Les lois, et ce qu'elles signifient en pratique

GDPR

Union européenne

La référence mondiale en droit de la protection des données : bases légales, principes, droits, responsabilité, notification des violations dans un délai de 72 heures, règles de transfert et amendes jusqu'à 4 % du chiffre d'affaires mondial.

Règlement européen sur l’IA

Union européenne

Réglementation de l'IA fondée sur les risques, avec des obligations attribuées selon le rôle : pratiques interdites, exigences pour les systèmes à haut risque, obligations de transparence et règles pour les modèles à usage général.

Directive ePrivacy

Union européenne

La source des règles de l'UE sur le consentement aux cookies et le marketing électronique, aux côtés du GDPR.

NIS2

Union européenne

Gestion des risques de cybersécurité, responsabilité de la direction et signalement des incidents par étapes, à commencer par une alerte précoce dans un délai de 24 heures.

DORA

Union européenne

Gestion des risques ICT, signalement des incidents, tests de résilience et registre des accords avec des tiers prestataires de services ICT pour le secteur financier.

Data Act

Union européenne

Des droits permettant aux utilisateurs d'accéder aux données des produits connectés et de les partager, et des règles facilitant le changement de fournisseur cloud.

DSA

Union européenne

Modération des contenus, transparence, interdiction de la publicité ciblée fondée sur des données sensibles ou visant des mineurs sur la base du profilage, et évaluations des risques pour les très grandes plateformes.

DMA

Union européenne

Limites à la manière dont les contrôleurs d'accès combinent les données personnelles entre services sans consentement, parmi d'autres règles de conduite.

CRA

Union européenne

Des exigences de sécurité tout au long du cycle de vie des produits matériels et logiciels, avec des obligations de gestion et de signalement des vulnérabilités.

DGA

Union européenne

Des règles pour les intermédiaires de données neutres et pour la réutilisation des données protégées du secteur public.

EHDS

Union européenne

L'accès des patients à leurs données de santé électroniques et leur maîtrise dans toute l'UE, et un cadre pour l'utilisation secondaire des données de santé.

EU-US DPF

Union européenne

Une décision d'adéquation permettant aux données personnelles d'être transférées vers des entreprises américaines autocertifiées sans clauses contractuelles types.

UK GDPR

Royaume-Uni

La version du GDPR propre au Royaume-Uni après le Brexit, qui s'en écarte désormais sur certains points avec le Data (Use and Access) Act 2025.

HIPAA

Fédéral américain

Encadre les informations de santé protégées détenues par le système de santé et ses fournisseurs : utilisations et divulgations autorisées, droits des patients, garanties de sécurité pour les dossiers électroniques et notification des violations.

Section 5 du FTC Act

Fédéral américain

Le principal outil fédéral de contrôle en matière de vie privée : pratiques déloyales ou trompeuses, y compris les promesses de confidentialité non tenues et une sécurité déraisonnable.

GLBA

Fédéral américain

Avis de confidentialité et droits d'opposition pour le partage des informations financières des clients, et programme de sécurité de l'information comportant des garanties précises au titre de la Safeguards Rule.

COPPA

Fédéral américain

Consentement parental vérifiable avant de collecter des informations personnelles auprès d'enfants de moins de 13 ans, avec des droits d'information, d'accès et de suppression pour les parents.

CAN-SPAM

Fédéral américain

En-têtes et objets honnêtes, une adresse postale et une désinscription respectée dans un délai de dix jours ouvrables. Aucun consentement n'est requis pour l'envoi.

TCPA

Fédéral américain

Règles de consentement pour les appels et SMS automatisés et préenregistrés, le registre national d'opposition au démarchage téléphonique, et des dommages-intérêts légaux par appel.

FCRA

Fédéral américain

Exactitude, finalité autorisée et droits de contestation pour les rapports sur les consommateurs, y compris les vérifications d'antécédents pour l'emploi.

FERPA

Fédéral américain

Droits des parents et des élèves admissibles sur les dossiers scolaires, et limites à leur divulgation.

VPPA

Fédéral américain

Limite la divulgation des vidéos regardées par une personne ; fonde désormais souvent des actions en justice contre les pixels de suivi sur les pages vidéo.

GINA

Fédéral américain

Interdit l'utilisation des informations génétiques dans les décisions d'emploi et d'assurance santé.

