Le Règlement général sur la protection des données (GDPR) et le California Consumer Privacy Act (CCPA), tel que modifié par le California Privacy Rights Act (CPRA), comptent parmi les cadres de protection des données les plus influents pour les organisations actives à l'international. Bien que tous deux donnent aux personnes un plus grand contrôle sur leurs informations personnelles, ils diffèrent sensiblement par leur champ d'application, leurs fondements juridiques, leurs exigences en matière de consentement, les droits des consommateurs, les obligations en cas de violation, les mécanismes de contrôle et les responsabilités de conformité. Ce guide compare les exigences du GDPR et du CCPA afin d'aider les organisations à comprendre où les deux cadres se recoupent, où ils diffèrent et comment bâtir un programme de protection des données qui réponde aux deux.
Côte à côte : GDPR vs CCPA
| Dimension | 🇪🇺 GDPR | 🇺🇸 CCPA |
|---|---|---|
| Juridiction | Cadre de l'Union européenne / EEE | Californie, États-Unis |
| Loi principale | Règlement (UE) 2016/679 | California Consumer Privacy Act, tel que modifié |
| Date d'entrée en vigueur | 25 mai 2018 | 1er janvier 2020 ; principales modifications du CPRA en vigueur depuis le 1er janvier 2023 |
| Modèle réglementaire | Règlement global de protection des données | Loi sur la vie privée des consommateurs et la protection des données |
| Principale autorité de contrôle | Autorités de contrôle de l'UE/EEE et EDPB | California Privacy Protection Agency et California Attorney General |
| Qui est concerné ? | Responsables du traitement et sous-traitants répondant aux critères territoriaux ou d'établissement du GDPR | Entreprises répondant aux conditions d'applicabilité du CCPA |
| Base juridique | Une base juridique est requise pour le traitement | Pas de dispositif équivalent à six bases juridiques |
| Consentement | L'une des bases juridiques possibles ; exigences plus strictes dans certaines situations | Concerne principalement certaines exigences d'opt-in et des usages spécifiques |
| Opposition à la vente/au partage | Pas de dispositif direct de vente/partage comparable à celui du CCPA | Les consommateurs peuvent s'opposer à la vente ou au partage |
| Informations sensibles | Les catégories particulières de données bénéficient d'une protection renforcée | Les informations personnelles sensibles font l'objet de contrôles supplémentaires |
| Droits des personnes concernées/des consommateurs | Droits étendus, notamment accès, rectification, effacement et portabilité | Droits de savoir, de supprimer, de rectifier, de s'opposer, de limiter et à la non-discrimination, notamment |
| Notification de violation de données | Notification à l'autorité de contrôle en règle générale dans un délai de 72 heures lorsqu'elle est requise | Les lois californiennes sur les violations exigent en règle générale une notification sans retard déraisonnable / dans les meilleurs délais possibles |
| DPO | Obligatoire dans des cas déterminés | Pas d'obligation générale de désigner un DPO dans le CCPA |
| Représentant local | Un représentant au titre de l'article 27 peut être requis pour certaines organisations établies hors de l'UE | Pas d'équivalent général dans le CCPA |
| Transferts transfrontaliers | Soumis aux exigences du chapitre V du GDPR | Pas de mécanisme de transfert complet équivalent dans le CCPA |
| Actions en justice privées | Les personnes concernées peuvent demander réparation au titre de l'article 82 du GDPR | Le droit d'action privé est principalement lié à certaines violations de données |
| Amende administrative maximale au titre du GDPR | Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, pour certaines infractions | Les sanctions administratives et les dommages-intérêts légaux dépendent de la disposition applicable et des circonstances |
Qu'est-ce que le GDPR ?
Le Règlement général sur la protection des données (GDPR) est le cadre global de protection des données de l'Union européenne. Il régit le traitement des données à caractère personnel et fixe les obligations des organisations agissant en qualité de responsables du traitement et de sous-traitants.
Le GDPR peut s'appliquer à des organisations établies hors de l'UE lorsque les conditions de son champ d'application territorial sont remplies, notamment pour certaines activités consistant à offrir des biens ou des services à des personnes situées dans l'UE ou à suivre leur comportement.
Le GDPR repose sur des principes tels que la licéité, la loyauté et la transparence, la limitation des finalités, la minimisation des données, l'exactitude, la limitation de la conservation, la sécurité et la responsabilité.
Qu'est-ce que le CCPA ?
