Page traduite et vérifiée automatiquement. La version anglaise fait foi. Certaines parties restent en anglais le temps que leur traduction soit vérifiée. Voir en anglais · Signaler une erreur de traduction
Les lois, et ce qu'elles signifient en pratique
Les lois sur la vie privée, l'IA et la cybersécurité qui façonnent le travail de confiance numérique, du GDPR à chacune des lois des États américains sur la vie privée. Chaque fiche indique, en termes simples et avec les sources, à qui elle s'applique, qui la fait appliquer et à partir de quand. Gratuit pour tous.
Union européenne 1
Royaume-Uni 1
Fédéral américain 1
États américains 24
CCPA/CPRA
CalifornieLa loi américaine sur la vie privée la plus détaillée au niveau des États, et la seule dotée d'un régulateur dédié à la vie privée. Elle couvre les données des salariés et les données interentreprises, impose de permettre l'opposition à la vente et au partage, et dispose de sa propre réglementation sur la prise de décision automatisée.
VCDPA
VirginieLe modèle de la plupart des lois d'État ultérieures : droits des consommateurs, opposition à la publicité ciblée, à la vente et au profilage, consentement préalable pour les données sensibles et évaluations de la protection des données.
CPA
ColoradoLoi de type virginien avec des règles détaillées de l'Attorney General, notamment l'obligation de respecter les signaux universels d'opposition.
CTDPA
ConnecticutLoi de type virginien, modifiée pour élargir son champ et renforcer les règles sur les données sensibles et les mineurs.
UCPA
UtahL'une des lois d'État les plus favorables aux entreprises, avec des droits plus restreints et des seuils plus élevés.
TDPSA
TexasAucun seuil de chiffre d'affaires ni de volume : elle s'applique à presque toutes les entreprises qui ne sont pas de petites entreprises, ce qui en fait en pratique l'une des lois d'État les plus larges.
OCPA
OregonLoi de type virginien qui donne aussi aux consommateurs le droit de connaître les tiers précis auxquels leurs données ont été communiquées.
MCDPA
MontanaLoi de type virginien avec des seuils relativement bas, à l'image de la population de l'État.
FDBR
FlorideD'un champ d'application étroit, mais stricte pour les plus grandes entreprises technologiques qu'elle vise.
ICDPA
IowaUne loi de type virginien plus restreinte, avec moins de droits pour les consommateurs.
DPDPA
DelawareLoi de type virginien avec des seuils bas et couvrant de nombreuses organisations à but non lucratif.
NHDPA
New HampshireLoi de type virginien avec des seuils adaptés à un petit État.
NJDPA
New JerseyLoi de type virginien avec des définitions larges des données sensibles et un pouvoir réglementaire confié à la Division of Consumer Affairs.
NDPA
NebraskaLoi de type texan sans seuil de volume, applicable à la plupart des entreprises qui ne sont pas de petites entreprises.
TIPA
TennesseeDes seuils élevés et un moyen de défense pour les entreprises qui suivent le NIST Privacy Framework.
MCDPA
MinnesotaAjoute des droits que les autres États ne prévoient pas, notamment le droit de contester le résultat d'une décision de profilage et de consulter la liste des tiers qui ont reçu des données.
MODPA
MarylandLa loi d'État la plus stricte en matière de minimisation des données : la collecte doit être raisonnablement nécessaire au service, et la vente de données sensibles est interdite.
ICDPA
IndianaLoi de type virginien, en vigueur à partir de 2026.
KCDPA
KentuckyLoi de type virginien, en vigueur à partir de 2026.
RIDTPPA
Rhode IslandLoi de type virginien, avec des obligations inhabituelles d'information sur le site web et sans période de régularisation.
OCDPA
OklahomaAdoptée en 2026 et pas encore en vigueur. Largement de type virginien, avec ses propres seuils et sa propre période de régularisation.
LDPA
LouisianeAdoptée en 2026 et pas encore en vigueur. Largement de type virginien, avec ses propres seuils et sa propre période de régularisation.
APDPA
AlabamaAdoptée en 2026 et pas encore en vigueur. Largement de type virginien, avec ses propres seuils et sa propre période de régularisation.
VDPOSA
VermontAdoptée en 2026 et pas encore en vigueur. Largement de type virginien, avec ses propres seuils et sa propre période de régularisation.
Reste du monde 37
LPDP
ArgentineUne loi ancienne jugée adéquate par l'UE, fondée sur le consentement écrit, l'enregistrement des bases de données et une action judiciaire d'habeas data, avec des délais de réponse très courts. Elle ne prévoit ni notification des violations, ni obligations de DPO ou d'DPIA, et les amendes restent faibles.
Privacy Act (AU)
AustralieLa loi australienne sur la protection de la vie privée, fondée sur les treize Australian Privacy Principles, actuellement en cours de réforme.
LGPD
BrésilLa loi brésilienne inspirée du GDPR, avec dix bases légales et une autorité nationale.
