La protection des données personnelles est devenue l’un des enjeux majeurs du droit numérique contemporain. Deux textes se distinguent particulièrement sur la scène internationale : la California Privacy Rights Act (CPRA), adoptée par les électeurs californiens le 3 novembre 2020 et entrée en vigueur le 1er janvier 2023, et le Règlement Général sur la Protection des Données (RGPD), appliqué dans toute l’Union européenne depuis le 25 mai 2018. Si ces deux réglementations partagent un objectif commun — mieux protéger les individus face à l’exploitation de leurs données —, leurs mécanismes, leur portée et leurs exigences diffèrent sensiblement. Décryptage.
Introduction au CPRA et au RGPD
Qu’est-ce que la CPRA ?
La California Privacy Rights Act est une loi californienne qui succède et renforce la California Consumer Privacy Act (CCPA) de 2018. Elle a été approuvée par référendum populaire et constitue l’une des législations sur la vie privée les plus avancées des États-Unis. Son entrée en vigueur au 1er janvier 2023 a marqué un tournant pour les entreprises opérant en Californie, en imposant des obligations renforcées en matière de traitement des données des consommateurs. La CPRA crée également une autorité dédiée, la California Privacy Protection Agency, chargée de son application.
Qu’est-ce que le RGPD ?
Le Règlement Général sur la Protection des Données est un texte législatif européen adopté le 27 avril 2016, applicable depuis le 25 mai 2018. Il remplace la directive européenne de 1995 sur la protection des données et s’applique uniformément à l’ensemble des États membres de l’Union européenne. Le RGPD est aujourd’hui considéré comme la référence mondiale en matière de protection des données personnelles, ayant inspiré de nombreuses législations à travers le monde, dont la CPRA elle-même.
Deux textes, une inspiration commune
Bien que nés sur des continents différents, ces deux textes partagent une philosophie similaire : redonner aux individus le contrôle sur leurs données personnelles et responsabiliser les entreprises qui les traitent. Toutefois, leurs modalités d’application, leurs champs d’action et leurs niveaux d’exigence révèlent des divergences profondes que toute entreprise internationale se doit de comprendre.
Ces fondements posés, il convient d’explorer les contextes historiques et les ambitions spécifiques qui ont conduit à l’élaboration de chacun de ces textes.
Origines et objectifs des réglementations
La genèse du RGPD européen
Le RGPD est né d’une volonté politique forte de l’Union européenne de moderniser et d’harmoniser la protection des données au sein des États membres. La directive de 1995 était devenue obsolète face à l’explosion du numérique et des pratiques de collecte massives des grandes plateformes. L’objectif du RGPD est double : protéger les droits fondamentaux des citoyens européens en matière de vie privée et créer un cadre juridique homogène facilitant la libre circulation des données au sein du marché unique.
La naissance de la CPRA en Californie
La CPRA s’inscrit dans une tradition californienne de protection des libertés individuelles. Elle est directement issue d’une initiative citoyenne, portée par des militants de la vie privée face aux pratiques jugées abusives des géants de la technologie. Son objectif premier est de renforcer les droits des consommateurs californiens, en allant au-delà de la CCPA, notamment en encadrant mieux le partage et la vente des données personnelles à des tiers, et en introduisant une nouvelle catégorie de données dites « sensibles ».
Des objectifs convergents mais des ambitions différentes
Les deux textes visent à protéger la vie privée, mais leurs ambitions divergent sur plusieurs points :
- Le RGPD cherche à créer un standard universel applicable à toute entité traitant des données de résidents européens, quelle que soit la localisation de l’entreprise.
- La CPRA cible principalement les entreprises commerciales d’une certaine taille traitant des données de consommateurs californiens.
- Le RGPD repose sur une logique de droits fondamentaux, tandis que la CPRA adopte davantage une approche consumériste.
- La CPRA introduit explicitement la notion de limitation du traitement des données sensibles, concept déjà présent dans le RGPD depuis son origine.
La compréhension de ces origines éclaire naturellement les principes fondamentaux sur lesquels repose chacune de ces réglementations.
Comparaison des principes fondamentaux
Les principes clés du RGPD
Le RGPD repose sur un socle de principes stricts qui gouvernent tout traitement de données personnelles. Ces principes sont :
- Licéité, loyauté et transparence : tout traitement doit reposer sur une base légale et être clairement communiqué.
- Limitation des finalités : les données ne peuvent être collectées que pour des objectifs déterminés et légitimes.
- Minimisation des données : seules les données strictement nécessaires doivent être collectées.
- Exactitude : les données doivent être tenues à jour.
- Limitation de la conservation : les données ne doivent pas être conservées au-delà du nécessaire.
