La loi Informatique et Libertés (loi n° 78-17 du 6 janvier 1978, modifiée) est le texte français qui encadre le traitement des données personnelles, et son article 1er dispose que les droits et obligations qu’elle définit « s’exercent dans le cadre du règlement (UE) 2016/679 », le RGPD (GDPR). Le RGPD et la loi Informatique et Libertés forment donc un cadre unique, et la Commission nationale de l’informatique et des libertés (CNIL) en est « l’autorité de contrôle nationale » au sens de l’article 8 de la loi 78-17. La CNIL est une autorité administrative indépendante dotée de pouvoirs d’investigation et de sanction.
Ce cadre est l’un des 144 régimes nationaux recensés dans le monde : les réglementations sur la protection des données (data privacy regulations) couvrent environ 82 % de la population mondiale (IAPP, janvier 2025). Une entreprise française qui vend en Allemagne, aux États-Unis ou au Brésil répond à plusieurs de ces régimes en même temps. Cette page réunit plus de 60 de ces textes, région par région, avec la date d’entrée en vigueur, le périmètre et la sanction maximale, et se termine par ce qu’ils changent dans la collecte et l’activation.
La loi Informatique et Libertés et le RGPD en sept faits
- La loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés a été adaptée au RGPD par la loi du 20 juin 2018 et l’ordonnance du 12 décembre 2018
- Son article 1er place les droits et obligations « dans le cadre du règlement (UE) 2016/679 » : un projet de conformité qui ne regarde que le RGPD laisse de côté la moitié de son cadre en France
- La CNIL, Commission nationale de l’informatique et des libertés, est « l’autorité de contrôle nationale » au titre de l’article 8 de la loi 78-17, avec des pouvoirs d’investigation et de sanction
- Le RGPD s’applique depuis le 25 mai 2018 dans les 27 États membres de l’Union européenne, plus l’Islande, le Liechtenstein et la Norvège
- La sanction maximale du RGPD atteint 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé
- Les régulateurs européens avaient prononcé plus de 5,8 milliards d’euros d’amendes cumulées au titre du RGPD en janvier 2025 (DLA Piper, 2025), dont 1,2 milliard d’euros contre Meta en mai 2023
- Pour les cookies et autres traceurs, la CNIL a adopté ses lignes directrices modificatives et sa recommandation le 17 septembre 2020 (délibérations n° 2020-091 et n° 2020-092), avec une mise en conformité attendue « au plus tard fin mars 2021 »
Ce que ces textes exigent d’un système de données clients
Trois obligations décident de l’architecture d’un système de données clients en France : une base légale avant tout traitement, une réponse aux demandes d’exercice des droits dans le délai d’un mois, et le recueil du consentement aux traceurs selon les règles de la CNIL. Ces trois obligations se traduisent en champs, en journaux et en délais, pas en clauses de politique de confidentialité.
Une base légale avant le premier traitement
Le RGPD exige une base légale avant que le traitement ne commence ; le consentement en est une. Cette règle inverse la valeur par défaut à laquelle un outil marketing américain est habitué : aux États-Unis, la CCPA et les lois du modèle de la Virginie laissent traiter jusqu’à opposition du consommateur. Le RGPD interdit de traiter tant que la base légale n’est pas établie.
La conséquence est technique. Une même personne peut relever du consentement pour la publicité ciblée, d’une autre base légale pour la facturation, et de la règle d’opposition américaine si elle réside en Californie. Un champ booléen unique du type « a accepté » ne représente pas ces trois états : l’état du consentement se conserve par personne, par finalité et par juridiction.
Les demandes d’exercice des droits et le délai d’un mois
Le RGPD fixe un mois pour répondre à une demande d’accès ou d’effacement, prorogeable de deux mois pour les demandes complexes. Ce délai est court quand le même client existe sous quatre enregistrements dans quatre systèmes.
La résolution d’identité (identity resolution) ramène ces quatre enregistrements à un profil, et l’équipe data doit savoir où vivent les données à caractère personnel (PII) de chaque client avant la première demande, pas après. Construire l’inventaire des traitements le jour où la première demande arrive consomme plus que le mois disponible.
Les cookies et autres traceurs, dans les termes de la CNIL
La CNIL a adopté ses lignes directrices modificatives et sa recommandation « cookies et autres traceurs » le 17 septembre 2020, par les délibérations n° 2020-091 et n° 2020-092, et attendait la mise en conformité « au plus tard fin mars 2021 ». Le mot retenu par la CNIL est traceur, et il couvre le cookie comme les techniques équivalentes : le périmètre ne s’arrête pas au fichier déposé par un navigateur.
