FedEx : 2,975 M$ d'amende CCPA pour traceurs publicitaires et signaux GPC ignorés

La California Privacy Protection Agency (CalPrivacy) a infligé à Federal Express Corporation une amende de 2,975 millions de dollars au titre du CCPA. Le conseil de l'agence a adopté la décision le 6 novembre 2026 et l'agence l'a annoncée le 10 novembre. Selon la décision, FedEx utilisait des traceurs publicitaires sur son site tout en indiquant aux visiteurs qu'elle ne vendait ni ne partageait leurs données, et le site ne respectait pas les signaux d'opposition tels que Global Privacy Control (GPC).

FedEx : 2,975 M$ d'amende CCPA pour traceurs publicitaires et signaux GPC ignorés

L'amende représente plus du double des 1,35 million de dollars payés par Tractor Supply en 2025, et c'est la plus élevée des amendes administratives prononcées à ce jour par le conseil de l'agence. FedEx a accepté la décision sans reconnaître ni contester les faits, et n'admet aucune responsabilité.

Ce que dit la décision

La décision couvre la période du 1er juillet 2023 au 27 octobre 2025. Elle formule quatre constats au sujet de fedex.com.

Les traceurs publicitaires constituent un "partage"

FedEx avait installé des technologies de suivi de Meta, LinkedIn, Google, Adobe et d'autres sociétés de technologie publicitaire. Ces cookies et pixels mettaient des identifiants uniques d'appareil et d'utilisateur à la disposition de ces sociétés, notamment pour de la publicité ciblée. Les données d'expédition n'étaient pas concernées.

Selon le CCPA, mettre des informations personnelles à la disposition d'un tiers pour de la publicité comportementale inter-contextes est un "partage", qu'il y ait ou non une contrepartie financière. L'agence a aussi écarté l'idée qu'un site B2B serait différent : les gens utilisent les mêmes appareils pour le travail et pour leur navigation personnelle, si bien que les identifiants collectés lors d'une visite professionnelle rejoignent les mêmes profils publicitaires.

La politique de confidentialité disait le contraire

La politique de confidentialité de FedEx indiquait : "Nous ne 'vendons' ni ne 'partageons' vos informations personnelles." Comme les traceurs partageaient des données, l'agence a considéré cette déclaration comme fausse. Le site n'avait pas non plus de lien "Do Not Sell or Share My Personal Information" ni "Your Privacy Choices", seulement un lien "Cookie Consent" en pied de page, et la politique n'expliquait pas comment sont traités les signaux de préférence d'opposition.

Les signaux GPC n'étaient pas respectés

Selon la décision, FedEx n'a pas configuré ses propriétés numériques pour détecter et respecter correctement les signaux de préférence d'opposition des consommateurs. Les visiteurs qui naviguaient avec GPC activé s'étaient déjà opposés, et leurs données ont continué d'être transmises à des sociétés de technologie publicitaire. L'agence rappelle que la Californie impose aux entreprises de respecter ces signaux depuis 2020.

Les préférences de cookies n'arrêtaient pas le partage

Le formulaire d'opposition de FedEx précisait qu'il ne couvrait pas les cookies et renvoyait vers le lien "Cookie Consent". Ce lien ouvrait une fenêtre avec des interrupteurs pour les cookies "Functional", "Analytical" et "Tracking". La décision indique que, même après qu'un visiteur avait désactivé les interrupteurs d'analyse et de suivi, FedEx continuait de mettre les informations personnelles de certains visiteurs à la disposition de certaines sociétés de technologie publicitaire.

La fenêtre ne mentionnait pas non plus la vente ou le partage. Un outil de gestion des cookies ne vaut méthode d'opposition au sens du CCPA que s'il explique comment les réglages de cookies s'appliquent à la vente et au partage d'informations personnelles.

Ce que FedEx doit faire maintenant

Outre l'amende, la décision fixe des obligations applicables pendant trois ans :

• Scanner ses sites web et applications au moins chaque trimestre et tenir un inventaire à jour des traceurs qui vendent ou partagent des informations personnelles
• Maintenir des contrats conformes au CCPA avec chaque tiers auquel des données sont vendues ou avec lequel elles sont partagées, et examiner les nouveaux tiers avant de les ajouter
• Configurer ses sites et applications pour donner plein effet aux oppositions, qu'elles arrivent par GPC ou par un autre moyen
• Tester cette configuration en préproduction et en production au moins chaque trimestre, et à chaque ajout d'un nouveau traceur
• Proposer un lien "Do Not Sell or Share My Personal Information" ou "Your Privacy Choices", sans étapes inutiles
• Faire en sorte que tout outil de cookies utilisé pour les oppositions indique comment il s'applique à la vente et au partage
• Publier chaque année sur son site ses indicateurs relatifs aux demandes CCPA

Les leçons pour votre site web

Si vous utilisez des pixels publicitaires, vous "partagez" probablement

Un Meta Pixel, un LinkedIn Insight Tag ou une balise Google Ads servant au ciblage publicitaire suffit. Si ces balises sont sur votre site, une politique de confidentialité qui affirme "nous ne vendons ni ne partageons" est un risque. Vérifiez d'abord les balises, puis rédigez la politique en conséquence.

