic ouvre un interrupteur ou une confirmation qui enregistre l'opposition sur-le-champ. L'information sur le droit d'opposition figure alors dans la politique de confidentialité. 2. **Une page dédiée.** Le lien mène à une page qui décrit le droit de s'opposer à la vente et au partage et contient le formulaire interactif exigé par l'article 7026(a)(1). Ce formulaire doit rester court : pas de compte, pas de connexion, pas de pièce d'identité. Dans les deux cas, l'opposition doit atteindre les balises qui envoient réellement les données. Un formulaire qui enregistre une préférence en base pendant que le Meta Pixel continue de se déclencher n'est pas une opposition. Avant de concevoir quoi que ce soit, dressez la liste de ce qui tourne sur vos pages. **Vérifiez en 30 secondes quels cookies votre site dépose avec le** [**scanner gratuit**](https://www.flowconsent.com/fr/scan), puis classez chaque traceur en nécessaire, mesure d'audience ou publicité. L'autre moitié du travail se fait côté serveur : les données envoyées aux plateformes publicitaires par des événements serveur ou des imports CRM doivent s'arrêter aussi. Un exemple concret de branchement : FlowConsent envoie à votre serveur un webhook signé `consent.withdrawn` quand un visiteur refuse ou retire son accord, que votre back-end peut utiliser pour suspendre le partage côté serveur pour ce visiteur. ## Pourquoi un bandeau cookies ne suffit pas C'est l'erreur la plus fréquente. L'article 7026(a)(4) l'écrit noir sur blanc : un bandeau ou des réglages de cookies ne constituent pas, à eux seuls, un moyen acceptable de s'opposer à la vente ou au partage, parce que les cookies concernent la collecte des données et non leur vente ou leur partage. Un bouton « Tout refuser » aide, mais il ne remplace pas le lien. L'article 7026(a) exige aussi au moins deux moyens désignés pour recevoir les demandes d'opposition, dont un qui corresponde à la façon dont vous interagissez principalement avec vos clients. Pour un site web, la paire habituelle est le formulaire derrière le lien et le signal Global Privacy Control. Notre article sur le [bandeau cookies CCPA](https://www.flowconsent.com/fr/blog/bandeau-cookies-ccpa-californie) explique comment le bandeau, le lien et le GPC s'articulent sur une même page. ## Les règles de traitement d'une demande « Do Not Sell » L'article 7026 encadre le traitement, et les sanctions récentes ont visé chacun de ces points : - **Ni compte ni vérification.** Vous ne pouvez exiger ni la création d'un compte (7026(c)) ni une demande vérifiée (7026(d)). Vous pouvez seulement demander ce qui sert à retrouver la personne, par exemple un e-mail si elle veut que l'opposition s'applique à son dossier client. - **15 jours ouvrés au maximum.** Cessez de vendre et de partager dès que possible, et au plus tard 15 jours ouvrés après réception de la demande (7026(f)). - **Prévenir les tiers.** Informez les tiers à qui vous avez vendu ou transmis les données entre la demande et son exécution, et demandez-leur de la respecter (7026(f)). - **Une option globale.** Vous pouvez proposer des choix détaillés, mais une option unique « tout refuser » doit aussi exister (7026(h)). - **Effort égal.** Le chemin du refus doit être aussi simple que celui de l'acceptation (article 7004). En mars 2025, l'Agence californienne de protection de la vie privée (CPPA) a infligé 632 500 dollars d'amende à Honda, notamment pour des choix non symétriques et des demandes d'informations excessives dans son processus d'opposition. - **Pas de relance.** La loi impose d'attendre au moins 12 mois avant de redemander à une personne qui s'est opposée d'autoriser la vente ou le partage. - **Mineurs.