Le consentement aux cookies dans l’UE et aux États-Unis

Dans l’UE, de nombreux usages de traçage commencent par un consentement préalable (opt-in). En vertu du CCPA californien, une entreprise concernée doit permettre de s’opposer (opt-out) à la vente ou au partage des informations personnelles et respecter les signaux d’opposition tels que le Global Privacy Control (GPC). Ce sont des mécanismes différents, et aucun de ces résumés ne couvre toutes les exceptions ni tous les secteurs.

Cet article compare les deux parcours et la façon de les proposer sur un même site. Il ne couvre pas les autres États américains ; si vous avez des visiteurs dans ces États, utilisez les guides par État indiqués plus bas.

Les deux parcours côte à côte

Commencez par trois questions

• Où se trouvent les personnes que vous servez, ciblez ou suivez ?
• Quelles informations votre site et vos partenaires collectent-ils, et à quelles fins ?
• Quelles lois et règles de plateformes s’appliquent à votre entreprise et à ces activités ?

Être une entreprise américaine ne supprime pas à lui seul les obligations européennes, et une visite depuis la Californie ne fait pas naître à elle seule toutes les obligations du CCPA. L’applicabilité ne dépend pas seulement d’une adresse IP. Examinez le point de départ avec votre conseiller, à l’aide des dispositions du RGPD sur le champ d’application territorial et des recommandations du procureur général de Californie sur le CCPA.

Le CCPA s’applique aux entreprises à but lucratif qui exercent une activité en Californie et atteignent au moins un seuil : un chiffre d’affaires annuel brut supérieur à 26 625 000 $ au cours de l’année civile précédente, l’achat, la vente ou le partage des informations personnelles de 100 000 consommateurs ou foyers ou plus par an, ou au moins 50 % du chiffre d’affaires annuel tiré de la vente ou du partage d’informations personnelles. Le montant du chiffre d’affaires est le montant ajusté à l’inflation par la California Privacy Protection Agency, en vigueur depuis le 1er janvier 2025.

Les exceptions et le sens juridique de « vente » et de « partage » méritent tout de même un examen plus approfondi. La mesure d’audience ordinaire, la publicité et les accords avec des prestataires de services ne sont pas tous traités de la même manière.

Le parcours européen : un choix avant tout traçage concerné

Prenons l’exemple fictif d’un magasin de meubles qui utilise une mesure d’audience et du remarketing facultatifs. Un visiteur européen arrive sans consentement enregistré. Le site présente les choix pertinents et contrôle les outils selon la configuration choisie.

Le visiteur autorise la mesure d’audience mais refuse la publicité. La mise en œuvre doit préserver cette distinction. Une simple étiquette « accepté » qui démarre tous les fournisseurs ne suffit pas.

Les règles européennes sur les cookies découlent de la directive ePrivacy telle que transposée dans chaque pays : les exceptions diffèrent donc. Évitez de reprendre dans tous les marchés une exemption pour la mesure d’audience propre à un pays. Les lignes directrices du CEPD sur le consentement définissent la norme de consentement du RGPD, notamment le fait que retirer son consentement doit être aussi simple que le donner ; les règles locales demandent tout de même de l’attention.

Le parcours californien : faire fonctionner l’opt-out

Imaginez maintenant une entreprise concernée dont les pratiques publicitaires impliquent une vente ou un partage au sens du CCPA. Un visiteur utilise le mécanisme d’opposition du site. Le traitement en aval concerné doit réagir ; afficher un lien « Do Not Sell or Share » ne suffit pas à produire ce résultat.

Les règlements d’application du CCPA exigent un lien « Do Not Sell or Share My Personal Information » dans l’en-tête ou le pied de page, ou une alternative autorisée telle qu’un lien « Your Privacy Choices ». Vendre ou partager les données de consommateurs dont l’entreprise sait qu’ils ont moins de 16 ans nécessite au contraire une autorisation préalable (opt-in).

