États-Unis : vie privée et annonceurs 2026
Les États-Unis n'ont toujours pas de loi fédérale sur la vie privée, mais la carte des États s'est encore étendue en 2026. Les lois de l'Indiana, du Kentucky et du Rhode Island sont entrées en vigueur le 1er janvier, ce qui porte à vingt le nombre d'États dotés d'une loi complète sur la vie privée. Les règlements CCPA actualisés de Californie, également en vigueur depuis le 1er janvier 2026, ajoutent des analyses de risques, des audits de cybersécurité et des droits relatifs aux technologies de prise de décision automatisée. Pour les annonceurs, le travail concret consiste à gérer les refus de la publicité ciblée dans chaque État où vous avez des clients et à documenter l'utilisation des données d'audience.
Principales conclusions
- 1
Des lois complètes sur la vie privée sont entrées en vigueur dans l'Indiana, le Kentucky et le Rhode Island le 1er janvier 2026, ce qui porte le total à vingt États.
Source secondaire. Périmètre: États-Unis ; suivi législatif des États, au . [1]
- 2
La loi du Rhode Island s'applique aux entités qui traitent les données d'au moins 35 000 consommateurs, ou de 10 000 si plus de 20 % de leur chiffre d'affaires provient de la vente de données personnelles.
Source secondaire. Périmètre: Rhode Island ; suivi législatif des États, au . [1]
- 3
Les règlements CCPA actualisés de Californie, adoptés en juillet 2025 et approuvés en septembre 2025, sont entrés en vigueur le 1er janvier 2026 et couvrent les analyses de risques, les audits de cybersécurité et l'ADMT.
Documenté : source officielle. Périmètre: Californie ; CPPA, au . [2]
- 4
D'autres modifications de lois d'État entrent en vigueur le 1er juillet 2026 dans le Connecticut, l'Arkansas et l'Utah.
Source secondaire. Périmètre: États-Unis ; suivi législatif des États, au . [1]
Méthode et limites
- Question
- Qu'est-ce qui a changé en 2026 dans le droit américain de la vie privée et qui touche la façon dont les annonceurs ciblent et mesurent ?
- Destiné à
- Responsables performance et CRM qui achètent des médias aux États-Unis.
- Décision en jeu
- Comment organiser la gestion des refus, la cartographie des données et la mesure des campagnes aux États-Unis.
- Sources
- Un outil de suivi des lois des États sur la vie privée, la page de la California Privacy Protection Agency consacrée à l'élaboration de la réglementation et le texte réglementaire, ainsi qu'une note d'un cabinet d'avocats sur les trois nouvelles lois des États.
- Période
- Sources officielles et juridiques telles que publiées et consultées le 18 octobre 2026.
- Marchés
- États-Unis, avec le détail pour la Californie.
- Définitions
- Publicité ciblée : publicités sélectionnées à partir de données personnelles obtenues sur des sites ou applications non affiliés, selon la définition de la plupart des lois d'État.
- ADMT : technologie de prise de décision automatisée, selon la définition des règlements californiens.
- Limites
- Les lois des États diffèrent par leurs seuils et leurs définitions ; cette synthèse ne recense pas toutes les modifications.
- Ceci ne constitue pas un conseil juridique ou fiscal. Faites confirmer les obligations de votre entreprise par un conseil qualifié sur le marché concerné.
La carte des États en 2026
Source secondaire
L'Indiana, le Kentucky et le Rhode Island ont rejoint le 1er janvier 2026 la liste des États dotés d'une loi complète sur la vie privée. Les trois suivent le modèle de la Virginie, qui donne aux consommateurs le droit de refuser la publicité ciblée et la vente de leurs données personnelles. Les seuils du Rhode Island sont assez bas pour concerner de nombreuses entreprises de taille moyenne.
Des modifications suivent le 1er juillet 2026 dans le Connecticut, l'Arkansas et l'Utah, plusieurs d'entre elles durcissant les règles sur les données des mineurs.
Californie : analyses, audits et ADMT
Documenté : source officielle
Le conseil de la California Privacy Protection Agency a adopté des règlements actualisés le 24 juillet 2025 ; ils ont été approuvés le 22 septembre 2025 et sont entrés en vigueur le 1er janvier 2026. Ils imposent à certaines entreprises de réaliser des analyses de risques et des audits annuels de cybersécurité, et donnent aux consommateurs des droits d'accès et d'opposition à certains usages des technologies de prise de décision automatisée. Les échéances d'audit sont échelonnées : les premiers rapports sont attendus à partir d'avril 2028 pour les plus grandes entreprises.
Ce qu'il faut changer dans les campagnes
Le point de vue FOCUSADS
- Respectez Global Privacy Control et les signaux de refus sur tous les sites, et pas seulement pour les visiteurs californiens.
- Identifiez les audiences qui proviennent de vos propres clients et celles qui proviennent de tiers.
- Renvoyez les résultats CRM aux plateformes via les API de conversion approuvées, afin que l'optimisation dépende moins du suivi intersites.
- Documentez les décisions d'audience et d'enchères qui sont automatisées, au cas où une demande relative à l'ADMT arriverait.
Là où nous voyons des opportunités
Le point de vue FOCUSADS
À mesure que les signaux intersites se raréfient, les budgets se déplacent vers les canaux qui disposent de leurs propres audiences first-party : réseaux de retail media, TV connectée avec des téléspectateurs identifiés et search. Les annonceurs qui ont des données CRM propres peuvent les mesurer sur des résultats réels plutôt que sur les conversions déclarées par les plateformes.
Le lien avec notre méthode: Comment FOCUSADS filtre les canaux par marché
Références
- All of the comprehensive privacy laws that take effect in 2026, MultiState, consulté
- CCPA updates, cybersecurity audits, risk assessments, ADMT and insurance regulations, California Privacy Protection Agency, consulté
- California Consumer Privacy Act Regulations, effective 1 January 2026, California Privacy Protection Agency, consulté
- New state privacy laws effective January 1, 2026: Indiana, Kentucky and Rhode Island, Koley Jessen, consulté