Le lien « Do Not Sell or Share » : ce qu’exige la Californie

La Californie ne demande pas aux sites un consentement avant de déposer des cookies. Elle demande aux entreprises qui vendent ou partagent les informations personnelles des Californiens de les laisser s’y opposer : un lien « Do Not Sell or Share My Personal Information » (ne pas vendre ni partager mes informations personnelles), clair et bien visible sur le site, et le respect du signal Global Privacy Control envoyé par le navigateur du visiteur, traité comme une demande d’opposition valable. Utiliser des traceurs publicitaires qui envoient les données des visiteurs à des plateformes publicitaires compte comme vendre ou partager au sens de la loi, et c’est pourquoi un site avec le pixel Meta ou des balises Google Ads et des visiteurs californiens a besoin de ce lien. Sephora l’a appris en août 2022, quand le procureur général de Californie a conclu avec elle un accord transactionnel de 1,2 million de dollars.

La règle

Le California Consumer Privacy Act, tel que modifié par le California Privacy Rights Act, donne aux consommateurs le droit de s’opposer à la vente ou au partage de leurs informations personnelles. Le « partage » a été ajouté par le CPRA pour couvrir la divulgation à des fins de publicité comportementale inter-contextes, avec ou sans contrepartie financière, ce qui clôt l’argument selon lequel envoyer des données à une régie publicitaire ne serait pas une vente.

La page du procureur général sur le CCPA en décrit la mécanique. Les entreprises qui vendent des informations personnelles doivent « provide a clear and conspicuous 'Do Not Sell or Share My Personal Information' link on their website », c’est-à-dire fournir un lien clair et bien visible sur leur site, et l’inclure dans leur politique de confidentialité. Les consommateurs peuvent aussi s’opposer via un signal de contrôle global activé par l’utilisateur, qui « must be honored by covered businesses as a valid consumer request to stop the sale or sharing », doit être respecté comme une demande valable d’arrêter la vente ou le partage des informations personnelles. Une entreprise dispose de 15 jours ouvrés au plus pour donner suite à une demande d’opposition, et une fois qu’un consommateur s’est opposé, elle doit attendre au moins 12 mois avant de lui demander de revenir sur sa décision. La page du procureur général est la version en langage clair ; la loi se trouve à la section 1798.135 du Civil Code et dans le règlement de la California Privacy Protection Agency.

Global Privacy Control est un réglage du navigateur (ou une extension) qui envoie un en-tête Sec-GPC: 1 avec chaque requête et expose navigator.globalPrivacyControl aux scripts. La spécification est publiée sur globalprivacycontrol.org. Pour un site, le respecter signifie : si le signal est présent, traiter le visiteur comme opposé à la vente et au partage sans attendre un clic.

Trois affaires

Sephora, 24 août 2022. Le procureur général a annoncé un accord transactionnel de 1,2 million de dollars. Les constats : Sephora ne disait pas aux consommateurs qu’elle vendait leurs informations personnelles, alors que son arrangement avec des sociétés tierces qui suivaient les visiteurs « constituted a sale of consumer information under the CCPA », constituait une vente au sens du CCPA ; elle ne respectait pas les demandes d’opposition envoyées via les signaux de contrôle global activés par l’utilisateur ; et elle n’a pas corrigé ces problèmes dans le délai de 30 jours que la loi accordait alors. Sephora a dû mettre à jour ses mentions pour indiquer qu’elle vend des données, proposer des mécanismes d’opposition dont le Global Privacy Control, corriger ses contrats de prestataires et rendre compte au procureur général de ses ventes de données et de son traitement des signaux GPC.

American Honda, 12 mars 2025. La première décision de sanction de la California Privacy Protection Agency a ordonné à Honda de payer 632 500 $ et de changer ses pratiques. L’agence a constaté que Honda obligeait les Californiens à vérifier leur identité et à fournir trop d’informations personnelles pour exercer leurs droits d’opposition et de limitation, utilisait un outil de gestion de la confidentialité qui « failed to offer Californians their privacy choices in a symmetrical or equal way », ne proposait pas les choix de façon symétrique, rendait difficile le recours à des mandataires, et partageait des informations personnelles avec des sociétés d’ad tech sans contrats contenant les clauses requises. Honda a aussi reçu l’ordre de consulter un designer d’expérience utilisateur sur ses méthodes de demande.

