CCPA vs RGPD : quelles sont les différences ?

Entre le RGPD et le duo CCPA/CPRA, la confusion coûte cher: obligations différentes, vocabulaire piégeux, et une réalité opérationnelle où les deux régimes se recouvrent à environ 60 %. L’objectif n’est pas de mémoriser des textes, mais de décider vite: êtes-vous concerné par la Californie, par l’union européenne, ou par les deux, et quels chantiers lancer en premier selon votre modèle (saas, e-commerce, b2b). Le RGPD, applicable depuis le 25 mai 2018, impose une logique de responsabilisation et de « privacy by design ». Le CCPA, entré en vigueur le 1er janvier 2020, puis renforcé par le CPRA (dispositions en vigueur depuis le 1er janvier 2023), met l’accent sur la transparence et l’opt-out, notamment via le mécanisme « do not sell or share ». À la clé: des droits proches en apparence (droit d’accès, droit de suppression), mais des priorités de conformité qui divergent selon votre manière de collecter, partager et monétiser les données personnelles.

CCPA et RGPD, de quoi parle-t-on exactement

Le RGPD (règlement général sur la protection des données) est le cadre de référence de l’union européenne. Adopté/entré en vigueur en avril 2016 selon l’extrait, il est applicable depuis le 25 mai 2018. Sa logique est structurante: définir pourquoi vous traitez des données personnelles, sur quelle base légale, pendant combien de temps, avec quelles mesures de sécurité, et comment vous prouvez votre conformité. Les rôles sont centraux: le responsable de traitement décide du « pourquoi » et du « comment »; le sous-traitant traite pour son compte.

Le CCPA (California Consumer Privacy Act) est une loi californienne adoptée en 2018 et entrée en vigueur le 1er janvier 2020. Quand on demande « qu’est-ce que le CCPA ? », la réponse opérationnelle tient en une phrase: c’est un régime qui donne au consommateur californien des droits sur ses informations personnelles, avec une obligation forte de transparence et un levier clé d’opt-out de la vente de données. Le CPRA (California Privacy Rights Act), initiative de vote adoptée en novembre 2020, renforce ce cadre: dispositions en vigueur au 1er janvier 2023, règlements finalisés le 29 mars 2023, et application de ces nouveaux règlements à partir du 29 mars 2024. Il crée aussi une autorité dédiée, la california privacy protection agency, et met davantage l’accent sur les données sensibles.

Si vous cherchez « quelle est la norme CCPA ? », retenez qu’il ne s’agit pas d’une norme technique unique, mais d’un ensemble d’obligations juridiques: notification de collecte, gestion des droits (dont droit d’accès et droit de suppression), et affichage d’un lien « do not sell or share » lorsque vos pratiques entrent dans le champ de la vente ou du partage. Le RGPD, lui, s’articule autour de principes, de registres et de preuves, sous l’œil des autorités comme la cnil en France.

Une fois ce vocabulaire posé, la première décision est factuelle: êtes-vous dans le champ de ces textes, et à quelles conditions. C’est l’objet du point suivant: Champ d’application: qui est concerné, où, et à partir de quels seuils.

Champ d’application: qui est concerné, où, et à partir de quels seuils

Le RGPD a une portée extraterritoriale: il s’applique aux organisations, quel que soit leur lieu d’établissement, si elles traitent ou contrôlent des données personnelles de résidents de l’ue. Concrètement, un saas français qui suit l’usage d’utilisateurs en Espagne, ou un e-commerce canadien qui livre en France et profile ses clients européens, doit raisonner RGPD. Et il ne vise pas seulement le « donneur d’ordre »: il s’applique aux responsables de traitement et aux sous-traitants qui traitent des données personnelles de résidents de l’ue.

Le CCPA/CPRA, lui, peut s’appliquer à des entreprises visant ou collectant des informations personnelles de résidents de californie, indépendamment du lieu d’établissement. Mais il ne suffit pas d’avoir un visiteur californien: l’assujettissement repose sur la notion d’« entreprise » à but lucratif et des seuils. Vous êtes concerné si vous collectez des informations personnelles de résidents de californie et remplissez au moins un des critères suivants:

• revenus bruts annuels supérieurs à 25 millions de dollars; ou
• achat, vente, réception ou partage à des fins commerciales des informations personnelles de 100 000 consommateurs, ménages ou appareils ou plus; ou
• 50 % ou plus des revenus annuels tirés de la vente ou du partage de données personnelles.

Pour un acteur français, la grille de décision la plus rapide consiste à croiser géographie et modèle économique. Un b2b pur, sans ciblage californien et sans volumes, peut ne pas atteindre les seuils CCPA, tout en restant RGPD s’il traite des données de prospects européens. À l’inverse, un éditeur saas avec une base d’utilisateurs en Californie et un usage intensif de partenaires publicitaires peut activer le CCPA/CPRA plus vite qu’il ne l’imagine, surtout via la notion de « partage ».