Obligations de publication cyber de la SEC

Fédéral américain

Publication des incidents de cybersécurité significatifs dans un délai de quatre jours ouvrables après la détermination de leur caractère significatif, et publication annuelle sur la gestion des risques et la gouvernance.

FTC HBNR

Fédéral américain

Notification des violations pour les applications de santé et services similaires hors du champ de HIPAA, où un partage non autorisé constitue une violation.

CCPA/CPRA

Californie

La loi américaine sur la vie privée la plus détaillée au niveau des États, et la seule dotée d'un régulateur dédié à la vie privée. Elle couvre les données des salariés et les données interentreprises, impose de permettre l'opposition à la vente et au partage, et dispose de sa propre réglementation sur la prise de décision automatisée.

VCDPA

Virginie

Le modèle de la plupart des lois d'État ultérieures : droits des consommateurs, opposition à la publicité ciblée, à la vente et au profilage, consentement préalable pour les données sensibles et évaluations de la protection des données.

CPA

Colorado

Loi de type virginien avec des règles détaillées de l'Attorney General, notamment l'obligation de respecter les signaux universels d'opposition.

CTDPA

Connecticut

Loi de type virginien, modifiée pour élargir son champ et renforcer les règles sur les données sensibles et les mineurs.

UCPA

Utah

L'une des lois d'État les plus favorables aux entreprises, avec des droits plus restreints et des seuils plus élevés.

TDPSA

Texas

Aucun seuil de chiffre d'affaires ni de volume : elle s'applique à presque toutes les entreprises qui ne sont pas de petites entreprises, ce qui en fait en pratique l'une des lois d'État les plus larges.

OCPA

Oregon

Loi de type virginien qui donne aussi aux consommateurs le droit de connaître les tiers précis auxquels leurs données ont été communiquées.

MCDPA

Montana

Loi de type virginien avec des seuils relativement bas, à l'image de la population de l'État.

FDBR

Floride

D'un champ d'application étroit, mais stricte pour les plus grandes entreprises technologiques qu'elle vise.

ICDPA

Iowa

Une loi de type virginien plus restreinte, avec moins de droits pour les consommateurs.

DPDPA

Delaware

Loi de type virginien avec des seuils bas et couvrant de nombreuses organisations à but non lucratif.

NHDPA

New Hampshire

Loi de type virginien avec des seuils adaptés à un petit État.

NJDPA

New Jersey

Loi de type virginien avec des définitions larges des données sensibles et un pouvoir réglementaire confié à la Division of Consumer Affairs.

NDPA

Nebraska

Loi de type texan sans seuil de volume, applicable à la plupart des entreprises qui ne sont pas de petites entreprises.

TIPA

Tennessee

Des seuils élevés et un moyen de défense pour les entreprises qui suivent le NIST Privacy Framework.

MCDPA

Minnesota

Ajoute des droits que les autres États ne prévoient pas, notamment le droit de contester le résultat d'une décision de profilage et de consulter la liste des tiers qui ont reçu des données.

MODPA

Maryland

La loi d'État la plus stricte en matière de minimisation des données : la collecte doit être raisonnablement nécessaire au service, et la vente de données sensibles est interdite.

ICDPA

Indiana

Loi de type virginien, en vigueur à partir de 2026.

KCDPA

Kentucky

Loi de type virginien, en vigueur à partir de 2026.

RIDTPPA

Rhode Island

Loi de type virginien, avec des obligations inhabituelles d'information sur le site web et sans période de régularisation.

OCDPA

Oklahoma

Adoptée en 2026 et pas encore en vigueur. Largement de type virginien, avec ses propres seuils et sa propre période de régularisation.

LDPA

Louisiane

Adoptée en 2026 et pas encore en vigueur. Largement de type virginien, avec ses propres seuils et sa propre période de régularisation.

APDPA

Alabama

Adoptée en 2026 et pas encore en vigueur. Largement de type virginien, avec ses propres seuils et sa propre période de régularisation.

VDPOSA

Vermont

Adoptée en 2026 et pas encore en vigueur. Largement de type virginien, avec ses propres seuils et sa propre période de régularisation.

BIPA

Illinois

Information écrite et consentement avant de collecter des données biométriques, un calendrier de conservation public et un droit d'action privé qui a donné lieu à certains des plus importants règlements transactionnels en matière de vie privée aux États-Unis.

