La protection des données personnelles est devenue l’un des grands chantiers juridiques de l’économie numérique. Deux textes majeurs structurent aujourd’hui ce paysage réglementaire : le Règlement Général sur la Protection des Données (RGPD), adopté par l’Union européenne, et le California Consumer Privacy Act (CCPA), entré en vigueur en Californie. Si ces deux législations partagent un objectif commun — renforcer les droits des individus sur leurs données —, leurs approches, leur champ d’application et leurs mécanismes diffèrent profondément. Tour d’horizon des distinctions essentielles à connaître pour toute entreprise soucieuse de conformité.
Portée et applicabilité
Le RGPD : une portée extraterritoriale assumée
Le RGPD, entré en vigueur le 25 mai 2018, s’applique à toute entreprise traitant des données personnelles de citoyens européens, qu’elle soit établie ou non sur le territoire de l’Union européenne. Une société américaine, asiatique ou australienne qui collecte des données d’utilisateurs français ou allemands est donc pleinement soumise à ce règlement. Cette portée extraterritoriale est l’une des caractéristiques les plus structurantes du texte européen. Il couvre aussi bien les responsables du traitement que les sous-traitants, qu’ils soient des entités publiques ou privées.
Le CCPA : un champ d’application ciblé sur la Californie
Le CCPA, entré en vigueur le 1er janvier 2020, adopte une logique différente. Il ne s’applique qu’aux entreprises à but lucratif faisant des affaires en Californie et répondant à au moins l’un des critères suivants :
- Un chiffre d’affaires brut annuel supérieur à 25 millions de dollars
- Le traitement des données personnelles de plus de 50 000 consommateurs californiens par an
- La réalisation de 50 % ou plus de leurs revenus annuels grâce à la vente de données personnelles
Les organismes publics et les associations à but non lucratif sont exclus du champ d’application du CCPA, ce qui constitue une différence fondamentale avec le RGPD.
Comparaison synthétique des champs d’application
| Critère | RGPD | CCPA |
|---|---|---|
| Zone géographique | Union européenne (et au-delà) | Californie (États-Unis) |
| Type d’entités | Publiques et privées | Entreprises à but lucratif uniquement |
| Portée territoriale | Extraterritoriale | Limitée à la Californie |
| Seuils d’application | Aucun seuil de taille | Seuils de CA ou de volume de données |
Ces différences de portée ont des conséquences directes sur la manière dont les entreprises multinationales doivent structurer leur conformité. Une même société peut être soumise simultanément aux deux régimes, avec des obligations qui ne se recoupent pas toujours.
Exigences de consentement
Le RGPD : le consentement explicite comme pierre angulaire
Le RGPD impose que le consentement au traitement des données personnelles soit libre, spécifique, éclairé et univoque. Concrètement, cela signifie qu’une case pré-cochée ne suffit pas : l’utilisateur doit accomplir un acte positif pour donner son accord. Le consentement doit être aussi facile à retirer qu’à donner. Par ailleurs, le RGPD reconnaît d’autres bases légales pour traiter des données — comme l’exécution d’un contrat ou l’intérêt légitime —, mais le consentement reste la référence la plus stricte et la plus encadrée.
Le CCPA : une logique d’opt-out plutôt que d’opt-in
Le CCPA adopte une philosophie radicalement différente. Il ne requiert pas de consentement préalable pour le traitement des données personnelles. En revanche, il offre aux consommateurs le droit de refuser la vente de leurs données à des tiers — c’est le principe de l’opt-out. Les entreprises doivent afficher un lien visible intitulé « Do Not Sell My Personal Information » sur leur site web. Cette approche est moins contraignante pour les entreprises en termes de collecte initiale, mais elle impose une transparence accrue sur les pratiques de revente de données.
Ce que cela change en pratique
La distinction opt-in (RGPD) versus opt-out (CCPA) a des implications concrètes majeures pour les équipes marketing et les développeurs d’applications :
- Sous le RGPD, aucune donnée ne peut être collectée à des fins marketing sans accord préalable explicite
- Sous le CCPA, la collecte est permise par défaut, mais le consommateur peut s’y opposer à tout moment
- Les interfaces utilisateurs (bandeaux de cookies, formulaires) doivent être conçues différemment selon le régime applicable
La question du consentement est indissociable de la définition même de ce que l’on entend par « données personnelles », notion qui varie également selon les deux textes.
