Pixels de suivi et CIPA : le règlement de 5 M$ d'European Wax Center montre pourquoi votre CMP doit bloquer les tags avant le consentement

Le 2 avril 2026, European Wax Center a accepté de payer 5 millions de dollars pour régler un recours collectif alléguant que son site web déployait des pixels de suivi sans le consentement des visiteurs. L'affaire, Cumor v. European Wax Center, Inc., a été déposée devant le 13e circuit judiciaire du comté de Hillsborough, en Floride. Le règlement couvre les visiteurs de waxcenter.com du 30 juin 2023 jusqu'à la date d'approbation préliminaire.

Le site web d'European Wax Center exécutait les tags de suivi Meta Pixel, Attentive Mobile, LinkedIn et Snap — la même pile technologique qu'utilisent des milliers d'entreprises d'e-commerce et de services. Les pixels capturaient des informations sur les visiteurs, y compris des données liées aux réservations. Aucun de ces pixels n'attendait le consentement avant de se déclencher.

Pixels de suivi et CIPA : le règlement de 5 M$ d'European Wax Center

Le fondement juridique

La plainte invoquait trois lois, toutes initialement écrites pour l'écoute téléphonique : le California Invasion of Privacy Act (CIPA), l'Electronic Communications Privacy Act (ECPA) fédéral, et le Security of Communications Act (FSCA) de Floride. L'argument central était que le suivi par JavaScript tiers sur le site web constituait une interception des communications d'un visiteur avec le site sans son consentement.

La Section 631 du CIPA interdit l'interception non autorisée de communications électroniques, et les tribunaux ont étendu cette interdiction aux pixels de suivi avec une fréquence croissante tout au long de 2025 et 2026. European Wax Center se distingue par le montant du règlement et le caractère ordinaire de la configuration de suivi qui l'a déclenché. Il ne s'agissait pas d'une affaire concernant des outils de relecture de session ou des enregistreurs de frappe. Des pixels marketing standards, faisant exactement ce pour quoi ils sont conçus, selon le calendrier par défaut qu'utilisent la plupart des gestionnaires de tags.

5 000 $ par violation, pour chaque visiteur

Le CIPA prévoit des dommages-intérêts statutaires pouvant atteindre 5 000 $ par violation. Lorsque la classe inclut chaque visiteur d'un site web commercial sur une période pluriannuelle, l'exposition globale augmente rapidement. European Wax Center a choisi de régler pour 5 millions de dollars plutôt que de plaider une affaire où les questions factuelles — les pixels se sont-ils déclenchés, se sont-ils déclenchés avant le consentement, quelles données ont-ils capturées — sont largement vérifiables par la criminalistique technique.

Les demandeurs valides reçoivent 10 $ chacun, sous réserve d'un ajustement au prorata. Il existe une exigence d'éligibilité inhabituelle : les demandeurs doivent attester qu'ils n'utilisaient pas de bloqueurs d'analytique, de paramètres de navigateur bloquant les cookies, d'extensions de prévention du suivi, ou de mode de navigation privée lors de leur visite du site. La classe est limitée aux visiteurs dont les données ont réellement été capturées. Les visiteurs ayant bloqué les pixels n'ont aucun recours car aucune interception n'a eu lieu.

Ce filtre d'éligibilité renforce le fondement factuel de ces affaires. La violation dépend du fait que des données aient réellement été transmises depuis le navigateur du visiteur vers un serveur tiers sans consentement. Si le pixel s'est déclenché et a transmis des données, l'interception a eu lieu. Si le visiteur l'a bloqué, elle n'a pas eu lieu.

Le même schéma, la même exposition

European Wax Center correspond à la théorie dominante des plaignants dans le contentieux CIPA de 2026 : le déclenchement de pixels avant consentement. Un visiteur arrive sur la page. Avant même qu'une interface de consentement n'apparaisse ou que le visiteur n'entreprenne une action, des tags tiers s'exécutent et envoient des données à des serveurs externes. Une interception qui se produit avant le consentement ne peut pas être autorisée rétroactivement par un consentement donné après coup.

L'empilement des demandes à travers le CIPA, l'ECPA et le FSCA est désormais une pratique courante. Les plaignants déposent des plaintes au titre de plusieurs lois sur l'écoute électronique, car les mêmes faits soutiennent toutes ces théories, et un défendeur qui écarte une théorie fait toujours face aux autres. Cet empilement transjuridictionnel élargit la classe potentielle au-delà des résidents californiens, puisque l'ECPA est fédéral et que le FSCA couvre les visiteurs de Floride.

Cette affaire s'inscrit également dans la tendance plus large observée dans Allison v. PHH Mortgage, où le droit d'action privé du CCPA a été étendu pour couvrir les divulgations basées sur les pixels. Les entreprises exploitant des pixels non gérés font désormais face à une exposition à la fois au titre des lois sur l'écoute électronique et des lois sur la protection des données personnelles.

