Allison v. PHH Mortgage : refuser ne veut pas dire ne pas gérer — pourquoi les pixels de suivi du CCPA ont toujours besoin d'un CMP

Il existe une hypothèse persistante selon laquelle les plateformes de gestion du consentement ne seraient nécessaires que sous des régimes d'opt-in comme le RGPD. Si le CCPA ne requiert qu'un opt-out, pense-t-on, on peut laisser les pixels se déclencher librement et se contenter de fournir un lien de retrait quelque part sur le site.

L'arrêt de mars 2026 dans l'affaire Allison v. PHH Mortgage montre précisément pourquoi cette hypothèse est erronée. Le tribunal du district nord de Californie a jugé que le droit d'action privé du CCPA prévu à l'article § 1798.150 couvre les divulgations non autorisées via des pixels de suivi — et pas seulement les violations de données traditionnelles. Le mode opt-out ne signifie pas mode non géré.

Allison v. PHH Mortgage : refuser ne veut pas dire ne pas gérer

L'arrêt : les pixels ne sont plus seulement un problème de violation de données

PHH Mortgage a soutenu que l'article § 1798.150 ne couvre que les violations de données externes — des pirates informatiques volant des fichiers, et non les propres pixels de l'entreprise transmettant des données à Meta ou Google. Le tribunal a rejeté cette interprétation : « rien dans le libellé clair de la disposition ne limite son application aux violations de données. »

Le plaignant a allégué que le site web de PHH Mortgage déclenchait des technologies de suivi qui divulguaient des informations personnelles à des tiers sans autorisation. Le tribunal a estimé qu'une entreprise divulguant des données par le biais de sa propre infrastructure de suivi relève du libellé clair de la loi, ouvrant la voie à des dommages-intérêts statutaires de 100 à 750 dollars par consommateur et par incident. Deux affaires antérieures, Shah v. Capital One Financial Corp. et M.G. v. Therapymatch Inc., avaient déjà pointé dans cette direction. Allison offre à ce jour l'analyse statutaire la plus approfondie.

Le CCPA repose sur l'opt-out — mais l'opt-out comporte des exigences opérationnelles

Le CCPA demeure principalement un régime d'opt-out. Un pixel qui se déclenche avant qu'un utilisateur ne clique sur une bannière ne constitue pas automatiquement une violation du CCPA du simple fait que l'utilisateur n'a pas consenti explicitement. Cela relève d'une analyse RGPD, pas d'une analyse CCPA. Le socle du CCPA exige une notice au moment de la collecte, un mécanisme de retrait fonctionnel qui respecte les signaux Global Privacy Control, et des contrats fournisseurs classifiant correctement les destinataires en tant que prestataires de services ou tiers.

La théorie Allison ne requiert pas de consentement opt-in. Elle exige que la divulgation ait été autorisée — c'est-à-dire correctement notifiée, correctement délimitée, et correctement contrôlable lorsqu'un utilisateur exerce son droit de retrait. Ce sont des exigences opérationnelles qui ne peuvent être satisfaites par un simple lien statique enfoui dans une page de politique de confidentialité.

Il existe des scénarios plus restreints où le CCPA exige effectivement un consentement explicite — informations personnelles sensibles, mineurs de moins de 16 ans, incitations financières, et réinscription d'un consommateur ayant précédemment refusé. Si vos pixels capturent des catégories de SPI comme des données de santé ou une géolocalisation précise, vous êtes en territoire opt-in, quel que soit le cadre général. Mais même en dehors de ces exceptions, le socle de l'opt-out lui-même exige une infrastructure d'application en temps réel.

Comment les divulgations par pixel deviennent « non autorisées »

Selon la théorie Allison, les plaignants peuvent qualifier une divulgation par pixel de non autorisée sans invoquer un consentement de type RGPD. Les quatre voies apparues dans le contentieux pointent chacune vers un échec opérationnel distinct.

La première est une notice de collecte incomplète. Si vos divulgations de confidentialité n'identifient pas spécifiquement que les données des utilisateurs sont envoyées à Meta, Google, TikTok ou d'autres plateformes via des pixels, la divulgation n'est pas autorisée. Un langage générique sur les « partenaires publicitaires » est insuffisant. La notice doit décrire les flux de données réels.