Le California Consumer Privacy Act (CCPA) confère aux consommateurs californiens des droits spécifiques sur leurs informations personnelles et impose des obligations aux entreprises qui relèvent de son champ d'application.
Le CCPA a été modifié par le California Privacy Rights Act (CPRA), qui a introduit des droits supplémentaires pour les consommateurs et créé la California Privacy Protection Agency (CPPA).
Le cadre actuel du CCPA comprend des exigences relatives à la transparence, aux demandes des consommateurs, à la vente et au partage d'informations personnelles, aux informations personnelles sensibles, aux signaux de préférence d'opposition et à d'autres contrôles en matière de protection des données.
La réglementation actuelle de la CPPA comprend des exigences applicables depuis le 1er janvier 2026, notamment des règles CCPA actualisées et des exigences relatives aux évaluations des risques, aux audits de cybersécurité et aux technologies de prise de décision automatisée pour certaines entreprises visées.
GDPR vs CCPA : principales différences
1. Champ d'application territorial
GDPR
Le GDPR peut s'appliquer à des organisations établies dans l'UE ou en dehors lorsque les conditions de l'article 3 sont remplies.
Cela peut inclure des organisations établies hors de l'UE qui :
- Offrent des biens ou des services à des personnes situées dans l'UE
- Suivent le comportement de personnes situées dans l'UE
- Exercent leurs activités par l'intermédiaire d'un établissement dans l'UE
L'analyse de l'applicabilité doit donc se fonder sur les activités de l'organisation et sur les conditions du champ d'application territorial du GDPR.
CCPA
Le CCPA s'applique aux entreprises qui répondent à la définition légale et aux seuils applicables. Il ne s'agit pas d'une loi générale sur la protection des données applicable à toute organisation traitant des informations relatives à des résidents californiens.
L'applicabilité dépend de facteurs tels que les activités de l'organisation, son chiffre d'affaires et le volume ou la nature des informations personnelles des consommateurs californiens.
Différence clé : Le GDPR s'articule autour de l'applicabilité territoriale et de rôles tels que responsable du traitement et sous-traitant, tandis que l'applicabilité du CCPA repose sur la notion d'entreprise visée et sur des seuils légaux.
2. Base juridique du traitement
L'une des plus grandes différences entre le GDPR et le CCPA tient à la notion de licéité du traitement.
GDPR
Les organisations doivent identifier une base juridique appropriée pour chaque activité de traitement au titre de l'article 6, par exemple :
- Consentement
- Contrat
- Obligation légale
- Intérêts vitaux
- Mission d'intérêt public
- Intérêts légitimes
Des conditions supplémentaires s'appliquent au traitement de catégories particulières de données.
CCPA
Le CCPA ne reprend pas le modèle à six bases juridiques du GDPR.
Il met plutôt fortement l'accent sur la transparence, les droits des consommateurs, les restrictions à certains usages et à certaines divulgations, ainsi que sur la possibilité de s'opposer à des activités telles que la vente ou le partage d'informations personnelles.
3. Consentement et droit d'opposition (opt-out)
GDPR
Le consentement est l'une des bases juridiques possibles, mais il n'est pas automatiquement requis pour chaque activité de traitement.
Lorsqu'il est utilisé, le consentement doit satisfaire aux exigences du GDPR, notamment être libre, spécifique, éclairé et univoque.
CCPA
Le CCPA accorde une place importante au choix des consommateurs et aux droits d'opposition.
Les consommateurs peuvent avoir le droit de s'opposer à :
- La vente d'informations personnelles
- Le partage d'informations personnelles à des fins de publicité comportementale intercontextuelle
- Certains usages des informations personnelles sensibles
- Certaines activités de prise de décision automatisée, le cas échéant
Le cadre californien reconnaît également, dans les cas prévus, les signaux de préférence d'opposition tels que le Global Privacy Control (GPC).
4. Droits des consommateurs et des personnes concernées
Les deux cadres confèrent aux personnes des droits substantiels en matière de protection des données, mais la terminologie et les mécanismes diffèrent.
