CCPA américain : Disney devra payer 2,75 M$ pour échec de la désinscription des consommateurs via Global Privacy Control

Le procureur général de Californie a annoncé un règlement de 2,75 millions de dollars avec Disney le 11 février 2026, en faisant la plus importante amende CCPA jamais infligée. Ce règlement découle de l'échec de Disney à respecter les demandes de désinscription des consommateurs sur ses plateformes de streaming, y compris les demandes effectuées via Global Privacy Control (GPC), le signal basé sur le navigateur qui permet aux utilisateurs de se désinscrire automatiquement de la vente et du partage de données.

CCPA américain : Disney devra payer 2,75 M$ pour échec de la désinscription des consommateurs via Global Privacy Control

Il s'agit de la septième action coercitive CCPA du bureau du procureur général de Californie, faisant suite aux affaires contre Sephora (1,2 million de dollars en 2022), DoorDash, et d'autres. Pour les éditeurs et les marketeurs qui collectent des données utilisateur via la publicité, le message est clair : ignorer les signaux GPC entraîne de réelles conséquences financières.

Comment Disney a violé les exigences de désinscription CCPA

L'enquête, menée dans le cadre d'une opération de 2024 ciblant les services de streaming, a révélé des lacunes sérieuses dans la manière dont Disney traitait les demandes de désinscription en matière de confidentialité sur trois canaux.

Lorsque les consommateurs utilisaient le bouton de désinscription de Disney, l'entreprise ne l'appliquait qu'au service de streaming et à l'appareil spécifiques utilisés. La vente et le partage de données se poursuivaient librement sur les autres services et appareils Disney connectés.

Les demandes soumises via le formulaire web de Disney n'ont pas eu un meilleur sort. L'entreprise a cessé de partager des données via sa propre plateforme publicitaire, mais a continué à vendre des informations personnelles à des entreprises tierces d'ad-tech intégrées. En plus de cela, de nombreuses applications de télévision connectée de Disney n'avaient aucune méthode de désinscription intégrée à l'application.

Les défaillances liées au signal GPC étaient tout aussi problématiques. Lorsque les consommateurs envoyaient un signal Global Privacy Control via leur navigateur, Disney limitait la désinscription à cet appareil unique, même lorsque le consommateur était connecté à son compte sur plusieurs services.

Le procureur général Bonta l'a dit sans détour : « Le droit de désinscription d'un consommateur s'applique partout et de quelque manière qu'une entreprise vende des données — les entreprises ne peuvent pas forcer les gens à procéder appareil par appareil ou service par service. »

La conformité GPC est désormais une priorité légale pour les marketeurs américains

Global Privacy Control est un signal basé sur le navigateur, créé en 2020, qui communique la préférence d'un utilisateur de ne pas voir ses données vendues ou partagées. Il est intégré à Firefox et Brave, et disponible via des extensions sur Chrome et Safari. Selon la loi californienne, les entreprises doivent traiter les signaux GPC comme des signaux de préférence de désinscription valides au titre du CCPA.

Le volume réel de trafic GPC sur la plupart des sites web reste faible aujourd'hui. Mais le risque légal est disproportionnellement élevé. La Californie a fait de l'application du GPC une priorité, et l'amende Disney prouve que même des signaux à faible adoption entraînent des conséquences de plusieurs millions de dollars lorsqu'ils sont ignorés. Avec l'AB-3048 qui exige désormais que les principaux navigateurs et systèmes d'exploitation mobiles prennent en charge nativement les signaux de préférence de désinscription d'ici janvier 2026, l'adoption ne fera que croître.

Au-delà de la Californie, des États comme le Colorado, le Connecticut et le Montana reconnaissent également des mécanismes de désinscription universels. Les marketeurs opérant à travers les juridictions américaines de protection de la vie privée doivent traiter la conformité GPC comme une exigence de base, et non comme un cas marginal.

Ce que le règlement Disney signifie pour les marketeurs et les éditeurs

L'affaire Disney rend la norme de conformité très précise. Les demandes de désinscription, que ce soit via des boutons, des formulaires web, ou des signaux GPC, doivent s'appliquer à tous les services, tous les appareils, et tous les accords de partage de données avec des tiers liés au compte d'un utilisateur. Les mécanismes de désinscription partiels ne résisteront pas à l'application de la loi.

Les marketeurs devraient auditer leurs processus de désinscription actuels par rapport à cette norme. Si un consommateur envoie un signal GPC sur un appareil, cette désinscription devrait se propager à l'ensemble du compte. Si une désinscription par formulaire web arrête le partage de données direct mais pas le partage avec l'ad-tech tiers, le processus est incomplet.

Le moyen le plus pratique de combler ces lacunes est une plateforme de gestion du consentement (CMP) qui détecte automatiquement les signaux GPC et les applique sur l'ensemble de la pile ad-tech. Les processus manuels laissent place exactement au type d'incohérences qui a coûté 2,75 millions de dollars à Disney.

Des tests réguliers comptent également. Les entreprises devraient vérifier que la vente et le partage de données sont entièrement bloqués lorsque le GPC est détecté, et conserver des enregistrements de ces tests. Des efforts de conformité documentés offrent une défense plus solide si les régulateurs viennent frapper à la porte.

Le support intégré du signal GPC par UniConsent

UniConsent fournit un support intégré pour les signaux GPC du navigateur, conçu pour aider les éditeurs et les marketeurs à se conformer aux lois californiennes sur la vie privée sans travail de développement supplémentaire. Lorsqu'un visiteur arrive avec le GPC activé, UniConsent détecte le signal et le synchronise avec les cadres de consentement IAB CCPA et CPRA, marquant automatiquement la session comme « Ne pas vendre ou partager ».

Les signaux GPC sont également synchronisés avec les chaînes de consentement IAB GPP et US Privacy, de sorte que la préférence de désinscription se propage à l'ensemble de votre écosystème publicitaire. UniConsent gère le CCPA, le CPRA, le RGPD, et d'autres réglementations mondiales depuis une seule plateforme, et en tant que CMP certifiée par Google, les signaux de consentement sont reconnus par les services publicitaires de Google.

Le règlement Disney est un tournant pour l'application du GPC. Les entreprises qui intègrent dès maintenant un support GPC via une CMP peuvent éviter les lacunes de conformité qui ont conduit à cette amende record.

Références

• Le procureur général de Californie annonce un règlement de 2,75 millions de dollars avec Disney
• La Californie impose la plus importante amende CCPA à ce jour à Disney - Clark Hill
• La conformité GPC devient une priorité légale pour les marketeurs américains - MarTech

À propos d'UniConsent

UniConsent fait partie de la plateforme d'expérience utilisateur axée sur la confidentialité de Transfon, qui sert des dizaines de millions d'utilisateurs par jour pour offrir une expérience de confidentialité fluide tant pour les utilisateurs que pour les éditeurs à l'ère post-RGPD. Contactez-nous pour en savoir plus : hello@uniconsent.com