Global Privacy Control (GPC) : ce que c’est et comment le respecter
Global Privacy Control (GPC) est un signal envoyé par le navigateur qui indique à un site web : « ne vendez pas et ne partagez pas mes données personnelles ». Un nombre croissant de lois américaines sur la protection de la vie privée exigent ou reconnaissent les signaux universels d’opt-out comme GPC. Dans plusieurs États, un simple lien d’opt-out manuel ne suffit pas.
Cette page explique ce qu’est GPC, où la loi impose de le respecter, quels navigateurs l’envoient, comment vérifier s’il est activé et comment CookieHub le traite lorsqu’un visiteur arrive avec ce signal activé.
Ce qu’est Global Privacy Control
GPC est un signal binaire. Lorsqu’un visiteur l’active, son navigateur ajoute un en-tête Sec-GPC: 1 aux requêtes prises en charge et définit navigator.globalPrivacyControl sur true en JavaScript.
La préférence exprimée est simple : « ne vendez pas et ne partagez pas mes données personnelles ».
GPC ne précise pas quelle loi s’applique au visiteur, à quels fournisseurs il s’oppose ni s’il consent aux outils d’analyse. Ce n’est pas une chaîne de consentement comme les formats IAB TCF ou GPP. Il s’agit d’une préférence que le site doit traiter conformément à la législation applicable.
GPC a été développé par un groupe de concepteurs de navigateurs, d’éditeurs et d’organisations de défense de la vie privée dans la continuité de Do Not Track.
La différence principale tient à sa portée juridique. Do Not Track n’a jamais acquis de portée juridique comparable et a été largement ignoré par les sites web. GPC, en revanche, a été conçu pour correspondre notamment aux mécanismes d’opt-out prévus par le California Consumer Privacy Act, tel que modifié par le CPRA, et il est aujourd’hui reconnu par plusieurs lois américaines sur la protection de la vie privée.
Où la loi impose de respecter GPC
La portée juridique de GPC aux États-Unis dépend des lois de chaque État.
Douze États disposent actuellement de dispositions concernant GPC ou les mécanismes universels d’opt-out dans leurs lois sur la protection de la vie privée :
Delaware
Maryland
Minnesota
Montana
Nebraska
New Hampshire
New Jersey
Oregon
Texas
Les obligations ne sont pas identiques d’un État à l’autre.
Le Colorado reconnaît formellement GPC comme un mécanisme universel d’opt-out valide. Le New Jersey impose également aux responsables du traitement concernés de respecter les mécanismes universels d’opt-out.
Le Maryland fonctionne différemment : un responsable du traitement peut notamment satisfaire certaines obligations au moyen d’un lien d’opt-out clairement visible ou d’un signal de préférence d’opt-out.
D’autres États suivront. La loi de Louisiane, applicable à partir du 1er janvier 2027, comprend des dispositions relatives aux mécanismes d’opt-out basés sur le navigateur ou l’appareil, avec ses propres conditions. Le Vermont ajoutera également une exigence relative aux signaux de préférence d’opt-out à partir de 2028.
La Californie applique GPC depuis plusieurs années. En 2022, Sephora a conclu un accord transactionnel de 1,2 million USD avec le procureur général de Californie dans une affaire portant notamment sur l’absence de traitement des signaux GPC.
Là où la loi l’exige, respecter GPC signifie traiter le signal lui-même comme une demande d’opt-out du visiteur. Il ne faut pas obliger celui-ci à chercher ensuite un lien « Do Not Sell or Share » et à effectuer une deuxième demande.
Et en Europe ?
GPC ne remplace pas le consentement exigé par le RGPD ou les règles ePrivacy.
Les autorités européennes n’ont pas formellement reconnu GPC comme un substitut universel au consentement aux cookies. Les sites web dans l’Union européenne et au Royaume-Uni doivent donc toujours disposer d’un mécanisme approprié de consentement préalable avant d’utiliser des technologies de suivi non essentielles.
GPC peut néanmoins être pertinent, dans certaines circonstances, comme expression de l’opposition d’un utilisateur ou du retrait de son consentement.
Quels navigateurs envoient GPC
La prise en charge varie fortement selon les navigateurs :
Brave :
GPC est activé par défaut sur ordinateur et Android. Sur iOS, Brave expose actuellement le signal JavaScript mais n’envoie pas l’en-tête HTTP.
DuckDuckGo :
ses navigateurs et son extension de navigateur activent GPC par défaut.
Firefox :
GPC est intégré au navigateur et disponible dans les paramètres Vie privée et sécurité. Il est activé automatiquement en navigation privée.
Chrome et Edge :
les versions stables actuelles ne disposent pas de prise en charge native de GPC. Des extensions compatibles peuvent ajouter le signal.
Safari :
la version stable actuelle ne dispose pas de prise en charge native de GPC.
Comment vérifier si GPC est activé dans votre navigateur
Vous pouvez vérifier en quelques secondes si votre navigateur envoie le signal.
