CCPA : qu'est-ce que le signal de préférence de retrait (OOPS)

Dans une étape importante visant à simplifier la protection de la vie privée des consommateurs, la Californie a introduit un signal de préférence de retrait (OOPS) dans le California Consumer Privacy Act (CCPA) (https://www.uniconsent.com/ccpa). L'AB-3048, parrainé par la California Privacy Protection Agency (CPPA), a été adopté par le parlement californien en août 2024 et aurait permis aux consommateurs de refuser la vente et le partage de leurs informations personnelles sur plusieurs sites web en une seule opération transparente. Le gouverneur Newsom y a opposé son veto en septembre 2024, et l'obligation visant les navigateurs est revenue avec l'AB 566, le California Opt Me Out Act, signé le 8 octobre 2025.

California Consumer Privacy Act : signal de préférence de retrait

Qu'est-ce que les Opt-Out Preference Signals (OOPS) ?

Les Opt-Out Preference Signals (OOPS) offrent aux consommateurs un moyen pratique et automatisé d'exercer leur droit de refuser la vente et le partage de leurs données personnelles auprès de toutes les entreprises avec lesquelles ils interagissent en ligne. Plutôt que de soumettre des demandes de retrait individuelles à chaque entreprise, OOPS permet aux utilisateurs de communiquer leurs préférences en une seule action transparente.

Le 26 février 2024, la législature californienne a introduit l'AB-3048, qui aurait exigé que tous les principaux navigateurs et systèmes d'exploitation mobiles prennent en charge des « signaux de préférence de retrait » tels que le Global Privacy Control (GPC). Cette fonctionnalité permet aux utilisateurs d'exprimer automatiquement leurs préférences en matière de confidentialité, comme le refus de la vente de leurs informations personnelles, via les paramètres du navigateur. Le gouverneur Newsom a opposé son veto au texte en septembre 2024, principalement en raison de l'obligation imposée aux systèmes d'exploitation mobiles.

Son successeur, l'AB 566, facilite l'exercice par les consommateurs de leurs droits en vertu du CCPA, qui exige déjà que les entreprises respectent ces signaux de retrait. Les éditeurs de navigateurs comme Google Chrome, Apple Safari et Microsoft Edge seront tenus d'intégrer un paramètre OOPS, facilitant ainsi la protection des données personnelles des Californiens lors de leur navigation sur le web.

Le cadre juridique

Promulgué le 8 octobre 2025, l'AB 566 exige que les entreprises qui développent ou maintiennent un navigateur web proposent, à partir du 1er janvier 2027, un paramètre configurable par le consommateur qui envoie un signal de préférence de retrait, et autorise la CPPA à adopter des règlements d'application. Contrairement à l'AB 3048, il ne couvre pas les systèmes d'exploitation mobiles. En vertu des réglementations existantes du CCPA, les entreprises doivent déjà reconnaître ces signaux comme des demandes valides de retrait de la vente ou du partage de données.

Ce changement placera la Californie à l'avant-garde des initiatives en matière de confidentialité aux États-Unis, avec un potentiel d'influencer des mesures similaires à l'échelle nationale.

La réglementation de CalPrivacy sur les signaux de retrait

La California Privacy Protection Agency (CalPrivacy) prépare également de nouvelles règles sur la manière dont les entreprises doivent traiter ces signaux. Elle a ouvert une consultation préliminaire du 6 mars au 6 avril 2026 et a reçu 43 commentaires écrits. Lors de la réunion du conseil du 6 août 2026, ses services ont recommandé d'encadrer quatre points :

1. Nommer explicitement le GPC comme signal de préférence de retrait dans la réglementation.
2. Profils pseudonymes : des exemples de la manière dont un signal s'applique aux profils liés à des cookies ou à des identifiants d'appareil plutôt qu'à une personne connue.
3. Déclaration d'indicateurs OOPS : les entreprises indiquent combien de signaux elles reçoivent et respectent.
4. Moment d'application : des exemples de traitement des technologies de suivi qui vendent ou partagent des données avant qu'un signal GPC soit pris en compte, par exemple des cookies déclenchés au chargement de la page.

Au 26 octobre 2026, CalPrivacy n'a publié aucun projet de texte réglementaire : il s'agit donc de recommandations, pas de règles. L'obligation existante s'applique déjà : en vertu des réglementations du CCPA, une entreprise doit traiter un signal de préférence de retrait valide comme une demande de retrait de la vente et du partage.

Avant le 1er janvier 2027

À partir du 1er janvier 2027, les navigateurs devront proposer ce paramètre, et beaucoup plus de visiteurs enverront donc le signal. Trois vérifications méritent d'être faites dès maintenant :

• Détecter le signal dès la première page vue. Lisez l'en-tête Sec-GPC ou navigator.globalPrivacyControl avant le chargement des balises marketing et publicitaires, et non après l'ouverture du bandeau par le visiteur. C'est précisément la question de timing que CalPrivacy veut clarifier.
• Transmettre le retrait à vos partenaires, par exemple via les sections américaines de la chaîne IAB GPP.
• L'appliquer aux utilisateurs connus. Si un visiteur qui envoie le signal est connecté, appliquez le retrait à son compte, et pas seulement au navigateur.

UniConsent détecte le Global Privacy Control dès la première page vue, désactive la catégorie Targeting sur les bandeaux de consentement américains et inscrit le retrait dans la chaîne IAB GPP lue par vos partenaires publicitaires. Lancez un essai gratuit pour vérifier comment votre site traite le signal.

Qu'est-ce que cela signifie pour les entreprises ?

Les entreprises devront s'adapter aux nouvelles exigences, en veillant à ce que leurs systèmes puissent reconnaître et respecter les signaux de préférence de retrait. Pour les entreprises, il ne s'agit pas seulement de conformité, mais aussi de renforcer la confiance des consommateurs et d'offrir des pratiques de confidentialité transparentes.

Le passage à OOPS s'inscrit dans les attentes croissantes en matière d'opérations axées sur la confidentialité à l'ère numérique. Les entreprises qui adoptent cette approche se démarqueront sur un marché concurrentiel en donnant la priorité au consentement des utilisateurs et à la protection des données.

Pour plus de détails sur la manière dont UniConsent prend en charge le Global Privacy Control (GPC), contactez-nous dès aujourd'hui à hello@uniconsent.com.

---

À propos d'UniConsent

UniConsent fait partie de la plateforme d'expérience utilisateur axée sur la confidentialité de Transfon, qui sert des millions d'utilisateurs chaque jour. Nous proposons des solutions transparentes pour aider les éditeurs et les entreprises à gérer le consentement des utilisateurs et à garantir la conformité avec les lois sur la protection de la vie privée telles que le RGPD et le CCPA. Pour plus d'informations, contactez-nous à hello@uniconsent.com.

---