Les entreprises SaaS construisent un seul programme de conformité pour 20 lois de confidentialité d'État différentes

Vingt États américains disposent désormais, en 2026, de lois complètes sur la vie privée des consommateurs, et aucune loi fédérale ne prime sur l'une d'elles. L'Indiana, le Kentucky et le Rhode Island ont tous activé leurs textes en janvier ; l'Arkansas les a rejoints le 1er juillet. L'Oklahoma et l'Alabama suivront en 2027. Chaque loi a ses propres seuils d'application, sa propre liste de droits du consommateur, son propre mécanisme d'application, et, dans un nombre croissant de cas, ses propres obligations de conformité franchement incompatibles. Pour une entreprise SaaS opérant à l'échelle nationale, la vraie question en 2026 n'est pas de savoir s'il faut se conformer à la loi sur la vie privée d'un État. C'est de savoir s'il faut construire un seul programme de conformité couvrant les vingt États avec des surcouches ciblées, ou traiter chaque État comme un projet distinct — et la seconde option devient discrètement intenable.

Même les seuils ne concordent pas

Trois États — le Delaware, le Montana et le Nevada — appliquent leur loi sur la vie privée à toute entreprise traitant les données de leurs résidents, sans minimum de chiffre d'affaires ou de volume de données. La Virginie et le Connecticut fixent le seuil à 100 000 consommateurs. Le Rhode Island le fixe à 35 000. Le Texas exempte les entreprises considérées comme petites selon les normes de la Small Business Administration américaine, une exemption qu'aucun des dix-neuf autres États n'utilise. Une entreprise suffisamment petite pour ignorer sans risque le seuil de Virginie peut pourtant se trouver pleinement couverte par celui du Delaware, simplement parce que la loi du Delaware a été rédigée pour s'appliquer à presque tout le monde.

Les mécanismes d'opt-out diffèrent tout autant. Au moins dix États — dont la Californie, le Colorado, le Connecticut, le Delaware, le Maryland, le Minnesota, le Montana, le New Jersey, le New Hampshire et l'Oregon — exigent désormais légalement que les entreprises respectent le signal Global Privacy Control (GPC), un opt-out universel au niveau du navigateur. Si vous construisez une couche de consentement qui ne vérifie qu'un clic sur une bannière de cookies et ignore l'en-tête GPC, vous êtes non conforme dans environ la moitié des États disposant d'une loi complète, même si votre bannière elle-même est irréprochable.

Là où les lois entrent réellement en conflit, pas seulement en différant

Le problème le plus difficile n'est pas le volume de règles — c'est que certaines d'entre elles se contredisent par construction. La loi sur la vie privée du Colorado exige une évaluation des risques documentée pour les activités de traitement à haut risque, y compris tout ce qui implique une prise de décision automatisée, avec des exigences de contenu spécifiques inscrites dans les propres règlements du Colorado. Les nouvelles règles californiennes régissant les technologies de prise de décision automatisée (ADMT) imposent un régime d'évaluation et de divulgation distinct, structuré différemment. Les deux États n'ont pas été rédigés pour pouvoir être satisfaits simultanément par un seul document. Une entreprise qui produit un unique modèle « d'analyse d'impact sur la vie privée » et suppose qu'il franchit la barre des deux États a très probablement tort sur au moins l'un des deux.

La vente de données de géolocalisation précises est un exemple plus net car elle s'accompagne de dates d'entrée en vigueur fermes. Le SB 338 de Virginie a interdit la vente de données de géolocalisation précises à compter du 1er juillet 2026. Le Senate Bill 4 du Connecticut, signé par le gouverneur Ned Lamont le 27 mai 2026, impose une interdiction similaire qui entre en vigueur le 1er octobre 2026, tout en créant simultanément une obligation d'enregistrement pour les courtiers en données. La version du Maryland est en vigueur depuis octobre 2025. Ce ne sont pas des régimes d'opt-out qu'une entreprise peut satisfaire avec une bannière — ce sont des interdictions pures et simples d'une catégorie spécifique de vente de données, arrivant selon trois calendriers différents, sous trois formes juridiques différentes, pour trois États différents. Une entreprise dont le produit ou la pile ad-tech touche aux données de localisation précises doit savoir, État par État, non seulement si la vente est restreinte, mais exactement depuis quand cette restriction s'applique à elle.

Les deux voies que choisissent réellement les entreprises

En pratique, les entreprises SaaS opérant dans les cinquante États convergent vers l'une de deux stratégies, et le terrain intermédiaire disparaît. La première est un programme de confidentialité unifié : un socle unique de pratiques de données, d'accords de traitement des données et de parcours de consentement, construit sur le plus petit dénominateur commun le plus strict parmi les vingt États, avec des surcouches étroites et bien documentées pour la poignée d'exigences — comme les évaluations ADMT distinctes du Colorado et de la Californie, ou les différentes dates d'entrée en vigueur de l'interdiction de vente de géolocalisation dans les trois États — qui ne peuvent véritablement pas être satisfaites par une base commune. Cela demande davantage de travail d'ingénierie et juridique au départ, mais s'adapte mieux à mesure que davantage d'États adoptent des lois, car le socle absorbe la plupart des nouveautés et seuls les véritables conflits nécessitent une exception spécifique à un État.

La seconde stratégie, plus courante parmi les petites entreprises sans conseil juridique interne spécialisé en confidentialité, est réactive et plus étroite : se conformer pleinement uniquement là où le seuil d'application s'applique clairement — Delaware, Montana, Nevada et une poignée de grands États — et traiter le reste comme une liste de surveillance à réexaminer si l'activité d'application d'un État particulier s'intensifie. Cela fonctionne jusqu'au jour où cela ne fonctionne plus ; une entreprise qui s'est trompée sur un seuil, ou qui n'a pas remarqué qu'une nouvelle date d'entrée en vigueur apparaissait au calendrier, le découvre à ses dépens, car les procureurs généraux des États ont montré qu'ils agissent sur des dossiers qu'un régulateur fédéral n'aurait jamais priorisés.

Ce qu'il faut réellement faire

Si vous gérez la conformité d'un produit SaaS multi-états en 2026, la liste de contrôle obligatoire est devenue suffisamment précise pour être écrite dans l'ordre : vérifiez lesquels, parmi les seuils d'application des vingt États, votre entreprise franchit réellement, plutôt que de supposer que la taille seule vous exempte ; mettez en œuvre la reconnaissance du signal GPC au niveau du navigateur, et pas seulement une bannière de cookies, puisqu'environ la moitié des États l'exigent désormais par la loi ; maintenez une documentation d'évaluation des risques distincte pour le Colorado et la Californie plutôt qu'un modèle partagé unique ; et calendrisez les dates d'entrée en vigueur spécifiques de toute pratique liée aux données de géolocalisation précises face à la Virginie, au Connecticut et au Maryland individuellement, car « nous sommes conformes au CCPA » ne dit rien sur votre conformité aux dix-neuf autres lois, et encore moins aux trois qui traitent les données de localisation comme un cas particulier. Le patchwork ne va pas disparaître — l'Oklahoma et l'Alabama arrivent en 2027 — et chaque année d'inaction rend le futur projet d'unification plus grand, pas plus petit.