Guide · Signal du navigateur

Global Privacy Control : quand le navigateur dit non à votre place

Le GPC est un avertissement automatique que le navigateur envoie à chaque site pour dire que la personne ne veut pas que ses données soient vendues ou partagées. Dans plusieurs États américains, ignorer cet avertissement a déjà valu une amende. Voyez comment réagir et comment tester.

Vérifier si mon site respecte le GPC Lire le guide

✓Basé sur la spécification du GPC et sur des sources officielles des États
✓Un test que tout le monde peut faire dans le navigateur
✓Lecture sans modifier le site

3navigateurs avec GPC intégré : Brave, DuckDuckGo et Firefox

1,2 M USDaccord de Sephora en Californie pour avoir ignoré le GPC, en 2022

2024année où le Colorado a commencé à exiger le GPC, depuis le 1er juillet

3États dans l'opération conjointe de septembre 2025 : Californie, Colorado et Connecticut

Définition

Un avis de confidentialité qui accompagne chaque visite

Le Global Privacy Control, ou GPC, est un réglage du navigateur. Quand la personne active cette option, le navigateur prévient tous les sites visités qu'elle ne veut pas que ses données personnelles soient vendues ou partagées.

La grande différence avec une bannière de cookies, c'est que personne n'a besoin de cliquer sur quoi que ce soit sur votre site. Le refus arrive déjà prêt, avant même le chargement de la page. Le site n'a qu'à lire l'avis et s'y conformer.

Le GPC est déjà présent dans Brave et DuckDuckGo, où il est activé par défaut, et dans Firefox, où la personne l'active dans les paramètres. Des extensions comme Privacy Badger, Disconnect et OptMeowt envoient aussi le signal dans d'autres navigateurs.

La proposition est née en 2020, dans un groupe du W3C, l'organisation qui crée les standards du web. En novembre 2024, elle est devenue un élément de travail officiel du groupe de travail sur la confidentialité du W3C, où elle est en cours de normalisation.

Checklist

Ce que vous devez respecter

Ces obligations s'appliquent là où la loi exige le GPC, comme la Californie, le Colorado et le Connecticut, pour les entreprises dans les seuils de chaque loi.

Traitez le signal comme un refus valide
En Californie, le GPC est une demande de refus valide. Au Colorado, depuis le 1er juillet 2024, il vaut comme refus de vente et de publicité ciblée. Dans le Connecticut, l'obligation s'applique depuis le 1er janvier 2025.
2
Lisez le signal avant les balises
Le navigateur l'indique par l'en-tête Sec-GPC avec la valeur 1 et par la propriété navigator.globalPrivacyControl. Le guide officiel du GPC demande que le script se trouve le plus tôt possible dans la page.
```
// Lê o GPC antes das tags e liga o RDP na GPT
if (navigator.globalPrivacyControl === true) {
  googletag.cmd.push(function () {
    googletag.pubads().setPrivacySettings({
      restrictDataProcessing: true
    });
  });
}
```
Ne demandez ni connexion ni données supplémentaires
Les règles du Colorado interdisent d'exiger une connexion pour accepter le signal et de demander plus de données que le strict nécessaire.
Expliquez le GPC dans la politique de confidentialité
Au Colorado, la politique doit dire comment les refus par signal universel, comme le GPC, sont traités.
Exemple
Nous respectons le Global Privacy Control. Si votre navigateur envoie ce signal, nous traitons la visite comme un refus de vente et de publicité ciblée.
Transmettez le refus à tous les partenaires
Google active le RDP quand la string GPP indique un refus, ou quand la balise demande le RDP. Le même refus doit aussi atteindre le header bidding et les pixels.
Montrez le statut du choix
En Californie, les règles en vigueur depuis 2026 demandent que le site montre au visiteur le statut de son choix. Au Colorado, montrer que le signal a été respecté est permis.
Exemple
Panneau de confidentialité : signal GPC reçu. Votre refus a été appliqué.

