Au-delà de la Suisse : Aiara couvre désormais les USA, le Brésil et l'Afrique du Sud

Jusqu'à récemment, une limite claire s'appliquait à Aiara : la Suisse et l'UE. C'était une décision délibérée — mieux vaut deux ordres juridiques bien traités que dix à moitié. Entre-temps, les demandes se sont multipliées de la part de clients dont les sites sont également consultés en dehors de l'Europe. Nous avons donc étendu Aiara à trois ordres juridiques : les États-Unis, le Brésil et l'Afrique du Sud.

Les États-Unis fonctionnent exactement à l'inverse

L'essentiel d'abord, car c'est la plus grande différence : les États-Unis ne connaissent pas de modèle de consentement. Ce qui va de soi ici — demander d'abord, déposer les cookies ensuite — est inconnu du droit américain sous cette forme. Là-bas, le traitement est autorisé jusqu'à ce qu'une personne s'y oppose.

Cela a une conséquence immédiate sur l'interface : un visiteur de Californie ne voit pas de bannière lui demandant son accord. Il voit un lien accessible en permanence — généralement « Your Privacy Choices » — lui permettant de s'opposer à la vente et au partage de ses données. Ne pas proposer ce lien constitue une infraction. Afficher à la place une bannière de consentement européenne ne satisfait pas davantage aux règles.

Aiara reconnaît la région et bascule automatiquement. Pour les visiteurs de Suisse et de l'UE, tout reste inchangé.

Un signal pour plus de vingt États

Les États-Unis n'ont pas de loi uniforme sur la protection des données. La Californie a le CCPA dans sa version modifiée par le CPRA, la Virginie le VCDPA, puis viennent le Colorado, le Connecticut, l'Utah, le Texas, l'Oregon et une quinzaine d'autres États avec leurs propres règles. Les mettre en œuvre un à un serait un puits sans fond.

Le secteur publicitaire a créé une solution commune : la Global Privacy Platform de l'IAB Tech Lab. Elle comporte une section nationale qui regroupe les exigences de tous les États en un seul signal. Aiara utilise précisément cette section. L'avantage pratique : nous n'avons pas besoin de savoir dans quel État se trouve une personne — le signal vaut à l'échelle nationale. Une détection au niveau des États serait techniquement lourde, source d'erreurs et sans utilité pour l'objectif.

Le Global Privacy Control est respecté automatiquement

Un point souvent négligé en pratique : en Californie et dans d'autres États, les sites doivent respecter le Global Privacy Control. Il s'agit d'un signal que le navigateur ou une extension de protection envoie automatiquement et qui signifie : cette personne s'oppose au partage de ses données.

Juridiquement, ce n'est pas un souhait mais une opposition valable. Les autorités californiennes ont imposé dans plusieurs procédures qu'elle soit respectée. Aiara évalue le signal dès que le mode américain est actif et met l'opposition en œuvre sans demande supplémentaire. La fenêtre de sélection affiche alors une note indiquant que le signal a été détecté et déjà respecté — et l'interrupteur est verrouillé, car il n'y a plus rien à décider.

Ce qu'une opposition désactive réellement

La précision est ici utile, car il est facile d'aller trop loin ou pas assez. Une opposition selon le droit californien vise la vente, le partage et la publicité ciblée. Elle ne vise pas la mesure d'audience à des fins propres — celle-ci n'y est pas considérée comme une vente.

En cas d'opposition, Aiara désactive donc la catégorie marketing et laisse l'analyse fonctionner. C'est délibéré et cela diffère d'un refus selon le RGPD, qui touche les deux. Qui souhaite tout désactiver peut le faire via les catégories habituelles — mais l'exigence légale est la plus étroite.

Brésil et Afrique du Sud : modèle familier, textes nouveaux

Pour ces deux-là, l'effort a été moindre, car ils fonctionnent comme le RGPD : tous deux reposent sur le consentement. La bannière n'a donc pas eu besoin d'être refondue — seuls les textes juridiques manquaient.

Le Brésil dispose avec la Lei Geral de Proteção de Dados d'une loi très proche du RGPD, mais avec ses propres notions et autorités. La déclaration de confidentialité mentionne désormais les bases juridiques selon l'article 7, les droits des personnes selon l'article 18, l'autorité de surveillance ANPD et l'« Encarregado » — l'équivalent local du délégué à la protection des données. S'y ajoute la bannière en portugais, cinquième langue aux côtés de l'allemand, du français, de l'italien et de l'anglais.

L'Afrique du Sud règle la protection des données dans le Protection of Personal Information Act. La section nomme les huit conditions de licéité du traitement, les droits des personnes, l'Information Officer et l'Information Regulator comme instance de réclamation. Une particularité est l'obligation de consentement pour la prospection directe électronique auprès de personnes qui ne sont pas encore clientes — plus stricte que ce que beaucoup imaginent.

En avez-vous seulement besoin ?

Probablement pas, et nous le disons délibérément clairement. Le CCPA ne s'applique qu'à partir de 25 millions de dollars de chiffre d'affaires annuel ou de données concernant 100 000 consommateurs californiens. Les autres États fixent des seuils comparables. Un artisan de Winterthour avec quelques visiteurs d'outre-mer n'entre pas dans le champ.

Cela devient pertinent dans trois cas :

• Commerce en ligne d'une certaine taille avec activité américaine, atteignant effectivement les seuils
• Exigences contractuelles, lorsqu'un partenaire commercial demande cette couverture
• Directives de groupe, lorsqu'une filiale doit appliquer les mêmes standards que la maison mère

Qui n'est dans aucun de ces cas laisse simplement les fonctions désactivées. Elles le sont par défaut, et qui ne les active pas ne remarquera pas l'extension.

Comment l'activer

Deux endroits, tous deux dans le tableau de bord :

Dans l'éditeur de bannière, vous trouverez un interrupteur sous « USA (CCPA et autres) ». Lorsqu'il est actif, le modèle d'opposition s'applique aux visiteurs des États-Unis — avec le lien « Your Privacy Choices » à la place de la bannière de consentement.

Dans le questionnaire, sous « Ordre juridique », figurent trois nouvelles indications : visiteurs des États-Unis, du Brésil et d'Afrique du Sud. Chacune ajoute une section propre à votre déclaration de confidentialité. Les textes sont générés et mis à jour automatiquement, comme d'habitude.

Les deux sont indépendants. Qui n'a besoin que des textes pour le Brésil, sans mode américain, ne coche que la case correspondante.

Ce que cette extension n'est pas

Pour finir, la limite qui va de pair : Aiara couvre désormais cinq ordres juridiques — Suisse, UE, États-Unis, Brésil et Afrique du Sud. Ce n'est pas « le monde entier ». Le Canada, le Royaume-Uni, l'Australie, le Japon, l'Inde et bien d'autres ont leurs propres lois que nous ne reproduisons pas. Qui a un public dans ces pays et y dépasse réellement les seuils applicables a besoin de plus que ce que nous proposons aujourd'hui.

Nous avons retenu les trois ordres juridiques qui nous ont été concrètement demandés. Si d'autres devaient suivre, le même critère décidera : un besoin réel plutôt que la liste la plus longue possible sur un site web.