Le socle européen de cette matière est la directive ePrivacy 2002/58/CE, dont le volet consentement aux cookies date de sa modification de 2009 et dont les sanctions sont fixées par chaque État membre. Pour une direction marketing, le point de bascule est ailleurs : la fin des cookies tiers déplace la mesure et le ciblage vers le cookieless (suivi sans cookies) et vers la donnée collectée en direct, où le consentement est demandé une fois, dans un contexte que le client reconnaît.
Le DPO, la fonction qui porte la conformité
Le délégué à la protection des données (DPO) est la fonction à qui revient la conformité des traitements dans l’entreprise. Trois décisions d’un projet de données clients passent par le DPO : la base légale retenue, la durée de conservation des profils et le contenu du bandeau de consentement. La conformité d’une campagne se joue donc à la conception du formulaire et du segment, et non au moment de l’envoi.
Comment les grands régimes diffèrent en pratique
Les trois différences qui décident de ce qu’un système de conformité doit faire sont le modèle de consentement (opt-in ou opt-out), le délai de réponse aux personnes concernées et l’obligation de conserver les données dans le pays. Le tableau résume ces dimensions pour les régimes qui atteignent le plus souvent une opération de données clients.
| Juridiction (texte) | Modèle de consentement | Délai de réponse (accès, effacement) | Localisation des données imposée |
|---|---|---|---|
| France, UE et EEE (RGPD et loi Informatique et Libertés) | Opt-in : base légale exigée avant le traitement | 1 mois, prorogeable de 2 mois pour les demandes complexes | Non |
| Royaume-Uni (UK GDPR) | Opt-in | 1 mois | Non |
| États-Unis (CCPA/CPRA et lois du modèle de la Virginie) | Opt-out pour la vente, la publicité ciblée et le profilage ; opt-in pour les mineurs et les données sensibles dans la plupart des États | 45 jours, en général prorogeables de 45 jours | Non |
| Québec, Canada (Loi 25) | Opt-in pour les données sensibles ; consentement requis par défaut | 30 jours | Non |
| Brésil (LGPD) | Opt-in : base légale exigée | 15 jours pour les demandes d’accès | Non |
| Chine (PIPL) | Opt-in, avec un consentement distinct pour les transferts hors de Chine | Aucun délai fixé par la loi | Oui : évaluation de sécurité avant l’export, localisation pour les opérateurs critiques |
| Russie (152-FZ) | Opt-in | 30 jours | Oui : les données des citoyens russes se stockent sur des serveurs situés en Russie |
| Viêt Nam (PDPD, puis loi PDP de 2026) | Opt-in | 72 heures pour certaines demandes | Oui, pour certaines données et certains prestataires |
| Inde (DPDP Act) | Opt-in, consentement « libre, spécifique et éclairé » | À fixer par les DPDP Rules | Pas d’obligation générale, des règles sectorielles existent |
| Japon (APPI) | Information préalable ; opt-out admis pour le partage avec des tiers, sous conditions | Sans délai indu | Non |
Pour qui construit le système, ces lignes se résument à une contrainte : « ne pas traiter tant que la personne n’a pas consenti » (RGPD, PIPL) et « traiter jusqu’à opposition » (lois des États américains) sont deux valeurs par défaut opposées, qu’un seul indicateur ne représente pas.
Les lois de protection des données personnelles en Europe
Le règlement général sur la protection des données (RGPD), règlement (UE) 2016/679, s’applique dans les 27 États membres de l’Union européenne, plus l’Islande, le Liechtenstein et la Norvège, et chaque État le complète par un texte national : en France, la loi Informatique et Libertés.