Ouvrez la console de développement :
sur n’importe quelle page, ouvrez les outils de développement de votre navigateur, passez à l’onglet Console et saisissez navigator.globalPrivacyControl. Si le résultat est true, votre navigateur expose GPC. S’il affiche false ou undefined, ce n’est pas le cas.
Consultez globalprivacycontrol.org :
le site officiel du projet GPC détecte le signal et indique si votre navigateur l’envoie.
Activez-le si nécessaire :
dans Firefox, recherchez l’option correspondante dans les paramètres Vie privée et sécurité. Dans Brave et DuckDuckGo, GPC est activé par défaut. Dans Chrome ou Edge, une extension compatible peut l’ajouter. Safari n’offre actuellement aucune prise en charge native.
Testez votre propre site :
activez GPC, effacez les cookies du site et chargez-le comme un visiteur de Californie. Vous ne devriez pas avoir à effectuer une seconde demande d’opt-out, et votre configuration publicitaire et marketing devrait respecter le signal. Selon votre configuration, cela peut signifier empêcher certaines balises de se déclencher ou faire passer les fournisseurs compatibles en mode d’opt-out ou de traitement restreint.
Ce que respecter GPC signifie pour votre site web
Les détails varient selon les États, et la réglementation californienne est l’une des plus précises.
Lorsqu’un visiteur arrive avec GPC activé, votre site devrait :
Traiter le signal comme un opt-out de la vente et du partage :
tout traitement constituant une vente, un partage ou de la publicité ciblée au sens de la loi applicable doit cesser ou fonctionner dans le mode d’opt-out ou de traitement restreint prévu. Selon votre configuration, cela peut signifier bloquer entièrement les cookies et pixels publicitaires, ou transmettre l’état d’opt-out aux fournisseurs en aval afin qu’ils restreignent leur traitement.
Ne pas exiger une deuxième demande :
le signal du navigateur lui-même doit être traité comme la demande du visiteur. Il ne devrait pas être nécessaire de cliquer sur un autre bouton « Do Not Sell or Share » ou de fournir des informations supplémentaires.
Confirmer que le signal a été traité :
en Californie, les entreprises concernées doivent indiquer si un signal de préférence d’opt-out a été traité comme une demande valide d’opt-out de la vente ou du partage.
Transmettre l’opt-out aux fournisseurs concernés :
les fournisseurs de publicité, d’analyse ou d’autres services concernés doivent recevoir les signaux nécessaires pour adapter leur traitement. La chaîne IAB GPP peut notamment transporter l’état GPC ainsi que les informations d’opt-out associées. Certains fournisseurs agissent également eux-mêmes sur le signal : Google, par exemple, applique le traitement restreint des données lorsqu’il reçoit GPC de visiteurs situés dans plusieurs de ces États.
Ne pas imposer de compte ou d’étapes supplémentaires :
le respect de GPC ne doit pas dépendre de la création d’un compte, de la connexion du visiteur ou du remplissage d’un formulaire.
Prendre en compte les préférences antérieures :
lorsqu’un visiteur avait précédemment autorisé la vente ou le partage mais arrive ensuite avec GPC activé, la réglementation californienne permet au site de l’informer d’un éventuel conflit et de lui proposer de consentir spécifiquement. Le choix doit toutefois rester volontaire et ne pas résulter d’une case précochée ou d’une interface trompeuse.
Vérificateur de conformité
Utilisez notre outil gratuit d'analyse de conformité pour détecter tous les services actifs sur votre site web. Recevez un rapport détaillé présentant leurs types, leurs finalités et leurs durées pour appuyer vos efforts de conformité en matière de vie privée.
Comment CookieHub gère GPC
La prise en charge de GPC est intégrée au widget CookieHub et ne nécessite aucune activation supplémentaire.
Détection automatique
Le widget détecte le signal GPC du navigateur lorsqu’il charge la configuration applicable au visiteur.
Traitement comme un opt-out « Do Not Sell or Share »
Un visiteur qui envoie GPC est traité comme s’il avait utilisé le mécanisme « Do Not Sell or Share My Personal Information », et l’opt-out est transmis à Google Tag Manager afin que vos balises puissent le respecter. Lorsque la région utilise les cadres IAB GPP ou US Privacy pris en charge, l’état d’opt-out et les indicateurs pertinents sont transmis dans les chaînes correspondantes.
Pas de seconde demande d’opt-out en Californie
CookieHub traite automatiquement le signal sans demander au visiteur californien d’effectuer à nouveau une demande d’opt-out. Les paramètres de confidentialité indiquent que le signal a été pris en compte. Les visiteurs d’autres États continuent de voir la bannière que vous avez configurée, avec l’opt-out déjà appliqué.
Désactivation facultative de catégories de cookies
Si vous souhaitez que GPC bloque également certaines catégories de cookies, vous pouvez configurer le centre de préférences afin que l’opt-out désactive, par exemple, les catégories Marketing ou Analyse.