CUBI

Texas

Information et consentement avant de capturer des identifiants biométriques, limites à la vente et à la divulgation, et destruction dans un délai fixé. Appliquée par l'Attorney General, qui a obtenu des règlements transactionnels importants.

RCW 19.375

Washington

Information et consentement, ou mécanisme d'opposition, avant d'enregistrer des identifiants biométriques à des fins commerciales.

MHMDA

Washington

Une définition large des données de santé des consommateurs, des consentements distincts pour la collecte et pour le partage, une autorisation signée pour la vente, des limites au géorepérage près des établissements de santé et un droit d'action privé.

SB 370

Nevada

Approche similaire à celle de la loi de l'État de Washington, sans droit d'action privé.

Delete Act

Californie

Permet à un résident de Californie de demander à tous les courtiers en données enregistrés de supprimer ses données en une seule demande, que les courtiers doivent vérifier et traiter selon un calendrier fixe.

Loi du Vermont sur les courtiers en données

Vermont

Le premier registre des courtiers en données au niveau d'un État, avec des exigences de programme de sécurité et d'information.

Loi du Texas sur les courtiers en données

Texas

Enregistrement, mentions sur le site web et programme de sécurité pour les courtiers en données.

Registre des courtiers en données de l'Oregon

Oregon

Enregistrement annuel des courtiers en données.

CA AADC

Californie

Imposerait des paramètres par défaut protecteurs des enfants et des évaluations pour les services susceptibles d'être utilisés par des enfants. Son applicabilité est en cours d'examen par les tribunaux.

Loi SAFE for Kids Act

New York

Limite les fils algorithmiques addictifs et les notifications nocturnes pour les mineurs sans consentement parental.

SHIELD Act

New York

A élargi la loi de l'État de New York sur la notification des violations et impose des garanties administratives, techniques et physiques raisonnables.

201 CMR 17.00

Massachusetts

L'une des premières règles de sécurité prescriptives au niveau d'un État : un programme écrit de sécurité de l'information, le chiffrement et la supervision des fournisseurs.

NYDFS, partie 500

New York

Une réglementation détaillée sur les programmes de cybersécurité, avec une certification annuelle, un reporting du CISO, la notification des incidents sous 72 heures et une exposition à la responsabilité personnelle des dirigeants qui certifient.

Loi du Colorado sur l’IA

Colorado

La première loi générale d'un État américain sur la discrimination algorithmique, inspirée en partie d'approches fondées sur les risques comme le règlement européen sur l'IA.

Tous les États exigent d'informer les résidents concernés après une violation d'informations personnelles. Les délais, les notifications aux régulateurs et la définition des informations personnelles diffèrent : une violation touchant plusieurs États implique donc d'appliquer plusieurs lois à la fois.

LPDP

Argentine

Une loi ancienne jugée adéquate par l'UE, fondée sur le consentement écrit, l'enregistrement des bases de données et une action judiciaire d'habeas data, avec des délais de réponse très courts. Elle ne prévoit ni notification des violations, ni obligations de DPO ou d'DPIA, et les amendes restent faibles.

Privacy Act (AU)

Australie

La loi australienne sur la protection de la vie privée, fondée sur les treize Australian Privacy Principles, actuellement en cours de réforme.

LGPD

Brésil

La loi brésilienne inspirée du GDPR, avec dix bases légales et une autorité nationale.

PIPEDA

Canada

La loi fédérale canadienne sur la protection des renseignements personnels dans le secteur privé, fondée sur dix principes relatifs à l'équité dans le traitement de l'information.

Loi 25

Québec, Canada

La loi sur la protection de la vie privée la plus stricte du Canada, avec des évaluations des facteurs relatifs à la vie privée pour les transferts et des amendes du niveau du GDPR.

Projet de loi C-36

Canada

Le projet de loi fédéral qui remplacerait le volet secteur privé de la PIPEDA. Il reprend les plafonds de sanctions proposés dans le C-27 (jusqu'à CAD millions de dollars 10 ou 3% du chiffre d'affaires mondial, et des amendes jusqu'à CAD millions de dollars 25 ou 5%), mais abandonne la loi sur l'IA et le tribunal. La PIPEDA reste en vigueur jusqu'à son adoption.

LPVP

Chili

Jusqu'en décembre 2026, le Chili applique un régime léger, la loi 1999, mis en œuvre uniquement par les tribunaux, avec un consentement écrit, un délai de réponse de deux jours et des amendes minimes. La loi 21,719 instaure ensuite un régime de type GDPR avec une nouvelle agence, des obligations en cas de violation et des amendes jusqu'à 20,000 UTM.

