Global Privacy Control (GPC) : Le signal qui fait trembler les sites web (et vous devez le respecter)

Qu'est-ce que le Global Privacy Control (GPC) ?

Le Global Privacy Control (GPC) est un signal que votre navigateur ou une extension peut envoyer automatiquement aux sites web que vous visitez, pour leur signifier que vous refusez la vente de vos données personnelles. C'est un peu comme un panneau 'Stop' numérique : vous n'avez pas à cliquer sur un bouton à chaque fois, le signal est envoyé en continu.

Ce mécanisme a été développé pour simplifier l'exercice du droit de refus de la vente de données, notamment dans le cadre du California Consumer Privacy Act (CCPA) et de son amendement, le California Privacy Rights Act (CPRA).

Le GPC est-il obligatoire en vertu du CCPA/CPRA ?

Oui, depuis le 1er janvier 2023, le CPRA exige que les entreprises traitent le signal GPC comme une demande valide de refus de la vente de données. Concrètement, si un visiteur arrive sur votre site avec le signal GPC activé, vous devez le traiter comme s'il avait cliqué sur 'Ne pas vendre mes informations personnelles'.

Ne pas le faire vous expose à des sanctions, car le California Privacy Protection Agency (CPPA) considère le GPC comme un 'opt-out signal' officiel.

Comment fonctionne le GPC techniquement ?

Le GPC est un en-tête HTTP ou une propriété JavaScript que le navigateur envoie. Il est supporté par des navigateurs comme Firefox (via une extension), Brave, et certains outils comme l'extension Privacy Badger. Quand un site reçoit ce signal, il doit le reconnaître et appliquer le refus de vente pour ce visiteur.

Pour les développeurs, il suffit de détecter l'en-tête 'Sec-GPC: 1' ou la propriété 'navigator.globalPrivacyControl' et de bloquer tout partage de données à des fins de vente.

Que faire si vous êtes un site web ?

Si votre site est soumis au CCPA/CPRA (vous collectez des données de résidents californiens), vous devez :

• Détecter le signal GPC via votre code serveur ou JavaScript.
• Traiter ce signal comme un opt-out explicite.
• Ne pas vendre les données de ce visiteur.
• Mettre à jour votre politique de confidentialité pour mentionner le GPC.

Un bon point de départ est de consulter le site officiel du California Attorney General pour les directives.

Le GPC est-il reconnu en dehors de la Californie ?

Pour l'instant, le GPC est surtout pertinent pour le CCPA/CPRA. Mais d'autres lois, comme le RGPD en Europe, pourraient s'en inspirer. En attendant, si vous opérez à l'international, mieux vaut anticiper : le GPC pourrait devenir un standard mondial.

FAQ