Respectez GPC sans développement supplémentaire
Ajoutez le script CookieHub et le signal GPC peut être détecté automatiquement, l’opt-out appliqué et les informations nécessaires transmises aux mécanismes compatibles tels que l’IAB GPP et Google Tag Manager.
Pour les visiteurs californiens, CookieHub peut également afficher la confirmation requise indiquant que le signal de préférence d’opt-out a été traité.
Une seule configuration pour gérer les exigences applicables aux différentes régions prises en charge.
Gratuit pour les petits sites web.
Questions fréquentes sur Global Privacy Control
GPC signifie Global Privacy Control.
Il s’agit d’un paramètre du navigateur qui envoie aux sites web un signal indiquant que l’utilisateur ne souhaite pas que ses données personnelles soient vendues ou partagées.
Les entreprises soumises à certaines lois américaines sur la protection de la vie privée doivent traiter ce type de signal conformément aux règles applicables, sans obliger le visiteur à rechercher un lien d’opt-out ou à remplir un formulaire supplémentaire.
Les deux mécanismes reposent sur des signaux transmis par le navigateur, mais leur portée juridique est très différente.
Do Not Track n’a jamais obtenu de reconnaissance juridique comparable et a été largement ignoré par les sites web.
GPC a été conçu pour correspondre notamment aux dispositions d’opt-out du CCPA/CPRA et est aujourd’hui reconnu ou exigé par les lois sur la protection de la vie privée d’un nombre croissant d’États américains.
Pour de nombreuses entreprises soumises aux lois concernées, oui.
Douze États disposent actuellement de dispositions relatives à GPC ou aux mécanismes universels d’opt-out : Californie, Colorado, Connecticut, Delaware, Maryland, Minnesota, Montana, Nebraska, New Hampshire, New Jersey, Oregon et Texas.
La Louisiane ajoutera certaines dispositions à partir de 2027 et le Vermont à partir de 2028.
Les obligations précises diffèrent selon les États. La plupart imposent ou reconnaissent le traitement de signaux universels d’opt-out, tandis que le Maryland autorise également certaines obligations à être satisfaites au moyen d’un lien d’opt-out clairement visible.
Chaque loi comporte également ses propres critères déterminant quelles entreprises sont concernées.
Pas comme substitut au consentement.
Les autorités européennes n’ont pas formellement reconnu GPC comme un remplacement du consentement aux cookies. Dans l’Union européenne et au Royaume-Uni, un mécanisme de consentement préalable reste donc nécessaire avant l’utilisation de technologies de suivi non essentielles.
La spécification du W3C indique toutefois que GPC peut être pertinent dans le cadre du RGPD comme expression d’une opposition ou d’un retrait du consentement. À ce jour, les autorités européennes n’ont pas défini de manière générale l’effet juridique de GPC dans ce contexte.
Cela dépend de la manière dont les données d’analyse sont utilisées.
Les outils d’analyse qui impliquent une vente, un partage, de la publicité comportementale intercontextuelle ou l’utilisation des données par un fournisseur à ses propres fins publicitaires peuvent être concernés par GPC.
La mesure strictement utilisée par le site lui-même, sans ces activités, peut ne pas relever de l’opt-out GPC, selon la loi applicable et la configuration de vos fournisseurs.
Si vous souhaitez appliquer une règle plus stricte, vous pouvez également configurer CookieHub afin de désactiver la catégorie Analyse pour les visiteurs qui envoient GPC.
Vous n’avez rien à activer.
La détection de GPC est intégrée au widget CookieHub.
Lorsqu’un visiteur envoie le signal, CookieHub le traite comme un opt-out « Do Not Sell or Share ». Lorsque la région utilise les mécanismes IAB GPP ou US Privacy pris en charge, les informations correspondantes sont transmises aux fournisseurs compatibles.
Si vous souhaitez également que GPC désactive certaines catégories de cookies, ouvrez les paramètres du centre de préférences de la région dans le Dashboard et sélectionnez les catégories concernées par l’opt-out.
Activez GPC dans votre navigateur, effacez les cookies du site et visitez-le comme un utilisateur de Californie, au moyen d’un VPN si nécessaire.
Vous ne devriez pas être obligé d’effectuer une nouvelle demande d’opt-out.
Les paramètres de confidentialité devraient indiquer que le signal a été traité, et votre configuration publicitaire devrait respecter cet opt-out, soit en empêchant certaines balises de se déclencher, soit en plaçant les fournisseurs compatibles dans leur mode d’opt-out ou de traitement restreint.
Si vous utilisez IAB GPP, vous pouvez également vérifier la chaîne au moyen de l’API gpp afin de confirmer que les valeurs correspondant au signal GPC et aux opt-out applicables sont correctement définies.
La réglementation californienne exige que les entreprises concernées indiquent si elles ont traité un signal de préférence d’opt-out comme une demande valide d’opt-out de la vente ou du partage.
La mention « Opt-out preference signal honored » signifie que le site a reconnu et traité le signal envoyé par le navigateur.
CookieHub affiche cette information dans les paramètres de confidentialité pour les visiteurs concernés.
