Un guide pratique de Quand le CCPA s’applique-t-il

La réponse courte à quand le CCPA s'applique-t-il tient en trois conditions : exercer en Californie, collecter des données de résidents et franchir un seuil légal.

Quand le CCPA s’applique-t-il ? La réponse courte est la suivante : lorsqu'une entreprise à but lucratif couverte exerce ses activités en Californie, collecte les informations personnelles des résidents californiens et atteint au moins un seuil légal.

La réponse la plus longue est importante, car les pratiques d'analyse et de publicité de routine peuvent contribuer à l'analyse. Il n’est pas nécessaire qu’une entreprise ait son siège social en Californie pour avoir des obligations californiennes en matière de confidentialité.

Le test d'applicabilité de base

Le FAQ de la California Privacy Protection Agency répertorie les principaux seuils pour une entreprise couverte. Depuis le FAQ public actuel du CPPA, la loi s'applique aux entreprises à but lucratif exerçant leurs activités en Californie qui collectent des informations personnelles sur les résidents californiens et remplissent au moins une de ces conditions :

• Revenu annuel brut de 26,625 millions de dollars ou plus pour l'année civile précédente, à compter du 1er janvier 2025.
• Achetez, vendez ou partagez les informations personnelles de 100 000 résidents ou ménages californiens ou plus.
• Tirer 50 % ou plus de vos revenus annuels de la vente ou du partage des informations personnelles des résidents californiens.

Étant donné que le chiffre d'affaires est ajusté en fonction de l'inflation, vérifiez le chiffre actuel avec le CPPA plutôt que de copier l'ancien langage « 25 millions de dollars ». L'agence publie des seuils monétaires mis à jour et des FAQ (CPPA mise à jour du seuil, CPPA FAQ).

« Faire des affaires en Californie » est plus vaste que d'avoir un bureau

Une entreprise en dehors de la Californie peut toujours entrer dans le champ d'application si elle exerce des activités dans l'État, collecte les informations personnelles des résidents californiens et atteint un seuil. Pour les entreprises Web, les utilisateurs californiens arrivent via la recherche, les publicités payantes, les réseaux sociaux, les inscriptions SaaS, les commandes de commerce électronique, les newsletters ou les comptes d'applications.

Les indicateurs pratiques comprennent :

• Vendre des produits ou des abonnements aux résidents californiens.
• Ciblage des annonces sur la Californie.
• Avoir des clients ou des utilisateurs californiens.
• Expédition de marchandises en Californie.
• Offrir des services accessibles aux résidents californiens.
• Collecte de données analytiques auprès des visiteurs californiens à grande échelle.

Si vous êtes proche d’un seuil, obtenez des conseils juridiques. Les décisions relatives à la portée peuvent affecter les avis de confidentialité, les liens de désinscription, les contrats et les flux de travail relatifs aux droits sur les données.

Qu'est-ce qui compte comme informations personnelles ?

La définition de CCPA est large. Les informations personnelles peuvent inclure des identifiants, des identifiants en ligne, des adresses IP, un historique de navigation, un historique de recherche, des données de géolocalisation, des informations commerciales et des déductions. La page CCPA du procureur général de Californie résume les droits des consommateurs et les liens vers le cadre juridique (California OAG).

Pour les équipes d’analyse, cela signifie que les informations personnelles incluent :

• Identifiants des cookies.
• Identifiants de l'appareil.
• Emplacement dérivé de IP.
• Historiques de pages vues.
• Paramètres de campagne.
• Événements produits liés au compte.
• Données publicitaires intercontextuelles.

Un tableau de bord agrégé ne signifie pas que le pipeline de données sous-jacent évite les informations personnelles.

Comment l'analyse peut affecter les seuils

Le seuil des 100 000 consommateurs ou foyers est celui que de nombreuses équipes numériques négligent. Les sites Web à fort trafic peuvent atteindre ce nombre grâce à des visites ordinaires. Si des outils d'analyse, de pixels ou de gestionnaires de balises collectent des informations personnelles auprès des résidents californiens, ces visiteurs sont pris en compte dans l'analyse du volume de données.

