Qu'est-ce que le Global Privacy Control, et devez-vous le respecter

Tous les articles

Global Privacy Control est un signal que le navigateur de votre visiteur envoie à chaque requête, pour dire : ne vendez pas et ne partagez pas mes données personnelles. Ce n'est pas une préférence que vous êtes libre de mettre en balance. Dans la plupart des États américains dotés d'une loi complète sur la vie privée, Californie comprise, le respecter est juridiquement contraignant, et l'ignorer a déjà donné lieu à des poursuites.

Ce qu'est réellement le signal

Global Privacy Control est un standard technique ouvert, pas un produit. Un visiteur l'active une fois, dans un navigateur qui le prend en charge ou via une extension, et à partir de là chaque site qu'il visite reçoit automatiquement la même consigne.

Il arrive par deux voies à la fois. Chaque requête porte un en-tête Sec-GPC: 1, et la page peut lire navigator.globalPrivacyControl, qui renvoie true. Brave, Firefox et DuckDuckGo l'intègrent, Chrome et Safari non, et des extensions couvrent le reste. De votre côté, publier /.well-known/gpc.json est la façon de déclarer que vous le respectez.

Le détail qui compte le plus est celui que les glossaires omettent : le signal est déjà là avant que votre bannière n'ait affiché quoi que ce soit. Personne n'a cliqué. Il n'y a pas de boîte de dialogue à interpréter ni d'interaction à attendre. Soit votre couche de consentement le cherche dès le début de la page, soit elle ne le voit jamais.

Devez-vous le respecter

Aux États-Unis, généralement oui. La Californie considère les mécanismes universels d'opt-out comme contraignants depuis janvier 2023, et le Colorado, le Connecticut, le Texas, l'Oregon, le Montana et le Delaware ont suivi à mesure que leurs lois entraient en vigueur. Une minorité d'États dotés d'une loi complète sur la vie privée, dont la Virginie et l'Utah, ne l'exigent pas. Cette liste bouge en permanence, ce qui est un bon argument pour respecter le signal partout plutôt que d'entretenir une carte des endroits où vous pouvez l'ignorer sans risque.

Ce n'est pas théorique. Le procureur général de Californie a engagé des actions coercitives fondées sur des entreprises qui ne traitaient pas les signaux d'opt-out, et le scénario est facile à établir depuis l'extérieur : envoyez le signal, regardez les requêtes publicitaires partir quand même.

Dans l'UE et au Royaume-Uni, la réponse est différente, parce que le modèle juridique l'est. Le RGPD exige un consentement préalable, en opt-in : un signal de navigateur qui exprime un refus ne peut donc pas fournir l'autorisation que vous devez malgré tout demander. Y respecter GPC relève de la bonne pratique, pas de l'obligation, et cela ne change rien à la question de savoir si vous avez besoin d'une bannière au départ.

Quand GPC et votre bannière se contredisent

C'est la partie qui casse discrètement en production. Un visiteur a tout accepté le mois dernier, votre couche de consentement conserve donc un enregistrement qui dit oui. Aujourd'hui, il arrive avec le signal activé. Quelle instruction l'emporte ?

Selon les règles californiennes, c'est l'opt-out, pour la vente et le partage. Le signal est l'instruction la plus récente et il doit être traité comme une demande valide émanant de la personne, pas comme un avis en concurrence avec votre propre cookie. Beaucoup d'implémentations font l'inverse : elles lisent d'abord l'état de consentement stocké, y trouvent une décision, et ne regardent jamais l'en-tête. Rien ne renvoie d'erreur, la bannière se comporte normalement, et le site continue de partager les données d'un visiteur qui lui a dit de ne pas le faire.

Comment vérifier si votre propre site le respecte

1. Activez le signal dans un navigateur

   Brave, Firefox et DuckDuckGo peuvent envoyer Global Privacy Control nativement, et une extension l'ajoute aux autres. Activez-le dans un navigateur et gardez-en un second sans le signal, pour disposer en permanence d'un témoin de comparaison.