** Pour les moins de 16 ans, la logique s'inverse : pas de vente ni de partage sans consentement préalable (Code civil californien, article 1798.120(c)). ## Global Privacy Control et l'option « sans friction » Global Privacy Control (GPC) est un réglage de navigateur qui signale à chaque site « ne vendez pas et ne partagez pas mes données ». L'article 7025 en fait une demande d'opposition valable, et l'article 7025(e) précise que publier le lien ne dispense pas d'honorer le signal : il faut les deux, sauf à choisir la voie « sans friction ». Selon l'article 7025(g), vous pouvez supprimer les liens « Do Not Sell » et « Your Privacy Choices » si vous traitez le GPC sans friction (aucun frais, aucune dégradation du service, aucune fenêtre ni message affiché en réponse au signal), si vous le décrivez dans votre politique de confidentialité et si le signal suffit à appliquer entièrement l'opposition. Un site qui ne partage des données qu'en ligne, pour de la publicité comportementale, peut en bénéficier. En pratique, la plupart des entreprises gardent le lien, car les visiteurs sans GPC doivent aussi pouvoir s'opposer. Notre comparatif des [règles cookies du CCPA et du RGPD](https://www.flowconsent.com/fr/blog/ccpa-vs-rgpd-differences-cookies) montre comment combiner cela avec une configuration européenne. ## Mettre en place le lien CCPA pas à pas 1. Cartographiez chaque traceur et chaque flux de données côté serveur, et identifiez ceux qui sont des ventes ou des partages. 2. Choisissez le titre : « Do Not Sell or Share My Personal Information », ou « Your Privacy Choices » avec l'icône si vous traitez aussi des données sensibles. 3. Ajoutez le lien au pied de page global, de la même taille et de la même couleur que ses voisins. 4. Construisez la destination : un interrupteur immédiat, ou une page avec l'information et un formulaire court. 5. Reliez l'opposition à vos balises, pour que les scripts publicitaires restent bloqués dans ce navigateur, et à votre back-end pour les flux serveur. 6. Honorez le GPC sur toutes les pages et enregistrez chaque opposition avec sa date. 7. Prévoyez une procédure pour prévenir les tiers et clore les demandes sous 15 jours ouvrés. 8. Testez avec et sans GPC, en navigation privée, et vérifiez dans l'onglet réseau qu'aucune requête publicitaire ne part après l'opposition. ## Comment FlowConsent gère les demandes « Do Not Sell » FlowConsent applique le modèle opt-in à tous les visiteurs, Californiens compris : les scripts publicitaires et de mesure d'audience restent bloqués jusqu'à l'acceptation, donc un visiteur qui n'accepte jamais ne voit aucune donnée vendue ou partagée par vos balises. Chaque décision est conservée comme preuve de consentement exportable. Pour les flux serveur, les [webhooks de consentement](https://www.flowconsent.com/fr/doc/consent-webhooks) envoient à votre back-end un événement signé `consent.withdrawn` quand un visiteur refuse ou retire son accord. La documentation ne décrit en revanche ni page « Do Not Sell or Share » prête à l'emploi ni détection automatique du GPC : le lien de pied de page, sa page de destination et le traitement du GPC restent à votre charge. Pour un site d'abord américain qui a besoin de ces fonctions intégrées, notre [comparatif Osano](https://www.flowconsent.com/fr/comparison/osano-vs-flowconsent) est un bon point de départ. [Retour au blog](https://www.flowconsent.com/fr/blog) Partager l'article · [LinkedIn](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.flowconsent.com%2Ffr%2Fblog%2Flien-do-not-sell-my-personal-information) · [X](https://twitter.com/intent/tweet?url=https%3A%2F%2Fwww.flowconsent.com%2Ffr%2Fblog%2Flien-do-not-sell-my-personal-information) Questions ## Questions fréquentes sur ce sujet. Une question qui n'est pas dans la liste ? Écrivez-nous, on répond vite. [Nous écrire](https://www.flowconsent.com/fr/demo) ### Que signifie « Do Not Sell My Personal Information » ? C'est le lien par lequel un résident californien demande à une entreprise de cesser de vendre ou de partager ses données personnelles. Depuis l'entrée en vigueur du CPRA en 2023, le titre obligatoire est « Do Not Sell or Share My Personal Information », car le partage pour la publicité comportementale entre sites est aussi visé. Le clic doit enregistrer l'opposition, immédiatement ou via un formulaire court, sans compte ni contrôle d'identité. ### Tous les sites doivent-ils afficher un lien Do Not Sell ? Non. Seules les entreprises soumises au CCPA qui vendent ou partagent réellement des données personnelles y sont tenues. Le CCPA s'applique au-delà de 26 625 000 dollars de chiffre d'affaires annuel, à partir de 100 000 consommateurs ou foyers californiens, ou quand la moitié du chiffre d'affaires vient de la vente ou du partage de données. Sans vente ni