Le seuil de vente/partage est également important. Le « partage » sous le CPRA est lié à la publicité comportementale inter-contextuelle. Si vous divulguez des informations personnelles à des plateformes publicitaires à des fins de reciblage ou de développement d'audience, vous avez des obligations de désinscription même si aucun argent ne change de mains.

Exemptions et limites courantes

Le CCPA ne s'applique pas à toutes les organisations ni à tous les types de données. Les agences gouvernementales et de nombreuses organisations à but non lucratif ne relèvent pas de la définition du cœur de métier. Certaines informations réglementées par des lois sectorielles sont exemptées ou traitées différemment. Les contextes d'emploi et de contacts professionnels ont changé sous le CPRA et doivent être examinés attentivement plutôt que supposés exemptés.

Ne vous fiez pas à une liste d’exemptions générique sans vérifier la législation en vigueur et le flux de données spécifique.

Liste de contrôle de la portée d'un propriétaire de site Web

Utilisez cette évaluation :

1. Sommes-nous une entité à but lucratif ?
2. Faisons-nous des affaires en Californie ?
3. Collectons-nous les informations personnelles des résidents californiens ?
4. Sommes-nous au-dessus du seuil de revenus actuel ?
5. Achetons-nous, vendons-nous ou partageons-nous les informations personnelles de 100 000 résidents ou ménages californiens ou plus ?
6. Tirons-nous 50 % ou plus de nos revenus de la vente ou du partage d’informations personnelles ?
7. Nos outils d'analyse ou de publicité divulguent-ils des données à des tiers ?
8. Utilisons-nous la publicité comportementale intercontextuelle ?
9. Honorons-nous les signaux de préférence de désinscription lorsque cela est nécessaire ?
10. Notre politique de confidentialité et nos contrats sont-ils à jour ?

Pourquoi l'analyse axée sur la confidentialité est utile

Si votre configuration d'analyse évite les cookies, les identifiants persistants, le stockage complet de IP, le profilage intersites et le partage de données publicitaires, l'analyse de CCPA devient plus simple. D'autres opérations peuvent toujours faire de vous une entreprise couverte, mais le système d'analyse lui-même crée moins d'obligations et moins de cas extrêmes en matière de droits des utilisateurs.

Pour les entreprises en croissance, c’est le point stratégique. Concevez des analyses afin qu'elles répondent aux questions commerciales sans vous rapprocher de seuils de confidentialité évitables ou de la complexité de la « vente/partage ».

Comment estimer les seuils de visiteurs

N’attendez pas la fin de l’année pour estimer si le seuil de 100 000 consommateurs ou ménages s’applique à vous. Utilisez un examen mensuel prudent du trafic californien. Combinez les analyses Web, les journaux de serveur, les inscriptions à des comptes, les enregistrements de newsletter et les audiences de la plateforme publicitaire, le cas échéant. Dédupliquez uniquement lorsque vous disposez d’une méthode défendable; Une déduplication trop confiante peut cacher des risques.

Séparez également la collecte du partage. Un site à fort trafic utilisant l'analyse globale first-party a un profil d'obligation différent d'un site à faible trafic qui envoie des identifiants aux réseaux publicitaires pour la publicité comportementale inter-contextuelle. Conservez une note simple à côté de chaque outil de suivi majeur : collecte des informations personnelles, les partage à des fins publicitaires, honore la désinscription et prend en charge la suppression. Cela rend l’analyse du périmètre beaucoup plus facile lorsque l’entreprise se développe.

CCPA Liste de contrôle pour l'examen de la portée

Examinez la question de portée tous les trimestres si le trafic, les dépenses publicitaires, les revenus ou la taille de l'audience en Californie augmentent. Consultez la page de seuil CPPA actuelle, estimez les consommateurs ou les ménages californiens de manière prudente et séparez la collecte ordinaire de la vente ou du partage pour la publicité comportementale inter-contextuelle.

Pour l'analyse, examinez les pixels publicitaires, les destinations du gestionnaire de balises, la conversion server-side APIs, les fournisseurs d'enrichissement, les propriétés d'événement, les liens de désinscription, la gestion de Global Privacy Control, les limites de données sensibles, les contrats de fournisseur et la rétention. Si l'analyse globale répond à la question commerciale, utilisez-la au lieu du partage au niveau du visiteur.