En pratique

Ce qui est correct et ce qui ne l'est pas

IncorrectLe site n'applique le refus que si le visiteur clique à nouveau sur une bannière.
CorrectLe navigateur envoie le GPC et le site applique le refus immédiatement, sans demander de clic.
IncorrectDes pixels et des annonces se déclenchent avant que quiconque lise le signal.
CorrectLes balises d'annonces attendent que la CMP lise le GPC avant de se charger.
IncorrectLa politique ne mentionne ni le GPC ni les signaux automatiques du navigateur.
CorrectLa politique dit que le site respecte le GPC et explique ce qui se passe avec la visite.

Outils officiels

CMP certifiées et liens officiels

Le GPC n'a pas de liste de CMP certifiées, et Google n'exige pas de CMP certifiée aux États-Unis. Vérifiez que votre CMP lit le GPC et enregistre le refus dans la string GPP.

Définitions

Les termes techniques sans complication

Ces mots apparaissent dans les lois, les CMP et les outils de développement du navigateur.

En-tête Sec-GPC

L'avis que le navigateur envoie au serveur à chaque requête. Quand la personne a activé le GPC, il vaut exactement 1.

navigator.globalPrivacyControl

La même information disponible pour les scripts de la page. Elle est vraie quand le GPC est activé et fausse quand il ne l'est pas.

Fichier gpc.json

Un fichier facultatif à l'adresse well-known du site dans lequel le propriétaire déclare qu'il respecte le GPC, avec la date de la dernière mise à jour.

Vente et partage

En Californie, partager signifie utiliser les données pour de la publicité comportementale entre différents sites. Les publicités programmatiques entrent généralement ici.

Publicité ciblée

Terme utilisé par des lois comme celles du Colorado et du Connecticut pour les publicités choisies d'après ce que la personne fait sur d'autres sites.

Signal universel de refus

Nom générique que les lois utilisent pour des avis automatiques comme le GPC. Chaque État précise quels signaux il accepte.

À qui il s'applique

Où respecter le GPC est déjà une obligation

Les lois s'appliquent aux entreprises qui atteignent les critères de chaque État, comme le volume de données de résidents. Vérifiez avec le service juridique si votre site entre dans ces critères.

Californie

Le procureur général indique que le GPC doit être accepté par les entreprises concernées comme une demande valable d'arrêter de vendre ou de partager des données.

Colorado

Depuis le 1er juillet 2024, les entreprises concernées doivent respecter le GPC. Aujourd'hui, c'est le seul signal universel accepté par l'État.

Connecticut

Depuis le 1er janvier 2025, les signaux du navigateur valent refus de la vente de données et de la publicité ciblée.

Oregon

Depuis le 1er janvier 2026, les résidents peuvent utiliser un signal universel de refus envoyé par le navigateur ou par une extension.

Autres États

D'autres lois d'États américains traitent aussi des signaux universels de refus, avec leurs propres dates. La liste change souvent.

Hors des États-Unis

Au Brésil et en Europe, le GPC ne remplace ni la bannière ni le consentement. Pourtant, respecter le signal montre de l'attention envers le visiteur.

Droits du visiteur

Ce qui change pour le visiteur qui active le GPC

Pour la loi, le GPC équivaut à ce que la personne clique sur le lien Ne pas vendre ni partager mes informations. La différence est qu'elle n'a pas besoin de trouver ce lien sur chaque site.

Après avoir reçu le refus, le site ne peut plus vendre ni partager les données de cette personne, sauf si elle l'autorise de nouveau. En Californie, l'orientation officielle est de traiter les demandes de refus dès que possible, sans dépasser 15 jours ouvrables.

Au Connecticut, le signal vaut même lorsqu'il entre en conflit avec un choix antérieur de la personne ou avec un programme de fidélité. Le site peut signaler le conflit et demander confirmation, mais ne peut pas simplement ignorer le signal.

