États-Unis
Signal de préférence en matière de confidentialité
Global Privacy Control: Ce que votre site web doit faire du signal
Global Privacy Control (GPC) est un réglage du navigateur qui indique aux sites web qu’un visiteur souhaite s’opposer à la vente ou au partage de ses données personnelles. Savoir si votre site web doit y donner suite, et comment, dépend de la loi de l’État applicable et du fait que votre entreprise entre ou non dans son champ d’application.
En bref
- Qui peut être concerné
- Les entreprises couvertes par une loi d’État sur la vie privée qui reconnaît le signal, comme le CCPA en Californie ou le CPA au Colorado, lorsqu’elles vendent ou partagent des données personnelles ou les utilisent pour de la publicité ciblée.
- De quoi il s’agit
- Global Privacy Control : un réglage du navigateur ou d’une extension qui envoie un signal de préférence d’opposition. C’est un signal technique, pas une loi ; ce sont les règles de chaque État qui déterminent son effet.
- Choix à proposer
- Traitement du signal : considérez GPC comme une opposition à la vente, au partage ou à la publicité ciblée lorsque la loi l’exige, en plus de votre propre moyen d’opposition.
- Actions sur le site web
- Détectez GPC avant l’exécution des balises ou des transferts concernés.
- Appliquez l’opposition au navigateur et à tout profil connu.
- Ne laissez pas un clic antérieur sur « Accepter » l’emporter sur le signal.
- Montrez aux visiteurs que leur opposition a été respectée.
- Testez les flux côté serveur et les flux d’audience, pas seulement le bandeau.
- Sources primaires
- Règlement d’application du CCPA (§7025), Procureur général de Californie : GPC, Procureur général du Colorado : mécanisme universel d’opposition et spécification GPC
- Dernière vérification
Quand GPC vaut-il opposition au sens de la loi ?
GPC est un signal technique, pas une loi. Son effet dépend de la loi d’État applicable, du fait que votre entreprise entre dans son champ d’application et de l’activité de traitement de données concernée.
En Californie, une entreprise couverte par le CCPA qui vend ou partage des informations personnelles doit traiter un signal de préférence d’opposition qui remplit les conditions comme une opposition valable à la vente et au partage ; le procureur général de Californie cite GPC comme l’un de ces signaux. Au Colorado, les responsables du traitement couverts doivent respecter les mécanismes universels d’opposition pour la vente et la publicité ciblée depuis le 1er juillet 2024, et le procureur général du Colorado reconnaît GPC comme le seul mécanisme de ce type à ce jour.
Les lois des autres États diffèrent : certaines vous obligent à respecter ces signaux, d’autres non. Vérifiez chaque marché au lieu de copier la configuration californienne ; le guide sur le CPA du Colorado présente les autres règles du Colorado.
À partir du 1er janvier 2027, la Californie exige aussi des entreprises qui développent ou maintiennent un navigateur web qu’elles proposent un réglage envoyant un signal de préférence d’opposition (Civil Code §1798.136) : davantage de visiteurs pourraient donc arriver avec un tel signal activé.
Ce que le signal signifie, et ce qu’il ne signifie pas
Les navigateurs envoient GPC sous la forme de l’en-tête de requête Sec-GPC: 1 et l’exposent aux scripts via navigator.globalPrivacyControl. Lorsque la loi lui donne effet, il vaut opposition à la vente et au partage en Californie, et à la vente et à la publicité ciblée au Colorado.
Ce n’est pas une demande de suppression des données ou de fermeture de compte, ni un « refuser tous les cookies » automatique dans tous les régimes juridiques. Le paiement, la sécurité et les autres fonctions nécessaires continuent de fonctionner.
L’absence de signal ne vaut pas consentement. Si votre site web s’adresse aussi à des régions qui exigent un consentement préalable, comme l’UE, gardez ces choix séparés des signaux d’opposition américains.
Exemple : une visite avec GPC activé
Exemple à titre d’illustration : une boutique en ligne d’équipement de plein air, couverte par le CCPA, partage des événements de navigation avec une plateforme publicitaire via un pixel et un flux de conversions côté serveur. Un client californien arrive sur une page d’atterrissage de campagne avec GPC activé.
- Signal reçu : la première requête de page transporte le signal, avant l’exécution de toute balise publicitaire.