Une fois le « suis-je concerné » tranché, la seconde décision est méthodologique: le RGPD impose une logique de conception et de justification, le CCPA/CPRA une logique d’opt-out et de transparence. Passons donc aux Principes et logique de conformité: privacy by design vs opt-out.

Principes et logique de conformité: privacy by design vs opt-out

Le RGPD fonctionne comme un système de gouvernance: vous devez pouvoir expliquer et démontrer. Trois principes reviennent dans la pratique, car ils structurent les arbitrages produit et marketing: licéité, loyauté et transparence (vous traitez de manière légitime et compréhensible), limitation des finalités (vous ne réutilisez pas les données pour autre chose sans cadre), et minimisation des données (vous ne collectez que ce qui est utile). Ces principes s’adossent à une base légale (contrat, obligation légale, intérêt légitime, consentement, etc.). Le consentement n’est donc pas automatique, mais il devient incontournable dans certains cas, notamment pour certains usages de traçage et de marketing.

Le CCPA/CPRA privilégie une autre logique: le cœur est la transparence et la capacité du consommateur à s’opposer. Là où le RGPD vous demande « sur quelle base légale ? », le CCPA/CPRA vous demande très vite « vendez-vous ou partagez-vous ? » et « comment offrez-vous l’opt-out ? ». Le signal le plus visible est l’exigence d’un mécanisme « do not sell or share » lorsque vos flux de données entrent dans ces catégories.

Conséquence opérationnelle: une conformité RGPD solide se construit par design (cartographie, minimisation, paramétrage par défaut, preuves), tandis que la conformité CCPA/CPRA se voit dans l’interface (notification de collecte, liens, préférences) et dans la capacité à honorer des demandes à grande échelle. Les deux approches ne s’opposent pas: elles se complètent, et c’est souvent ce recouvrement partiel qui explique le fameux « 60 % ».

Une fois les principes compris, le test terrain est simple: êtes-vous capable de traiter les demandes des personnes dans les délais et avec les bonnes exceptions. Place aux Droits des personnes: similitudes, différences et délais de réponse.

Droits des personnes: similitudes, différences et délais de réponse

Les deux régimes donnent des droits concrets. Côté RGPD, les personnes disposent notamment d’un droit à l’information, d’un droit d’accès, d’un droit d’effacement (souvent appelé droit de suppression dans le langage courant), et d’autres mécanismes selon les cas. Côté CCPA/CPRA, le consommateur californien peut demander l’accès et la suppression, et bénéficie aussi d’un principe de non-discrimination pour l’exercice de ses droits. Le CPRA renforce certains droits, dont la rectification, et introduit des protections supplémentaires autour des données sensibles, notamment la possibilité de limiter certains usages.

La différence la plus utile pour piloter une équipe support ou privacy ops est le délai: 30 jours pour répondre aux demandes RGPD, contre 45 jours sous CCPA. Dans les deux cas, la vérification d’identité est un point de friction: trop faible, vous divulguez des données; trop forte, vous bloquez les droits. Les procédures doivent prévoir des scénarios: compte authentifié, demande par email, représentant autorisé, et exceptions (par exemple quand la suppression est incompatible avec une obligation de conservation).

Sur le terrain, le risque n’est pas seulement juridique: il est réputationnel. Les études citées montrent un déficit de contrôle perçu: 74 % des consommateurs dans le monde estiment avoir peu ou pas de contrôle sur leurs données personnelles, et 81 % des américains pensent avoir peu ou pas de contrôle une fois les données partagées avec des entreprises. Un traitement rapide et traçable des demandes devient un marqueur de confiance, pas seulement une case à cocher.

Ces droits imposent mécaniquement des obligations d’organisation, de contrats, et de gestion des données sensibles, notamment avec les prestataires et les cookies. Passons aux Obligations côté entreprises: transparence, contrats, données sensibles et cookies.

Obligations côté entreprises: transparence, contrats, données sensibles et cookies

Premier bloc: la transparence. Sous CCPA/CPRA, la notification de collecte est un pivot: vous devez expliquer quelles catégories d’informations personnelles vous collectez, à quelles fins, et quels droits s’appliquent. Sous RGPD, l’information doit aussi être claire, mais elle s’inscrit dans une logique de finalités, de base légale, de durées de conservation et de destinataires. Dans les deux cas, un inventaire des données (catégories, sources, usages, partages) conditionne la qualité de vos notices.

Deuxième bloc: les contrats et la chaîne de traitement. Le RGPD structure la relation responsable de traitement / sous-traitant, avec des obligations de sécurité et d’encadrement. Côté CCPA/CPRA, la relation avec les prestataires et partenaires doit éviter de transformer un flux en « vente » ou « partage » non maîtrisé. En pratique, cela se traduit par: clauses sur l’usage des données, interdiction d’utiliser les données à d’autres fins, et mécanismes pour relayer les opt-out.