Le GPC ne demande pas que le site cesse de fonctionner ni qu'il cache les publicités. Les publicités continuent d'apparaître. Elles ne peuvent simplement pas utiliser les données de cette personne pour la vente, le partage ou la publicité ciblée.

Obligations du site

Comment le site doit réagir au GPC

Détectez le signal dès le débutLa CMP ou un script en haut de la page lit le signal avant le chargement de toute balise publicitaire ou marketing.
Appliquez le refus immédiatementMarquez le visiteur comme ayant refusé la vente, le partage et la publicité ciblée, sans demander de clic ni de formulaire.
Transmettez le refus aux partenairesMettez à jour la GPP string, avec le refus et le champ GPC de la section nationale, pour que Google et les autres partenaires reçoivent le même avis.
Montrez que le signal a été respectéUne phrase comme Nous avons reçu votre signal de confidentialité dans le panneau des préférences aide le visiteur et sert de trace pour le site.
Testez dans un navigateur avec GPCActivez le GPC dans Firefox ou utilisez Brave, ouvrez le site et vérifiez dans la console et dans les requêtes réseau que le refus a été appliqué.

Lecture du signal dans le navigateur et fichier de déclaration facultatif

// Lê o GPC antes das tags de anúncio
if (navigator.globalPrivacyControl === true) {
  // trate como recusa de venda, compartilhamento
  // e publicidade direcionada
  // a CMP deve refletir isso na GPP string
}

// Opcional: /.well-known/gpc.json
{ "gpc": true, "lastUpdate": "2026-11-02" }

AdSense et Ad Manager

Comment le refus du GPC arrive aux publicités de Google

Le GPC s'adresse à votre site, pas directement à chaque partenaire publicitaire. C'est pourquoi la voie la plus sûre est que la CMP transforme le signal en un refus enregistré dans la GPP string.

Ad Manager lit la section nationale des États-Unis et les sections de la Californie, du Colorado, du Connecticut, de la Floride et de la Virginie. Quand la string indique un refus de la vente, du partage ou de la publicité ciblée, Google active le traitement restreint des données.

Ainsi, la publicité continue d'être affichée, mais sans personnalisation fondée sur les données de ce visiteur. Les revenus par visite baissent généralement un peu, mais le site cesse de risquer d'ignorer un refus valable.

Attention au header bidding et aux réseaux supplémentaires. Si seule la balise de Google reçoit le refus, les autres acheteurs de l'enchère continuent d'utiliser les données comme si le visiteur n'avait jamais refusé.

Chronologie

De l'expérimentation au contrôle

En quelques années, le GPC est passé d'une proposition technique à une cible de contrôle conjoint entre États.

2020
Proposition au W3C
Le GPC naît dans un groupe communautaire de confidentialité du W3C.
24 août 2022
Affaire Sephora
Le bureau du procureur de Californie annonce un accord de 1,2 million USD. L'un des griefs est de ne pas avoir traité les refus envoyés par le GPC.
1er juillet 2024
Le Colorado exige le GPC
Les entreprises couvertes par la loi du Colorado se mettent à respecter le GPC comme refus de la vente et de la publicité ciblée.
Novembre 2024
Élément officiel du W3C
Le GPC est désormais normalisé par le groupe de travail sur la confidentialité du W3C.
1er janvier 2025
Le Connecticut exige les signaux du navigateur
Des signaux comme le GPC valent désormais refus de la vente et de la publicité ciblée.
9 septembre 2025
Opération conjointe
La Californie, le Colorado et le Connecticut envoient des lettres à des entreprises qui semblent ne pas respecter le GPC.
1er janvier 2026
L'Oregon adopte le signal universel
Les résidents de l'Oregon peuvent désormais utiliser un signal universel de refus via le navigateur.

