Un guide pratique de CCPA Conformité et analyse Web

La conformité au CCPA et l'analyse web se rejoignent sur un point pratique : la plupart des outils d'analyse collectent des identifiants en ligne, des données d'appareil, l'activité de navigation, des informations de référencement et des historiques d'événements. Selon la loi californienne sur la protection de la vie privée, ces signaux peuvent constituer des informations personnelles lorsqu'ils identifient, concernent, décrivent ou peuvent raisonnablement être associés à un consommateur ou à un foyer.

Ceci ne constitue pas un conseil juridique, mais c'est une manière utile pour les propriétaires de sites web de structurer leur examen avant de choisir ou de configurer un outil d'analyse.

What the CCPA Covers

Le California Consumer Privacy Act, tel que modifié par le CPRA, accorde aux résidents de Californie des droits sur leurs informations personnelles. Le California Attorney General décrit des droits qui incluent le droit de savoir quelles informations personnelles sont collectées, de les supprimer, de corriger des informations inexactes, de refuser leur vente ou leur partage, de limiter l'utilisation des informations personnelles sensibles et de ne pas subir de discrimination pour avoir exercé ces droits (California OAG).

La California Privacy Protection Agency explique aussi les seuils d'applicabilité actuels et les ressources d'application de la loi (CPPA FAQ).

Pour les équipes d'analyse, le point le plus important est que les « informations personnelles » couvrent bien plus que les noms et les adresses email. Cela peut inclure des identifiants en ligne, l'adresse IP, l'historique de navigation, l'historique de recherche, les interactions avec un site web, la géolocalisation et les inférences.

Does Web Analytics Count as Personal Information?

Souvent, oui. Une configuration d'analyse typique collecte :

• L'adresse IP ou une localisation dérivée d'une IP tronquée.
• Des identifiants de cookies ou d'appareils.
• Des informations sur le navigateur et l'appareil.
• Les chemins de page et les référents.
• Les paramètres de campagne UTM.
• Des événements tels que les débuts de formulaire, les téléchargements et les achats.
• Une localisation approximative.
• Des identifiants utilisateur si l'outil d'analyse est connecté à des comptes.

Même lorsqu'un rapport est agrégé, la collecte sous-jacente peut tout de même impliquer des informations personnelles. La question de la conformité ne se limite pas à ce qui apparaît dans le tableau de bord. Elle porte sur les données collectées, stockées, associées, partagées et conservées.

Sale, Sharing, and Targeted Advertising

La loi californienne distingue la « vente » d'informations personnelles de leur « partage » à des fins de publicité comportementale intercontextuelle. Si les données d'analyse sont divulguées à une plateforme publicitaire ou utilisées pour cibler la publicité dans différents contextes, des obligations de refus (opt-out) peuvent s'appliquer.

C'est là que les propriétaires de sites web doivent se montrer prudents avec les gestionnaires de balises. Un site peut démarrer avec un simple outil d'analyse puis ajouter par la suite des pixels de remarketing, des API de conversion, des synchronisations d'audience ou des intégrations avec des plateformes publicitaires. Ces ajouts peuvent changer l'analyse juridique.

Posez-vous les questions suivantes :

• Le fournisseur d'analyse agit-il en tant que prestataire de services/sous-traitant ou en tant que tiers indépendant ?
• Les données sont-elles utilisées uniquement pour vous fournir des services d'analyse ?
• Sont-elles utilisées pour les produits publicitaires du fournisseur ?
• Sont-elles combinées entre plusieurs clients ?
• Sont-elles partagées avec des réseaux publicitaires ou des courtiers en données ?
• Le site propose-t-il un lien « Do Not Sell or Share My Personal Information » si requis ?
• Traite-t-il les signaux Global Privacy Control lorsque requis ?

Google Analytics Considerations

Google Analytics peut être configuré de différentes façons, mais il reste un service d'analyse tiers connecté à l'écosystème plus large de Google. Google indique qu'Analytics utilise des cookies tels que _ga pour distinguer les visiteurs (Google Privacy and Terms). GA4 interagit aussi avec le Consent Mode et les fonctionnalités de modélisation lorsque le consentement est refusé (Google Tag Manager Help).

Utiliser GA4 dans le cadre du CCPA peut exiger :

• Une divulgation dans la politique de confidentialité.
• Un accord signé de traitement des données ou de prestation de services, le cas échéant.
• Un examen des paramètres de partage des données de Google.
• Des contrôles sur les fonctionnalités et signaux publicitaires.
• Une gestion des demandes de refus (vente/partage), le cas échéant.
• Des contrôles de consentement ou de cookies dans les juridictions qui l'exigent.
• Une documentation interne des flux de données vers Google.