PIPEDA
CanadaLa loi fédérale canadienne sur la protection des renseignements personnels dans le secteur privé, fondée sur dix principes relatifs à l'équité dans le traitement de l'information.
Loi 25
Québec, CanadaLa loi sur la protection de la vie privée la plus stricte du Canada, avec des évaluations des facteurs relatifs à la vie privée pour les transferts et des amendes du niveau du GDPR.
Projet de loi C-36
CanadaLe projet de loi fédéral qui remplacerait le volet secteur privé de la PIPEDA. Il reprend les plafonds de sanctions proposés dans le C-27 (jusqu'à CAD millions de dollars 10 ou 3% du chiffre d'affaires mondial, et des amendes jusqu'à CAD millions de dollars 25 ou 5%), mais abandonne la loi sur l'IA et le tribunal. La PIPEDA reste en vigueur jusqu'à son adoption.
LPVP
ChiliJusqu'en décembre 2026, le Chili applique un régime léger, la loi 1999, mis en œuvre uniquement par les tribunaux, avec un consentement écrit, un délai de réponse de deux jours et des amendes minimes. La loi 21,719 instaure ensuite un régime de type GDPR avec une nouvelle agence, des obligations en cas de violation et des amendes jusqu'à 20,000 UTM.
PIPL
ChineLa loi générale chinoise sur la protection des informations personnelles, avec des règles strictes sur le consentement et les transferts transfrontaliers.
Loi 1581
ColombieToute utilisation de données personnelles requiert une autorisation préalable, expresse et éclairée que le responsable du traitement peut prouver, et chaque responsable du traitement doit désigner une personne ou un service chargé de la protection des données. La SIC contrôle activement, les grandes entreprises enregistrent leurs bases de données dans le RNBD, et les violations sont notifiées à la SIC dans un délai de 15 jours ouvrables.
LOPDP
ÉquateurLa copie la plus fidèle du GDPR dans la région, avec l'intérêt légitime, la portabilité, les AIPD et les DPO, ainsi que des amendes calculées sur le chiffre d'affaires jusqu'à 1%. Elle est plus stricte sur les délais : 5 jours pour notifier le régulateur et 3 jours pour informer les personnes.
PDPL (Égypte)
ÉgypteLa loi égyptienne sur la protection des données. Les responsables du traitement et les sous-traitants doivent obtenir une licence du Centre de protection des données personnelles, auprès duquel les délégués à la protection des données s'enregistrent.
DPA (Ghana)
GhanaLa loi du Ghana sur la protection des données. Les responsables du traitement s'enregistrent auprès de la Data Protection Commission et renouvellent cet enregistrement tous les deux ans.
PDPO
Hong KongLa plus ancienne loi générale sur la vie privée d'Asie, fondée sur six principes de protection des données, sans obligation de notification des violations ni restriction des transferts en vigueur. Ses armes les plus redoutables sont les infractions pénales de marketing direct sans consentement et de doxing.
Loi DPDP
IndeLa loi générale indienne sur la protection de la vie privée, centrée sur le consentement, avec des obligations pour les fiduciaires de données importants.
Loi PDP
IndonésieUne structure proche du GDPR, mais avec des délais très courts de 72 heures pour les demandes des personnes concernées comme pour les notifications de violations. Le consentement doit être écrit ou enregistré, et des sanctions pénales allant jusqu'à 6 ans d'emprisonnement s'ajoutent à des amendes de 2% du chiffre d'affaires.
PPL
IsraëlLa PPL est une loi fondée sur le consentement et centrée sur les bases de données, avec des règles de sécurité très prescriptives, dont le signalement immédiat des incidents graves. L'amendement 13 a ajouté des définitions de type GDPR, des obligations relatives au DPO, des amendes administratives par personne concernée et des dommages-intérêts légaux, et a limité l'enregistrement des bases de données aux courtiers en données et aux organismes publics.
APPI
JaponLa loi japonaise sur la protection de la vie privée, reconnue adéquate par l'UE.
DPA (Kenya)
KenyaLa loi kényane sur la protection des données. Les responsables du traitement et les sous-traitants s'enregistrent auprès du Data Commissioner. La désignation d'un délégué à la protection des données est facultative au titre de la loi.
PDPA (Malaisie)
MalaisieLa loi malaisienne sur la protection des données, modifiée en 2024. La désignation d'un délégué à la protection des données et la notification des violations au Commissaire dans un délai de 72 heures s'appliquent à partir du 1er juin 2025.
LFPDPPP
MexiqueLe consentement est la base par défaut, un consentement tacite par le biais d'un avis de confidentialité suffit pour la plupart des données, et chaque responsable du traitement doit désigner une personne ou un service chargé de la protection des données. La refonte de 2025 a transféré le contrôle de l'INAI indépendant à un ministère fédéral et supprimé les obligations de l'ancienne loi envers le régulateur, tout en maintenant des peines de prison pour les infractions relatives aux données.
