En bref : le CCPA, modifié par le CPRA, n'exige pas de consentement préalable aux cookies des adultes, mais il oblige les entreprises qui vendent ou partagent des données à offrir un opt-out simple, y compris via le signal GPC du navigateur. Il vise les entreprises à but lucratif qui font des affaires en Californie et dépassent l'un de trois seuils, y compris des entreprises européennes. Les autorités californiennes sanctionnent déjà les opt-out mal conçus ou mal configurés, y compris lorsqu'ils reposent sur une CMP.
CCPA : de quoi parle-t-on ?
Le California Consumer Privacy Act de 2018 (CCPA) est la loi californienne sur la protection des données des consommateurs. L'Attorney General de Californie l'applique depuis le 1er juillet 2020, date à partir de laquelle il a commencé à adresser des mises en demeure aux entreprises.
En novembre 2020, les électeurs californiens ont approuvé la Proposition 24, le California Privacy Rights Act (CPRA). Ce texte ne crée pas une nouvelle loi : il modifie le CCPA, ajoute des droits applicables depuis le 1er janvier 2023 et crée une autorité spécialisée, la California Privacy Protection Agency (CPPA), chargée de mettre en œuvre et de faire respecter la loi. Les règlements d'application figurent au titre 11, division 6, du California Code of Regulations.
Les droits des consommateurs californiens comprennent :
- le droit de savoir quelles données sont collectées et comment elles sont utilisées et partagées ;
- le droit de supprimer les données collectées (avec des exceptions) ;
- le droit de refuser la vente ou le partage (opt-out), y compris via le GPC ;
- le droit de ne pas être discriminé pour avoir exercé ses droits ;
- depuis 2023, le droit de rectification et le droit de limiter l'usage des données sensibles.
Pour les cookies, le cœur du sujet est le « partage » (sharing) : transmettre des données à un tiers pour de la publicité comportementale inter-contextes, ce que font la plupart des pixels publicitaires. Notre comparatif CCPA vs RGPD détaille ces notions.
Qui est concerné ?
Le CCPA s'applique aux entreprises à but lucratif qui font des affaires en Californie et qui remplissent au moins un des critères suivants :
- un chiffre d'affaires annuel brut supérieur au seuil légal, fixé à 25 millions de dollars dans la loi et porté à 26 625 000 $ au 1er janvier 2025 par l'ajustement à l'inflation prévu tous les deux ans ;
- acheter, vendre ou partager les données personnelles de 100 000 résidents ou foyers californiens ou plus ;
- tirer 50 % ou plus de son chiffre d'affaires annuel de la vente de données personnelles de résidents californiens.
La loi ne s'applique généralement pas aux organisations à but non lucratif ni aux administrations. Le siège de l'entreprise n'entre pas en ligne de compte : une société européenne qui réalise un chiffre d'affaires mondial supérieur au seuil et qui vend en Californie peut être concernée. À l'inverse, une PME française dont l'audience californienne est marginale et qui ne dépasse aucun seuil ne l'est pas.
Ce que le CCPA impose pour les cookies et le consentement
Un modèle opt-out, sauf pour les mineurs
Contrairement au RGPD, le CCPA ne pose pas de règle de consentement préalable pour les cookies des adultes. Vous pouvez activer vos outils publicitaires dès l'arrivée du visiteur, à condition :
- de l'informer au moment de la collecte (notice at collection) des catégories de données et des finalités ;
- de lui permettre de refuser la vente ou le partage à tout moment ;
- de respecter ce refus sans délai excessif.
Exception importante : pour les consommateurs de moins de 16 ans, la vente ou le partage exige un opt-in. Entre 13 et 16 ans, cet accord peut venir du mineur lui-même.
Le lien « Do Not Sell or Share My Personal Information »
Les entreprises qui vendent ou partagent des données doivent afficher un lien clair et visible « Do Not Sell or Share My Personal Information » sur leur site, et le reprendre dans leur politique de confidentialité. Selon l'Attorney General, l'entreprise ne peut pas exiger la création d'un compte pour exercer ce droit, et ne devrait pas exiger de vérification d'identité, même si elle peut poser des questions de base pour retrouver les données concernées.
Le signal Global Privacy Control
Le consommateur peut aussi exercer son opt-out via un signal de préférence envoyé par son navigateur, comme le Global Privacy Control (GPC). L'Attorney General le traite comme une demande d'opt-out valable : votre site doit le détecter et désactiver automatiquement les cookies de vente ou de partage pour ce visiteur.
Retrait, preuve et symétrie
Le CCPA ne parle pas de « retrait du consentement » au sens européen, mais les décisions récentes de la CPPA montrent ce qui est attendu : des choix présentés de manière symétrique, pas plus d'informations que nécessaire pour traiter une demande, et des mécanismes techniques qui fonctionnent réellement. Garder une trace horodatée des opt-out et des signaux GPC reçus est la meilleure façon de démontrer que vous les avez honorés.