Testez les destinations côté navigateur, côté gestionnaire de balises et côté serveur impliquées dans cette activité. Séparez les fonctions de service ordinaires de l’usage publicitaire afin que votre équipe puisse expliquer ce que le choix change.

Le visiteur qui a déjà signalé une préférence

Le Global Privacy Control, ou GPC, permet à un navigateur d’envoyer une préférence d’opposition à chaque site consulté par le visiteur. Le procureur général de Californie indique que les entreprises concernées doivent le respecter comme une demande valable de cessation de la vente ou du partage. Consultez l’explication officielle du GPC.

Les règlements d’application du CCPA apportent des précisions : l’opposition s’applique à ce navigateur ou à cet appareil et à tout profil qui y est lié, y compris les profils pseudonymes. L’entreprise doit aussi afficher sur son site si elle a traité le signal comme une demande d’opposition valable.

Pour votre test technique, utilisez un navigateur avec le GPC activé et comparez son comportement avec celui d’une session sans le signal. Le signal arrive sous la forme de l’en-tête de requête Sec-GPC: 1 et de la propriété navigator.globalPrivacyControl : il ne dépend donc pas d’un bouton sur votre page. Notre guide du GPC traite des conflits avec des choix antérieurs.

Ce que le ciblage géographique peut et ne peut pas décider

Le ciblage géographique sélectionne un bandeau ou une configuration en fonction d’une localisation estimée. Ce n’est pas une évaluation juridique automatique : il ne peut pas décider si une loi s’applique à votre entreprise, identifier chaque usage sensible ni garantir que la localisation est correcte, par exemple quand un visiteur utilise un VPN.

Décidez de ce qui se passe quand la localisation est inconnue, et testez cette solution de repli ainsi que les régions que vous comptez servir. Ne traitez pas discrètement une localisation inconnue comme une autorisation de traçage sans restriction.

Dans Passiro, Smart geo-targeting dispose d’un paramètre Unknown location distinct. Avec Same banner everywhere, Passiro demande le consentement lorsque le pays ne peut pas être déterminé, mais les visiteurs situés hors des pays sélectionnés ne voient aucune demande et les scripts se chargent normalement : vérifiez donc soigneusement cette sélection.

Séparez la langue de la localisation. Un visiteur hispanophone à Los Angeles et un autre à Madrid peuvent vouloir la même langue de bandeau, mais avoir besoin de choix différents. La langue du bandeau suit votre paramètre de traduction ou la langue du navigateur ; elle ne décide pas des règles applicables.

Si vous avez aussi des visiteurs dans d’autres États américains

Cet article ne couvre que la Californie. Les lois sur la vie privée des autres États ont leurs propres seuils, définitions et règles concernant les données sensibles et les signaux d’opposition : vérifiez-les avant de reprendre la configuration californienne. Commencez par nos guides sur le CDPA de Virginie, le CPA du Colorado et l’UCPA de l’Utah, ainsi que le guide du GPC et le guide complet du CCPA.

Dans le Smart geo-targeting de Passiro, la région US opt-out states comprend une option permettant de choisir des États individuellement. Déterminez quels États votre entreprise doit couvrir avant de vous appuyer sur ce paramètre.

Un brief pratique pour votre développeur

Rédigez une règle courte par parcours de visiteur : bandeau attendu, état de consentement initial, choix proposés, fournisseurs concernés et comportement attendu après une modification. Ajoutez un test distinct pour le GPC le cas échéant, et un autre pour la solution de repli en cas de localisation inconnue.

Pour les balises Google, précisez le Consent Mode de base (Basic) ou avancé (Advanced) plutôt que de demander vaguement un « suivi UE ». Suivez le guide du Consent Mode pour les marketeurs et le test « Tout refuser » pour vérifier la mise en œuvre.

Passiro inclut le ciblage géographique et la prise en charge du Global Privacy Control dans toutes les offres, y compris Free. L’IAB GPP est disponible à partir de Pro. L’aperçu des offres montre la différence ; le GPC et le GPP ne sont pas interchangeables.