La Californie met à l’amende les courtiers en données. Ce que ça dit aux Canadiens

Les courtiers en données subissent rarement des conséquences visibles. La Californie fait exception. Depuis le début de 2025, son organisme de protection de la vie privée, aujourd’hui appelé CalPrivacy, a mené plus d’une douzaine de mesures d’application contre des courtiers en données. Les montants sont modestes, mais ces dossiers montrent clairement ce qu’attendent les autorités, et ils sont un point de repère utile pour les Canadiens.

Les dossiers

La Delete Act de la Californie oblige les courtiers en données à s’inscrire auprès de l’État chaque mois de janvier et à payer des droits. Ces droits financent un registre public et DROP, un outil qui permet aux Californiens de demander à tous les courtiers inscrits de supprimer leurs données en une seule demande. DROP a ouvert aux Californiens en janvier 2026, et les courtiers ont commencé à traiter les demandes en août 2026. La plupart des dossiers jusqu’ici visent des courtiers qui ne s’étaient pas inscrits.

• Background Alert (février 2025). Un site de recherche de personnes qui, selon l’organisme, vantait qu’« il est effrayant de voir combien d’information on peut dénicher sur quelqu’un ». Pour régler le dossier, il a accepté de cesser ses activités de courtier jusqu’en 2028, sous peine d’une amende de 50 000 $.
• Datamasters et S&P Global (janvier 2026). Datamasters, un revendeur texan de renseignements personnels pour la publicité ciblée, a reçu une amende de 45 000 $ et l’ordre de cesser de vendre les renseignements personnels des Californiens. CalPrivacy a ensuite décrit ce dossier comme ayant mis fin à la vente de listes de Californiens atteints de la maladie d’Alzheimer et d’autres problèmes de santé. S&P Global a reçu une amende de 62 600 $ pour ne pas s’être inscrite, en raison de ce qu’elle a qualifié d’erreur administrative.
• LocateSmarter (août 2026). La plus importante à ce jour : 116 490 $. En plus de s’être inscrite en retard, l’entreprise exigeait les quatre derniers chiffres du numéro de sécurité sociale avant de permettre aux gens de se retirer. L’organisme a jugé que demander des données inutiles peut intimider les gens et enfreint les règles californiennes de minimisation des données.
• Cybba et SalesIntel Research (août et septembre 2026). Des amendes de 52 400 $ et de 36 400 $ pour avoir manqué l’échéance d’inscription de 2025. Les deux doivent désormais traiter les demandes de suppression par DROP.

En septembre 2026, l’organisme a aussi prévenu les courtiers qu’une information erronée dans leur inscription peut coûter 200 $ par jour où elle reste au registre.

(Les montants sont en dollars américains.)

Ce que ça signifie si vous vivez au Canada

DROP est réservé aux résidents de la Californie. Le Canada n’a pas de registre des courtiers en données, ni de demande unique qui les joint tous. En vertu de la LPRPDE, vous pouvez quand même demander à un courtier ce qu’il détient sur vous et retirer votre consentement, et au Québec, la Loi 25 vous permet dans certains cas d’exiger qu’une entreprise cesse de diffuser des renseignements sur vous. C’est une entreprise à la fois. Notre guide pour vous retirer des courtiers en données au Canada explique comment faire.

Les dossiers californiens restent utiles ici, pour trois raisons :

1. Ils nomment les pratiques. Vendre des listes de santé sensibles, bâtir des profils à partir d’inférences et compliquer le retrait : voilà ce que les autorités traitent comme nuisible.
2. Ils fixent une norme pour les retraits. Si un courtier vous demande bien plus que ce qu’il lui faut pour trouver votre fiche avant de vous retirer, c’est le comportement que la Californie a sanctionné. Donnez le minimum. Votre nom, l’adresse de la fiche et un courriel suffisent généralement.
3. Ils montrent ce qu’un registre rend possible. La plupart de ces dossiers ont commencé par une question simple : vous êtes-vous inscrit ? Sans liste des courtiers, personne ne peut la poser. Alors que le Canada débat de sa propre réforme, le projet de loi C-36, c’est un point légitime à soulever auprès de votre député.

Sources

• California Privacy Protection Agency, « Data Broker Promoting Ability to Dig Up “Scary” Amounts of Information Agrees to Shut Down » (en anglais), 27 février 2025
• California Privacy Protection Agency, « CalPrivacy Brings New Round of Enforcement Actions Against Data Brokers » (en anglais), 8 janvier 2026
• California Privacy Protection Agency, « CalPrivacy Brings First Action Against a Data Broker Under Both the CCPA and Delete Act » (en anglais), 11 août 2026
• California Privacy Protection Agency, « CalPrivacy Announces Second Data Broker Enforcement Action in Less than a Week » (en anglais), 13 août 2026
• California Privacy Protection Agency, « CalPrivacy Continues Enforcement Blitz with Action Against Virginia Data Broker » (en anglais), 1er septembre 2026
• California Privacy Protection Agency, « Enforcement Advisory Targets Incorrect Information in Data Broker Registration » (en anglais), 3 septembre 2026
• California Privacy Protection Agency, « About DROP and the Delete Act » (en anglais)