GPC doit changer ce que la page charge

Détecter le signal ne suffit pas. Quand un visiteur arrive avec GPC activé, les balises publicitaires qui partagent des données ne doivent pas s'exécuter pour lui. Dans l'annonce de l'agence, la directrice adjointe par intérim chargée de l'application de la loi a déclaré que le temps de mettre en place les informations et les fonctions adaptées aux signaux de préférence d'opposition était passé depuis longtemps. À partir de 2027, l'Opt Me Out Act californien impose en outre aux navigateurs de proposer un signal d'opposition intégré : davantage de vos visiteurs en enverront un.

Une bannière cookies n'est pas automatiquement une opposition CCPA

FedEx disposait d'un outil de préférences de cookies, et cela n'a pas suffi. L'outil doit indiquer qu'il contrôle la vente et le partage, il doit arrêter les traceurs quand le visiteur s'oppose, et le site a toujours besoin du lien d'opposition. L'action collective contre Coca-Cola soulève le même problème du côté des plaignants : un réglage qui ne change rien au comportement des balises.

Testez chaque trimestre, et après chaque nouvelle balise

La décision exige des scans et des tests trimestriels, plus un test à chaque ajout de traceur. C'est un standard raisonnable pour tout site. Pour vérifier le vôtre, activez GPC dans Firefox ou Brave, chargez vos pages et regardez l'onglet réseau. Des requêtes vers des fournisseurs publicitaires avec GPC activé, c'est ce que l'agence a trouvé sur fedex.com.

Les sites B2B sont concernés

FedEx sert surtout aux expéditions professionnelles, et cela ne l'a pas aidée. Si votre entreprise atteint les seuils du CCPA et que votre site comporte des traceurs publicitaires, les règles s'appliquent même si vos clients sont d'autres entreprises.

Comment UniConsent vous aide

UniConsent détecte GPC dans le navigateur du visiteur et enregistre automatiquement son opposition, sans qu'il ait à ouvrir la notice. Les balises publicitaires comme le Meta Pixel, le LinkedIn Insight Tag et les balises Google sont retenues pour les visiteurs qui se sont opposés, et l'opposition est transmise à vos partenaires publicitaires via IAB GPP. Vous configurez cela dans le tableau de bord avec le Tags Loader, sans modifier le code de votre site.

UniConsent ajoute aussi à votre pied de page le lien "Do Not Sell or Share My Personal Information" pour les lois des États américains sur la vie privée, scanne votre site chaque jour à la recherche de nouveaux cookies et conserve une trace de chaque choix.

FAQ

FedEx a-t-elle reconnu avoir enfreint la loi ? Non. FedEx a accepté la décision mais ne reconnaît ni ne conteste les faits, et n'admet aucune responsabilité.

Nous ne vendons pas de données contre de l'argent. Sommes-nous quand même concernés ? Oui. Selon le CCPA, mettre des informations personnelles à la disposition d'une société de technologie publicitaire pour de la publicité comportementale inter-contextes est un "partage", même sans paiement.

Comment vérifier que mon site respecte GPC ? Ouvrez votre site dans un navigateur où GPC est activé et vérifiez navigator.globalPrivacyControl dans la console. Observez ensuite dans l'onglet réseau les requêtes vers des fournisseurs publicitaires. Si elles partent toujours, le signal n'est pas respecté.

GPC n'est-il obligatoire qu'en Californie ? Non. D'autres États, dont le Colorado, le Connecticut et le Texas, imposent aussi aux sites web de le respecter. Voir notre guide de la vie privée aux États-Unis.

Inscrivez-vous et configurez GPC et les oppositions américaines sur votre site en quelques minutes.

Références

• Federal Express to Change Practices and Pay Close to $3 Million Fine Over CCPA Privacy Violations - CalPrivacy
• In the Matter of Federal Express Corporation: Decision and Stipulated Final Order (PDF)
• California Privacy Agency Fines FedEx Nearly $3M - MediaPost