| Texte | Juridiction | En vigueur depuis | Qui est protégé | Sanction maximale | Texte de référence |
|---|---|---|---|---|---|
| Règlement général sur la protection des données (RGPD), règlement (UE) 2016/679 | Union européenne et EEE (30 pays) | 25 mai 2018 | Les personnes situées dans l’UE et l’EEE | 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial | EUR-Lex |
| Loi Informatique et Libertés, loi n° 78-17 du 6 janvier 1978, modifiée | France | 6 janvier 1978, version adaptée au RGPD depuis 2018 | Les personnes dont les données sont traitées en France | Les sanctions du RGPD ; la CNIL instruit et sanctionne | CNIL |
| Lignes directrices modificatives et recommandation « cookies et autres traceurs », délibérations n° 2020-091 et n° 2020-092 | France | Adoptées le 17 septembre 2020, conformité attendue fin mars 2021 | Les personnes dont le terminal reçoit un traceur | Pouvoirs de sanction de la CNIL | CNIL |
| Directive ePrivacy 2002/58/CE, à l’origine du consentement aux cookies | Union européenne | 31 juillet 2002, volet cookies modifié en 2009 | Les utilisateurs de communications électroniques | Fixée par chaque État membre | EUR-Lex |
| UK GDPR et Data Protection Act 2018 | Royaume-Uni | 25 mai 2018, UK GDPR depuis le 1er janvier 2021 | Les résidents du Royaume-Uni | 17,5 millions de livres ou 4 % du chiffre d’affaires annuel mondial | legislation.gov.uk |
| nLPD, loi fédérale sur la protection des données du 25 septembre 2020 (autorité : le Préposé fédéral à la protection des données et à la transparence, PFPDT) | Suisse | 1er septembre 2023, sans période transitoire | Les personnes en Suisse | 250 000 francs suisses, prononcés contre les personnes responsables | Fedlex |
| Loi fédérale n° 152-FZ sur les données personnelles | Russie | 26 janvier 2007 | Les citoyens russes, avec localisation des données imposée | Jusqu’à 3 % du chiffre d’affaires, plafonné à 500 millions de roubles, pour les violations répétées | — |
Le RGPD atteint toute organisation, où qu’elle soit établie, qui cible des personnes dans l’Union européenne ou qui suit leur comportement. L’application n’a rien de théorique : les régulateurs européens avaient prononcé plus de 5,8 milliards d’euros d’amendes cumulées en janvier 2025 (DLA Piper GDPR Fines and Data Breach Survey, 2025). La plus lourde, 1,2 milliard d’euros contre Meta, a été prononcée en mai 2023 sur les transferts entre l’Union européenne et les États-Unis.
Comment une donnée personnelle peut-elle sortir de l’Union européenne ?
Une donnée personnelle ne sort de l’Union européenne que par un mécanisme reconnu : une décision d’adéquation, la certification au titre du cadre de protection des données UE-États-Unis (EU-U.S. Data Privacy Framework) ou des clauses contractuelles types. La Commission européenne accorde une décision d’adéquation aux pays dont elle juge la protection équivalente, dont le Royaume-Uni, le Japon, la Corée du Sud, l’Argentine, l’Uruguay et, depuis une décision réciproque du 26 janvier 2026, le Brésil.
Les entreprises américaines se certifient elles-mêmes au titre du cadre de protection des données UE-États-Unis, adopté en juillet 2023 après l’invalidation du mécanisme qui a valu son amende à Meta. Pour tous les autres pays, le transfert repose sur les clauses contractuelles types, un contrat standardisé, en général accompagné d’une analyse d’impact du transfert. La Chine impose la contrainte inverse : au titre de la PIPL, exporter des données personnelles hors de Chine suppose une évaluation de sécurité, un contrat type ou une certification.
Les lois fédérales américaines et canadiennes
Les États-Unis régulent la vie privée par secteur au niveau fédéral, pour l’enfance, la santé, la finance et l’éducation, tandis que le Canada dispose d’une loi fédérale unique pour le secteur privé, la PIPEDA.
| Texte | Juridiction | En vigueur depuis | Qui est protégé | Sanction maximale | Texte de référence |
|---|---|---|---|---|---|
| Children’s Online Privacy Protection Act (COPPA) | États-Unis (fédéral) | 21 avril 2000 | Les enfants de moins de 13 ans | 50 000 $ US et plus par manquement, indexés chaque année | FTC |
| Health Insurance Portability and Accountability Act (HIPAA) | États-Unis (fédéral) | 1996, règle de confidentialité applicable au 14 avril 2003 | Les patients, pour les données de santé protégées | 1,5 million de dollars américains et plus par catégorie de manquement et par an | HHS |
| Gramm-Leach-Bliley Act (GLBA) | États-Unis (fédéral) | 12 novembre 1999 | Les clients des établissements financiers | 100 000 $ US par manquement pour les établissements, 10 000 $ US pour les personnes | FTC |
| Family Educational Rights and Privacy Act (FERPA) | États-Unis (fédéral) | 1974 | Les élèves et étudiants, pour les dossiers scolaires | Perte des financements fédéraux de l’éducation | ED.gov |
| Personal Information Protection and Electronic Documents Act (PIPEDA) | Canada (fédéral, secteur privé) | 1er janvier 2001, phase finale au 1er janvier 2004 | Les consommateurs canadiens dans une activité commerciale | 100 000 dollars canadiens par manquement | OPC |
| Loi 25, Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (autorité : la Commission d’accès à l’information, CAI) | Québec, Canada | Adoptée en septembre 2021, en vigueur par étapes le 22 septembre 2022, le 22 septembre 2023 pour l’essentiel des dispositions et le 22 septembre 2024 | Les résidents du Québec | 25 millions de dollars canadiens ou 4 % du chiffre d’affaires mondial | CAI |
La PIPEDA repose sur dix principes d’information équitable, de la responsabilité de l’organisation à l’accès individuel aux données. Une entreprise française qui exporte vers le Canada relève de ces principes pour ses clients canadiens, alors même que son traitement reste soumis au RGPD en Europe. La Loi 25 québécoise va plus loin que la loi fédérale : ses sanctions à l’échelle du RGPD, 25 millions de dollars canadiens ou 4 % du chiffre d’affaires mondial, en font le texte le plus strict d’Amérique du Nord en dehors de la Californie.
