SB 923 : la Californie élargit le droit de suppression du CCPA - ce qu’il faut faire avant 2027

La Californie a modifié les règles applicables à l’un des droits les plus importants des consommateurs dans le cadre du CCPA.

Le 27 septembre 2026, le gouverneur Gavin Newsom a signé le projet de loi du Sénat 923, l’Expanding Privacy Rights Act (loi sur l’extension des droits à la vie privée). Il élargit le droit de suppression du CCPA afin que les consommateurs puissent demander à une entreprise de supprimer les informations personnelles qu’elle détient à leur sujet, que l’entreprise les ait recueillies directement auprès du consommateur ou obtenues auprès d’un tiers. Il oblige également certaines entreprises exclusivement en ligne à proposer un moyen en ligne de soumettre des demandes relatives à la vie privée. La loi entre en vigueur le 1er janvier 2027.

Il reste donc quelques mois pour examiner la manière dont les demandes relatives à la vie privée sont soumises, vérifiées, suivies, traitées et documentées. Ce guide explique ce que change SB 923, quelles entreprises doivent y prêter attention et ce qu’il faut faire avant l’échéance, notamment mettre en place un formulaire web conforme pour les demandes relatives à la vie privée.

La California Privacy Protection Agency (Agence californienne de protection de la vie privée), CalPrivacy, confirme ces deux dates. SB 923 ne concerne pas une modification de bannière ou de politique de confidentialité : elle modifie le processus opérationnel utilisé pour traiter les demandes des consommateurs. La checklist ci-dessous présente les actions à mener avant janvier.

SB 923 modifie les Sections 1798.105 et 1798.130 du California Civil Code. Deux changements sont particulièrement importants pour les entreprises.

1. Le droit de suppression couvre les informations recueillies auprès du consommateur ou à son sujet

Jusqu’à présent, le droit de suppression du CCPA couvrait les informations personnelles que l’entreprise avait recueillies auprès du consommateur. La Section 1798.105 modifiée donne aux consommateurs le droit de demander la suppression de toute information personnelle que l’entreprise a recueillie « auprès d’eux ou à leur sujet ».

Prenons un profil client classique : informations fournies via un formulaire web, historique d’achats, dossiers du service client et données d’enrichissement achetées auprès d’un fournisseur de données. Avec le droit élargi, le fait qu’une partie de ces informations provienne d’un tiers ne suffit plus à les exclure d’une demande de suppression. CalPrivacy décrit cette évolution comme la fermeture d’une faille qui permettait aux entreprises de conserver des informations personnelles obtenues auprès de tiers.

Cela concerne particulièrement les entreprises qui enrichissent les dossiers clients ou prospects à partir de sources externes - pour le CRM, le marketing, la personnalisation, l’analytics, l’enrichissement de prospects ou la prévention de la fraude. La question posée par une demande de suppression n’est plus « qu’est-ce que ce consommateur nous a fourni ? », mais « quelles informations détenons-nous à son sujet, et lesquelles sont soumises à suppression ? »

2. Les entreprises exclusivement en ligne doivent proposer une méthode de demande en ligne

Les entreprises qui opèrent exclusivement en ligne et entretiennent une relation directe avec leurs consommateurs ne doivent actuellement fournir qu’une adresse e-mail pour les demandes relatives à la vie privée. À compter du 1er janvier 2027, elles devront également proposer une méthode en ligne, telle qu’un formulaire web ou un portail. La section sur l’exigence de formulaire web précise à qui elle s’applique.

Considérez une demande de suppression comme un cycle complet, et non comme un simple e-mail arrivant dans une boîte de réception. Soyez prêt à :

1. Recevoir la demande.
2. Vérifier l’identité du consommateur.
3. Déterminer quelles informations personnelles sont couvertes par la demande et quelles exceptions s’appliquent.
4. Localiser ces informations dans vos systèmes et les supprimer ou les traiter d’une autre manière, conformément aux exigences applicables.
5. Coordonner avec les prestataires de services, les sous-traitants et les tiers concernés.
6. Conserver les enregistrements autorisés par la loi afin que les informations ne réapparaissent pas.
7. Documenter le résultat et votre réponse.

SB 923 oblige les prestataires de services et les sous-traitants à coopérer avec l’entreprise pour répondre à la demande, et fixe des règles spécifiques pour les informations obtenues auprès de sources autres que le consommateur.

Le délai de réponse n’a pas changé. En vertu de la Section 1798.130, une entreprise doit répondre à une demande vérifiable d’un consommateur dans un délai de 45 jours à compter de sa réception. Ce délai peut être prolongé une seule fois de 45 jours supplémentaires lorsqu’une telle prolongation est raisonnablement nécessaire, à condition que le consommateur en soit informé dans les 45 premiers jours. Une demande qui arrive dans une boîte e-mail non structurée est difficile à vérifier, attribuer, suivre et traiter dans ce délai.

La partie de SB 923 qui appelle le plus immédiatement à l’action est l’exigence de soumission en ligne. Elle s’applique aux entreprises qui :

À compter du 1er janvier 2027, ces entreprises devront fournir une adresse e-mail et une méthode en ligne, telle qu’un formulaire web ou un portail en ligne, pour les demandes d’accès, de suppression et de rectification. Si votre entreprise entre dans cette catégorie, une simple adresse e-mail dédiée à la confidentialité ne suffira plus.