Todd Snyder, 6 mai 2025. L’agence a ordonné au détaillant de vêtements de payer 345 178 $. Son mécanisme d’opposition n’avait pas été correctement configuré, si bien que les demandes d’opposition sont restées sans traitement pendant 40 jours ; il obligeait les consommateurs à fournir plus d’informations que nécessaire et à vérifier leur identité avant de s’opposer. Le responsable de la division des contrôles a résumé la leçon en une phrase : « Using a consent management platform doesn’t get you off the hook for compliance. », utiliser une plateforme de gestion du consentement ne vous dispense pas de la conformité.

Ensemble, les trois affaires disent ce que le lien doit faire : exister, être visible, fonctionner sans compte ni vérification d’identité, traiter le signal GPC comme une opposition, et être symétrique de l’option d’acceptation.

Qui est concerné

Le CCPA s’applique aux entreprises à but lucratif qui exercent une activité en Californie et atteignent l’un de ses seuils de chiffre d’affaires, de volume d’informations personnelles de consommateurs traitées, ou de part du chiffre d’affaires tirée de la vente ou du partage d’informations personnelles. Une entreprise sous les seuils est hors du champ de la loi ; la plupart des entreprises avec une clientèle californienne significative sont dedans. D’autres États américains ont adopté leurs propres droits d’opposition, dont plusieurs exigent aussi de respecter les signaux universels d’opposition ; la vue d’ensemble des lois des États américains sur la vie privée les liste, et la page sur le CCPA et le CPRA traite la Californie plus en profondeur.

Comment le mettre en place sur un site

1. Déterminez si vous vendez ou partagez. Si le site utilise le pixel Meta, le remarketing Google Ads, TikTok, LinkedIn ou n’importe quelle balise de régie publicitaire qui reçoit des données de visiteurs, la réponse est presque certainement oui. Une mesure d’audience utilisée seulement pour vos propres statistiques est une question plus ouverte ; les balises publicitaires ne le sont pas.
2. Ajoutez le lien. « Do Not Sell or Share My Personal Information » dans le pied de page de chaque page et dans la politique de confidentialité, menant à une page ou à un panneau où le visiteur peut s’opposer en une étape, sans compte ni vérification d’identité.
3. Respectez GPC. Lisez le signal dans le navigateur et traitez-le comme une opposition : arrêtez les balises publicitaires pour ce visiteur et enregistrez l’opposition.
4. Rendez l’opposition réelle. S’opposer doit arrêter le partage : les balises publicitaires ne doivent plus se déclencher pour ce visiteur ensuite, sur chaque page, pendant toute la durée de l’opposition. Enregistrez le choix pour qu’il persiste.
5. Restez symétrique. Le chemin pour s’opposer ne peut pas être plus long que celui pour rester dans le partage. Un clic pour autoriser, un clic pour refuser.
6. Agissez sous 15 jours ouvrés pour les demandes faites par formulaire ou par e-mail, et ne redemandez pas au visiteur de revenir sur son opposition pendant 12 mois.
7. Corrigez les contrats. Les destinataires ad tech doivent être liés par les clauses contractuelles que la loi exige ; la décision Honda en a fait un constat.

Où se place un bandeau cookies

Un bandeau de consentement à l’européenne n’est pas ce que la Californie exige, et en afficher un aux Californiens n’est pas non plus ce que demande la loi. Le bon schéma est un avis pour les visiteurs des États dotés d’une loi d’opposition : un message court avec le lien « Do Not Sell or Share », des traceurs actifs par défaut, et une opposition immédiate quand le visiteur clique ou quand son navigateur envoie GPC. Cookiequiet le fait avec le ciblage géographique : les visiteurs de l’EEE, du Royaume-Uni et des autres pays à consentement voient le bandeau de consentement, les visiteurs de Californie et des autres États américains dotés d’une loi sur la vie privée voient un avis d’opposition avec le lien Do Not Sell or Share, et le signal Global Privacy Control est respecté comme une opposition, le choix étant enregistré comme n’importe quel autre. Les catégories, le blocage et la tenue du registre sont la même mécanique que pour le bandeau de consentement, et c’est ce qui permet aux deux modèles de cohabiter sur un même site.