Quels États américains ont une loi générale sur la vie privée ?
Vingt États américains ont adopté une loi générale de protection de la vie privée des consommateurs, et les vingt sont en vigueur en juillet 2026. La plupart suivent le modèle de la Virginie, avec des droits d’accès, de rectification, d’effacement et d’opposition à la vente, à la publicité ciblée et au profilage. La Californie reste la plus large, puisqu’elle couvre aussi les données des salariés et des contacts B2B, et le Maryland la plus stricte sur la minimisation.
L’applicabilité dépend de seuils, pas du siège de l’entreprise : la plupart de ces lois visent les entreprises qui traitent les données de 100 000 résidents ou plus, ou de 25 000 lorsqu’une part du revenu provient de la vente de données. Ce qui décide, c’est la base clients dans cet État.
| Texte | État | En vigueur depuis | Sanction maximale | Texte de référence |
|---|---|---|---|---|
| California Consumer Privacy Act, modifié par la California Privacy Rights Act (CCPA/CPRA) | Californie | 1er janvier 2020, modifications CPRA au 1er janvier 2023 | 2 500 $ US par manquement, 7 500 $ US s’il est intentionnel ou concerne des mineurs | CA AG |
| Virginia Consumer Data Protection Act (VCDPA) | Virginie | 1er janvier 2023 | 7 500 $ US par manquement | Virginia LIS |
| Colorado Privacy Act (CPA) | Colorado | 1er juillet 2023 | 20 000 $ US par manquement | CO General Assembly |
| Connecticut Data Privacy Act (CTDPA) | Connecticut | 1er juillet 2023 | 5 000 $ US par manquement délibéré | CT General Assembly |
| Utah Consumer Privacy Act (UCPA) | Utah | 31 décembre 2023 | 7 500 $ US par manquement | Utah Legislature |
| Texas Data Privacy and Security Act (TDPSA) | Texas | 1er juillet 2024 | 7 500 $ US par manquement | — |
| Oregon Consumer Privacy Act (OCPA) | Oregon | 1er juillet 2024 | 7 500 $ US par manquement | — |
| Florida Digital Bill of Rights (FDBR) | Floride | 1er juillet 2024 | 50 000 $ US par manquement, triplés dans certains cas | — |
| Montana Consumer Data Privacy Act (MTCDPA) | Montana | 1er octobre 2024 | Non précisée par la loi, application par le procureur général | — |
| Iowa Consumer Data Protection Act (ICDPA) | Iowa | 1er janvier 2025 | 7 500 $ US par manquement | — |
| Delaware Personal Data Privacy Act (DPDPA) | Delaware | 1er janvier 2025 | 10 000 $ US par manquement, par la loi sur la fraude au consommateur | — |
| Nebraska Data Privacy Act (NDPA) | Nebraska | 1er janvier 2025 | 7 500 $ US par manquement | — |
| New Hampshire Privacy Act (SB 255) | New Hampshire | 1er janvier 2025 | 10 000 $ US par manquement, par la loi de protection du consommateur | — |
| New Jersey Data Privacy Act (NJDPA) | New Jersey | 15 janvier 2025 | 10 000 $ US au premier manquement, 20 000 $ US ensuite | — |
| Tennessee Information Privacy Act (TIPA) | Tennessee | 1er juillet 2025 | 7 500 $ US par manquement, triplés s’il est délibéré | — |
| Minnesota Consumer Data Privacy Act (MCDPA) | Minnesota | 31 juillet 2025 | 7 500 $ US par manquement | — |
| Maryland Online Data Privacy Act (MODPA) | Maryland | 1er octobre 2025 | 10 000 $ US par manquement, 25 000 $ US en cas de récidive | — |
| Indiana Consumer Data Protection Act (INCDPA) | Indiana | 1er janvier 2026 | 7 500 $ US par manquement | — |
| Kentucky Consumer Data Protection Act (KCDPA) | Kentucky | 1er janvier 2026 | 7 500 $ US par manquement | — |
| Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA) | Rhode Island | 1er janvier 2026 | 10 000 $ US par manquement | — |
La CCPA/CPRA vise les entreprises à but lucratif dont le chiffre d’affaires annuel dépasse 25 millions de dollars américains, ou qui traitent les données de 100 000 consommateurs ou foyers, ou qui tirent au moins la moitié de leur revenu de la vente ou du partage de données personnelles. La Californie a créé la California Privacy Protection Agency, seule autorité d’État consacrée à la vie privée ; dans les dix-neuf autres États, l’application revient au procureur général, et aucun n’ouvre au consommateur un recours direct au-delà de la disposition californienne sur les violations de données.