partage, le lien peut être omis si la politique de confidentialité l'indique. ### Quelle différence entre « Do Not Sell or Share » et « Your Privacy Choices » ? « Your Privacy Choices » est le lien d'opposition alternatif prévu par l'article 7015 du règlement CCPA. Il remplace à la fois « Do Not Sell or Share My Personal Information » et « Limit the Use of My Sensitive Personal Information » par un seul lien, accompagné de l'icône officielle en forme d'interrupteur bleu et blanc. En contrepartie, sa page de destination doit expliquer les deux droits et permettre d'exercer les deux en ligne. ### De combien de temps une entreprise dispose-t-elle pour traiter une demande Do Not Sell ? L'article 7026(f) du règlement CCPA impose de cesser la vente et le partage dès que possible, et au plus tard 15 jours ouvrés après réception de la demande. L'entreprise doit aussi prévenir les tiers à qui elle a vendu ou transmis les données entre-temps et leur demander de respecter l'opposition. Elle doit ensuite attendre au moins 12 mois avant de redemander à la personne d'autoriser la vente ou le partage. ### Un bandeau cookies suffit-il pour respecter la règle Do Not Sell ? Non. L'article 7026(a)(4) du règlement CCPA précise qu'un bandeau ou des réglages de cookies ne sont pas, à eux seuls, un moyen acceptable de s'opposer à la vente ou au partage, car les cookies concernent la collecte et non la vente ou le partage. Un bouton Refuser aide, mais il faut aussi le lien Do Not Sell ou Your Privacy Choices, un formulaire d'opposition qui fonctionne et le respect du signal GPC. ### Le Global Privacy Control remplace-t-il le lien Do Not Sell ? Seulement sous conditions strictes. L'article 7025(g) permet de supprimer le lien si l'entreprise honore le GPC sans friction (aucun frais, aucune dégradation du service, aucune fenêtre affichée en réponse au signal), l'explique dans sa politique de confidentialité et peut appliquer entièrement l'opposition via le signal. Sinon, il faut les deux : le lien pour les visiteurs sans GPC, et le respect automatique du signal sur chaque page. À lire aussi ## Pour aller plus loin. [Tous les articles](https://www.flowconsent.com/fr/blog) [Réglementation · 29 octobre 2026](https://www.flowconsent.com/fr/blog/bandeau-cookies-ccpa-californie) ### [Bandeau cookies CCPA : ce qu'exige la loi en Californie](https://www.flowconsent.com/fr/blog/bandeau-cookies-ccpa-californie) [La CCPA n'impose pas de bandeau cookies façon RGPD, mais les cookies qui vendent ou partagent des données exigent une information, un refus qui fonctionne et le respect de Global Privacy Control. Règles, sanctions 2025 et mise en place.](https://www.flowconsent.com/fr/blog/bandeau-cookies-ccpa-californie) [Lire l'article ](https://www.flowconsent.com/fr/blog/bandeau-cookies-ccpa-californie)· [Réglementation · 9 mars 2026](https://www.flowconsent.com/fr/blog/ccpa-vs-rgpd-differences-cookies) ### [CCPA vs RGPD : les différences concrètes pour les cookies](https://www.flowconsent.com/fr/blog/ccpa-vs-rgpd-differences-cookies) [CCPA et RGPD traitent les cookies différemment. Opt-in vs opt-out, sanctions, portée géographique : voici ce qui change pour votre site.](https://www.flowconsent.com/fr/blog/ccpa-vs-rgpd-differences-cookies) [Lire l'article ](https://www.flowconsent.com/fr/blog/ccpa-vs-rgpd-differences-cookies)· [Outils marketing · 21 mai 2026](https://www.flowconsent.com/fr/blog/google-privacy-sandbox-consentement-cookies-tiers) ### [Google Privacy Sandbox : impact sur le consentement et les cookies tiers](https://www.flowconsent.com/fr/blog/google-privacy-sandbox-consentement-cookies-tiers) [Chrome conserve les cookies tiers et Google a abandonné la plupart des API du Privacy Sandbox. Ce qui a réellement changé, et pourquoi vos obligations de consentement RGPD restent identiques.](https://www.flowconsent.com/fr/blog/google-privacy-sandbox-consentement-cookies-tiers) [Lire l'article](https://www.flowconsent.com/fr/blog/google-privacy-sandbox-consentement-cookies-tiers) ## Mettez votre site en conformité aujourd'hui. Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement. [Créer ma bannière](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Scanner mon site](https://www.flowconsent.com/fr/scan)