La deuxième est l'ignorance des signaux de retrait. Lorsqu'un utilisateur envoie un signal GPC ou clique sur « Ne pas vendre » et que le pixel continue de se déclencher, cette divulgation persistante est non autorisée et désormais actionnable en vertu de l'article § 1798.150, avec des dommages-intérêts statutaires.

La troisième — celle qui pèse le plus sur le plan doctrinal — est que le destinataire du pixel ne remplit pas les conditions d'un prestataire de services. Meta, Google Ads et TikTok conservent généralement des droits contractuels d'utiliser les données des pixels à leurs propres fins : entraînement de modèles, optimisation publicitaire, enrichissement de profils. Selon le CCPA, cela en fait des tiers, et le transfert de données constitue une « vente » ou un « partage » soumis à des obligations de retrait. Le tribunal dans l'affaire Taylor v. ConverseNow est allé plus loin, en jugeant que même la simple capacité contractuelle du fournisseur à utiliser les données à ses propres fins détruit la protection de statut de prestataire de services.

La quatrième est la mauvaise gestion des informations personnelles sensibles. Si les URL des pages révèlent des conditions de santé, des intérêts pour des produits financiers, ou d'autres catégories de SPI, les pixels se déclenchant sur ces pages transmettent des SPI à des tiers sans respecter le droit du consommateur de limiter cette utilisation.

Le problème de l'accumulation

Les plaignants combinent désormais les demandes fondées sur l'article § 1798.150 du CCPA avec des demandes fondées sur le California Invasion of Privacy Act (CIPA) dans des plaintes uniques. Les mêmes faits soutiennent les deux théories. Le CIPA traite l'interception elle-même comme une violation d'écoute illégale. Le CCPA traite la divulgation non autorisée comme la violation. Les demandes cumulées augmentent l'exposition et rendent le rejet précoce plus difficile, car un défendeur qui rejette une théorie juridique reste confronté à l'autre.

Pourquoi vos pixels ont besoin d'un CMP même en mode opt-out

Chacune des quatre théories Allison pointe vers une exigence qui ne peut être satisfaite sans infrastructure de gestion des balises. Il ne s'agit pas d'une simple prudence juridique — c'est une question de capacité opérationnelle de base.

Lorsqu'un visiteur se retire, chaque pixel constituant une vente ou un partage doit cesser de se déclencher immédiatement pour cette session. Pas au prochain chargement de page, pas après une actualisation du cache, mais dans la même interaction. Sans un CMP contrôlant votre couche de balises, il n'existe aucun mécanisme pour faire respecter cela. Le lien de retrait existe, mais rien ne le relie aux pixels réellement actifs dans le navigateur.

Prouver qu'une divulgation était autorisée au moment où elle s'est produite est désormais une question factuelle avec de réelles exigences probatoires. Si un plaignant affirme que ses données ont été envoyées à Meta après son retrait, votre défense dépend d'une preuve documentée de l'état du consentement et de la suppression des pixels à cet horodatage précis. Un CMP génère ces registres automatiquement et en continu. Une simple page de retrait autonome ne génère rien.

Vous ne pouvez pas non plus fournir une notice précise au moment de la collecte si vous ignorez quelles balises tierces sont actives sur vos pages, quelles données elles transmettent et à qui. La plupart des sites accumulent des balises de suivi au fil du temps à mesure que les équipes marketing ajoutent des fournisseurs. Sans analyse systématique, votre notice de confidentialité ne correspond presque certainement pas à vos flux de données réels — et ce décalage constitue lui-même l'une des théories Allison.

Tous les fournisseurs ne sont pas égaux au regard du CCPA. Certains remplissent les conditions de prestataire de services ; d'autres sont des tiers. Les règles diffèrent pour chacun. Un CMP vous permet d'appliquer des règles de déclenchement différentes selon le statut contractuel réel de chaque fournisseur — en continuant de faire fonctionner les balises des prestataires de services tout en supprimant les pixels tiers pour les utilisateurs qui se sont retirés.

