Global Privacy Control : quels États l’imposent et comment le respecter

Global Privacy Control (GPC) est un réglage du navigateur du visiteur qui dit à chaque site « ne vendez pas et ne partagez pas mes informations personnelles ». Dans douze États américains, une entreprise couverte par la loi de l’État sur la vie privée doit le traiter comme une demande d’opposition valable : Californie, Colorado, Connecticut, Texas, Oregon, Montana, Delaware, New Jersey, New Hampshire, Nebraska, Minnesota et Maryland. Les sites le détectent avec l’en-tête HTTP Sec-GPC: 1 ou la propriété JavaScript navigator.globalPrivacyControl, et le respecter veut dire cesser de vendre ou de partager les données de ce visiteur, en pratique couper les balises publicitaires, sans lui demander de cliquer sur quoi que ce soit.

Qu’est-ce que Global Privacy Control ?

GPC est une spécification développée au W3C. Quand le visiteur l’active, le navigateur envoie l’en-tête Sec-GPC: 1 avec chaque requête et expose navigator.globalPrivacyControl à true aux scripts. Le signal ne dit rien d’autre : ni catégories, ni exceptions par site. Le site de GPC cite Brave, le navigateur de DuckDuckGo et Firefox parmi les navigateurs qui le prennent en charge (activé par défaut dans Brave et DuckDuckGo, sous forme de réglage dans Firefox), ainsi que des extensions comme Privacy Badger. Chrome, Safari et Edge ne le proposent pas nativement aujourd’hui.

Cela va changer en Californie. L’Opt Me Out Act (AB 566), signé le 8 octobre 2025, impose aux navigateurs utilisés en Californie d’intégrer un réglage de signal de préférence d’opposition à partir de janvier 2027. Attendez-vous à ce que la part des visiteurs qui envoient un signal augmente.

Quels États vous obligent à le respecter ?

L’obligation s’applique aux entreprises qui atteignent les seuils de chaque loi ; la page sur les lois des États américains les donne. Comme le signal ne dit pas où vit le visiteur, et que la géolocalisation est approximative, la plupart des entreprises le respectent pour tous les visiteurs américains.

Que veut dire le respecter ?

Le signal vaut opposition à la vente de données personnelles, au partage pour la publicité comportementale intercontextuelle (le terme californien) et à la publicité ciblée (le terme de la plupart des autres États). Pour un site, cela veut généralement dire :

• les pixels publicitaires et les balises de reciblage (Meta, remarketing Google Ads, TikTok, LinkedIn) ne se déclenchent pas, ou se déclenchent en mode restreint ;
• les données ne sont pas transmises aux partenaires ad tech pour le ciblage ;
• si le visiteur est connecté, l’opposition s’applique à son compte, pas seulement au navigateur.

La réglementation californienne, dans sa version en vigueur depuis le 1er janvier 2026, impose aussi à l’entreprise d’afficher si elle a traité le signal comme une demande d’opposition valable, par exemple avec une courte mention dans le panneau de préférences comme « Opt-out preference signal honored ».

La mesure d’audience de votre propre site, avec un fournisseur qui agit comme votre sous-traitant, n’est en général ni une vente ni de la publicité ciblée, donc elle peut continuer à tourner. Google Analytics relié aux audiences Google Ads, c’est une autre histoire.

Comment détecter GPC ?

Dans le navigateur :

js
if (navigator.globalPrivacyControl === true) {
  // treat as an opt-out of sale, sharing and targeted advertising
}

Sur le serveur, lisez l’en-tête de la requête :

text
Sec-GPC: 1

La propriété du navigateur reflète la valeur envoyée au chargement de la page. La spécification permet aussi à un site de publier /.well-known/gpc.json avec un booléen gpc et une date lastUpdate pour déclarer qu’il respecte le signal.

Comment cela s’articule-t-il avec un bandeau de consentement ?

Dans l’UE et au Royaume-Uni, rien de publicitaire ne s’exécute de toute façon avant un opt-in, donc GPC y ajoute peu. L’articulation compte dans les États américains, où le bandeau est en général un avis d’opposition avec un lien « Do Not Sell or Share », comme l’explique l’article sur le lien Do Not Sell. Quand GPC est activé :

1. Enregistrez l’opposition comme si le visiteur avait cliqué sur le lien.
2. Ne chargez pas la catégorie publicité.
3. N’affichez pas, à son arrivée, de message lui demandant de revenir sur ce choix.
4. Indiquez dans les préférences que le signal a été respecté.

Si le visiteur donne ensuite explicitement son accord sur votre site, le règlement du CCPA explique comment gérer le conflit avec un réglage antérieur ; prenez conseil avant de construire ce parcours.

Quelqu’un a-t-il déjà été sanctionné pour l’avoir ignoré ?

Oui. Le premier accord transactionnel CCPA de l’Attorney General de Californie, avec Sephora en août 2022 (1,2 million de dollars), portait notamment sur le défaut de traitement des demandes d’opposition envoyées par GPC. L’accord de 1,35 million de dollars conclu par Tractor Supply avec la California Privacy Protection Agency en septembre 2025 concernait aussi des défaillances dans l’opposition, et le 9 septembre 2025 la Californie, le Colorado et le Connecticut ont annoncé une opération d’enquête conjointe visant les entreprises qui ne traitent pas les demandes d’opposition envoyées par GPC.

Comment le tester ?

Installez un navigateur avec GPC activé (Brave, ou Firefox avec le réglage activé), ouvrez le site depuis une localisation américaine, et vérifiez dans les outils de développement qu’aucune requête publicitaire ne quitte le navigateur et que les préférences affichent l’opposition. Vérifiez ensuite dans le registre des consentements ou des oppositions que la demande a été enregistrée. Les règles du bandeau cookies par pays expliquent comment la configuration américaine cohabite avec le bandeau européen.

Avec un outil de consentement

Cookiequiet respecte GPC comme une opposition sur chaque offre, gratuite comprise : pour les visiteurs des États américains dotés d’une loi sur la vie privée, le mode avis d’opposition enregistre le signal comme une opposition, garde la catégorie marketing désactivée et inscrit l’événement dans le registre des consentements. L’installation tient en une balise script avant vos autres scripts, ciblage géographique inclus, soit environ cinq minutes entre l’inscription et un bandeau en ligne.