Ne présumez pas que l'« anonymisation IP » ou les rapports agrégés seuls résolvent la question. L'examen doit couvrir les identifiants, les cookies, le partage, les fonctionnalités publicitaires, la conservation des données et les droits des utilisateurs.

Approche d'analytique respectueuse de la vie privée

Une analytique respectueuse de la vie privée peut réduire l'exposition au CCPA en évitant dès le départ la collecte d'informations personnelles superflues. Recherchez :

• Aucun cookie analytique.
• Aucun identifiant persistant intersite.
• Aucun stockage complet de l'adresse IP.
• Aucune vente ni partage à des fins publicitaires.
• Des rapports agrégés.
• Une conservation courte des journaux bruts.
• Des clauses DPA / prestataire de services.
• Des processus clairs d'export et de suppression des données.

Si un outil d'analytique ne collecte réellement aucune information personnelle, de nombreuses obligations du CCPA liées à cet outil deviennent plus simples. Mais vérifiez cette affirmation. Consultez la documentation technique du fournisseur, le contrat, les sous-traitants, et regardez si les URL, paramètres de requête ou événements personnalisés pourraient tout de même contenir des informations personnelles.

Liste de contrôle pratique de conformité

1. Déterminez si votre entreprise est couverte par le CCPA/CPRA.
2. Recensez tous les outils d'analytique, gestionnaires de balises, pixels, cartes thermiques, replays, tests A/B et outils de conversion.
3. Identifiez quelles informations personnelles chaque outil collecte.
4. Classez chaque relation avec un fournisseur.
5. Vérifiez si des données sont vendues ou partagées à des fins de publicité comportementale intersite.
6. Mettez à jour les mentions relatives à la confidentialité.
7. Mettez en place des liens de désinscription et la gestion du Global Privacy Control là où c'est requis.
8. Réduisez au minimum les propriétés des événements et retirez les paramètres d'URL sensibles.
9. Fixez des limites de conservation.
10. Revérifiez la configuration chaque fois que le marketing ajoute une nouvelle balise.

La conformité au CCPA est plus simple quand le système d'analytique est réduit, en premier parti, et limité à un usage précis. Moins vous collectez et partagez d'informations personnelles, moins vous avez de flux de droits, de risques fournisseurs et de cas particuliers de désinscription à gérer.

Liste de contrôle CCPA pour l'analytique

Vérifiez si l'entreprise est couverte, y compris le seuil de chiffre d'affaires brut mis à jour par la CPPA, fixé à 26 625 000 $ à compter du 1er janvier 2025. Recensez ensuite les outils d'analytique, gestionnaires de balises, pixels, outils de replay, tests A/B, API de conversion et fournisseurs d'enrichissement de données.

Pour chaque outil, classez les informations personnelles collectées, le rôle du fournisseur, la conservation, la vente, le partage à des fins de publicité comportementale intersite, le risque lié aux données sensibles, le parcours de désinscription et la gestion du Global Privacy Control. Si une analytique agrégée répond à la question, évitez d'envoyer des données au niveau du visiteur vers des systèmes publicitaires.

Ce qu'il faut tester sur le site web

Menez la vérification CCPA dans le navigateur, pas seulement dans les contrats. Visitez le site avec le Global Privacy Control activé, refusez les cookies optionnels, et vérifiez si les pixels publicitaires, balises d'audience, replays de session, scripts d'enrichissement ou API de conversion reçoivent encore des données sur le visiteur. Le procureur général de Californie a considéré le GPC comme un signal de désinscription valide, le comportement technique compte donc autant que le lien en pied de page (directives du California OAG sur le GPC).

Vérifiez aussi si les charges utiles analytiques incluent des URL complètes, des identifiants utilisateur, des hachages d'e-mail, des valeurs de formulaire, des codes promo ou une localisation détaillée. Ces champs peuvent transformer une simple vue de page en données plus difficiles à classer et à honorer dans les processus de suppression ou de désinscription. Une règle pratique est simple : si un champ n'est pas nécessaire pour un rapport sur lequel quelqu'un agit, ne l'envoyez pas au fournisseur d'analytique.

Foire aux questions

Le CCPA s'applique-t-il à tous les sites web ?