Les montants par manquement trompent lus isolément, parce que la sanction se multiplie par le nombre de consommateurs touchés : la transaction de Sephora avec le procureur général de Californie, en 2022, a porté sur 1,2 million de dollars américains pour une seule pratique de suivi. Ce tableau couvre les seules lois générales ; des lois d’État plus étroites atteignent également un système de données clients, à commencer par la My Health My Data Act de l’État de Washington, qui couvre les inférences de santé et ouvre un recours direct au consommateur.
Quelles lois de protection des données s’appliquent en Amérique latine ?
Toutes les grandes économies d’Amérique latine disposent aujourd’hui d’une loi nationale de protection des données, et la Lei Geral de Proteção de Dados (LGPD) brésilienne est la plus activement appliquée.
| Texte | Juridiction | En vigueur depuis | Qui est protégé | Sanction maximale | Texte de référence |
|---|---|---|---|---|---|
| Lei Geral de Proteção de Dados (LGPD), loi 13.709/2018 | Brésil | 18 septembre 2020, sanctions depuis le 1er août 2021 | Les personnes au Brésil | 50 millions de réais ou 2 % du chiffre d’affaires réalisé au Brésil, par infraction | Planalto |
| Loi 25.326 de protection des données personnelles | Argentine | 4 octobre 2000 | Les personnes physiques et morales en Argentine | Amendes administratives fixées par l’AAIP | AAIP |
| Loi fédérale de protection des données personnelles détenues par les particuliers (LFPDPPP) | Mexique | 6 juillet 2010, remplacée par une nouvelle LFPDPPP le 21 mars 2025 | Les personnes au Mexique | Jusqu’à 320 000 UMA, l’unité d’amende mexicaine indexée sur l’inflation | — |
| Loi n° 21.719 sur la protection des données personnelles | Chili | Publiée le 13 décembre 2024, pleinement en vigueur le 1er décembre 2026 | Les personnes au Chili | Jusqu’à 20 000 UTM, environ 1,4 million de dollars américains, pour les manquements les plus graves | — |
| Loi 1581 de 2012 sur la protection des données personnelles | Colombie | 17 octobre 2012 | Les personnes en Colombie | Jusqu’à 2 000 salaires minimums mensuels, application par la SIC | — |
| Loi organique de protection des données personnelles (LOPDP) | Équateur | 26 mai 2021, sanctions depuis mai 2023 | Les personnes en Équateur | Jusqu’à 1 % du volume d’affaires de l’exercice précédent | — |
| Loi 29733 de protection des données personnelles | Pérou | 2011, règlement d’application en 2013 | Les personnes au Pérou | Jusqu’à 100 UIT, les unités fiscales péruviennes | — |
| Loi 18.331 de protection des données personnelles | Uruguay | 11 août 2008 | Les citoyens et les personnes morales en Uruguay | Amendes administratives, avec obligation d’enregistrer les bases de données | — |
La LGPD reprend la structure du RGPD, avec des bases légales, des droits pour la personne concernée et une autorité nationale, l’ANPD, mais plafonne l’amende à 2 % du chiffre d’affaires réalisé au Brésil par infraction, dans la limite de 50 millions de réais. Le Brésil, l’Uruguay et l’Argentine bénéficient d’une reconnaissance d’adéquation de l’Union européenne, c’est-à-dire que la Commission européenne juge leur protection équivalente à celle du RGPD pour les transferts ; la décision sur le Brésil a été adoptée le 26 janvier 2026 et elle est réciproque.
Quelles lois de protection des données s’appliquent en Asie-Pacifique ?