Le bandeau de cookies conforme au CCPA
Pour un visiteur californien, une bannière adaptée au CCPA doit :
- afficher une information au moment de la collecte, avec un lien vers la politique de confidentialité ;
- proposer un accès direct au choix « Do Not Sell or Share » ;
- présenter les options de manière symétrique : refuser ne doit pas être plus long ni plus difficile qu'accepter ;
- détecter le GPC et appliquer l'opt-out sans action supplémentaire ;
- ne pas exiger de compte ni de vérification d'identité pour un simple opt-out.
Les « dark patterns » sont explicitement visés : dans l'affaire Honda, la CPPA a reproché un outil de gestion de la confidentialité qui ne présentait pas les choix de manière symétrique ou égale. Si votre site vise à la fois l'Europe et la Californie, le plus simple est d'utiliser une CMP qui adapte la bannière selon la localisation du visiteur : opt-in en Europe, opt-out en Californie. Notre guide du bandeau cookies conforme reste la base, et l'article qu'est-ce qu'une CMP ? explique ce mécanisme.
Sanctions et contrôles
Les autorités : la CPPA (administrative) et l'Attorney General de Californie (civile) font respecter le CCPA. Les consommateurs ne peuvent agir eux-mêmes en justice que dans un cas limité : certaines violations de données non chiffrées.
Les plafonds : depuis le 1er janvier 2025, l'amende administrative et la pénalité civile atteignent 2 663 $ par violation et 7 988 $ par violation intentionnelle ou impliquant des mineurs de moins de 16 ans dont l'entreprise connaît l'âge (contre 2 500 $ et 7 500 $ auparavant). Ces montants s'appliquent par violation, donc potentiellement par consommateur concerné. En cas de violation de données, les dommages-intérêts vont de 107 $ à 799 $ par consommateur et par incident.
Trois cas réels :
- Sephora, 1,2 million de dollars (Attorney General, 24 août 2022) : des sociétés tierces suivaient les clients sur le site grâce à des logiciels de tracking, ce qui constituait une vente au sens du CCPA. Sephora ne l'indiquait pas et n'offrait pas d'opt-out. Elle a dû payer 1,2 million de dollars et proposer un opt-out passant notamment par le GPC.
- Honda, 632 500 $ (CPPA, 12 mars 2025) : vérification d'identité excessive pour exercer l'opt-out, outil de gestion de la confidentialité non symétrique, difficultés pour les mandataires et contrats insuffisants avec des acteurs adtech.
- Todd Snyder, 345 178 $ (CPPA, 6 mai 2025) : un portail de confidentialité mal configuré n'a pas traité les demandes d'opt-out pendant 40 jours, et le distributeur exigeait une vérification d'identité avant l'opt-out. La CPPA a souligné qu'utiliser une CMP ne dispense pas de vérifier sa conformité.
Checklist de conformité
- Vérifiez les seuils : chiffre d'affaires, volume de résidents californiens, part des revenus issue de la vente de données.
- Cartographiez les cookies qui « vendent » ou « partagent » des données (publicité ciblée, pixels sociaux, courtiers).
- Rédigez une notice au moment de la collecte et mettez à jour votre politique de confidentialité.
- Ajoutez le lien « Do Not Sell or Share » en pied de page et dans la politique.
- Activez la détection du GPC et testez-la avec un navigateur qui l'envoie.
- Présentez des choix symétriques, sans parcours de refus plus long que l'acceptation.
- Ne demandez pas de compte ni de pièce d'identité pour un opt-out.
- Gérez les mineurs de moins de 16 ans avec un opt-in.
- Testez régulièrement que l'opt-out coupe réellement les balises concernées.
- Conservez une trace des demandes et signaux reçus.
Comment FlowConsent vous aide à respecter le CCPA
FlowConsent permet d'afficher une bannière adaptée à chaque région, de bloquer ou libérer les scripts selon le choix du visiteur et d'enregistrer chaque décision dans un registre de preuve exportable (voir la vérification de conformité). Le scan automatique identifie les traceurs publicitaires présents sur vos pages, ceux qui relèvent typiquement du « partage » au sens du CCPA. La même installation couvre vos visiteurs européens en opt-in, avec Google Consent Mode v2 intégré.
Commencez par notre scanner gratuit pour repérer vos cookies publicitaires, puis créez votre compte : gratuit jusqu'à 25 000 sessions par mois, puis 14,99 €/mois jusqu'à 100 000 sessions.
Pour aller plus loin
Le CCPA est souvent la première loi non européenne qu'une entreprise rencontre. Les articles ci-dessous comparent ses règles à celles du RGPD, présentent les autres lois hors Europe et expliquent comment choisir une CMP capable de gérer plusieurs régimes à la fois.