Une pile marketing standard, configurée de manière par défaut

La vulnérabilité n'avait rien d'exotique. Les tags Meta Pixel, Attentive, LinkedIn et Snap étaient intégrés au site. Ils se déclenchaient au chargement de la page. Il n'y avait aucun verrou de consentement empêchant leur exécution avant que le visiteur n'ait fait un choix.

C'est le comportement par défaut dans la plupart des configurations de gestion des tags. Google Tag Manager déclenche les tags sur le déclencheur « Toutes les pages » à moins que les tags ne soient explicitement conditionnés à un signal de consentement. La plupart des équipes marketing ajoutent des pixels dans le but de capturer le plus de données possible, et la configuration par défaut y parvient en se déclenchant immédiatement. « Immédiatement » signifie « avant le consentement », et « avant le consentement » signifie désormais une responsabilité potentielle au titre du CIPA.

Les données liées aux réservations que les pixels capturaient ajoutent une dimension supplémentaire. Lorsqu'un visiteur parcourt des pages de prise de rendez-vous, les URL et le contenu des pages peuvent révéler des informations sur les services qu'il envisage. Ces données, transmises à Meta ou Snap sans consentement, deviennent le fondement factuel d'une plainte pour interception.

Verrouillez vos pixels sur le consentement

L'ensemble de l'affaire European Wax Center reposait sur le timing. Les pixels se sont déclenchés avant le consentement. Une plateforme de gestion du consentement qui verrouille l'exécution des tags sur les signaux de consentement aurait empêché les pixels de se déclencher avant que le visiteur n'ait fait un choix.

En pratique, cela signifie que la CMP se charge avant tout tag tiers. Elle présente l'interface de consentement. Si le visiteur accepte, la CMP libère les tags et ceux-ci se déclenchent normalement. Si le visiteur refuse ou ne prend aucune action, les tags restent bloqués. La décision de consentement intervient dès la première interaction, et les tags marketing se déclenchent une fraction de seconde plus tard pour les visiteurs consentants, plutôt qu'une fraction de seconde avant une interface de consentement qui pourrait ne jamais apparaître.

Le système de verrouillage de tags d'UniConsent gère automatiquement cette séquence. Aucun pixel tiers ne se déclenche avant que l'état de consentement de l'utilisateur ne soit résolu. Pour les visiteurs qui consentent, le délai est imperceptible. Pour les visiteurs qui refusent, les pixels ne se déclenchent jamais. La question du timing qui a motivé l'ensemble de ce règlement est résolue de manière définitive par l'ordre d'exécution de la CMP.

Une CMP fournit également l'infrastructure probante qui compte lorsqu'une plainte est déposée. UniConsent conserve des enregistrements de consentement horodatés documentant ce qui a été présenté à chaque visiteur, quel choix il a fait, et quel comportement de tag en a résulté. Si un plaignant allègue que ses données ont été interceptées sans consentement, l'enregistrement de consentement confirme ou réfute cette allégation avec précision.

Le scanner de cookies d'UniConsent comble le manque de visibilité qui a permis à l'exposition d'European Wax Center de s'accumuler sans être remarquée. Le scanner identifie chaque traceur actif sur le site, cartographie les flux de données vers les tiers, et signale les tags qui ne sont pas verrouillés sur le consentement. Exécuter cette analyse périodiquement permet de détecter les nouveaux pixels que les équipes marketing ajoutent, avant que ces pixels ne deviennent le fondement d'un recours collectif.

Une tendance qui s'accélère

Le règlement European Wax Center n'est pas un cas isolé. Les dommages-intérêts statutaires du CIPA, la simplicité factuelle du déclenchement des pixels avant consentement, et l'usage répandu du suivi non consenti sur les sites web commerciaux créent un environnement propice pour les avocats des plaignants.

Verrouillez vos pixels sur le consentement. Utilisez une plateforme de gestion du consentement qui contrôle l'ordre de déclenchement des tags. Exécutez un scanner de cookies pour savoir ce qui est réellement présent sur votre site. Conservez des enregistrements de consentement capables de démontrer la conformité à tout moment. Le coût de cette démarche représente une fraction de ce qu'European Wax Center vient de payer — et un règlement ne résout que le passé, pas l'avenir.

À propos d'UniConsent

UniConsent fait partie de la plateforme d'expérience utilisateur axée sur la confidentialité de Transfon, servant des dizaines de millions d'utilisateurs par jour pour offrir une expérience de confidentialité fluide tant pour les utilisateurs que pour les éditeurs à l'ère post-RGPD. Contactez-nous pour en savoir plus : hello@uniconsent.com