L’Asie-Pacifique réunit les régimes les plus contrastés, des règles strictes de localisation de la PIPL chinoise au DPDP Act indien, centré sur le consentement et encore en cours de déploiement.
| Texte | Juridiction | En vigueur depuis | Qui est protégé | Sanction maximale | Texte de référence |
|---|---|---|---|---|---|
| Personal Information Protection Law (PIPL) | Chine | 1er novembre 2021 | Les personnes en Chine | 50 millions de yuans ou 5 % du chiffre d’affaires de l’exercice précédent | — |
| Act on the Protection of Personal Information (APPI) | Japon | 1er avril 2005, réforme majeure au 1er avril 2022 | Les personnes au Japon | 100 millions de yens pour une personne morale | PPC |
| Personal Information Protection Act (PIPA) | Corée du Sud | 30 septembre 2011, réforme majeure en septembre 2023 | Les personnes en Corée du Sud | Jusqu’à 3 % du chiffre d’affaires concerné | PIPC |
| Digital Personal Data Protection Act, 2023 (DPDP Act) | Inde | Adopté le 11 août 2023, application progressive par les DPDP Rules de 2025 à 2027 | Les personnes en Inde, les « data principals » | 250 crores de roupies, environ 30 millions de dollars américains, par manquement | MeitY |
| Personal Data Protection Act 2012 (PDPA) | Singapour | 2 juillet 2014 | Les personnes à Singapour | 1 million de dollars de Singapour ou 10 % du chiffre d’affaires annuel réalisé à Singapour | Singapore Statutes |
| Privacy Act 1988, principes australiens de protection de la vie privée | Australie | Décembre 1988, sanctions relevées en décembre 2022 | Les personnes en Australie | 50 millions de dollars australiens, trois fois l’avantage retiré ou 30 % du chiffre d’affaires ajusté | OAIC |
| Privacy Act 2020 | Nouvelle-Zélande | 1er décembre 2020 | Les personnes en Nouvelle-Zélande | 10 000 dollars néo-zélandais par infraction | NZ Legislation |
| Personal Data Protection Act B.E. 2562 (PDPA) | Thaïlande | 1er juin 2022 | Les personnes en Thaïlande | 5 millions de bahts d’amende administrative | — |
| Loi n° 27/2022 de protection des données personnelles (PDP Law) | Indonésie | 17 octobre 2022, fin de la transition en octobre 2024 | Les personnes en Indonésie | 2 % du chiffre d’affaires annuel | — |
| Décret 13/2023 sur la protection des données personnelles (PDPD) | Viêt Nam | 1er juillet 2023, la loi PDP suit au 1er janvier 2026 | Les personnes au Viêt Nam | Amendes administratives, jusqu’à 5 % du chiffre d’affaires sous la loi de 2026 | — |
| Data Privacy Act of 2012 (RA 10173) | Philippines | 8 septembre 2012 | Les personnes aux Philippines | 5 millions de pesos philippins et peine d’emprisonnement possible | NPC |
| Personal Data Protection Act 2010 (PDPA) | Malaisie | 15 novembre 2013, modifiée en 2024 | Les personnes dans une transaction commerciale | 1 million de ringgits et peine d’emprisonnement possible | PDP Department |
La PIPL est souvent présentée comme le RGPD chinois, mais elle va plus loin : elle impose une évaluation de sécurité pour les transferts hors de Chine et la localisation de certaines données, et le service de réservation de véhicules Didi a été sanctionné à ce titre en 2022 à hauteur de 8,026 milliards de yuans, soit environ 1,2 milliard de dollars américains. Le DPDP Act indien est le plus récent des grands régimes ; ses règles d’application ont été finalisées en 2025 et les obligations s’échelonnent jusqu’en 2027, si bien que les groupes internationaux construisent leur programme de conformité dès maintenant.
Quelles lois de protection des données s’appliquent au Moyen-Orient et en Afrique ?
La plupart des États du Golfe et les plus grandes économies africaines ont adopté depuis 2018 des lois de protection des données inspirées du RGPD, chacune avec son autorité nationale.