- Intégrité et confidentialité : une sécurité appropriée doit être assurée.
- Responsabilité (accountability) : le responsable du traitement doit être en mesure de démontrer sa conformité.
Les principes directeurs de la CPRA
La CPRA s’appuie sur des principes similaires mais formulés différemment, avec une orientation plus consumériste. Elle met en avant la transparence envers les consommateurs sur les données collectées, le droit à la limitation du traitement des informations sensibles, et l’obligation pour les entreprises de ne pas discriminer les consommateurs qui exercent leurs droits. Elle introduit également le principe de minimisation de l’utilisation des données, imposant que les données collectées ne soient utilisées que dans le cadre nécessaire à la finalité pour laquelle elles ont été recueillies.
Un tableau comparatif des principes
| Principe | RGPD | CPRA |
|---|---|---|
| Transparence | Oui, obligatoire | Oui, obligatoire |
| Minimisation des données | Oui, explicite | Oui, introduit par la CPRA |
| Limitation des finalités | Oui, strict | Partiel |
| Accountability | Forte, documentée | Moins formalisée |
| Données sensibles | Catégorie spéciale | Nouvelle catégorie dédiée |
| Sécurité des données | Obligatoire | Obligatoire |
Ces principes fondamentaux prennent tout leur sens lorsqu’on examine concrètement les territoires et les entités auxquels ces deux textes s’appliquent.
Portée et applicabilité : états-Unis vs Union européenne
Le champ d’application territorial du RGPD
Le RGPD se distingue par son extraterritorialité assumée. Il s’applique à toute organisation, où qu’elle soit établie dans le monde, dès lors qu’elle traite des données personnelles de personnes résidant dans l’Union européenne. Cette portée mondiale en fait un texte particulièrement contraignant pour les entreprises américaines, asiatiques ou de tout autre continent qui ciblent ou servent des clients européens. Il n’existe pas de seuil de taille d’entreprise : une petite structure comme une multinationale sont soumises aux mêmes obligations de principe.
Le champ d’application de la CPRA
La CPRA, en revanche, adopte une approche plus ciblée. Elle s’applique aux entreprises à but lucratif qui remplissent au moins l’un des critères suivants :
- Réaliser un chiffre d’affaires annuel brut supérieur à 25 millions de dollars.
- Acheter, vendre, recevoir ou partager les données personnelles d’au moins 100 000 consommateurs ou foyers californiens par an.
- Tirer 50 % ou plus de leurs revenus annuels de la vente ou du partage de données personnelles de consommateurs.
Cette approche par seuils exclut de facto de nombreuses petites entreprises, contrairement au RGPD qui s’applique sans distinction de taille, sauf quelques aménagements pour les très petites structures.
La définition du « consommateur » vs la « personne concernée »
Une différence notable réside dans la définition des individus protégés. Le RGPD protège toute personne physique résidant dans l’UE, y compris dans un contexte professionnel. La CPRA, elle, protège les consommateurs, terme qui désigne les résidents californiens agissant en dehors d’un contexte purement professionnel — ce qui peut exclure certaines données collectées dans le cadre d’une relation employeur-employé ou entre entreprises.
Cette différence de périmètre influe directement sur la nature des données que chaque réglementation entend protéger.
Définition des données personnelles protégées
Les données personnelles selon le RGPD
Le RGPD adopte une définition très large des données personnelles : toute information se rapportant à une personne physique identifiée ou identifiable. Cela englobe :
- Les données d’identification classiques (nom, prénom, adresse, numéro de téléphone).
- Les données en ligne (adresse IP, identifiants de cookies, données de localisation).
- Les données biométriques et génétiques.
- Les données de santé.
- Les opinions politiques, religieuses ou syndicales.
- L’orientation sexuelle.
Les données dites sensibles bénéficient d’une protection renforcée et ne peuvent être traitées qu’en présence de conditions strictement définies.
Les données personnelles et sensibles selon la CPRA
La CPRA reprend une définition large des données personnelles, mais y ajoute une catégorie spécifique de données sensibles (sensitive personal information), qui comprend notamment :
- Le numéro de sécurité sociale et les données financières précises.
- Les données de géolocalisation précise.
- Les communications privées (e-mails, SMS).
- Les données biométriques et génétiques.
- Les données de santé, d’orientation sexuelle et d’origine ethnique.
- Les croyances religieuses ou philosophiques.
Cette catégorie de données sensibles donne aux consommateurs un droit spécifique de limiter leur utilisation par les entreprises, ce qui constitue une innovation notable par rapport à la CCPA.
