CCPA vs RGPD : les différences clés

CCPA vs RGPD : la réponse courte

La principale différence entre le RGPD et le CCPA est le modèle de consentement. Le Règlement général sur la protection des données de l'UE (RGPD, en anglais GDPR) repose sur l'opt-in : il vous faut une base légale, souvent le consentement, avant de traiter des données personnelles, et un consentement préalable avant de déposer des cookies non essentiels. Le California Consumer Privacy Act (CCPA), modifié par le CPRA, repose sur l'opt-out : une entreprise peut collecter des informations personnelles après en avoir informé les personnes, mais elle doit permettre aux consommateurs de s'opposer à la vente ou au partage de ces informations.

Le champ d'application est la deuxième grande différence. Le RGPD s'applique à presque toute organisation qui traite des données personnelles de personnes dans l'UE, quelle que soit sa taille. Le CCPA ne s'applique qu'aux entreprises à but lucratif qui exercent une activité en Californie et atteignent un seuil de chiffre d'affaires ou de volume de données.

RGPD vs CCPA : tableau comparatif

Les principales différences expliquées

1. Qui doit se conformer

Le RGPD ne prévoit aucun seuil de taille. Une boutique en ligne de deux personnes à Berlin et une application américaine ayant des utilisateurs en France sont toutes deux concernées. Le CCPA vise les grandes entreprises ou celles qui exploitent beaucoup de données. Le seuil de chiffre d'affaires est ajusté à l'inflation tous les deux ans ; la California Privacy Protection Agency l'a porté de 25 000 000 $ à 26 625 000 $ le 1er janvier 2025. Depuis 2023, le CCPA couvre aussi les données des salariés et les données B2B : il ne concerne donc pas seulement les visiteurs du site web.

2. Opt-in ou opt-out

Avec le RGPD, il vous faut une base légale avant de commencer le traitement. Pour les cookies et traceurs similaires qui ne sont pas strictement nécessaires, le droit de l'UE exige d'abord le consentement : la bannière de cookies doit donc bloquer les balises jusqu'à ce que le visiteur accepte, et refuser doit être aussi simple qu'accepter.

Avec le CCPA, vous informez les personnes au moment de la collecte ou avant, puis vous respectez leurs choix. Si vous vendez des informations personnelles ou les partagez pour de la publicité comportementale inter-contextes, vous devez proposer un lien "Do Not Sell or Share My Personal Information" (ou le lien alternatif "Your Privacy Choices") et cesser la vente ou le partage dès qu'un consommateur s'y oppose.

3. Global Privacy Control

Les règlements du CCPA obligent les entreprises à traiter le signal Global Privacy Control (GPC) comme une demande valide d'opposition à la vente et au partage. Le procureur général de Californie cite un contrôle global de confidentialité activé par l'utilisateur parmi les méthodes d'opt-out que les entreprises doivent respecter. Le RGPD ne prévoit pas d'obligation équivalente pour un signal, même si le visiteur peut toujours retirer son consentement.

4. Droits et délais

Les deux lois donnent un droit d'accès et d'effacement, mais les détails diffèrent. Les demandes RGPD doivent recevoir une réponse sous un mois. Les demandes CCPA pour savoir, supprimer et corriger, sous 45 jours calendaires, et les demandes d'opt-out sous 15 jours ouvrables. Un portail de confidentialité vous aide à recevoir et suivre les demandes des personnes concernées selon les deux délais.

5. Sanctions et contrôle

Les amendes RGPD peuvent atteindre 20 millions EUR ou 4 % du chiffre d'affaires annuel mondial. Les amendes CCPA sont calculées par violation et s'additionnent donc vite lorsque de nombreux consommateurs sont touchés : 2 663 $ par violation et 7 988 $ par violation intentionnelle ou concernant un mineur de moins de 16 ans. Après certaines violations de données, les consommateurs peuvent aussi lancer des actions de groupe, avec des dommages-intérêts légaux de 107 $ à 799 $ par consommateur et par incident.

Le CCPA est-il plus strict que le RGPD ?

Globalement, non. Le RGPD est plus strict, car il couvre presque toutes les organisations, exige une base légale pour chaque traitement, impose un consentement opt-in pour les cookies et encadre les transferts hors de l'UE. Le CCPA est plus strict sur quelques points : il exige un lien d'opt-out visible, rend obligatoire le respect de GPC et accorde aux consommateurs des dommages-intérêts légaux en cas de violation de données, sans qu'ils aient à prouver un préjudice réel.

Ce que le CPRA a changé dans le CCPA

Le California Privacy Rights Act (CPRA), approuvé par référendum en novembre 2020, a modifié le CCPA à partir du 1er janvier 2023 et l'a rapproché du RGPD. Consultez notre guide du CPRA pour tous les détails. Les principaux changements :

• Création de la California Privacy Protection Agency, une autorité dédiée à la protection de la vie privée.
• Ajout du "partage" pour la publicité comportementale inter-contextes à côté de la "vente".
• Ajout des droits de rectification et de limitation de l'utilisation des informations personnelles sensibles.
• Ajout de règles de minimisation des données et de limitation des finalités.
• Prévision d'évaluations des risques et d'audits de cybersécurité, désormais précisés par les règlements de la CPPA en vigueur depuis le 1er janvier 2026.
• Relèvement du seuil de 50 000 à 100 000 consommateurs ou foyers.

La Californie n'est pas seule. De nombreux autres États américains ont désormais des lois sur la vie privée avec un modèle d'opt-out similaire ; consultez notre panorama des lois sur la vie privée des États américains et la liste des lois mondiales sur la vie privée.