| Texte | Juridiction | En vigueur depuis | Qui est protégé | Sanction maximale | Texte de référence |
|---|---|---|---|---|---|
| Loi 5741-1981 de protection de la vie privée, amendement 13 | Israël | 1981, amendement 13 en vigueur le 14 août 2025 | Les personnes en Israël | Amendes administratives au titre de l’amendement 13 | PPA |
| Loi n° 6698 sur la protection des données personnelles (KVKK) | Turquie | 7 avril 2016 | Les personnes en Turquie | Amendes administratives revalorisées chaque année | KVKK |
| Personal Data Protection Law (PDPL) | Arabie saoudite | 14 septembre 2023, fin du délai de grâce en septembre 2024 | Les personnes en Arabie saoudite | 5 millions de riyals saoudiens, doublés en cas de récidive | SDAIA |
| Décret-loi fédéral n° 45 de 2021 (PDPL) | Émirats arabes unis | 2 janvier 2022 | Les personnes aux Émirats arabes unis | À fixer par les règlements d’application | Gouvernement des Émirats arabes unis |
| Loi n° 13 de 2016 sur la protection de la vie privée des données personnelles | Qatar | 2017 | Les personnes au Qatar | 5 millions de riyals qataris | Compliance QCERT |
| Loi n° 30 de 2018 sur la protection des données personnelles (PDPL) | Bahreïn | 1er août 2019 | Les personnes à Bahreïn | 20 000 dinars bahreïnis et sanctions pénales possibles | — |
| Protection of Personal Information Act (POPIA) | Afrique du Sud | 1er juillet 2021 | Les personnes en Afrique du Sud | 10 millions de rands ou une peine d’emprisonnement | Information Regulator |
| Data Protection Act, 2019 | Kenya | 25 novembre 2019 | Les personnes au Kenya | 5 millions de shillings kényans ou 1 % du chiffre d’affaires annuel | Kenya Law |
| Nigeria Data Protection Act, 2023 (NDPA) | Nigeria | 12 juin 2023, en remplacement du NDPR de 2019 | Les personnes au Nigeria | 10 millions de nairas ou 2 % du chiffre d’affaires annuel, selon le montant le plus élevé | NDPC |
| Loi n° 151 de 2020 sur la protection des données personnelles | Égypte | Octobre 2020 | Les personnes en Égypte | Jusqu’à 5 millions de livres égyptiennes et peine d’emprisonnement possible | — |
| Data Protection and Privacy Act, 2019 | Ouganda | 2019 | Les personnes en Ouganda | Amendes et peine d’emprisonnement possible | Ministère des TIC |
| Data Protection Act, 2017 (DPA) | Maurice | 15 janvier 2018 | Les personnes à Maurice | 200 000 roupies mauriciennes et peine d’emprisonnement possible | Data Protection Office |
Ce que ces lois changent pour le marketing
Pour l’équipe marketing et l’équipe data, ces textes transforment le consentement, la finalité et la traçabilité en exigences du système, et la réponse durable est une stratégie de données first-party (first-party data) au consentement enregistré. La donnée collectée en direct auprès du client, avec un consentement clair et une finalité annoncée, fournit un point de départ licite dans toutes les juridictions de cette page, même si les obligations de conservation, de réponse aux droits et d’encadrement des transferts restent entières. Les données zero-party (zero-party data), que le client déclare lui-même dans une préférence de canal ou un questionnaire de profil, sont le cas le plus net, parce que la finalité est explicite au moment de la collecte. La donnée tierce offre rarement ce point de départ, et c’est l’une des raisons de la fin des cookies tiers.
Deux capacités décident du résultat. La gestion du consentement (consent management) enregistre ce que chaque client a accepté, par finalité et par canal, et applique cet enregistrement au moment de l’envoi, pas seulement au moment de la collecte. La gouvernance des données (data governance) répond aux questions que pose un contrôle : où vivent les données personnelles, qui peut y accéder, et l’entreprise sait-elle les effacer quand une personne exerce ce droit ?
En France, ces obligations se jouent sur des canaux précis. L’e-mail et le SMS portent la relation client, et l’opposition doit y être aussi simple que l’inscription. Le bandeau de consentement du site et de l’application décide quels traceurs se déclenchent, donc quelle part de l’audience remonte dans les outils de mesure. Les soldes d’hiver et d’été concentrent les créations de compte sur quelques jours : le formulaire, l’enregistrement du consentement et le lien de désinscription y sont mis à l’épreuve, et le DPO les vérifie avant la période plutôt que pendant.
La gestion du consentement et la gouvernance des données reposent sur la même condition : savoir où se trouve chaque enregistrement d’un client. Conformité et infrastructure de données convergent pour cette raison. Une plateforme de données client (CDP, pour customer data platform) qui unifie les profils en un seul endroit attache l’état du consentement à chaque profil et répond aux demandes d’accès et d’effacement dans le mois du RGPD, sans fouiller une douzaine de systèmes déconnectés. Le gain n’est pas seulement défensif : cette unification est aussi ce qui sert à activer la donnée dans les canaux sans recopier des données personnelles dans chaque outil.
