Loi du Vermont sur la confidentialité des données et la surveillance : ce qu’elle signifie en 2028

Le gouverneur du Vermont a promulgué la loi S.71, la Loi du Vermont sur la confidentialité des données et la surveillance en ligne, le 16 juin 2026, faisant du Vermont l’un des États les plus stricts du pays en matière de protection des données des consommateurs. La loi n’entre en vigueur que le 1er janvier 2028, mais le compte à rebours a déjà commencé pour que les entreprises mettent leurs pratiques en conformité. Pour les consommateurs, les dispositions de la loi sur la surveillance représentent l’une des tentatives les plus ambitieuses jamais menées par un État américain pour encadrer la manière dont les entreprises collectent, utilisent et partagent les informations personnelles.

Ce qu’exige concrètement la loi du Vermont sur la confidentialité des données et la surveillance en ligne

Sur le fond, la loi donne aux résidents du Vermont un véritable contrôle sur leurs données personnelles. Elle oblige les entreprises à obtenir un consentement explicite (opt-in) avant de traiter des catégories sensibles d’informations, notamment la géolocalisation précise, les données de santé, les données financières et les données relatives aux mineurs. Ce standard d’opt-in est nettement plus strict que les cadres d’opt-out présents dans beaucoup d’autres lois d’État.

Les entreprises doivent aussi fournir des avis de confidentialité clairs et accessibles, réaliser des analyses d’impact sur la protection des données pour les traitements à risque plus élevé, et honorer les demandes des consommateurs visant à accéder, corriger, supprimer et porter leurs données. La loi prévoit un droit d’action privé pour certaines violations, ce qui donne aux consommateurs individuels la capacité juridique d’intenter une action en justice, et pas seulement aux régulateurs de l’État. Cette caractéristique distingue à elle seule le Vermont de la majorité des cadres de confidentialité des États américains, où l’application est entièrement confiée aux procureurs généraux.

La partie « surveillance en ligne » de la loi est particulièrement remarquable. Elle impose des restrictions spécifiques sur l’utilisation des données personnelles à des fins de publicité ciblée destinée aux consommateurs et limite la manière dont les entreprises peuvent créer des profils comportementaux sans consentement explicite.

Qui est concerné, et le large filet qui attrape plus d’entreprises que vous ne le pensez

De nombreuses lois d’État sur la confidentialité incluent des seuils de chiffre d’affaires ou de volume de données qui exonèrent les petites entreprises. Les seuils du Vermont sont comparativement bas. La loi s’applique aux entreprises qui contrôlent ou traitent les données personnelles de 25 000 consommateurs du Vermont ou plus par an, ou à celles qui tirent 25 % ou plus de leur chiffre d’affaires brut de la vente de données personnelles et traitent les données d’au moins 12 500 consommateurs.

Le Vermont compte environ 650 000 habitants. Cela signifie que le seuil de 25 000 consommateurs représente seulement environ 4 % des résidents de l’État. Les entreprises qui opèrent à l’échelle nationale et qui ont même une base modeste d’utilisateurs dans le Vermont pourraient facilement franchir cette limite. Les courtiers en données sont particulièrement soumis à des obligations renforcées en vertu de la loi, notamment des limites plus strictes sur la vente de données sensibles et l’obligation de s’enregistrer auprès de l’État.

L’intitulé « surveillance en ligne » dans le titre de la loi annonce clairement ses ambitions. Les plateformes et les sociétés de technologie publicitaire qui s’appuient sur un suivi omniprésent pour créer des profils de consommateurs sont directement dans le viseur.

Comment la loi du Vermont se compare-t-elle aux autres législations américaines sur la confidentialité

Le Vermont rejoint désormais environ deux douzaines d’États dotés d’une législation complète sur la confidentialité des consommateurs, mais sa loi se situe à l’extrémité la plus stricte du spectre. Le CPRA californien est souvent cité comme la référence américaine, mais l’obligation d’opt-in pour le traitement des données sensibles et le droit d’action privé du Vermont vont plus loin que ce que la Californie exige actuellement.