Comment se conformer à la fois au RGPD et au CCPA

Utilisez cette liste de contrôle si vous avez des visiteurs ou des clients en Europe et en Californie :

1. Cartographiez vos données : notez quelles données personnelles vous collectez, pourquoi, où elles vont et quels fournisseurs les reçoivent.
2. Analysez votre site : lancez un scan des cookies pour trouver tous les cookies et traceurs et les classer par catégorie.
3. Affichez la bonne bannière selon la région : une bannière opt-in pour les visiteurs de l'UE, de l'EEE et du Royaume-Uni, et une notice d'opt-out CCPA pour les visiteurs californiens.
4. Bloquez les balises avant le consentement en Europe : ne chargez les balises d'analyse et de publicité qu'après le consentement RGPD.
5. Ajoutez le lien d'opt-out en Californie : placez un lien "Do Not Sell or Share My Personal Information" ou "Your Privacy Choices" dans le pied de page.
6. Respectez GPC : traitez Global Privacy Control comme un opt-out valide pour les visiteurs californiens.
7. Transmettez les signaux à vos partenaires publicitaires : envoyez des chaînes IAB TCF en Europe et des chaînes IAB GPP aux États-Unis, ainsi que Google Consent Mode v2.
8. Mettez à jour votre politique de confidentialité : couvrez les bases légales et les droits du RGPD, ainsi que les catégories d'informations personnelles, les finalités et les droits du CCPA. Notre générateur de politique de confidentialité peut vous aider.
9. Organisez le traitement des demandes : un seul processus avec un délai d'un mois pour le RGPD et de 45 jours pour le CCPA.
10. Conservez des preuves : enregistrez les journaux de consentement et d'opt-out, et vérifiez vos contrats fournisseurs, comme les accords de traitement des données.

Comment UniConsent applique la bonne bannière selon la région

UniConsent est une plateforme de gestion du consentement certifiée par Google et enregistrée auprès de l'IAB TCF. Avec une seule balise sur votre site, elle détecte la région du visiteur et applique les règles adaptées :

• Europe et Royaume-Uni : une bannière de cookies opt-in conforme au RGPD avec boutons Accepter et Refuser, blocage préalable des balises, signaux IAB TCF et Google Consent Mode v2.
• Californie et autres États américains : une notice d'opt-out CCPA avec lien Do Not Sell or Share, lien Your Privacy Choices, détection automatique de GPC et signaux IAB GPP pour vos partenaires publicitaires.
• Partout : scan des cookies, journaux de consentement et d'opt-out, portail de confidentialité pour les demandes et prise en charge de plusieurs langues.

Créez un compte UniConsent gratuit et mettez en place la conformité RGPD et CCPA sur un même site en quelques minutes.

Questions fréquentes

Quelle est la principale différence entre le RGPD et le CCPA ?

Le RGPD repose sur l'opt-in : il vous faut une base légale, souvent le consentement, avant de traiter des données personnelles, et un consentement préalable pour les cookies non essentiels. Le CCPA repose sur l'opt-out : les entreprises peuvent collecter des informations personnelles après en avoir informé les personnes, mais doivent permettre aux consommateurs de s'opposer à leur vente ou à leur partage. En outre, le RGPD s'applique à presque toutes les organisations, alors que le CCPA ne vise que les entreprises à but lucratif qui atteignent ses seuils.

Le CCPA est-il plus strict que le RGPD ?

Globalement, le RGPD est plus strict : il couvre presque toutes les organisations, exige une base légale pour le traitement, impose un consentement opt-in pour les cookies et prévoit des amendes jusqu'à 20 millions EUR ou 4 % du chiffre d'affaires mondial. Le CCPA est plus strict sur certains points, comme le lien d'opt-out obligatoire, la prise en charge obligatoire de Global Privacy Control et les dommages-intérêts légaux en cas de violation de données.

Le CCPA exige-t-il un consentement aux cookies comme le RGPD ?

Non. Le CCPA n'exige pas de bannière de cookies opt-in pour les adultes. Il exige une information lors de la collecte et un moyen de s'opposer à la vente ou au partage des informations personnelles, ce qui couvre les cookies publicitaires utilisés pour la publicité comportementale inter-contextes. L'opt-in n'est requis que pour les consommateurs dont l'entreprise sait qu'ils ont moins de 16 ans.

Si je respecte le RGPD, suis-je conforme au CCPA ?

Pas automatiquement. La conformité RGPD couvre une grande partie des bases, mais le CCPA exige aussi un lien Do Not Sell or Share ou Your Privacy Choices, la prise en charge de Global Privacy Control, des mentions propres au CCPA dans la politique de confidentialité, un processus de demandes sous 45 jours et le droit de limiter l'utilisation des informations personnelles sensibles.

Qui contrôle l'application du RGPD et du CCPA ?

Le RGPD est appliqué par l'autorité nationale de protection des données de chaque pays de l'UE, avec une autorité chef de file pour les organisations actives dans plusieurs pays. Le CCPA est appliqué par la California Privacy Protection Agency (CPPA) et le procureur général de Californie.

Quelles sont les sanctions du CCPA par rapport au RGPD ?

Les amendes RGPD peuvent atteindre 20 millions EUR ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Depuis le 1er janvier 2025, les amendes CCPA vont jusqu'à 2 663 $ par violation et 7 988 $ par violation intentionnelle ou concernant des mineurs de moins de 16 ans, et les consommateurs peuvent réclamer de 107 $ à 799 $ par incident après certaines violations de données.