Droits au titre du GDPR
Selon les circonstances, les personnes peuvent disposer des droits suivants :
- Accéder aux données à caractère personnel
- Faire rectifier les données inexactes
- Faire effacer les données à caractère personnel
- Faire limiter le traitement
- S'opposer au traitement
- Portabilité des données
- Retirer leur consentement
- Droits relatifs à la prise de décision automatisée et au profilage
Droits au titre du CCPA
Les consommateurs californiens peuvent notamment disposer des droits suivants :
- Droit de savoir
- Droit de suppression
- Droit de rectification
- Droit de s'opposer à la vente ou au partage
- Droit de limiter certains usages et certaines divulgations des informations personnelles sensibles
- Droit de s'opposer à certaines activités de prise de décision automatisée, le cas échéant
- Droit à la non-discrimination
Le California Attorney General confirme que le CCPA confère aux consommateurs des droits en matière d'accès aux informations, de suppression, d'opposition à la vente ou au partage et de non-discrimination.
5. Informations personnelles sensibles
GDPR
L'article 9 du GDPR prévoit une protection renforcée pour les catégories particulières de données à caractère personnel, notamment les informations relatives à la santé, aux données biométriques utilisées à des fins d'identification, aux données génétiques, aux opinions politiques et aux convictions religieuses ou philosophiques.
Le traitement nécessite en règle générale à la fois une base juridique au titre de l'article 6 et une condition applicable au titre de l'article 9.
CCPA
Le CCPA définit pour sa part les informations personnelles sensibles et confère aux consommateurs des droits concernant certains usages et certaines divulgations de ces informations.
Le cadre californien aborde donc les informations sensibles différemment du modèle des catégories particulières de données du GDPR.
6. Notification de violation de données
GDPR
Lorsqu'une violation de données à caractère personnel est susceptible d'engendrer un risque pour les droits et libertés des personnes, le responsable du traitement doit en règle générale la notifier à l'autorité de contrôle compétente dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance.
Lorsqu'une violation est susceptible d'engendrer un risque élevé pour les personnes, il peut également être nécessaire d'en informer les personnes touchées.
CCPA / droit californien des violations de données
Les exigences californiennes de notification des violations relèvent du dispositif californien de notification des violations de données et des dispositions connexes en matière de protection des données, et non d'une règle universelle de 72 heures propre au CCPA.
Les organisations visées doivent évaluer l'incident au regard des exigences californiennes applicables et procéder à la notification dans le délai légal.
Différence clé : Le GDPR établit un dispositif spécifique de notification à l'autorité de contrôle sous 72 heures pour les violations répondant aux critères ; la Californie applique un dispositif légal de notification des violations différent.
7. DPO
GDPR
La désignation d'un DPO peut être obligatoire dans les cas prévus à l'article 37, notamment pour certaines organisations dont les activités de base impliquent un suivi régulier et systématique à grande échelle ou un traitement à grande échelle de catégories particulières de données.
CCPA
Le CCPA n'impose pas à toute entreprise visée une obligation générale de désigner un DPO comme le prévoit le GDPR.
Toutefois, les organisations peuvent avoir besoin de fonctions appropriées en matière de protection des données, de sécurité, d'évaluation des risques et de gouvernance, selon leurs activités et leurs obligations.
8. Représentants en matière de protection des données
GDPR
Certaines organisations situées hors de l'UE peuvent devoir désigner un représentant dans l'UE au titre de l'article 27 lorsque celui-ci s'applique.
Le représentant peut faire office de point de contact pour les autorités de contrôle et les personnes en ce qui concerne les activités de traitement.
CCPA
Le CCPA ne comporte pas d'équivalent direct de l'obligation de désigner un représentant prévue à l'article 27 du GDPR.
Toutefois, les entreprises internationales peuvent tout de même avoir besoin d'une gouvernance appropriée de la protection des données en Californie, d'un traitement des demandes des consommateurs et d'une coordination réglementaire.
9. Transferts transfrontaliers de données
GDPR
Les transferts internationaux de données à caractère personnel hors de l'UE/EEE sont régis par le chapitre V du GDPR.
Selon la destination et les circonstances, les organisations peuvent s'appuyer sur des mécanismes tels que :
- Décisions d'adéquation
- Clauses contractuelles types
- Règles d'entreprise contraignantes
- Dérogations spécifiques, le cas échéant
CCPA
Le CCPA n'établit pas de régime complet de transferts transfrontaliers équivalent au chapitre V du GDPR.
Toutefois, les organisations doivent tout de même tenir compte des exigences contractuelles, de sécurité, de transparence, de gestion des fournisseurs et des autres exigences légales applicables lorsque des informations personnelles sont transférées ou consultées à l'international.
10. Mentions d'information et transparence
Le GDPR comme le CCPA imposent aux organisations de fournir des informations utiles sur leurs activités de traitement.