Tableau comparatif des catégories de données
| Type de données | RGPD | CPRA |
|---|---|---|
| Données d’identification | Protégées | Protégées |
| Données en ligne (IP, cookies) | Protégées | Protégées |
| Données biométriques | Catégorie spéciale | Données sensibles |
| Données de santé | Catégorie spéciale | Données sensibles |
| Données professionnelles B2B | Protégées | Partiellement exclues |
| Données des employés | Protégées | Partiellement exclues |
La définition des données protégées conditionne directement l’étendue des droits que les individus peuvent exercer sur ces informations.
Droits accordés aux consommateurs et aux individus
Les droits reconnus par le RGPD
Le RGPD confère aux personnes concernées un ensemble de droits particulièrement complet et bien encadré :
- Droit d’accès : obtenir confirmation du traitement et une copie des données.
- Droit de rectification : corriger des données inexactes ou incomplètes.
- Droit à l’effacement (« droit à l’oubli ») : obtenir la suppression des données sous certaines conditions.
- Droit à la limitation du traitement : restreindre temporairement l’utilisation des données.
- Droit à la portabilité : recevoir ses données dans un format structuré et les transmettre à un autre responsable.
- Droit d’opposition : s’opposer au traitement, notamment à des fins de prospection.
- Droits relatifs à la prise de décision automatisée : ne pas faire l’objet d’une décision fondée uniquement sur un traitement automatisé.
Les droits introduits par la CPRA
La CPRA enrichit les droits déjà prévus par la CCPA et s’en rapproche davantage du RGPD. Les consommateurs californiens bénéficient désormais des droits suivants :
- Droit de savoir : connaître les catégories et les finalités des données collectées.
- Droit de suppression : demander l’effacement de leurs données.
- Droit de correction : nouveauté introduite par la CPRA, permettant de rectifier des données inexactes.
- Droit d’opposition à la vente et au partage des données à des tiers.
- Droit de limiter l’utilisation des données sensibles.
- Droit à la portabilité : obtenir ses données dans un format utilisable.
- Droit de non-discrimination : ne pas subir de traitement différencié pour avoir exercé ses droits.
Comparaison synthétique des droits
| Droit | RGPD | CPRA |
|---|---|---|
| Accès aux données | Oui | Oui |
| Rectification / correction | Oui | Oui (nouveau) |
| Effacement / suppression | Oui | Oui |
| Portabilité | Oui | Oui |
| Opposition au traitement | Oui | Partiel (vente/partage) |
| Limitation du traitement sensible | Oui | Oui (nouveau) |
| Décision automatisée | Oui | Limité |
Ces droits ne peuvent s’exercer qu’en présence d’une base légale valide pour le traitement des données, ce qui constitue un autre point de divergence majeur entre les deux textes.
Bases légales du traitement des données
Les six bases légales du RGPD
Le RGPD impose qu’aucun traitement de données ne peut avoir lieu sans base légale. Il en reconnaît six :
- Le consentement explicite et libre de la personne concernée.
- L’exécution d’un contrat auquel la personne est partie.
- Le respect d’une obligation légale.
- La sauvegarde des intérêts vitaux de la personne ou d’un tiers.
- L’exécution d’une mission d’intérêt public.
- La poursuite d’un intérêt légitime du responsable du traitement, sous réserve qu’il ne prévale pas sur les droits de la personne.
Ce système de bases légales oblige les entreprises à justifier chaque traitement avant de le mettre en œuvre, ce qui constitue une contrainte forte en matière de documentation et de gouvernance des données.
L’approche de la CPRA : opt-out plutôt qu’opt-in
La CPRA adopte une logique fondamentalement différente. Elle ne repose pas sur un système de bases légales préalables mais sur un mécanisme d’opt-out : les entreprises peuvent traiter et partager les données des consommateurs, mais ces derniers ont le droit de s’y opposer à tout moment. Il n’est pas nécessaire d’obtenir un consentement préalable pour la plupart des traitements, sauf pour les données sensibles et pour les mineurs.
Cette différence philosophique est majeure :
- Le RGPD place le consentement ou la justification en amont du traitement.
- La CPRA place le droit d’opposition en aval, laissant l’initiative à l’individu.
Le cas particulier des mineurs
Sur ce point, les deux textes convergent vers plus de protection. Le RGPD fixe l’âge du consentement numérique entre 13 et 16 ans selon les États membres. La CPRA, quant à elle, interdit la vente ou le partage des données de mineurs de moins de 16 ans sans consentement explicite, et exige le consentement parental pour les moins de 13 ans.
Ces différences dans les bases légales ont des répercussions directes sur les sanctions encourues et sur les stratégies de mise en conformité des entreprises.
Application, sanctions et implications pour les entreprises
Le régime de sanctions du RGPD
Le RGPD est réputé pour son régime de sanctions particulièrement dissuasif. Les autorités de contrôle nationales (comme la CNIL en France) peuvent infliger des amendes allant jusqu’à :
- 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel pour les violations les moins graves (obligations techniques, registres, etc.).
