La version en une phrase
La Californie donne aux personnes le droit d’empêcher les entreprises de vendre ou de partager leurs informations personnelles. La subtilité, c’est que sous la CPRA, des comportements ad-tech courants comptent comme une vente ou un partage même sans échange d’argent. Charger un pixel publicitaire qui transmet des identifiants à un tiers constitue généralement un partage. C’est pourquoi un contrôle « Do Not Sell or Share » ne suffit pas à lui seul si vos tags se déclenchent encore au chargement de la page.
Ce qui compte comme une vente ou un partage
Une vente consiste à divulguer des informations personnelles à un tiers contre de l’argent ou une autre contrepartie. Un partage consiste à les divulguer à des fins de publicité comportementale intercontextuelle, le nom technique du retargeting et de la majorité de la publicité programmatique. Les identifiants de cookies, les identifiants d’appareil et les données qu’un pixel collecte sont des informations personnelles. Un pixel Meta, un tag Google Ads ou un tag LinkedIn Insight qui s’exécute avant que le visiteur ne s’y oppose correspond donc exactement au schéma qui préoccupe les régulateurs.
Ce dont votre site a réellement besoin
- Un lien Do Not Sell or Share clair et visible, ou le contrôle combiné Your Privacy Choices, accessible depuis chaque page.
- La reconnaissance du signal Global Privacy Control. Sous la CPRA, un signal GPC émis par le navigateur doit être traité comme un refus valide, automatiquement, sans clic supplémentaire.
- Un moyen de stopper effectivement le partage, c’est-à-dire de retenir les tags de publicité et de partage jusqu’à ce que la préférence de refus soit connue, et pas seulement d’enregistrer un choix après que les tags se sont déjà exécutés.
- Un parcours de traitement des demandes de droits des consommateurs (savoir, supprimer, rectifier) dans les délais légaux.
- Des restrictions d’usage des informations personnelles sensibles lorsqu’un consommateur les demande.
Refus, pas consentement préalable
La CCPA est un régime d’opt-out, contrairement au GDPR qui repose sur l’opt-in. Vous n’avez pas besoin d’une bannière de consentement avant l’analyse en Californie comme c’est le cas dans l’UE. Ce qu’il vous faut, c’est rendre le refus facile, honorer le GPC et garantir qu’une fois le refus exprimé, la vente et le partage cessent véritablement.
Comment vérifier votre propre site
Ouvrez votre page d’accueil en tant que nouveau visiteur et observez ce qui se charge. Si des tags publicitaires ou de réseaux sociaux se déclenchent avant tout refus, et qu’il n’y a ni lien « Do Not Sell or Share » ni prise en charge du GPC, c’est l’écart à combler en priorité. Vous pouvez le faire en quelques secondes avec le scanner CCPA et CPRA gratuit, qui signale les tags de publicité et de partage se déclenchant au chargement et vérifie la présence d’un lien Do Not Sell. Pour un inventaire plus large de tous les traceurs de la page, utilisez le scanner de cookies.
Comment ConsentX vous aide
ConsentX lit nativement le signal Global Privacy Control et applique automatiquement le refus, vous donne un contrôle de préférence « Do Not Sell or Share » et retient les tags de vente et de partage jusqu’à la résolution de la préférence. Il fournit aussi un flux DSAR avec un compteur CCPA de 45 jours, pour qu’aucune demande de droits ne passe à travers les mailles. Pour en savoir plus, consultez la page de conformité CCPA ou commencez gratuitement.