- Opposition enregistrée : le site enregistre une opposition à la vente et au partage pour ce navigateur, sans clic, formulaire ni connexion.
- Les flux du navigateur réagissent : le pixel publicitaire ne se charge pas ; le panier et le paiement fonctionnent normalement.
- Les flux serveur réagissent : le flux de conversions cesse d’envoyer les événements de ce navigateur à la plateforme.
- Profil connu traité : lorsque le client se connecte, son compte fait aussi l’objet de l’opposition et est exclu des envois d’audiences, comme l’exigent les règles californiennes pour un consommateur connu.
- Statut affiché : le site indique que l’opposition a été respectée.
Pour tester, refaites la visite sans GPC et comparez les requêtes. Seules les activités couvertes par l’opposition devraient différer.
Que faire si GPC contredit un choix antérieur ?
Lorsque le signal arrive, un visiteur peut déjà avoir un choix enregistré dans le bandeau, un paramètre de compte ou une adhésion à un programme de fidélité. La Californie et le Colorado tranchent le conflit en faveur du signal, avec des possibilités limitées de redemander.
| Signal reçu | Préférence antérieure | Activité concernée | Effet attendu |
|---|---|---|---|
| GPC lors d’une première visite | Préférence antérieureAucune | Activité concernéeVente, partage ou publicité ciblée | Effet attenduAppliquez l’opposition immédiatement, sans qu’aucun clic soit nécessaire. |
| GPC après un clic sur « Accepter » dans le bandeau | Préférence antérieureParamètre enregistré autorisant la vente ou le partage | Activité concernéeBalises publicitaires qui vendent ou partagent des données | Effet attenduAppliquez l’opposition. La Californie vous permet de mentionner le conflit et de proposer au visiteur de donner son consentement. |
| GPC d’un client connecté | Préférence antérieureParamètre de compte autorisant la vente ou le partage | Activité concernéeVente ou partage liés au compte, en ligne et hors ligne | Effet attenduAppliquez l’opposition au navigateur et au compte. |
| GPC d’un membre d’un programme de fidélité | Préférence antérieureProgramme qui nécessite un consentement à la vente ou au partage | Activité concernéeVente ou partage pour le programme | Effet attenduCalifornie : vous pouvez demander au membre s’il souhaite quitter le programme. Appliquez l’opposition, sauf si vous avez posé la question et qu’il n’a pas confirmé. |
| Pas de signal lors d’une visite ultérieure | Préférence antérieureOpposition antérieure via GPC d’un client connu | Activité concernéeVente, partage ou publicité ciblée | Effet attenduMaintenez l’opposition. |
| GPC toujours activé après un nouveau consentement | Préférence antérieureConsentement ultérieur via vos paramètres de confidentialité | Activité concernéeL’utilisation consentie | Effet attenduUn consentement valable peut prévaloir (en Californie, tant que le visiteur est connu). Continuez d’afficher le statut. |
En Californie, mentionner le conflit est facultatif. Toute demande de consentement doit proposer des choix clairs et symétriques, et une entreprise qui s’appuie sur le traitement sans friction (frictionless processing) pour se dispenser du lien « Do Not Sell or Share » ne peut pas afficher de telles invites. Au-delà, attendez au moins 12 mois avant de demander à un visiteur qui s’est opposé de revenir sur son choix (règlement d’application du CCPA, §7025 et §7026).
Les règles du Colorado sont similaires : traitez le navigateur, l’appareil et le consommateur connu comme ayant exercé leur opposition jusqu’à ce qu’ils consentent, et ne posez pas la question au moyen de fenêtres pop-up, de bandeaux qui dominent la page ou d’autres interstitiels. Un lien vers une page de paramètres de confidentialité, par exemple à côté du statut d’opposition, est une solution admise (CPA Rules 5.08, 5.09 et 7.05).
Répercutez l’opposition dans chaque flux de données
Listez les outils impliqués dans la vente, le partage ou la publicité ciblée : pixels, événements côté serveur, envois de listes de clients et intégrations de partenaires. Évaluez chacun selon son usage et son destinataire, pas selon le nom de son cookie. En Californie, un prestataire de services (service provider) lié par un contrat conforme n’est pas concerné par l’opposition, mais un fournisseur qui assure de la publicité comportementale intercontextuelle est un tiers.
Lisez le signal sur chaque page d’entrée, y compris les pages d’atterrissage de campagne et le paiement, avant l’exécution des balises concernées. Si vous arrêtez un transfert après le chargement du bandeau, des données ont déjà été envoyées.
