Global Privacy Control (GPC)

Qu'est-ce que le Global Privacy Control (GPC) ?

Le Global Privacy Control (GPC) est un réglage du navigateur qui indique à chaque site visité de ne pas vendre ni partager vos informations personnelles. Lorsqu'il est activé, le navigateur ajoute l'en-tête HTTP Sec-GPC: 1 à chaque requête et définit navigator.globalPrivacyControl sur true pour les scripts de la page. C'est le signal GPC.

En Californie, au Colorado, dans le Connecticut et dans un nombre croissant d'États américains, la loi considère le signal GPC comme une demande valide de refus de la vente ou du partage des données personnelles et de la publicité ciblée. Les sites soumis à ces lois doivent le respecter automatiquement, sans demander au visiteur de cliquer sur quoi que ce soit.

Le GPC est le signal de préférence de refus le plus connu, le terme général employé par la réglementation californienne pour ce type de refus au niveau du navigateur.

Qui a créé le Global Privacy Control ?

Le GPC a été présenté au Privacy Community Group du World Wide Web Consortium (W3C) en avril 2020 par un groupe de navigateurs, d'éditeurs, de chercheurs et de défenseurs de la vie privée. En novembre 2024, il est devenu un sujet de travail officiel du W3C Privacy Working Group, où la spécification est en cours de normalisation.

Comment fonctionne le signal GPC ?

La spécification définit deux façons pour un site de lire le signal, ainsi qu'un fichier facultatif permettant au site de déclarer qu'il respecte le GPC :

• En-tête HTTP : le navigateur envoie Sec-GPC: 1 avec les requêtes. L'en-tête n'est envoyé que si le GPC est activé, et les serveurs doivent considérer toute valeur autre que 1 comme absente.
• Propriété JavaScript : navigator.globalPrivacyControl renvoie true lorsque l'en-tête serait envoyé et false sinon.
• Déclaration du site : un site peut publier /.well-known/gpc.json pour indiquer qu'il entend respecter le GPC.

GET /checkout HTTP/1.1
Host: www.example.com
Sec-GPC: 1

// Lire le signal GPC dans le navigateur
if (navigator.globalPrivacyControl === true) {
  // Traiter le visiteur comme ayant refusé la vente, le partage et la publicité ciblée
}

// /.well-known/gpc.json
// { "gpc": true, "lastUpdate": "2026-10-01" }

Le GPC est un signal, pas un bloqueur. Il n'arrête pas les balises à lui seul : le site, ou sa plateforme de gestion du consentement, doit le détecter et l'appliquer.

Quels navigateurs et extensions envoient le GPC ?

L'Opt Me Out Act de Californie (AB 566), signé en octobre 2025, oblige les navigateurs à proposer un réglage intégré de signal de préférence de refus à partir du 1er janvier 2027 : le trafic GPC devrait donc augmenter.

Comment activer le Global Privacy Control

• Brave et DuckDuckGo : rien à faire, le GPC est activé par défaut.
• Firefox : ouvrez les Paramètres, allez dans Vie privée et sécurité et cochez l'option qui demande aux sites de ne pas vendre ni partager vos données. En navigation privée, elle est déjà activée.
• Autres navigateurs : installez une extension qui envoie le GPC, comme Privacy Badger.

Pour vérifier, ouvrez la console du navigateur sur n'importe quelle page et tapez navigator.globalPrivacyControl. Le résultat est true lorsque le signal est actif.

Quelles lois obligent les sites à respecter le GPC ?

Selon la réglementation CCPA, une entreprise qui vend ou partage des informations personnelles doit traiter le signal GPC comme un refus valide de la vente et du partage pour ce navigateur ou cet appareil et pour tout profil associé, y compris le compte du consommateur lorsque l'entreprise sait de qui il s'agit. Depuis l'entrée en vigueur de la réglementation mise à jour le 1er janvier 2026, l'entreprise doit aussi indiquer sur son site si elle a traité le signal, par exemple avec un message tel que "Opt-Out Request Honored". Retrouvez tous les États dans notre guide des lois sur la vie privée des États américains.