PIPL

Chine

La loi générale chinoise sur la protection des informations personnelles, avec des règles strictes sur le consentement et les transferts transfrontaliers.

Loi 1581

Colombie

Toute utilisation de données personnelles requiert une autorisation préalable, expresse et éclairée que le responsable du traitement peut prouver, et chaque responsable du traitement doit désigner une personne ou un service chargé de la protection des données. La SIC contrôle activement, les grandes entreprises enregistrent leurs bases de données dans le RNBD, et les violations sont notifiées à la SIC dans un délai de 15 jours ouvrables.

LOPDP

Équateur

La copie la plus fidèle du GDPR dans la région, avec l'intérêt légitime, la portabilité, les AIPD et les DPO, ainsi que des amendes calculées sur le chiffre d'affaires jusqu'à 1%. Elle est plus stricte sur les délais : 5 jours pour notifier le régulateur et 3 jours pour informer les personnes.

PDPL (Égypte)

Égypte

La loi égyptienne sur la protection des données. Les responsables du traitement et les sous-traitants doivent obtenir une licence du Centre de protection des données personnelles, auprès duquel les délégués à la protection des données s'enregistrent.

DPA (Ghana)

Ghana

La loi du Ghana sur la protection des données. Les responsables du traitement s'enregistrent auprès de la Data Protection Commission et renouvellent cet enregistrement tous les deux ans.

PDPO

Hong Kong

La plus ancienne loi générale sur la vie privée d'Asie, fondée sur six principes de protection des données, sans obligation de notification des violations ni restriction des transferts en vigueur. Ses armes les plus redoutables sont les infractions pénales de marketing direct sans consentement et de doxing.

Loi DPDP

Inde

La loi générale indienne sur la protection de la vie privée, centrée sur le consentement, avec des obligations pour les fiduciaires de données importants.

Loi PDP

Indonésie

Une structure proche du GDPR, mais avec des délais très courts de 72 heures pour les demandes des personnes concernées comme pour les notifications de violations. Le consentement doit être écrit ou enregistré, et des sanctions pénales allant jusqu'à 6 ans d'emprisonnement s'ajoutent à des amendes de 2% du chiffre d'affaires.

PPL

Israël

La PPL est une loi fondée sur le consentement et centrée sur les bases de données, avec des règles de sécurité très prescriptives, dont le signalement immédiat des incidents graves. L'amendement 13 a ajouté des définitions de type GDPR, des obligations relatives au DPO, des amendes administratives par personne concernée et des dommages-intérêts légaux, et a limité l'enregistrement des bases de données aux courtiers en données et aux organismes publics.

APPI

Japon

La loi japonaise sur la protection de la vie privée, reconnue adéquate par l'UE.

DPA (Kenya)

Kenya

La loi kényane sur la protection des données. Les responsables du traitement et les sous-traitants s'enregistrent auprès du Data Commissioner. La désignation d'un délégué à la protection des données est facultative au titre de la loi.

PDPA (Malaisie)

Malaisie

La loi malaisienne sur la protection des données, modifiée en 2024. La désignation d'un délégué à la protection des données et la notification des violations au Commissaire dans un délai de 72 heures s'appliquent à partir du 1er juin 2025.

LFPDPPP

Mexique

Le consentement est la base par défaut, un consentement tacite par le biais d'un avis de confidentialité suffit pour la plupart des données, et chaque responsable du traitement doit désigner une personne ou un service chargé de la protection des données. La refonte de 2025 a transféré le contrôle de l'INAI indépendant à un ministère fédéral et supprimé les obligations de l'ancienne loi envers le régulateur, tout en maintenant des peines de prison pour les infractions relatives aux données.

Privacy Act

Nouvelle-Zélande

Une loi fondée sur des principes, avec 14 IPP, des responsables de la protection de la vie privée obligatoires dans chaque organisme et une notification des violations en cas de préjudice grave. Les amendes sont faibles ; les recours passent par le Commissaire et le Human Rights Review Tribunal.

NDPA (Nigeria)

Nigéria

La loi nigériane sur la protection des données. Les responsables du traitement et sous-traitants d'importance majeure s'enregistrent auprès de la NDPC et désignent un délégué à la protection des données, qui doit suivre un développement professionnel annuel.

