États-Unis : pas de RGPD fédéral, 23 lois d’États

Le 16 juin 2026, le gouverneur du Vermont a signé la loi S.71 sur la protection des données et la surveillance en ligne. Le Vermont devient ainsi le 23e État américain doté d’une loi générale de protection des données personnelles, selon le décompte de l’IAPP (international · IAPP), qui laisse de côté la loi plus étroite de Floride. Au 29 octobre 2026, 19 de ces lois sont en vigueur. Quatre ont été adoptées cette année, après une année 2025 sans aucune nouvelle loi. Au niveau fédéral, toujours rien.

Pour une entreprise européenne qui sert des clients américains, attendre un « RGPD fédéral » n’est pas un plan. La conformité américaine se construit État par État, avec une nouvelle échéance presque chaque 1er janvier.

Ce qui est déjà en vigueur

• Dix-neuf lois applicables (international · IAPP) : Californie, Virginie, Colorado, Connecticut, Utah, Texas, Oregon, Montana, Delaware, Iowa, Nebraska, New Hampshire, New Jersey, Tennessee, Minnesota, Maryland, puis, depuis le 1er janvier 2026, Indiana, Kentucky et Rhode Island.
• Trois lois en vigueur depuis le 1er janvier 2026 (États-Unis · législatures de l’Indiana, du Kentucky et du Rhode Island) : l’Indiana et le Kentucky visent les entreprises qui traitent les données d’au moins 100 000 consommateurs ; le Rhode Island, au-delà de 35 000.
• Le Maryland, la loi la plus stricte (États-Unis (Maryland) · procureur général) : en vigueur depuis le 1er octobre 2025 et applicable aux traitements réalisés depuis le 1er avril 2026, elle interdit la vente de données sensibles, même avec consentement, et limite leur collecte au « strictement nécessaire ».
• La Californie, dotée d’une agence dédiée (États-Unis (Californie) · CPPA) : ses règlements sur les décisions automatisées, les évaluations de risques et les audits de cybersécurité sont en vigueur depuis le 1er janvier 2026, avec des échéances échelonnées jusqu’en 2030. Nous y revenons le 6 novembre.
• Des seuils qui baissent (États-Unis (Delaware) · Assemblée générale) : la loi HB 380, signée le 2 septembre 2026, abaisse le seuil d’application de 35 000 à 10 000 consommateurs à partir du 1er janvier 2027.

Ce qui arrive en 2027 et 2028

• Louisiane et Oklahoma, 1er janvier 2027 (États-Unis · législatures des deux États) : la Louisiane vise notamment les entreprises de plus de 25 millions de dollars de chiffre d’affaires annuel ; l’Oklahoma, celles qui traitent les données de 100 000 résidents.
• Alabama, 1er mai 2027 (États-Unis (Alabama) · législature) : seuil de 25 000 consommateurs, mais les entreprises de moins de 500 salariés qui ne vendent pas de données sont exemptées, et aucune évaluation d’impact n’est exigée.
• Vermont, 1er janvier 2028 (États-Unis (Vermont) · Assemblée générale) : seuil de 35 000 consommateurs, ou de 3 000 pour les données sensibles ; collecte limitée au « raisonnablement nécessaire et proportionné » ; la politique de confidentialité devra dire si les données servent à entraîner de grands modèles de langage.
• Massachusetts, en négociation (États-Unis (Massachusetts) · législature) : chaque chambre a voté sa version et une commission mixte cherche un compromis cet automne. La version de la Chambre ouvre aux particuliers une action en justice contre les grands détenteurs de données.
• Un projet fédéral contesté (États-Unis · Chambre des représentants) : le SECURE Data Act (H.R. 8413), déposé le 21 avril 2026 par l’élu républicain John Joyce, remplacerait l’essentiel des lois des États. Auditionné le 3 juin, il est combattu par l’agence californienne et une coalition de 18 procureurs généraux. Au 29 octobre 2026, le site du Congrès n’enregistre aucun vote en commission.

Le vrai enjeu : un socle commun, mais pas le RGPD

Les 23 lois se ressemblent plus qu’elles ne divergent. Presque toutes donnent un droit d’accès, de rectification, de suppression et de portabilité, un droit d’opposition à la vente de données, à la publicité ciblée et au profilage, et la plupart exigent un consentement pour les données sensibles. Le procureur général de l’État les applique ; les particuliers ne peuvent pas agir en justice, sauf, de façon limitée, en Californie.

Mais la logique reste l’inverse du RGPD. En Europe, tout traitement doit reposer sur une base légale (UE · RGPD, article 6). Aux États-Unis, le traitement est permis par défaut, et c’est à la personne de s’y opposer. Une conformité RGPD couvre l’essentiel des droits, pas la mécanique de l’opposition : lien « ne pas vendre ni partager », refus de la publicité ciblée, prise en compte des signaux d’opposition envoyés automatiquement par le navigateur, obligatoire en Oregon depuis le 1er janvier 2026.

Autre écart : le champ. Le RGPD s’applique dès la première personne concernée. Les lois américaines visent des entreprises qui traitent les données, le plus souvent, de 25 000 à 100 000 résidents de l’État. Elles ne demandent pas de délégué à la protection des données, mais plusieurs accordent un délai de 30 à 60 jours pour corriger un manquement avant toute sanction.

Trois points de vigilance

1. Les seuils sont bas, et ils baissent. 35 000 résidents au Maryland, au Rhode Island ou au Vermont, 25 000 en Alabama, 10 000 au Delaware dès le 1er janvier 2027 : une entreprise européenne de taille moyenne qui vend en ligne aux États-Unis peut les franchir sans le savoir.

2. Les données sensibles ne se traitent pas partout de la même façon. Le Maryland interdit leur vente, même avec consentement. Le Vermont interdira le géorepérage à moins de 1 850 pieds (environ 560 mètres) d’un établissement de santé pour identifier, suivre ou cibler une personne au sujet de ses données de santé.

3. La préemption fédérale n’est pas une stratégie. Le principal texte en discussion a été rédigé sans soutien démocrate et bute sur la préemption des lois des États. Personne ne peut dire quand, ni si, une loi fédérale sera votée. D’ici là, chaque échéance des États s’applique.

Ce qu’une entreprise européenne doit faire

1. Compter ses résidents américains État par État, clients comme prospects, et les comparer au seuil de chaque loi.
2. Prendre la loi la plus stricte comme référence : le Maryland pour la minimisation et les données sensibles, la Californie pour les décisions automatisées.
3. Installer la mécanique d’opposition : lien « ne pas vendre ni partager », opposition à la publicité ciblée et au profilage, prise en compte des signaux automatiques du navigateur.
4. Recueillir un consentement explicite pour les données sensibles, et cesser leur vente là où elle est interdite.
5. Réutiliser les analyses d’impact RGPD comme base des évaluations exigées par la plupart des États, dont la Louisiane, l’Oklahoma et le Vermont, en ajoutant ce que chaque loi demande.
6. Revoir les contrats de sous-traitance : les quatre lois de 2026 imposent un contrat avec chaque prestataire qui traite les données.
7. Inscrire les prochaines dates au calendrier : 1er janvier 2027, 1er mai 2027, 1er janvier 2028.

Aux États-Unis, la vie privée n’a pas de loi fédérale : elle a un calendrier.

La question à poser lundi matin

À votre délégué à la protection des données : « Combien de résidents de chaque État américain avons-nous dans nos bases, et quels seuils franchirons-nous au 1er janvier 2027 ? »