Articles associés
- Confidentialité et conformité avec une CDP — comment la donnée unifiée soutient la conformité au quotidien (en anglais)
- Gouvernance de la protection des données : 8 bonnes pratiques — un programme de gouvernance pour plusieurs juridictions (en anglais)
- La gestion du consentement dans une CDP — appliquer le consentement sur tous les canaux (en anglais)
- Une stratégie de données first-party commence par la confiance — la transparence comme avantage de collecte (en anglais)
- Comment évaluer une CDP — les critères d’évaluation, conformité comprise
- Protection des données et confiance dans la marque : les chiffres — les attitudes des consommateurs derrière ces lois (en anglais)
FAQ
Qu’est-ce que la loi Informatique et Libertés ?
La loi Informatique et Libertés est la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, le texte français qui encadre le traitement des données personnelles. La loi 78-17 a été adaptée au RGPD par la loi du 20 juin 2018 et l’ordonnance du 12 décembre 2018. Son article 1er précise que les droits et obligations qu’elle définit s’exercent dans le cadre du règlement (UE) 2016/679.
Quelle est la différence entre le RGPD et la loi Informatique et Libertés ?
Le RGPD est le règlement européen directement applicable dans les 27 États membres, et la loi Informatique et Libertés est le texte français qui l’accompagne et confie le contrôle à la CNIL. Le RGPD et la loi Informatique et Libertés forment un cadre unique : l’article 1er de la loi 78-17 place ses droits et obligations « dans le cadre du règlement (UE) 2016/679 ». Citer l’un sans l’autre laisse la moitié du dispositif de côté.
Quel est le rôle de la CNIL ?
La CNIL, Commission nationale de l’informatique et des libertés, est « l’autorité de contrôle nationale » au sens de l’article 8 de la loi n° 78-17. La CNIL est une autorité administrative indépendante dotée de pouvoirs d’investigation et de sanction, et elle publie les règles applicables aux cookies et autres traceurs. Une entreprise établie en France qui traite des données clients relève de la CNIL.
Quelles sanctions le RGPD prévoit-il ?
Le RGPD prévoit une amende maximale de 20 millions d’euros ou de 4 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé. Les régulateurs européens avaient prononcé plus de 5,8 milliards d’euros d’amendes cumulées en janvier 2025, selon la DLA Piper GDPR Fines and Data Breach Survey. La plus lourde à ce jour atteint 1,2 milliard d’euros contre Meta, en mai 2023, sur les transferts entre l’Union européenne et les États-Unis.
Que demande la CNIL pour les cookies et autres traceurs ?
La CNIL a adopté ses lignes directrices modificatives et sa recommandation « cookies et autres traceurs » le 17 septembre 2020, par les délibérations n° 2020-091 et n° 2020-092, et attendait la mise en conformité « au plus tard fin mars 2021 ». Le mot retenu par la CNIL est « traceur », ce qui couvre le cookie comme les techniques équivalentes. Le socle européen reste la directive ePrivacy 2002/58/CE, dont les sanctions sont fixées par chaque État membre.
À quoi sert le DPO ?
Le DPO, délégué à la protection des données, est la fonction à qui revient la conformité des traitements de données personnelles dans l’entreprise. Sur un projet de données clients, le DPO arbitre la base légale du traitement, la durée de conservation des profils et le contenu du bandeau de consentement. L’équipe marketing qui prépare une campagne rencontre donc le DPO en amont de la collecte, et non au moment de l’envoi.
Combien de pays ont une loi sur la protection des données ?
En janvier 2025, 144 pays disposaient d’une loi nationale de protection des données, selon l’International Association of Privacy Professionals (IAPP). Ces lois couvrent environ 82 % de la population mondiale. La progression est rapide : le juriste Graham Greenleaf en recensait une quarantaine en 2000. Les zones encore sans texte se concentrent dans une partie de l’Afrique, en Asie centrale et dans le Pacifique.
Les États américains ont-ils leur propre loi sur la vie privée ?
Oui : vingt États américains ont une loi générale de protection de la vie privée des consommateurs en vigueur en juillet 2026, faute de loi fédérale équivalente. La Californie a ouvert la voie avec la CCPA en 2020 et reste le seul État doté d’une autorité dédiée, et le seul à couvrir les données des salariés et des contacts B2B. Les dix-neuf autres suivent un modèle proche, avec des droits d’accès, de rectification, d’effacement et d’opposition.
Cette page est une référence pédagogique, pas un conseil juridique : consultez un avocat pour toute décision de conformité.
Cet article est aussi disponible en : Data Privacy Laws by Country and U.S. State (2026) · 個人情報保護法と海外のデータ保護法一覧｜罰則と2026年改正 · Lei Geral de Proteção de Dados: o que a LGPD exige · Ley de protección de datos personales: LFPDPPP