Toutes les lois des États américains sur la vie privée, côte à côte.

États obtiennent la note la plus exigeante sur l'opposition universelle.

Californie. Les entreprises doivent respecter les signaux de préférence d'opposition tels que GPC ; l'AB 566 impose aux navigateurs de proposer un signal d'opposition à partir de janvier 2027.

Échelle : 0 non requis, 1 volontaire ou à venir, 2 requis (GPC), 3 requis avec d'autres signaux ou obligation imposée aux navigateurs.

États obtiennent la note la plus exigeante sur la période de régularisation.

Californie. Aucun droit de régularisation ; le CPRA a supprimé l'ancienne période de régularisation de 30 jours.

Montana. Le SB 297 a supprimé la période de régularisation garantie de 60 jours.

Rhode Island. Aucune période de régularisation.

Échelle : 0 période de régularisation permanente, 1 période de régularisation expirée ou discrétionnaire, 2 limitée, 3 aucune période de régularisation.

États obtiennent la note la plus exigeante sur la minimisation des données.

Maryland. La collecte doit être limitée à ce qui est raisonnablement nécessaire et proportionné pour fournir ou maintenir un produit ou service précis demandé par le consommateur.

Échelle : 0 aucune exigence au-delà de l'information, 1 adéquates, pertinentes et raisonnablement nécessaires aux finalités indiquées, 2 raisonnablement nécessaires et proportionnées, 3 strictement nécessaires pour fournir le produit demandé (modèle du Maryland).

États obtiennent la note la plus exigeante sur les enfants et adolescents.

Colorado. Mineurs de moins de 18 ans : devoir de diligence et consentement requis pour la publicité ciblée, la vente, le profilage, les fonctionnalités d'engagement et la géolocalisation précise ; consentement parental en dessous de 13 ans.

Montana. Mineurs de moins de 18 ans : devoir de diligence, consentement pour la publicité, la vente, le profilage et les fonctionnalités d'engagement, limites de géolocalisation et évaluations relatives aux mineurs.

Floride. Est un enfant toute personne de moins de 18 ans ; les données des moins de 13 ans relèvent de COPPA, et les jeunes de 13 à 17 ans doivent donner une autorisation expresse pour le traitement ou la vente de données sensibles.

Maryland. Les données des moins de 13 ans sont sensibles (COPPA). La publicité ciblée visant les consommateurs dont le responsable du traitement savait ou aurait dû savoir qu'ils ont de 13 à 17 ans, ainsi que la vente de leurs données, sont restreintes.

Échelle : la valeur indique les âges. Niveau 0 COPPA uniquement (moins de 13 ans), 1 consentement parental en dessous de 13 ans au titre des données sensibles, 2 protections supplémentaires pour les adolescents (de 13 à 15 ou 16 ans, consentement préalable pour la publicité ou la vente), 3 protections des adolescents jusqu'à 17 ans ou obligation de code de conception.

États obtiennent la note la plus exigeante sur les seuils.

Nebraska. Aucun seuil chiffré ; toute entreprise qui traite ou vend des données personnelles, à l'exception des petites entreprises au sens fédéral de la SBA, qui doivent néanmoins obtenir le consentement pour vendre des données sensibles.

Texas. Toute entreprise au Texas qui traite ou vend des données personnelles et qui n'est pas une petite entreprise au sens de la SBA ; les petites entreprises doivent néanmoins obtenir le consentement pour vendre des données sensibles.

Connecticut. À partir du 1er juillet 2026 : 35,000 consommateurs ou plus, ou tout responsable du traitement qui traite des données sensibles ou met en vente des données personnelles, quel que soit le volume.

Échelle : la valeur indique les seuils (nombre de consommateurs, chiffre d'affaires, part issue de la vente de données). Niveau 0 seuils élevés (100k consommateurs ou plus et part du chiffre d'affaires), 1 standard (100k, ou 25k et au moins 50% du chiffre d'affaires tiré des ventes), 2 seuils plus bas (par exemple 35k ou 50k, ou un critère de chiffre d'affaires seul), 3 aucun seuil ou un seuil très bas (par exemple toute entreprise qui n'est pas une petite entreprise, ou critère SBA de type texan).

États obtiennent la note la plus exigeante sur le délai de réponse aux demandes.

Échelle : valeur en jours. Niveau 2 pour 45 jours (la norme), 3 si plus court, 1 si plus long ou non défini.

États obtiennent la note la plus exigeante sur l'action privée.

Échelle : 0 aucun, 1 limité (par exemple au titre d'une loi distincte de protection des consommateurs), 2 uniquement pour les violations de données, 3 droit d'action privé étendu.

États obtiennent la note la plus exigeante sur le pouvoir réglementaire.

Californie. Règlements de la CPPA en vigueur, y compris les règles de 2025 sur les évaluations des risques, les ADMT et les audits de cybersécurité, applicables au 1er janvier 2026.

Colorado. Règles de l'AG en vigueur (Colorado Privacy Act Rules, 4 CCR 904-3), y compris les spécifications relatives à l'opposition universelle.

Échelle : 0 aucun, 1 limité, 2 pouvoir réglementaire de l'AG, 3 règles en vigueur.