GDPR
Les mentions d'information au titre du GDPR portent généralement sur :
- L'identité et les coordonnées du responsable du traitement
- Les finalités du traitement
- Les bases juridiques
- Les catégories de données à caractère personnel
- Les destinataires
- Les transferts internationaux
- Les durées de conservation
- Les droits des personnes concernées
- Le droit d'introduire une réclamation
- La prise de décision automatisée, le cas échéant
CCPA
Les informations à fournir au titre du CCPA portent généralement sur :
- Les catégories d'informations personnelles collectées
- Les finalités de la collecte et de l'utilisation
- Les catégories de sources
- Les catégories de destinataires
- Les droits des consommateurs
- Les informations relatives à la vente/au partage
- Les informations relatives aux informations personnelles sensibles
- Les mécanismes d'opposition
11. Sanctions et contrôle
GDPR
Pour certaines infractions graves, les amendes administratives prévues par le GDPR peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu.
Le contrôle est assuré par les autorités de contrôle nationales, coordonnées par le Comité européen de la protection des données.
CCPA
L'application du CCPA relève de la California Privacy Protection Agency (CPPA) et du California Attorney General.
Le CCPA comporte des dispositions prévoyant des sanctions administratives et un droit d'action privé limité pour certaines violations de données. Le montant des sanctions et des dommages-intérêts légaux dépend de la disposition applicable et des circonstances.
La CPPA publie actuellement le cadre du CCPA, sa réglementation et ses seuils monétaires, y compris les seuils applicables depuis 2025 et les mises à jour réglementaires ultérieures.
GDPR vs CCPA : lequel est le plus strict ?
Il n'est pas toujours exact de qualifier l'un des cadres de « plus strict » dans l'absolu.
Le GDPR impose en règle générale un cadre de responsabilité plus large, comprenant notamment :
- L'analyse des bases juridiques
- Le registre des traitements
- Les analyses d'impact relatives à la protection des données dans les cas prévus
- Les DPO dans des cas définis
- Les exigences en matière de transferts internationaux
- Des obligations détaillées pour les responsables du traitement et les sous-traitants
- Le contrôle par les autorités de contrôle
Le CCPA, quant à lui, met particulièrement l'accent sur la transparence à l'égard des consommateurs, l'opposition à la vente/au partage, les informations personnelles sensibles, les demandes des consommateurs et les contrôles de protection des données propres à la Californie.
Les organisations actives à l'international doivent donc évaluer les deux cadres plutôt que de présumer que la conformité à l'un satisfait automatiquement à l'autre.
GDPR vs CCPA : un seul programme de protection des données peut-il couvrir les deux ?
Oui - à condition de concevoir le programme autour d'un référentiel commun de contrôles de protection des données, auquel s'ajoutent les exigences propres à chaque juridiction.
Un programme unifié peut comprendre :
Inventaire des données
Identifiez :
- Quelles informations personnelles sont collectées
- Où elles sont stockées
- Pourquoi elles sont traitées
- Qui les reçoit
- Combien de temps elles sont conservées
- Où elles sont transférées
Gestion des droits des personnes
Créez un processus centralisé pour gérer :
- Les demandes des personnes concernées au titre du GDPR
- Les demandes des consommateurs californiens
- La vérification de l'identité
- Le suivi des demandes
- Les délais de réponse
- Les exceptions et les obligations légales de conservation
Gestion du consentement et des préférences
Gérez :
- Les exigences de consentement du GDPR
- Les préférences en matière de cookies et de traceurs
- Les oppositions à la vente/au partage au titre du CCPA
- Les signaux Global Privacy Control
- Les préférences relatives aux informations sensibles
Gestion des fournisseurs et des tiers
Cartographiez :
- Les sous-traitants
- Les prestataires de services
- Les contractants
- Les partenaires publicitaires
- Les fournisseurs de solutions d'analyse
- Les relations de partage de données
Réponse aux incidents
Élaborez un processus unifié de réponse aux violations qui détermine :
- La juridiction applicable
- Le seuil de notification
- Les exigences de notification aux autorités
- Les exigences de notification aux consommateurs
- Les exigences en matière de preuves et de documentation
Veille réglementaire
Les programmes de protection des données doivent suivre en continu l'évolution des exigences européennes et californiennes.