Questions fréquentes

La CCPA s'applique-t-elle si mon entreprise n'a pas de bureau en Californie ?

Oui, si vous faites des affaires en Californie, que vous collectez les informations personnelles de résidents californiens et que vous atteignez un des seuils. Les indicateurs pratiques incluent la vente à des résidents californiens, le ciblage publicitaire vers cet État ou l'expédition de produits vers la Californie. Le lieu du siège social ne change rien à cette analyse.

Quel est le seuil de revenus actuel pour la CCPA ?

Le seuil de revenu brut annuel est de $26.625 million ou plus pour l'année civile précédente, en vigueur depuis le 1er janvier 2025. Comme ce chiffre est ajusté à l'inflation, vérifiez-le auprès de la CPPA plutôt que de vous fier à d'anciennes mentions de « 25 millions de dollars ».

Combien de résidents californiens déclenchent le seuil de volume de données de la CCPA ?

Acheter, vendre ou partager les informations personnelles de 100,000 résidents ou foyers californiens ou plus atteint ce seuil. Un site à fort trafic peut atteindre ce nombre par de simples visites lorsque les balises d'analyse collectent des informations personnelles à grande échelle.

La vente de publicité compte-t-elle dans le seuil de revenus de la CCPA ?

Le troisième seuil de la CCPA examine si une entreprise tire 50% ou plus de ses revenus annuels de la vente ou du partage des informations personnelles de résidents californiens. Ce critère est distinct du seuil de revenus fixe et s'applique même aux petites entreprises si cette part de revenus est élevée.

L'adresse IP est-elle considérée comme une information personnelle selon la CCPA ?

Les adresses IP et la localisation qui en découle entrent dans la définition large des informations personnelles de la CCPA, aux côtés des identifiants, identifiants en ligne, historique de navigation et inférences. Les systèmes d'analyse qui traitent des données IP manipulent des informations personnelles même quand les tableaux de bord n'affichent que des chiffres agrégés.

La CCPA s'applique-t-elle aux associations à but non lucratif ?

Les agences gouvernementales et de nombreuses associations à but non lucratif sont en dehors de la définition centrale d'entreprise. Certaines données propres à un secteur sont aussi exemptées ou traitées différemment selon d'autres lois. Ne présumez pas d'une exemption sans vérifier le droit en vigueur au regard de votre flux de données précis.

Qu'est-ce qui compte comme « partage » d'informations personnelles selon la CPRA ?

Le « sharing » est lié à la publicité comportementale inter-contextes, comme la divulgation d'informations personnelles à des plateformes publicitaires pour le retargeting ou la constitution d'audiences. Cette divulgation peut créer des obligations de retrait (opt-out) même sans échange d'argent.

À quelle fréquence une entreprise en croissance doit-elle revoir son périmètre CCPA ?

Revoyez le périmètre chaque trimestre si le trafic californien, les dépenses publicitaires, les revenus ou la taille de l'audience augmentent. Consultez la page des seuils actuelle de la CPPA, estimez prudemment les consommateurs ou foyers californiens et distinguez la collecte ordinaire de la vente ou du partage lié à la publicité inter-contextes.

Une analyse axée sur la confidentialité peut-elle réduire les obligations CCPA ?

Éviter les cookies, les identifiants persistants, le stockage complet des IP, le profilage inter-sites et le partage de données publicitaires simplifie nettement l'analyse CCPA. D'autres opérations peuvent toujours faire d'une entreprise une entreprise couverte, mais le système d'analyse lui-même crée alors moins d'obligations et moins de cas limites liés aux droits des utilisateurs.

Que faut-il noter pour chaque outil d'analyse ou de publicité ?

Gardez une note simple à côté de chaque tracker important indiquant s'il collecte des informations personnelles, partage des données à des fins publicitaires, respecte l'opt-out et prend en charge la suppression. Cela facilite grandement l'analyse du périmètre à mesure que l'entreprise grandit, en particulier pour les pixels, les destinations du gestionnaire de balises et les API de conversion côté serveur.