2. Vérifiez que le signal quitte réellement le navigateur

   Dans la console, navigator.globalPrivacyControl doit renvoyer true. Dans l'onglet réseau, la requête du document doit porter un en-tête Sec-GPC: 1. Vérifiez-le avant de juger votre site : un réglage qui semble activé mais n'envoie rien a déjà fait perdre bien des après-midi.

3. Observez ce que votre couche de consentement en fait

   Chargez la page avec le signal activé et lisez l'état de consentement que reçoivent vos balises. Les signaux publicitaires doivent déjà être à denied dès la toute première page vue, avant que quiconque ne touche à la boîte de dialogue. Si votre couche de consentement ne réagit qu'aux clics, c'est qu'elle n'a jamais vu l'en-tête.

4. Testez le cas de conflit, c'est là que ça casse le plus souvent

   Acceptez tout, puis rechargez avec le signal activé. En Californie, l'instruction la plus récente l'emporte pour la vente et le partage : une acceptation stockée le mois dernier ne doit donc pas primer sur un opt-out qui arrive aujourd'hui. Les couches de consentement qui lisent d'abord leur propre cookie et ne revérifient jamais l'en-tête échouent exactement là, en silence.

5. Vérifiez la déclaration autant que le comportement

   Publiez /.well-known/gpc.json pour que le signal puisse être confirmé par programme, et indiquez dans votre politique de confidentialité que vous respectez les mécanismes universels d'opt-out. Le respecter sans le dire vous condamne à expliquer un détail d'implémentation à un régulateur au lieu de lui montrer une page.

Ce que l'opt-out coûte à votre mesure, et ce qu'il ne coûte pas

C'est ici que s'arrête la plupart des articles sur GPC, et c'est pourtant la moitié dont nos clients nous parlent vraiment. Un refus en Europe et un opt-out en Californie ne sont pas le même événement, et les traiter à l'identique revient à jeter des données que personne ne vous a demandé d'abandonner.

Un opt-out GPC porte sur la vente et le partage de données personnelles à des fins de publicité ciblée. Transposé sur Consent Mode v2, cela signifie que ad_storage, ad_user_data et ad_personalization passent à denied, tandis que analytics_storage peut rester granted, selon la façon dont votre propre mesure d'audience est qualifiée par la loi de l'État applicable. La perte se concentre donc sur les audiences de remarketing, les conversions améliorées et l'attribution publicitaire. Votre reporting de trafic survit en grande partie, ce qui n'est pas le cas avec un refus global à l'européenne.

Se tromper de périmètre produit deux modes de défaillance, et nous voyons les deux. Le premier est le plus brutal : la couche de consentement traduit le signal en refus global, et une mesure d'audience qui n'était pas en cause s'éteint pour une part du trafic américain que personne ne saura identifier après coup. Le second est pire, parce qu'il a l'air correct : la boîte de dialogue respecte le signal dans sa propre interface, le centre de préférences affiche un opt-out, et les balises publicitaires n'ont jamais été reliées à l'état de consentement, donc elles continuent d'envoyer malgré tout. Le seul moyen de distinguer les deux, c'est de regarder les requêtes partir, ce qui est l'étape trois ci-dessus.

La version courte

Traitez-le comme un opt-out valide, lisez-le avant que votre bannière ne décide quoi que ce soit, laissez-le primer sur une acceptation stockée, et faites-le correspondre aux signaux publicitaires plutôt qu'à tout ce que vous mesurez. C'est là toute l'obligation, et le changement est plus petit que ne le laisse croire le cadrage juridique.

Velo lit le signal en haut de la page, avant que la boîte de dialogue ne soit dessinée, le transpose sur les signaux de consentement v2, et enregistre qu'il a été respecté — c'est la pièce que vous voudrez avoir sous la main si on vous pose un jour la question. Si vous cherchez encore à savoir lesquelles de ces tâches relèvent réellement de votre outillage de consentement, notre article sur ce que fait vraiment une plateforme de gestion du consentement est le bon point de départ.