Comment UniConsent répond à l'exposition Allison

UniConsent a été conçu autour du principe selon lequel les signaux de consentement doivent contrôler le comportement des balises au niveau de la couche d'exécution, et non se contenter d'enregistrer des préférences dans une base de données. Plusieurs fonctionnalités spécifiques répondent directement aux exigences opérationnelles créées par cet arrêt.

Le système de blocage des balises garantit qu'aucun pixel tiers ne se déclenche tant que l'état du consentement de l'utilisateur n'est pas résolu. En mode opt-out, cela signifie que les pixels se déclenchent par défaut pour les utilisateurs qui ne se sont pas retirés, mais sont supprimés en temps réel dès qu'un utilisateur exerce son droit. La suppression s'applique au sein de la même session de page, comblant l'écart temporel exploité par les plaignants.

L'intégration Global Privacy Control d'UniConsent détecte les signaux GPC au niveau du navigateur et les synchronise avec le cadre IAB CCPA et les signaux de consentement spécifiques aux fournisseurs. Lorsque le navigateur d'un utilisateur californien envoie un signal GPC, UniConsent l'interprète comme un retrait de la vente et du partage, et applique ce signal à tous les fournisseurs connectés sans nécessiter d'interaction utilisateur supplémentaire. C'est ce mécanisme qui empêche la théorie du « retrait ignoré » de prospérer.

Le scanner de cookies cartographie chaque traceur actif sur votre site, identifie les fournisseurs recevant les données et documente les flux de données. Cela vous fournit les informations brutes nécessaires pour rédiger des notices de collecte qui correspondent réellement au comportement de votre site. L'exécution périodique du scanner détecte les nouvelles balises ajoutées par les équipes marketing, empêchant l'écart entre notice et réalité de se rouvrir.

UniConsent maintient des registres de consentement horodatés, structurés pour les audits réglementaires et contentieux. Chaque registre documente ce qui a été présenté à l'utilisateur, le choix qu'il a fait, et le comportement des balises qui en a résulté. Cette piste d'audit constitue le fondement probatoire pour se défendre contre des réclamations comme celle d'Allison. Le validateur de données de consentement vérifie que ces registres sont correctement structurés et cohérents en interne.

Le système de catégorisation des fournisseurs au sein d'UniConsent vous permet de classer chaque balise comme appartenant à un prestataire de services ou à un tiers, en fonction de la relation contractuelle réelle. Les balises tierces sont automatiquement soumises à la suppression liée au retrait. Les balises des prestataires de services continuent de se déclencher. Cette distinction, appliquée au niveau de la couche de gestion des balises plutôt que dans un document juridique, est ce qui rend la défense du statut de prestataire de services opérationnellement réelle plutôt que simplement contractuelle.

Que vérifier dès maintenant

Après Allison, quatre questions nécessitent des réponses défendables. Votre notice de collecte identifie-t-elle spécifiquement les tiers recevant des données via les pixels ? Les signaux GPC et les demandes de retrait suppriment-ils réellement les pixels dans le navigateur, et non seulement une entrée de base de données ? Vos contrats fournisseurs restreignent-ils véritablement le destinataire dans l'utilisation des données à ses propres fins — et votre infrastructure de balises reflète-t-elle cette classification ? Les pixels présents sur des pages avec des URL liées à des SPI sont-ils soumis à des contrôles supplémentaires ?

Si l'une de ces réponses est « non », un plaignant dispose désormais d'un levier de droit d'action privé du CCPA avec des dommages-intérêts statutaires, en plus de toute réclamation d'écoute illégale au titre du CIPA. La solution n'est pas de basculer vers un opt-in de type RGPD. La solution consiste à faire fonctionner réellement votre infrastructure d'opt-out — avec une plateforme de gestion du consentement qui applique les signaux que votre site promet de respecter.

À propos d'UniConsent

UniConsent fait partie de la plateforme d'expérience utilisateur axée sur la confidentialité de Transfon, au service de dizaines de millions d'utilisateurs par jour afin d'offrir une expérience de confidentialité transparente aux utilisateurs comme aux éditeurs à l'ère post-RGPD. Contactez-nous pour en savoir plus : hello@uniconsent.com