Privacy Act
Nouvelle-ZélandeUne loi fondée sur des principes, avec 14 IPP, des responsables de la protection de la vie privée obligatoires dans chaque organisme et une notification des violations en cas de préjudice grave. Les amendes sont faibles ; les recours passent par le Commissaire et le Human Rights Review Tribunal.
NDPA (Nigeria)
NigériaLa loi nigériane sur la protection des données. Les responsables du traitement et sous-traitants d'importance majeure s'enregistrent auprès de la NDPC et désignent un délégué à la protection des données, qui doit suivre un développement professionnel annuel.
LPDP
PérouLe règlement de 2024 a rapproché le Pérou du GDPR : portée extraterritoriale avec un représentant local, notification des violations sous 48 heures au régulateur et aux personnes, portabilité et obligation de DPO introduite progressivement. Il conserve l'enregistrement des bases de données propre au Pérou et la notification de chaque flux transfrontalier.
DPA (Philippines)
PhilippinesLa loi philippine sur la confidentialité des données. Les organisations désignent un délégué à la protection des données, et celles qui atteignent les seuils s'enregistrent auprès de la National Privacy Commission.
PDPL (Arabie saoudite)
Arabie saouditeLa loi saoudienne sur la protection des données, appliquée par la SDAIA. Des règles précisent quand un délégué à la protection des données est requis, et l'enregistrement ainsi que les notifications de violations passent par la National Data Governance Platform.
PDPA (SG)
SingapourLoi sur la vie privée fondée sur le consentement, avec notification obligatoire des violations depuis 2021.
POPIA
Afrique du SudLa loi générale sud-africaine sur la protection de la vie privée, fondée sur huit conditions de licéité du traitement.
PIPA
Corée du SudLa Corée associe des droits de type GDPR à des règles de consentement inhabituellement granulaires, élément par élément, et à un responsable de la protection de la vie privée obligatoire pour chaque responsable du traitement. Les sanctions sont lourdes : des pénalités fondées sur le chiffre d'affaires désormais jusqu'à 10%, des dommages-intérêts légaux et des sanctions pénales.
nFADP
SuisseLa loi suisse révisée, étroitement alignée sur le GDPR, avec des amendes visant les personnes physiques responsables.
DIFC DPL
Émirats arabes unisLa loi sur la protection des données du Dubai International Financial Centre, une zone franche financière dotée de ses propres lois et tribunaux. Elle suit de près le GDPR et dispose de son propre Commissaire à la protection des données.
PDPA
ThaïlandeÉtroitement calquée sur le GDPR, mais le consentement doit en général être donné par écrit ou sous forme électronique, et les mineurs de moins de 20 ans doivent impliquer leur tuteur. La responsabilité civile est objective et les tribunaux peuvent ajouter des dommages-intérêts punitifs allant jusqu'à deux fois la perte réelle.
KVKK
TurquieLa KVKK s'inspire du GDPR mais conserve un registre public des responsables du traitement (VERBIS) avec dépôt des inventaires de données, et impose dans tous les cas la notification des violations aux personnes. Depuis 2024, les transferts à l'étranger reposent sur l'adéquation, sur des garanties approuvées par le Conseil ou sur des contrats types émis par le Conseil, qui doivent être déposés dans un délai de cinq jours ouvrables.
DPPA (Ouganda)
OugandaLa loi ougandaise sur la protection des données. Le dirigeant de chaque institution concernée doit désigner un délégué à la protection des données, et quiconque collecte ou traite des données personnelles s'enregistre auprès du Personal Data Protection Office.
PDPL (UAE)
Émirats arabes unisLa loi fédérale des UAE sur la protection des données. Elle est en vigueur depuis janvier 2022, mais son règlement d'application n'a pas été publié : il n'existe donc encore ni délai de notification des violations ni barème des sanctions.
LPDP
UruguayLoi jugée adéquate par l'UE qui associe un consentement documenté et l'enregistrement universel des bases de données à des ajouts inspirés du GDPR : notification des violations sous 72 heures, AIPD et DPO obligatoires pour les traitements à grande échelle ou sensibles. Les amendes sont faibles, mais les délais de réponse sont de cinq jours ouvrables.
PDPL
Viêt NamLa première loi du Vietnam sur les données personnelles remplace le décret 13 par un régime fondé d'abord sur le consentement, dans lequel les analyses d'impact et les évaluations des transferts doivent être déposées auprès du ministère de la Sécurité publique. Les amendes atteignent 5% du chiffre d'affaires pour les violations relatives aux transferts et 10 fois le chiffre d'affaires pour le commerce illégal de données.
CDPA (Zimbabwe)
ZimbabweLa loi du Zimbabwe sur la protection des données, appliquée par POTRAZ. Les responsables du traitement doivent obtenir une licence, et les délégués à la protection des données doivent être désignés dans un délai de 90 jours et suivre une formation de certification agréée.
Cette bibliothèque explique les lois aux praticiens. Elle ne constitue pas un avis juridique, et les lois évoluent : vérifiez les sources indiquées sur chaque page et consultez un conseil juridique avant d'agir.