La couverture dépend de seuils fixés par la CPPA, notamment le seuil de chiffre d'affaires brut de 26 625 000 $ en vigueur depuis le 1er janvier 2025. Un site sous ces seuils peut échapper aux obligations du CCPA, donc vérifier la couverture est la première étape de tout examen, pas une réflexion après coup.

Qu'est-ce qui constitue une information personnelle dans les analytics web ?

Les informations personnelles dans les analytics web couvrent les adresses IP, les identifiants de cookies ou d'appareils, les détails du navigateur et de l'appareil, les chemins de page et les référents. Elles couvrent aussi les paramètres UTM, les données d'événements comme les débuts de formulaire et les achats, la localisation approximative, et les identifiants utilisateur lorsque les analytics sont connectés aux comptes. Un tableau de bord agrégé ne change rien à ce qui a été collecté en dessous.

Google Analytics est-il conforme au CCPA par défaut ?

Installer GA4 ne règle pas la question à lui seul. GA4 place des cookies comme _ga pour distinguer les visiteurs et ajuste son comportement via le Consent Mode lorsque le consentement est refusé, donc la conformité dépend de la divulgation dans la politique de confidentialité, de l'accord avec le fournisseur de services, et des contrôles fixés sur les fonctionnalités publicitaires et les signaux.

Quelle est la différence entre vendre et partager des informations personnelles selon le CCPA ?

Vendre et partager sont des catégories distinctes selon la loi californienne. Le partage couvre la divulgation d'informations personnelles à des fins de publicité comportementale intercontextuelle, et peut déclencher des obligations d'opt-out même sans échange d'argent, par exemple lorsque des données analytics atteignent une plateforme publicitaire ou servent à cibler des publicités sur plusieurs sites.

L'ajout d'un gestionnaire de balises modifie-t-il les obligations du CCPA ?

L'ajout d'un gestionnaire de balises peut les modifier. Un site qui démarre avec des analytics simples et ajoute ensuite des pixels de remarketing, des API de conversion, des synchronisations d'audience ou des intégrations avec des plateformes publicitaires a changé ce qui arrive à ces données, et chaque ajout nécessite son propre examen du rôle du fournisseur, du partage et de la gestion de l'opt-out.

Qu'est-ce que le Global Privacy Control et pourquoi compte-t-il pour les analytics ?

Le Global Privacy Control est un signal de navigateur qui indique aux sites qu'un visiteur refuse la vente et le partage de ses données, et le procureur général de Californie le considère comme un signal d'opt-out valide. Tester un site avec le GPC activé montre si les pixels publicitaires, les balises d'audience ou les API de conversion reçoivent encore les données du visiteur malgré ce signal.

Les analytics respectueux de la vie privée peuvent-ils supprimer entièrement les obligations du CCPA ?

Les analytics respectueux de la vie privée peuvent les simplifier considérablement quand l'outil évite réellement de collecter des informations personnelles, puisque les obligations liées à cet outil précis s'allègent. Cette affirmation doit tout de même être vérifiée dans la documentation technique du fournisseur, le contrat et la liste des sous-traitants, car des URL, des chaînes de requête ou des événements personnalisés peuvent réintroduire des informations personnelles en douce.

Que doit vérifier une équipe avant d'ajouter une nouvelle balise analytics ou marketing ?

La liste de contrôle passe en revue la collecte de données de l'outil et son rôle en tant que fournisseur de services ou tiers indépendant. Elle couvre ensuite si des données sont vendues ou partagées à des fins de publicité intercontextuelle, et si les divulgations, les liens d'opt-out et la gestion du GPC doivent être mis à jour. Les limites de conservation et les propriétés d'événement allégées font partie de la même liste.

L'anonymisation des IP rend-elle les données analytics non personnelles ?

Pas à elle seule. Les IP anonymisées et les rapports agrégés ne résolvent pas la question sous-jacente, donc l'examen doit encore couvrir les identifiants, les cookies, les accords de partage, les fonctionnalités publicitaires, les périodes de conservation et les droits des utilisateurs.

Quels champs d'événements analytics présentent le plus de risque pour le CCPA ?

Les URL complètes, les identifiants utilisateur, les hachages d'e-mail, les valeurs de formulaire, les codes de réduction et les données de localisation détaillées présentent le plus de risque. Ils transforment une simple vue de page en quelque chose de plus difficile à classer et à respecter dans les processus de suppression ou d'opt-out. Le filtre le plus simple consiste à se demander si un champ alimente un rapport sur lequel quelqu'un agit réellement ; sinon, il ne devrait pas atteindre le fournisseur d'analytics.