Le cadre réglementaire actuel de la CPPA comprend des mises à jour applicables depuis le 1er janvier 2026, ce qui rend la veille réglementaire continue particulièrement importante pour les organisations soumises au droit californien de la protection des données.
Questions fréquentes
Dois-je me conformer à la fois au GDPR et au CCPA ?
Vous pouvez devoir vous conformer aux deux si votre organisation remplit les conditions du champ d'application territorial du GDPR et constitue également une entreprise visée par le CCPA. Les deux cadres se recoupent dans des domaines tels que la transparence, l'accès et la suppression, mais leurs exigences ne sont pas identiques.
Le CCPA est-il identique au GDPR ?
Non. Il s'agit de deux cadres globaux de protection des données dont certaines notions se recoupent, mais leurs structures réglementaires diffèrent. Le GDPR repose sur des principes de protection des données, des bases juridiques et des obligations pour les responsables du traitement et les sous-traitants, tandis que le CCPA met fortement l'accent sur les droits des consommateurs californiens, la transparence et les mécanismes d'opposition.
Le CCPA exige-t-il le consentement comme le GDPR ?
Pas de manière générale. Le CCPA ne reprend pas le dispositif des bases juridiques du GDPR. Toutefois, certaines exigences du CCPA peuvent imposer un consentement ou des mécanismes d'opt-in dans des cas particuliers, notamment certaines exigences concernant les mineurs.
Le CCPA prévoit-il une règle de notification des violations sous 72 heures ?
Non. Le CCPA ne doit pas être présenté comme prévoyant un délai universel de notification des violations de 72 heures équivalent à celui de l'article 33 du GDPR. Les exigences californiennes de notification des violations relèvent du droit californien applicable et doivent être évaluées en fonction de la nature et des circonstances de l'incident.
Le CCPA impose-t-il la désignation d'un DPO ?
Aucune exigence générale du CCPA n'impose à toute entreprise visée de désigner un DPO comme le prévoit le GDPR. Toutefois, les organisations doivent mettre en place des fonctions appropriées de gouvernance et de responsabilité en matière de protection des données, en fonction de leurs obligations et de leur profil de risque.
Le CCPA impose-t-il la désignation d'un représentant au titre de l'article 27 ?
Non. Le CCPA ne comporte pas d'équivalent direct de l'obligation de désigner un représentant dans l'UE prévue à l'article 27 du GDPR.
La conformité au GDPR peut-elle faciliter la conformité au CCPA ?
Oui. Un programme GDPR abouti peut constituer une base solide pour la conformité au CCPA, car les deux cadres exigent transparence, gestion des droits des personnes, gouvernance des données et responsabilité. Des contrôles supplémentaires propres à la Californie restent toutefois nécessaires.
Quelles entreprises devraient envisager une évaluation de conformité GDPR et CCPA ?
Une évaluation combinée peut être particulièrement utile aux éditeurs SaaS, aux entreprises technologiques, aux entreprises d'e-commerce, aux plateformes de publicité et de marketing, aux entreprises d'IA, aux fournisseurs de technologies de santé, aux entreprises de technologie financière, aux distributeurs internationaux, aux plateformes numériques et aux entreprises traitant des données de consommateurs dans plusieurs juridictions.
Conformité GDPR & CCPA avec RegulatoryBridge
Gérer séparément les exigences du GDPR et du CCPA peut entraîner des processus en double, des mentions d'information incohérentes et des flux de traitement des demandes des consommateurs fragmentés.
RegulatoryBridge aide les organisations à bâtir un programme mondial de protection des données coordonné entre les juridictions.
Notre accompagnement peut comprendre :
- Évaluations de conformité au GDPR
- Évaluations de conformité au CCPA / CPRA
- Cartographie et inventaire des données
- Revue des mentions d'information
- Flux de traitement des demandes des personnes concernées et des consommateurs
- Gestion du consentement et des préférences
- Conformité en matière de cookies et de traceurs
- Évaluations des fournisseurs et des sous-traitants
- Évaluations des transferts internationaux de données
- Planification de la réponse aux violations
- Gouvernance et responsabilité en matière de protection des données
- Veille réglementaire
- Représentation transfrontalière en matière de protection des données
- Accompagnement continu en matière de conformité
Couvrez GDPR et CCPA au sein d'un seul programme.
Cartographiez les contrôles une fois, conformez-vous deux fois. RegulatoryBridge vous offre un pipeline DSAR unique, un DPO unique, un guide d'intervention en cas de violation unique - couvrant les deux cadres réglementaires.