Définition des données personnelles
Une définition large sous le RGPD
Le RGPD définit les données personnelles comme « toute information se rapportant à une personne physique identifiée ou identifiable ». Cette définition est volontairement large et englobe :
- Les données d’identification classiques (nom, prénom, adresse)
- Les identifiants en ligne (adresse IP, cookies, identifiants de terminaux)
- Les données de localisation
- Les données sensibles (santé, origine ethnique, opinions politiques, données biométriques)
Les données anonymisées, c’est-à-dire celles dont il est impossible de remonter à l’individu, sont exclues du champ du RGPD. En revanche, les données pseudonymisées restent couvertes.
La définition plus étendue du CCPA
Le CCPA retient également une définition large des informations personnelles, mais y intègre des catégories spécifiques qui reflètent les usages numériques américains :
- Les historiques de navigation et de recherche
- Les informations sur les interactions avec un site web ou une application
- Les données d’inférence — c’est-à-dire les profils construits à partir de comportements observés
- Les informations commerciales (historiques d’achat, tendances de consommation)
Le CCPA exclut les données accessibles au public et certaines informations couvertes par d’autres législations fédérales américaines, comme la loi HIPAA pour les données de santé.
Un périmètre qui détermine les obligations
La définition retenue par chaque texte conditionne directement l’étendue des obligations qui pèsent sur les entreprises. Plus la définition est large, plus le nombre de traitements soumis à régulation est important. Sur ce point, les deux textes convergent vers une vision extensive, même si les catégories précises diffèrent.
Ces définitions servent de socle aux droits accordés aux individus — droits qui, eux aussi, présentent des divergences notables entre les deux régimes.
Comparaison des droits des consommateurs
Les droits reconnus par le RGPD
Le RGPD consacre un ensemble de droits particulièrement étoffé au bénéfice des personnes concernées :
- Droit d’accès : obtenir une copie des données détenues par un responsable de traitement
- Droit de rectification : corriger des données inexactes ou incomplètes
- Droit à l’effacement (dit « droit à l’oubli ») : demander la suppression de ses données sous certaines conditions
- Droit à la portabilité : recevoir ses données dans un format structuré et lisible par machine
- Droit d’opposition : s’opposer au traitement de ses données, notamment à des fins de prospection
- Droit à la limitation du traitement : restreindre l’utilisation de ses données dans certains cas
- Droits relatifs à la décision automatisée : ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé
Les droits reconnus par le CCPA
Le CCPA offre un socle de droits plus restreint, mais significatif pour les consommateurs californiens :
- Droit de savoir : connaître les catégories de données collectées et les finalités de leur utilisation
- Droit de suppression : demander l’effacement de ses données personnelles
- Droit de refus de vente : s’opposer à la vente de ses données à des tiers
- Droit à la non-discrimination : ne pas subir de traitement défavorable pour avoir exercé ses droits
Tableau comparatif des droits
| Droit | RGPD | CCPA |
|---|---|---|
| Accès aux données | Oui | Oui |
| Suppression | Oui | Oui |
| Rectification | Oui | Non |
| Portabilité | Oui | Partielle |
| Opposition au traitement | Oui | Limitée (vente uniquement) |
| Non-discrimination | Implicite | Explicite |
| Décision automatisée | Oui | Non |
Ces différences de droits se répercutent naturellement sur les régimes de sanctions applicables en cas de non-respect des obligations imposées par chacun des deux textes.
Sanctions et application
Des amendes dissuasives sous le RGPD
Le RGPD prévoit un régime de sanctions particulièrement sévère, conçu pour être dissuasif même pour les plus grandes entreprises mondiales. Les autorités de contrôle nationales (comme la CNIL en France) peuvent infliger deux niveaux d’amendes :
- Jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel pour les infractions les moins graves
- Jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel pour les infractions les plus graves, notamment les violations des principes fondamentaux du traitement ou du consentement
C’est le montant le plus élevé des deux qui s’applique. Des entreprises de premier plan ont déjà fait l’objet de sanctions de plusieurs centaines de millions d’euros.
Un régime de sanctions plus modéré sous le CCPA
Le CCPA confie l’application de la loi au procureur général de Californie. Les sanctions prévues sont les suivantes :
- 2 500 dollars par infraction non intentionnelle
- 7 500 dollars par infraction intentionnelle
En cas de violation de données, les consommateurs peuvent également engager une action civile individuelle et réclamer entre 100 et 750 dollars de dommages et intérêts par incident et par consommateur, sans avoir à prouver un préjudice réel. Ce mécanisme d’action privée est absent du RGPD dans sa forme directe.
Comparaison des niveaux de sanctions
| Critère | RGPD | CCPA |
|---|---|---|
| Amende maximale | 20 M€ ou 4 % du CA mondial | 7 500 $ par infraction intentionnelle |
| Autorité compétente | Autorités nationales (ex. CNIL) | Procureur général de Californie |
| Action privée | Limitée | Oui (violation de données) |
| Délai de mise en conformité | Aucun délai après constat | 30 jours pour remédier à l’infraction |
Au-delà des sanctions, les règles encadrant les transferts de données vers des pays tiers constituent un autre point de divergence majeur entre les deux régimes.