Vérifiez ensuite ce qui se poursuit en dehors du navigateur : API de conversion, exports d’audiences et paramètres des partenaires. La Californie exige que vous cessiez la vente et le partage dès que cela est matériellement possible et que vous informiez les tiers qui ont reçu les données entre-temps.
Passiro gère Global Privacy Control dans toutes les offres et traite automatiquement un signal pris en charge comme une opposition dans la configuration de consentement qu’il gère sur votre site web. Les intégrations côté serveur, les envois d’audiences et les données de compte échappent à tout outil de navigateur : testez-les donc séparément.
Attendez-vous à des audiences de remarketing plus réduites là où l’opposition s’applique, et prévoyez vos rapports en conséquence plutôt que de reconstruire le même flux de données sous une autre étiquette.
Affichez et expliquez le résultat
La réglementation californienne actuelle vous impose d’afficher si vous avez traité le signal comme une opposition, par exemple avec « Opt-Out Request Honored » (demande d’opposition respectée) ou un interrupteur de paramètres montrant l’opposition. Le Colorado autorise un affichage similaire, mais ne l’exige pas.
Votre politique de confidentialité devrait décrire les droits d’opposition et la manière dont vous traitez les signaux. Le Colorado exige qu’elle explique comment les demandes d’opposition universelles sont traitées ; en Californie, une entreprise qui s’appuie sur le traitement sans friction doit l’indiquer et expliquer comment activer un signal.
Libellez le choix « vente ou partage » plutôt que de proposer un interrupteur « personnalisation » sans explication, et gardez les demandes d’accès et de suppression faciles à trouver : ce sont des processus distincts.
Liste de contrôle GPC
- Champ d’application : notez quelles lois d’État s’appliquent et quelles activités constituent une vente, un partage ou de la publicité ciblée.
- Première visite : comparez les requêtes sur une page d’atterrissage de campagne avec et sans GPC.
- Choix antérieurs : envoyez GPC depuis un navigateur qui avait accepté, et vérifiez que l’opposition l’emporte.
- Parcours connecté : vérifiez que le compte est marqué comme ayant exercé son opposition et qu’il est exclu des envois d’audiences.
- Côté serveur : vérifiez les API de conversion et les intégrations de partenaires, pas seulement les balises du navigateur.
- Statut et politique : vérifiez que le statut indiquant le respect de l’opposition s’affiche et que la politique de confidentialité concorde.
FAQ
GPC est-il identique à « Do Not Track » ?
Non. Ce sont des signaux différents, avec un traitement juridique différent. Détecter l’un ne signifie pas que votre site traite correctement l’autre.
Tous les sites web californiens doivent-ils respecter GPC ?
Non. L’obligation s’applique aux entreprises couvertes par le CCPA qui vendent ou partagent des informations personnelles. Une entreprise couverte qui ne fait ni l’un ni l’autre n’est pas tenue d’appliquer le signal, mais sa politique de confidentialité devrait indiquer qu’elle ne vend ni ne partage de données.
Pouvons-nous exiger d’abord une connexion ou des informations supplémentaires ?
Non. La Californie et le Colorado ne vous permettent pas de subordonner l’opposition à un compte ou à des informations supplémentaires. Vous pouvez proposer un champ facultatif, comme une adresse e-mail, pour étendre l’opposition hors ligne ou à d’autres appareils, et ne l’utiliser qu’à cette fin.
Respecter GPC remplace-t-il notre lien d’opposition ?
Pas à lui seul. En Californie, vous devez traiter les signaux même si vous publiez les liens d’opposition, et vous ne pouvez vous dispenser du lien « Do Not Sell or Share » qu’avec un traitement sans friction qui met pleinement en œuvre l’opposition. Le Colorado exige aussi un moyen d’opposition clair. Le guide sur le CCPA présente les options pour le lien.
Pouvons-nous appliquer GPC uniquement aux visiteurs de certains États ?
De nombreux sites utilisent la localisation pour décider où le signal s’applique, et les règles du Colorado autorisent, sans l’exiger, une vérification de résidence. La détection de la localisation est approximative : décidez donc comment traiter les localisations inconnues. Sur le plan pratique, appliquer GPC à tous les visiteurs américains est plus simple à tester et à expliquer.