LPDP

Pérou

Le règlement de 2024 a rapproché le Pérou du GDPR : portée extraterritoriale avec un représentant local, notification des violations sous 48 heures au régulateur et aux personnes, portabilité et obligation de DPO introduite progressivement. Il conserve l'enregistrement des bases de données propre au Pérou et la notification de chaque flux transfrontalier.

DPA (Philippines)

Philippines

La loi philippine sur la confidentialité des données. Les organisations désignent un délégué à la protection des données, et celles qui atteignent les seuils s'enregistrent auprès de la National Privacy Commission.

PDPL (Arabie saoudite)

Arabie saoudite

La loi saoudienne sur la protection des données, appliquée par la SDAIA. Des règles précisent quand un délégué à la protection des données est requis, et l'enregistrement ainsi que les notifications de violations passent par la National Data Governance Platform.

PDPA (SG)

Singapour

Loi sur la vie privée fondée sur le consentement, avec notification obligatoire des violations depuis 2021.

POPIA

Afrique du Sud

La loi générale sud-africaine sur la protection de la vie privée, fondée sur huit conditions de licéité du traitement.

PIPA

Corée du Sud

La Corée associe des droits de type GDPR à des règles de consentement inhabituellement granulaires, élément par élément, et à un responsable de la protection de la vie privée obligatoire pour chaque responsable du traitement. Les sanctions sont lourdes : des pénalités fondées sur le chiffre d'affaires désormais jusqu'à 10%, des dommages-intérêts légaux et des sanctions pénales.

nFADP

Suisse

La loi suisse révisée, étroitement alignée sur le GDPR, avec des amendes visant les personnes physiques responsables.

DIFC DPL

Émirats arabes unis

La loi sur la protection des données du Dubai International Financial Centre, une zone franche financière dotée de ses propres lois et tribunaux. Elle suit de près le GDPR et dispose de son propre Commissaire à la protection des données.

PDPA

Thaïlande

Étroitement calquée sur le GDPR, mais le consentement doit en général être donné par écrit ou sous forme électronique, et les mineurs de moins de 20 ans doivent impliquer leur tuteur. La responsabilité civile est objective et les tribunaux peuvent ajouter des dommages-intérêts punitifs allant jusqu'à deux fois la perte réelle.

KVKK

Turquie

La KVKK s'inspire du GDPR mais conserve un registre public des responsables du traitement (VERBIS) avec dépôt des inventaires de données, et impose dans tous les cas la notification des violations aux personnes. Depuis 2024, les transferts à l'étranger reposent sur l'adéquation, sur des garanties approuvées par le Conseil ou sur des contrats types émis par le Conseil, qui doivent être déposés dans un délai de cinq jours ouvrables.

DPPA (Ouganda)

Ouganda

La loi ougandaise sur la protection des données. Le dirigeant de chaque institution concernée doit désigner un délégué à la protection des données, et quiconque collecte ou traite des données personnelles s'enregistre auprès du Personal Data Protection Office.

PDPL (UAE)

Émirats arabes unis

La loi fédérale des UAE sur la protection des données. Elle est en vigueur depuis janvier 2022, mais son règlement d'application n'a pas été publié : il n'existe donc encore ni délai de notification des violations ni barème des sanctions.

LPDP

Uruguay

Loi jugée adéquate par l'UE qui associe un consentement documenté et l'enregistrement universel des bases de données à des ajouts inspirés du GDPR : notification des violations sous 72 heures, AIPD et DPO obligatoires pour les traitements à grande échelle ou sensibles. Les amendes sont faibles, mais les délais de réponse sont de cinq jours ouvrables.

PDPL

Viêt Nam

La première loi du Vietnam sur les données personnelles remplace le décret 13 par un régime fondé d'abord sur le consentement, dans lequel les analyses d'impact et les évaluations des transferts doivent être déposées auprès du ministère de la Sécurité publique. Les amendes atteignent 5% du chiffre d'affaires pour les violations relatives aux transferts et 10 fois le chiffre d'affaires pour le commerce illégal de données.

CDPA (Zimbabwe)

Zimbabwe

La loi du Zimbabwe sur la protection des données, appliquée par POTRAZ. Les responsables du traitement doivent obtenir une licence, et les délégués à la protection des données doivent être désignés dans un délai de 90 jours et suivre une formation de certification agréée.