Procès CIPA contre NFL.com : quand l'opt-out n'arrête pas le tracking — comment rendre l'opt-out réellement efficace

NFL Enterprises LLC, l'exploitant de NFL.com, est la dernière grande marque en date à affronter une action collective pour interception illégale en Californie. La plainte, Kimmons v. NFL Enterprises LLC, n° 26CV197596, a été déposée le 6 juillet 2026 devant la Cour supérieure du comté d'Alameda, au nom d'une classe nationale proposée et d'une sous-classe californienne.

La plaignante, une supportrice des San Francisco 49ers résidant à San Leandro, indique avoir visité NFL.com en janvier 2026 pour consulter les scores et les calendriers. Elle affirme que des traceurs exploités par Google, The Trade Desk, Rubicon Project, OpenX, LogRocket et Shape Security se sont chargés dans son navigateur en même temps que la page, et que le site a pris l'empreinte de son appareil, enregistré sa session et transmis ses données de navigation à des réseaux publicitaires avant qu'elle ait pu exprimer le moindre choix.

Un opt-out qui n'a rien changé

NFL.com dispose d'une bannière de consentement aux cookies, et la plainte s'y attaque frontalement. C'est la partie qui mérite le plus d'attention.

Les tests forensiques cités dans la plainte ont dénombré 182 traceurs tiers actifs avant toute interaction de consentement : 24 cookies, quatre scripts de canvas fingerprinting et un enregistreur de session. Après qu'un visiteur a refusé les cookies via la bannière, les mêmes tests ont dénombré 186 traceurs, avec désormais 25 cookies, les mêmes scripts de fingerprinting et le même enregistreur de session. À en croire ces chiffres, refuser le tracking laissait le visiteur légèrement plus exposé que ne rien faire du tout.

La plainte affirme que la bannière procure aux visiteurs un « sentiment de sécurité faux et trompeur », et les deux raisons avancées tiennent au câblage technique du site, pas au texte de la bannière. Les tags se déclenchaient au chargement de la page, le tracking était donc déjà en cours avant que quiconque puisse répondre à la bannière. Et la bannière ne régissait que les cookies, si bien que les outils qui n'en ont jamais eu besoin continuaient de fonctionner quel que soit le choix du visiteur.

Aucun de ces deux problèmes n'est exotique. Le déclenchement au chargement de la page est le réglage par défaut de la plupart des tag managers, et rares sont les bannières de cookies jamais reliées aux scripts de session replay ou de fingerprinting. La plainte Kimmons a simplement mesuré cet écart sur un site célèbre et y a attaché des dommages-intérêts légaux.

Ce que les traceurs auraient collecté

L'enregistreur de session, fourni par LogRocket selon la plainte, capturait l'état complet du Document Object Model de chaque page ainsi que suffisamment de données d'interaction pour reconstituer visuellement la visite : mouvements de souris, clics et leurs coordonnées, survols, défilement, chemins de navigation et frappes saisies dans les barres de recherche et autres champs. La capture des frappes aurait inclus l'ordre et le rythme de chaque touche, que le visiteur ait ou non fini par soumettre ce qu'il tapait.

Les allégations de fingerprinting entrent dans un niveau de détail technique rare pour un dossier CIPA. Quatre scripts distincts de canvas fingerprinting auraient tourné sur le site, trois chargés via Google Tag Manager et un via Shape Security. Chacun collectait des signaux de rendu des polices, de rendu géométrique et d'extraction de data URL, qui se combinent en une signature propre à l'appareil, dérivée du GPU, des pilotes graphiques, de la bibliothèque de polices installée et du moteur de rendu du navigateur. Trois des scripts étaient rattachés à des comptes Google Ads et Campaign Manager, ce que la plainte interprète comme la preuve que les empreintes alimentaient l'attribution publicitaire intersites. Une empreinte survit à la suppression des cookies ; c'est précisément son intérêt.

Les griefs et l'exposition

La plainte articule cinq chefs de demande. Au titre de la Section 631(a) du CIPA, la disposition californienne sur les écoutes, elle soutient que les traceurs ont intercepté en transit le contenu des communications de la plaignante avec le site, en s'appuyant sur Mikulsky v. Bloomingdale's, LLC (9th Cir. 2025) pour la position selon laquelle l'enregistrement de session capture du « contenu », et sur Smith v. Rack Room Shoes et Ambriz v. Google pour soutenir que les fournisseurs ont agi comme intercepteurs tiers et non comme extensions du site. Au titre de la Section 638.51(a), dans la lignée de Greenley v. Kochava, elle soutient que chaque traceur fonctionne comme un pen register en enregistrant des informations de routage, d'adressage et de signalisation, y compris les adresses IP, sans consentement ni ordonnance judiciaire. Les autres chefs relèvent du Wiretap Act fédéral (ECPA), du California Computer Data Access and Fraud Act, de la clause de vie privée de la Constitution californienne et de la loi de l'État sur la concurrence déloyale.

L'arithmétique des dommages-intérêts explique pourquoi ces dossiers continuent d'affluer. La Section 637.2 du CIPA fixe les dommages-intérêts légaux à 5 000 dollars par violation sans exiger la preuve d'un préjudice réel, et le grief ECPA ajoute le plus élevé de 100 dollars par jour et par violation ou de 10 000 dollars. Rapporté au trafic de l'un des sites sportifs les plus visités du pays, le chiffre théorique grimpe très vite. European Wax Center a transigé pour 5 millions de dollars avec un stack de tags bien plus réduit et bien moins de trafic.

La réserve habituelle s'impose. Ce sont des allégations, la NFL n'a pas encore répondu, et la question de savoir si la bannière couvrait les technologies contestées ou si un consentement valable existait par une autre voie sera débattue. Mais les théories elles-mêmes sont celles qui résistent régulièrement aux requêtes en irrecevabilité dans la vague actuelle de contentieux CIPA sur le tracking pré-consentement.

Ce que cela implique pour la gestion du consentement

Tout ce dont la plaignante avait besoin est sorti d'un scan du site. Savoir si des traceurs se déclenchent avant le consentement, et si un opt-out supprime réellement l'enregistreur de session, ne sont pas des questions de droit. Ce sont des faits vérifiables sur la configuration des tags, et n'importe quel exploitant peut exécuter le même test que la plaignante.

C'est aussi pourquoi le remède est architectural et non cosmétique. Une plateforme de gestion du consentement doit se placer devant chaque technologie tierce de la page, pas seulement celles qui déposent des cookies. Le tag gating d'UniConsent retient les pixels, les enregistreurs de session et les scripts de fingerprinting chargés via les tag managers jusqu'à ce que l'état de consentement du visiteur soit résolu : rien ne s'exécute avant le consentement. Lorsqu'un visiteur refuse, la suppression s'applique aussi aux outils sans cookies, et le choix se propage aux fournisseurs en aval via le Google Consent Mode et les frameworks de l'IAB, avec la prise en charge du Global Privacy Control pour les opt-outs californiens.

Reste la preuve. Le scan de site d'UniConsent montre ce qui se déclenche réellement avant et après chaque choix de consentement, et la piste d'audit du consentement conserve les enregistrements démontrant que la bannière tient ses promesses. Exécuter ce test sur son propre site coûte peu. Découvrir la réponse dans une plainte déposée dans le comté d'Alameda coûte beaucoup plus.