Un formulaire web de demande relative à la vie privée offre aux consommateurs un moyen structuré de soumettre leurs demandes. Au lieu de les laisser déterminer eux-mêmes quoi écrire dans un e-mail, il les guide dans la soumission et standardise les informations recueillies au départ.

Ce que le formulaire web doit contenir

Un formulaire générique « Nous contacter » ne suffit pas. Un formulaire web utile pour les demandes relatives à la vie privée est conçu autour du workflow de traitement :

Pour de nombreuses entreprises, la partie la plus difficile ne sera pas le formulaire web. Ce sera de trouver toutes les informations personnelles pertinentes. Si des informations peuvent entrer dans votre organisation à partir de plusieurs sources, votre processus de suppression doit en tenir compte.

SB 923 n’exige pas la suppression indiscriminée de chaque donnée. Le texte conserve ses exceptions lorsque la conservation est raisonnablement nécessaire, notamment pour certaines finalités contractuelles, de sécurité, de débogage, juridiques et de recherche. Faites donc examiner vos obligations spécifiques par des professionnels du droit et de la protection de la vie privée.

Données de tiers : une suppression qui perdure

Lorsqu’une entreprise a obtenu des informations personnelles sur un consommateur auprès d’une source autre que le consommateur, elle respecte une demande de suppression en conservant un enregistrement de la demande ainsi que le minimum de données nécessaire pour garantir que les informations restent supprimées et ne soient utilisées à aucune autre fin. Elle peut également conserver un registre confidentiel des demandes de suppression, uniquement afin d’empêcher la vente des informations du consommateur, de respecter la loi ou pour d’autres finalités autorisées par le CCPA.

En pratique, supprimer ne signifie pas oublier que la demande a existé. Sans un enregistrement limité de suppression, les informations supprimées réapparaissent simplement la prochaine fois qu’un fournisseur de données les renvoie.

Le processus doit retrouver les informations quelle que soit la manière dont elles sont entrées dans l’entreprise.

Utilisez cette checklist pour vous préparer au 1er janvier 2027.

Suppression et données

Réception des demandes

Traitement des demandes

Site web et avis de confidentialité

Pour le reste de vos obligations CCPA, consultez notre checklist de conformité CCPA.

Pour une entreprise qui reçoit occasionnellement une demande, l’e-mail peut sembler suffisant. À mesure que le volume augmente, ou que la portée de chaque demande s’élargit, ce qui est précisément l’effet de SB 923, la différence devient importante.

La Delete Request and Opt-out Platform (plateforme de demandes de suppression et d’opposition, DROP) de Californie donne aux consommateurs un point unique pour envoyer des demandes de suppression aux courtiers en données enregistrés, lesquels ont leurs propres obligations au titre du California Delete Act (loi californienne sur la suppression) : depuis le 1er août 2026, les courtiers en données enregistrés doivent accéder à DROP au moins une fois tous les 45 jours afin de télécharger et traiter les demandes de suppression.

SB 923 couvre une relation différente, à savoir les demandes que les consommateurs soumettent directement aux entreprises soumises au CCPA, mais la tendance est la même. Les demandes relatives à la vie privée deviennent plus structurées, plus accessibles et plus importantes sur le plan opérationnel. Pour un aperçu des autres droits concernés, consultez les droits que le CCPA accorde aux consommateurs.

Vous n’avez pas besoin d’un grand service dédié à la protection de la vie privée pour vous préparer à SB 923, mais vous avez besoin d’un processus reproductible. Commencez par cinq questions :

1. Où les consommateurs peuvent-ils soumettre une demande ? Si l’exigence de soumission en ligne s’applique à vous, mettez en place une méthode en ligne conforme avant le 1er janvier.
2. Qui reçoit la demande ? Ne laissez pas les demandes disparaître dans une boîte de réception générique.
3. Comment vérifiez-vous le consommateur ? Documentez un processus de vérification raisonnable adapté aux informations concernées.
4. Où se trouvent les données du consommateur ? Cartographiez votre CRM, votre plateforme ecommerce, vos systèmes marketing, vos outils de support, vos bases de données et les tiers concernés.
5. Comment prouvez-vous ce qui s’est passé ? Conservez des enregistrements indiquant quand chaque demande est arrivée, comment elle a été traitée, ce qui a été fait et quand vous avez répondu.

La plateforme CookieHub DSAR Management fournit aux entreprises en ligne concernées le formulaire web de demande relative à la vie privée exigé par SB 923, et gère ce qui suit la soumission :

C’est un moyen pratique d’ajouter un canal en ligne pour les demandes relatives à la vie privée sans développer un système DSAR en interne.

SB 923 élargit de manière significative le droit de suppression du CCPA et fixe aux entreprises une échéance claire : le 1er janvier 2027. Les consommateurs pourront demander la suppression des informations personnelles recueillies auprès d’eux ou à leur sujet, y compris celles obtenues auprès de tiers, sous réserve des exceptions prévues par la loi. Les entreprises exclusivement en ligne ayant une relation directe avec les consommateurs devront également proposer une méthode de soumission en ligne, telle qu’un formulaire web de demande relative à la vie privée.

Mettez en place le processus dès maintenant plutôt qu’à l’approche de l’échéance : examinez vos canaux de réception, votre vérification, vos sources de données, vos workflows de suppression, votre coordination avec les tiers et vos journaux d’audit, et mettez en place votre formulaire web de demande relative à la vie privée avant le 1er janvier 2027.