Des États comme le Texas et la Floride ont adopté des lois avec des exemptions plus larges pour les entreprises et sans droit d’action privé, rendant leur application largement inoffensive en pratique. L’approche du Vermont est plus proche dans l’esprit des principes européens de protection des données, sans copier directement le RGPD. La combinaison de seuils d’applicabilité bas, d’un consentement opt-in par défaut pour les données sensibles et du droit individuel d’intenter des poursuites crée une réelle pression d’accountability sur les entreprises.

La loi trace également un cercle plus étroit autour de l’activité des courtiers en données que la plupart des cadres d’État, ce qui est significatif étant donné qu’une grande partie de l’économie de la surveillance commerciale passe par les courtiers en données plutôt que par les entreprises avec lesquelles les consommateurs interagissent directement.

Ce que cela signifie pour vos droits sur les données même si vous ne vivez pas dans le Vermont

Il est bien établi que les lois d’État sur la confidentialité tendent à produire des changements de politique à l’échelle nationale. Lorsque les entreprises adaptent leurs pratiques en matière de données pour se conformer à une loi d’État stricte, elles appliquent souvent ces changements à grande échelle plutôt que de maintenir des systèmes distincts pour différents États. La loi californienne sur la confidentialité a produit exactement cet effet, les entreprises ayant déployé de nouveaux flux de consentement et des outils de suppression de données pour tous les utilisateurs américains, pas seulement les Californiens.

La loi du Vermont pourrait déclencher une dynamique similaire, en particulier en ce qui concerne les courtiers en données. Si les entreprises doivent offrir aux résidents du Vermont le droit de s’opposer à la vente de leurs données, beaucoup trouveront plus simple sur le plan opérationnel d’étendre cette option partout. Pour les consommateurs en dehors du Vermont, cela représente un gain significatif en matière de droits sur les données qu’ils n’auraient pas autrement.

Les dispositions spécifiques sur la surveillance méritent également d’être observées dans un contexte plus large. Les législations qui ciblent le suivi comportemental et la surveillance en ligne font de plus en plus partie des discussions politiques également au niveau fédéral. L’approche du Vermont pourrait influencer la manière dont les législateurs fédéraux formuleront les futures propositions.

Bien entendu, les protections juridiques ne vont qu’un certain chemin. Les lois fixent un plancher, pas un plafond, et leur application prend du temps. Utiliser des outils techniques de confidentialité parallèlement aux droits juridiques donne aux consommateurs une image plus complète. Un VPN, par exemple, limite ce que des tiers peuvent observer de votre activité de navigation au niveau du réseau, ce qui complète les droits qu’une loi d’État offre en matière de stockage et de partage des données.

Points à retenir et à mettre en pratique

  • Si vous dirigez une entreprise : Commencez dès maintenant à examiner votre inventaire de données. Janvier 2028 peut sembler lointain, mais la mise en place de flux de consentement conformes, de processus d’évaluation et de pipelines de réponse aux demandes des personnes concernées prend du temps.
  • Si vous êtes résident du Vermont : Vos droits en vertu de cette loi seront opposables à partir du 1er janvier 2028. Conservez une trace des demandes de données que vous soumettez et des réponses reçues.
  • Si vous vivez en dehors du Vermont : Surveillez comment les entreprises nationales réagissent à cette loi. De nouveaux outils d’opt-out ou des options de consentement déployés pour les utilisateurs du Vermont pourraient également vous devenir accessibles.
  • Pour tous : Les protections juridiques et les pratiques techniques de confidentialité fonctionnent mieux ensemble. Se tenir informé des législations sur la surveillance au niveau étatique et fédéral est un premier pas pour comprendre quels droits vous détenez réellement.

La loi du Vermont est un marqueur important dans l’effort continu pour rapprocher les standards américains de confidentialité de ce que les consommateurs d’autres parties du monde attendent déjà. Qu’elle produise une onde de choc nationale dépendra de l’agressivité avec laquelle elle sera appliquée et de la volonté des entreprises de construire des pratiques de données vraiment conformes plutôt que des solutions de contournement minimales.