Troisième bloc: données sensibles et sécurité. Le CPRA met davantage en avant les données sensibles et des droits associés (dont la limitation de certains usages). Le RGPD, lui, impose des exigences de sécurité explicites: l’article 5 mentionne un traitement garantissant la sécurité, l’article 32 exige des mesures techniques et organisationnelles adaptées au risque (pseudonymisation et chiffrement possibles), et l’article 34 impose une communication « dans les meilleurs délais » aux personnes concernées en cas de violation susceptible d’entraîner un risque élevé. Point pratique: si le chiffrement rend les données inintelligibles à toute personne non autorisée, cela peut, selon les conditions prévues, éviter l’obligation de communication aux personnes au titre de l’article 34.

Quatrième bloc: cookies et publicité. Le RGPD pousse souvent vers l’opt-in pour certains traceurs, via le consentement. Le CCPA/CPRA, lui, met la pression sur l’opt-out lorsque les cookies et identifiants publicitaires s’analysent comme une « vente » ou un « partage » de données personnelles. Résultat: une même bannière peut devoir gérer deux logiques en parallèle selon l’utilisateur (ue vs californie), avec un centre de préférences robuste et des signaux « do not sell or share » correctement propagés.

Une fois ces obligations en place, reste la question qui tranche les budgets: qui contrôle, qui sanctionne, et quel plan d’action commun permet de réduire le risque des deux côtés. Passons à Sanctions et plan d’action commun pour être conforme aux deux.

Sanctions et plan d’action commun pour être conforme aux deux

Côté RGPD, le plafond de sanction est connu: jusqu’à 4 % du chiffre d’affaires mondial ou 20 millions d’euros (le montant le plus élevé étant retenu). En France, la cnil joue un rôle central dans le contrôle et l’enforcement. Côté CCPA/CPRA, les amendes administratives sont exprimées par violation: 2 500 dollars par violation non intentionnelle, 7 500 dollars par violation intentionnelle, et 7 500 dollars par violation intentionnelle ou impliquant un mineur. Le CCPA prévoit aussi une responsabilité civile pouvant aller jusqu’à 750 dollars de dommages civils par consommateur affecté. La california privacy protection agency renforce la capacité de contrôle dans le cadre CPRA.

Pour prioriser, une feuille de route commune fonctionne bien, avec des variantes selon le modèle:

• cartographie des données: catégories de données personnelles, finalités, sources, destinataires, transferts; indispensable pour notices, droits et contrats.
• minimisation et durées: réduire la collecte au strict utile et documenter les durées, ce qui diminue l’exposition en cas d’incident.
• mécanismes de droits: un portail ou un process outillé pour droit d’accès et droit de suppression, avec vérification d’identité et journal de preuve; SLA alignés sur 30 jours (rgpd) pour couvrir aussi le 45 jours (ccpa).
• gestion « do not sell or share »: cartographier les partenaires publicitaires/analytics, qualifier « vente/partage », intégrer un lien et propager l’opt-out vers les tiers.
• contrats et gouvernance: clauses responsables/sous-traitants, et encadrement des prestataires côté californie; revue des sous-traitants à risque.
• sécurité et préparation incident: contrôles organisationnels, chiffrement/pseudonymisation lorsque pertinent, et procédures de notification alignées sur les exigences RGPD (articles 5, 32, 34) pour élever le niveau global.

Décisions par modèle: un saas b2b priorise souvent la gouvernance (rôles, contrats, sécurité, droits) et la preuve; un e-commerce priorise en plus les cookies, le partage publicitaire et l’opt-out « do not sell or share »; un b2b orienté prospection doit être particulièrement rigoureux sur la base légale, la transparence et la minimisation, tout en vérifiant s’il atteint ou non les seuils CCPA dès lors qu’il a des leads en Californie.

FAQ

Qu’est-ce que le CCPA ?

Le CCPA est la loi californienne de protection de la vie privée adoptée en 2018 et entrée en vigueur le 1er janvier 2020, qui donne aux consommateurs des droits sur leurs informations personnelles et impose des obligations de transparence et d’opt-out, notamment sur la vente de données.

Qu’est-ce que la loi CCPA ?

La loi CCPA (California Consumer Privacy Act) encadre la collecte et l’usage des informations personnelles des résidents de californie par certaines entreprises, avec des droits comme l’accès et la suppression, et des exigences telles que la notification de collecte et le mécanisme « do not sell or share » (renforcé avec le CPRA).

Quelle est la norme CCPA ?

Il ne s’agit pas d’une norme unique, mais d’un cadre juridique: seuils d’assujettissement, obligations de transparence, gestion des demandes (accès, suppression), et opt-out de la vente/du partage, sous la supervision renforcée de la california privacy protection agency avec le CPRA.

Quels sont les 3 principes de la RGPD ?

Trois principes structurants sont: licéité, loyauté et transparence; limitation des finalités; minimisation des données.

La méthode la plus sûre consiste à partir de votre cartographie de données, puis à déployer un socle RGPD robuste (bases légales, minimisation, sécurité, preuves) tout en ajoutant, si la Californie est dans votre cible et vos seuils, les mécanismes CCPA/CPRA visibles et actionnables: notification de collecte, opt-out et « do not sell or share », et une exécution industrielle des droits.