Règles de transfert de données
Le RGPD : un encadrement strict des flux transfrontaliers
Le RGPD impose des conditions strictes pour tout transfert de données personnelles vers un pays situé en dehors de l’Espace économique européen (EEE). Plusieurs mécanismes sont prévus :
- La décision d’adéquation de la Commission européenne, qui reconnaît qu’un pays tiers offre un niveau de protection équivalent à celui de l’UE
- Les clauses contractuelles types (CCT), adoptées par la Commission et intégrées dans les contrats entre exportateurs et importateurs de données
- Les règles d’entreprise contraignantes (BCR), utilisées au sein des groupes multinationaux
- Les garanties appropriées spécifiques, comme les codes de conduite approuvés ou les certifications
Le transfert vers les États-Unis a longtemps été encadré par des accords spécifiques (Safe Harbor, puis Privacy Shield), invalidés par la Cour de justice de l’UE. Un nouveau cadre, le Data Privacy Framework, a depuis été adopté pour rétablir ces flux.
Le CCPA : une approche moins contraignante sur les transferts
Le CCPA ne contient pas de dispositions spécifiques encadrant les transferts internationaux de données. La loi californienne se concentre principalement sur les droits des consommateurs et les obligations des entreprises dans leur relation avec les résidents californiens, sans établir de régime de contrôle des flux transfrontaliers comparable à celui du RGPD. Cette absence reflète une approche plus libérale, typique du cadre juridique américain en matière de données.
Un écart révélateur des philosophies réglementaires
La différence de traitement des transferts de données illustre une divergence philosophique profonde : le RGPD conçoit la protection des données comme un droit fondamental, qui doit suivre la personne où que ses données aillent. Le CCPA, lui, adopte une logique plus consumériste, centrée sur la transparence et le choix individuel plutôt que sur la protection systémique.
Cette différence de philosophie se retrouve également dans la manière dont chaque texte traite les obligations de notification en cas de violation de données.
Exigences de notification de violation
Le RGPD : 72 heures pour notifier
En cas de violation de données personnelles susceptible d’engendrer un risque pour les droits et libertés des personnes, le RGPD impose au responsable du traitement de notifier l’autorité de contrôle compétente dans un délai de 72 heures après en avoir pris connaissance. Si la violation est de nature à engendrer un risque élevé, les personnes concernées doivent également être informées sans délai injustifié. La notification doit contenir :
- La nature de la violation et les catégories de données concernées
- Le nombre approximatif de personnes et d’enregistrements affectés
- Les conséquences probables de la violation
- Les mesures prises ou envisagées pour y remédier
Le CCPA : une notification centrée sur les consommateurs
Le CCPA ne fixe pas de délai précis de notification aux autorités. En revanche, il impose aux entreprises d’informer les consommateurs californiens dans les meilleurs délais lorsque leurs données non chiffrées ont été compromises. Cette obligation de notification s’inscrit dans le cadre plus large de la législation californienne sur les violations de données (California Data Breach Notification Law), qui précède et complète le CCPA. Les consommateurs victimes d’une violation peuvent, comme mentionné précédemment, engager une action civile sans avoir à prouver un préjudice concret.
Synthèse des obligations de notification
| Critère | RGPD | CCPA |
|---|---|---|
| Délai de notification à l’autorité | 72 heures | Non défini |
| Notification aux individus | Obligatoire si risque élevé | Obligatoire (données non chiffrées) |
| Contenu de la notification | Très détaillé | Moins prescriptif |
| Recours individuel en cas de violation | Limité | Action civile possible |
Le RGPD et le CCPA représentent deux modèles distincts de protection des données personnelles, nés de cultures juridiques et de traditions réglementaires différentes. Le premier mise sur un cadre contraignant, des droits étendus et des sanctions dissuasives à l’échelle mondiale. Le second privilégie la transparence, le choix du consommateur et un régime d’application plus souple, ancré dans le contexte californien. Pour les entreprises opérant des deux côtés de l’Atlantique, la conformité simultanée aux deux textes est devenue un impératif stratégique, d’autant que d’autres États américains ont depuis adopté leurs propres législations inspirées du CCPA, et que la California Privacy Rights Act (CPRA) a renforcé le dispositif californien initial. Maîtriser ces deux régimes, c’est aujourd’hui maîtriser l’essentiel du paysage mondial de la protection des données.