Application du GPC : Sephora et Disney

• Sephora, août 2022 : dans le premier accord CCPA, l'Attorney General de Californie a infligé à Sephora une amende de 1,2 million de dollars. L'un des griefs était que Sephora n'avait pas respecté les demandes de refus envoyées via des contrôles de confidentialité globaux activés par l'utilisateur. Le même jour, l'Attorney General a adressé des avis à d'autres entreprises qui ignoraient le GPC.
• Disney, février 2026 : Disney a accepté de payer 2,75 millions de dollars, le plus important accord CCPA à ce jour. Lorsque des consommateurs envoyaient un signal GPC, Disney n'appliquait le refus qu'à cet appareil, même s'ils étaient connectés à leur compte Disney, et continuait de vendre ou partager leurs données depuis d'autres appareils et services. Lire notre analyse : amende CCPA de Disney pour le Global Privacy Control.

GPC ou Do Not Track

Do Not Track (DNT) était un ancien en-tête de navigateur qui demandait aux sites de ne pas suivre l'utilisateur. Aucune loi n'obligeait les sites à le respecter, la plupart l'ont donc ignoré, et des navigateurs comme Safari et Firefox ont depuis supprimé ce réglage.

Le GPC est plus ciblé et a une portée juridique. Il ne demande qu'une chose, ni vente ni partage des données personnelles, et les lois des États américains font de cette demande un refus contraignant. Un site qui ignore le GPC en Californie ou au Colorado ne respecte pas la loi.

GPC et RGPD

Le RGPD ne mentionne pas le GPC et aucune autorité européenne n'en a fait un signal obligatoire. La spécification GPC indique que, dans l'UE, il peut exprimer une demande générale de limiter la vente ou le partage des données personnelles, liée au droit de retirer son consentement (article 7) et au droit d'opposition (article 21).

En pratique, le RGPD repose sur le consentement préalable : vous devez toujours obtenir le consentement avant de déposer des cookies non essentiels, que le visiteur envoie le GPC ou non. Traiter un signal GPC comme un refus des cookies publicitaires pour les visiteurs de l'UE est un choix prudent, mais cela ne remplace pas la bannière de consentement RGPD.

Comment les sites doivent-ils respecter le signal GPC ?

1. Détecter le signal dès la première page vue, via l'en-tête Sec-GPC côté serveur ou navigator.globalPrivacyControl dans le navigateur.
2. Enregistrer le refus du visiteur pour la vente et le partage des données personnelles et la publicité ciblée, sans pop-up ni étape supplémentaire.
3. L'appliquer au compte : si le visiteur est connecté, appliquez le refus à son profil sur tous les appareils et services, comme l'a montré l'affaire Disney.
4. Afficher le statut : indiquez que le signal de préférence de refus a été respecté, comme l'exige la réglementation CCPA depuis 2026.
5. Le transmettre aux partenaires : renseignez le refus et le champ GPC dans les sections américaines de l'IAB GPP et dans la chaîne US Privacy, afin que les partenaires publicitaires cessent de vendre ou partager les données.
6. Tester et documenter : vérifiez régulièrement que les balises publicitaires et analytiques respectent le signal.

Comment UniConsent respecte le Global Privacy Control

Avec UniConsent, vous respectez les refus et le Global Privacy Control automatiquement, tandis que vos analyses continuent de fonctionner.

UniConsent respecte automatiquement le Global Privacy Control pour les visiteurs couverts par vos paramètres CCPA ou US State Privacy. Un signal GPC vaut refus de la vente et du partage des informations personnelles et de la publicité ciblée, sans que le visiteur ouvre la bannière. Les autres finalités ne sont pas concernées.

Le refus est transmis à vos partenaires dans les sections américaines de l'IAB GPP, y compris le champ GPC, et dans la chaîne US Privacy, et il est disponible sous forme de variable GPC dans la couche de données pour Google Tag Manager. Sur les bannières à catégories de consentement aux États-Unis, le GPC désactive la catégorie ciblage. Dans les applications mobiles, le réglage de limitation du suivi publicitaire de l'appareil est traité comme le GPC.

Utilisez une plateforme de gestion du consentement comme UniConsent pour respecter le GPC, afficher les choix de refus et transmettre le signal à vos partenaires depuis une seule balise.

Fait confiance à plus de 5000 éditeurs et marketeurs du monde entier

• 
• 
• 
• 
• 
•