Global Privacy Control : le signal que la plupart des sites ignorent

Il existe un signal que des millions de navigateurs envoient à chaque consultation de page et que la grande majorité des sites ignore purement et simplement. Il s'appelle Global Privacy Control, GPC en abrégé. L'ignorer constitue en Californie une violation du droit applicable — et le premier cas où cela a été sanctionné a coûté 1,2 million de dollars.

Ce que dit le signal

Le GPC est une déclaration technique au contenu unique : cette personne s'oppose à la vente et au partage de ses données personnelles.

L'idée est d'une simplicité redoutable. Plutôt que de cocher des cases sur chaque site, on règle sa préférence une fois dans le navigateur — qui la transmet ensuite à tous les sites consultés. Pour l'utilisatrice, cela signifie : décider une fois au lieu de cliquer cent fois.

Ce que le GPC ne fait pas est tout aussi important : il ne bloque rien. Le signal est un message, non une barrière technique. Le site est informé de l'opposition — c'est à lui de la mettre en œuvre. Qui ne fait rien reçoit tout de même le signal et se contente de l'ignorer.

Qui l'envoie

Plus de monde qu'on ne le suppose :

• Firefox intègre le réglage, sous vie privée et sécurité
• Brave l'envoie par défaut
• Le navigateur DuckDuckGo également
• Chrome, Safari et Edge ne l'envoient pas spontanément, mais peuvent être équipés via des extensions comme Privacy Badger

Qui l'a activé l'envoie à tous les sites — y compris le vôtre. Le signal arrive donc depuis longtemps, que quelqu'un l'exploite ou non.

Où il est contraignant

La précision est ici utile, car le tableau est contrasté.

Aux États-Unis, le GPC est contraignant. La Californie prescrit dans le CCPA, dans sa version modifiée par le CPRA, que les sites doivent respecter les signaux d'opposition activés par l'utilisateur. Le Colorado, le Connecticut et d'autres États ont adopté des règles comparables. La mise en œuvre n'est ni facultative ni négociable : qui reçoit le signal doit traiter l'opposition comme si la personne avait activement cliqué sur un lien.

En Suisse et dans l'UE, il ne l'est pas. Ni la LPD révisée ni le RGPD ne mentionnent explicitement le Global Privacy Control. L'article 21, paragraphe 5 du RGPD est néanmoins intéressant : il prévoit expressément que les personnes concernées peuvent exercer leur droit d'opposition « à l'aide de procédés automatisés utilisant des spécifications techniques ». Cela décrit assez précisément ce que fait le GPC — il n'a simplement pas été reconnu comme tel jusqu'ici.

Qui respecte le signal en Europe en fait donc plus que nécessaire. De notre point de vue, ce n'est pas un inconvénient.

Le cas qui a rendu la chose sérieuse

En août 2022, le procureur général de Californie a conclu avec Sephora un accord portant sur un versement de 1,2 million de dollars — la toute première application publique du CCPA. Il était notamment reproché à l'entreprise de ne pas mettre en œuvre les oppositions exprimées via le Global Privacy Control.

Deux détails de cette affaire sont instructifs :

Premièrement, la violation ne tenait pas au fait que Sephora vendait des données. Elle tenait au fait de recevoir le signal sans rien en faire. L'autorité a considéré qu'un signal reçu et ignoré équivaut à une opposition bafouée.

Deuxièmement, l'accord comportait l'obligation de rendre compte régulièrement au procureur général de la manière dont les signaux GPC sont traités. L'affaire ne s'est donc pas arrêtée au versement — une obligation de preuve a suivi.

La Californie a depuis engagé d'autres procédures. Le message est constant : le signal compte.

Comment un site le détecte

Techniquement, l'effort est minime. Le GPC arrive de deux manières :

Dans le navigateur, via une propriété qui vaut alors true :

if (navigator.globalPrivacyControl === true) {
    // Cette personne s'est opposée
}

Sur le serveur, via un en-tête HTTP transmis à chaque requête :

Sec-GPC: 1

Les deux s'exploitent en quelques lignes. Le vrai travail ne réside pas dans la détection, mais dans la conséquence : l'opposition doit alimenter la logique de consentement, les scripts concernés ne doivent pas se charger, et le résultat doit être communiqué vers l'extérieur — pour le trafic américain via la Global Privacy Platform, afin que les partenaires publicitaires en soient également informés.

Ce qu'une opposition doit désactiver

Une erreur fréquente consiste à traiter le GPC comme un refus RGPD et à tout désactiver. Cela passe à côté de l'objectif.

L'opposition selon le droit californien vise la vente, le partage et la publicité ciblée. Elle ne vise pas la mesure d'audience à des fins propres — celle-ci n'y est pas considérée comme une vente. Qui désactive tout perd des données qu'il aurait le droit de conserver. Qui ne désactive que le nécessaire respecte la règle avec exactitude.

Deuxième erreur : traiter le signal comme un réglage par défaut que l'on peut écraser. Si quelqu'un envoie le GPC, l'opposition est déclarée. Une bannière qui demande malgré tout un accord et le considère comme valable la neutralise.

Comment Aiara procède

Dès que le modèle d'opposition américain est activé pour un domaine, la bannière évalue le signal avant d'afficher quoi que ce soit. S'il est présent, l'opposition s'applique immédiatement — sans demande supplémentaire, sans clic.

Cela se voit à trois endroits. Les scripts marketing ne se chargent pas. La fenêtre de sélection affiche une note indiquant que le signal du navigateur a été détecté et déjà respecté. Et l'interrupteur correspondant est verrouillé, car il n'y a plus rien à décider — un nouvel accord écraserait l'opposition déclarée.

Vers l'extérieur, la décision est communiquée via la Global Privacy Platform, afin que les partenaires publicitaires en soient informés.

Cela vaut-il la peine pour les sites suisses ?

Ce n'est pas obligatoire ici. Mais deux bonnes raisons plaident pour respecter le signal malgré tout.

La raison pratique : dès que vous avez des visiteurs des États-Unis et que vous y relevez de l'une des lois d'État, c'est une obligation. Peu de PME suisses atteignent ce seuil — mais celles qui l'atteignent ne s'en aperçoivent souvent qu'à réception d'une demande.

La raison de fond : quelqu'un a pris la peine de régler une préférence dans les paramètres de son navigateur. Cette personne a exprimé sa volonté sans ambiguïté. L'ignorer parce qu'aucune loi ne l'impose ici est juridiquement défendable — convaincant, cela ne l'est pas.