- 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel pour les violations les plus graves (bases légales, droits des personnes, transferts internationaux).
Le montant le plus élevé entre les deux est retenu. Ces amendes ont été appliquées à plusieurs reprises contre des entreprises de grande envergure, démontrant la réalité de l’application du texte.
Le régime de sanctions de la CPRA
La CPRA prévoit des sanctions financières moins sévères mais néanmoins significatives :
| Type de violation | Amende maximale |
|---|---|
| Violation standard | 2 500 dollars par violation |
| Violation intentionnelle | 7 500 dollars par violation |
| Violation impliquant des mineurs | 7 500 dollars par violation |
Ces amendes s’appliquent par violation individuelle, ce qui peut représenter des montants considérables en cas de violation massive touchant des milliers de consommateurs. La California Privacy Protection Agency est l’autorité chargée de l’application et de l’investigation.
Les implications concrètes pour les entreprises
Au-delà des sanctions financières, les deux textes imposent des obligations organisationnelles importantes :
- Mise en place d’un registre des traitements (RGPD) ou d’une documentation des pratiques de données (CPRA).
- Désignation d’un délégué à la protection des données (DPO) dans certains cas pour le RGPD.
- Réalisation d’analyses d’impact (DPIA) pour les traitements à risque sous le RGPD.
- Mise en place de procédures de réponse aux demandes des individus dans des délais stricts (30 jours pour la CPRA, 1 mois pour le RGPD).
- Notification des violations de données aux autorités et aux personnes concernées.
La connaissance de ces obligations est le point de départ indispensable pour construire une stratégie de conformité efficace, particulièrement pour les entreprises qui opèrent sur les deux zones géographiques.
Stratégies de conformité pour les entreprises multinationales
Cartographier les flux de données
La première étape pour toute entreprise multinationale est de cartographier précisément ses flux de données. Il s’agit d’identifier quelles données sont collectées, pour quelles finalités, auprès de quelles populations (résidents européens, californiens ou autres), et vers quels destinataires elles sont transmises. Cette cartographie permet de déterminer quelles réglementations s’appliquent et d’éviter les angles morts juridiques.
Adopter le standard le plus élevé comme référence
Une approche pragmatique consiste à aligner sa politique de données sur le RGPD, qui représente le standard le plus exigeant. En respectant les obligations du RGPD, une entreprise couvre généralement une grande partie des exigences de la CPRA, avec quelques ajustements spécifiques :
- Ajouter un mécanisme d’opt-out pour la vente et le partage des données (spécifique à la CPRA).
- Intégrer une page dédiée « Do Not Sell or Share My Personal Information » sur le site web.
- Gérer spécifiquement les données sensibles au sens de la CPRA.
- Vérifier les seuils d’applicabilité de la CPRA pour confirmer si l’entreprise est concernée.
Former les équipes et gouverner les données
La conformité ne se réduit pas à des documents juridiques. Elle implique une culture interne de la protection des données, portée par des formations régulières des équipes techniques, marketing et juridiques. La désignation d’un référent ou d’un DPO, la mise en place de procédures claires pour traiter les demandes des individus, et l’intégration de la protection des données dès la conception des produits (privacy by design) sont des leviers essentiels.
Anticiper l’évolution des réglementations
Les législations sur la protection des données sont en constante évolution. D’autres États américains ont adopté ou sont en train d’adopter des lois similaires à la CPRA. Les entreprises ont tout intérêt à mettre en place une veille réglementaire active et à construire une architecture de conformité flexible, capable de s’adapter rapidement aux nouvelles exigences sans nécessiter une refonte complète à chaque évolution législative.
Le rapprochement entre CPRA et RGPD révèle deux approches distinctes d’un même défi : protéger les individus face à l’exploitation croissante de leurs données personnelles. Le RGPD s’impose comme le cadre le plus complet et le plus contraignant, avec un système de bases légales préalables, une portée extraterritoriale large et des sanctions particulièrement dissuasives pouvant atteindre 4 % du chiffre d’affaires mondial. La CPRA, plus récente et plus ciblée, enrichit significativement les droits des consommateurs californiens par rapport à la CCPA, notamment avec le droit de correction et la limitation des données sensibles, mais reste moins exigeante sur la démonstration de conformité. Pour les entreprises multinationales, aligner leurs pratiques sur le RGPD tout en intégrant les spécificités de la CPRA — en particulier le mécanisme d’opt-out et la gestion des données sensibles — demeure la stratégie la plus efficiente pour naviguer dans cet environnement réglementaire complexe.