Contrôle

Qui contrôle et ce qui s'est déjà passé

Le contrôle est exercé par les bureaux des procureurs généraux de chaque État et, en Californie, aussi par l'agence d'État de protection de la vie privée. Ils peuvent enquêter, exiger une correction et appliquer les sanctions prévues par chaque loi.

Le premier grand cas a été celui de Sephora, en 2022. Le bureau du procureur de Californie a affirmé que l'entreprise ne traitait pas les refus envoyés par le GPC et n'avait pas corrigé le problème dans le délai que la loi prévoyait à l'époque. L'accord a été de 1,2 million USD.

En septembre 2025, la Californie, le Colorado et le Connecticut ont mené une opération conjointe et envoyé des lettres à des entreprises qui ne semblaient pas respecter le GPC, demandant une correction immédiate.

Le test que font les autorités est simple : activer le GPC dans le navigateur et voir si le site continue d'envoyer des données à des partenaires publicitaires. Tout le monde peut refaire ce test.

Erreurs courantes

Ce qui fait qu'un site ignore le GPC sans s'en rendre compte

Dans la plupart des cas, le propriétaire du site pense que tout va bien parce que la bannière apparaît.

CMP sans lecture du GPC

L'option existe dans la CMP, mais elle est désactivée. Le signal arrive et personne ne le lit.

Balises avant la CMP

Les pixels et les publicités se chargent avant que la CMP lise le signal. Les premières données sont déjà parties quand le refus est appliqué.

Refus uniquement dans le cookie de la CMP

La CMP enregistre le refus, mais ne met pas à jour la GPP string. Les partenaires ne le savent jamais.

Exiger un clic pour confirmer

Le site affiche un avis demandant à la personne de confirmer le refus avant de l'appliquer. Le signal est déjà le refus.

Header bidding laissé de côté

Le refus arrive à Google, mais pas aux autres acheteurs de l'enchère.

Uniquement pour la Californie

Le signal est respecté pour un État et ignoré dans les autres où il est aussi exigé.

En pratique

Ce qui est permis et ce qui ne l'est pas face au GPC

Exemples du quotidien pour les sites avec des visiteurs des États-Unis.

Autorisé

Continuer à afficher des publicités, sans personnalisation avec les données de la personne
Montrer dans le panneau des préférences que le signal a été reçu
Signaler un conflit avec un choix antérieur et demander confirmation
Publier le fichier gpc.json déclarant que le site respecte le signal
Appliquer le même refus à tous les partenaires de l'enchère

Interdit

Ignorer le signal parce que le visiteur n'a pas cliqué sur la bannière
Exiger une connexion, un e-mail ou un formulaire pour accepter le refus
Charger des pixels marketing avant de lire le signal
Bloquer le contenu pour ceux qui utilisent le GPC
Annuler le refus à la visite suivante sans nouvelle autorisation

Dans ConsentMode

Ce que l'audit vérifie sur le GPC

Ouvre le site deux fois, avec et sans le signal GPC, comme un visiteur des États-Unis.
Compare les balises et les demandes de publicité qui se déclenchent à chaque visite.
Lit la GPP string et vérifie que le refus et le champ GPC apparaissent quand le signal est activé.
Vérifie si le fichier gpc.json existe et si le panneau des préférences indique le signal.
Fournit des captures de chaque visite et l'ajustement à faire dans la CMP ou dans les balises.

Lancer un audit Voir tout ce qui est vérifié

Questions fréquentes

Le GPC remplace-t-il la bannière de cookies ?

Non. La bannière reste nécessaire là où la loi demande un avis ou un consentement. Le GPC est un refus automatique que le site doit respecter, avec ou sans bannière.

Mon site est brésilien. Dois-je m'en préoccuper ?

Si vous avez des visiteurs des États-Unis et que votre activité entre dans les critères des lois des États, oui. Pour le public du Brésil, la LGPD ne cite pas le GPC, mais respecter le signal ne gêne pas les publicités.

Respecter le GPC retire-t-il les publicités de la page ?

Non. Les publicités continuent. Elles ne peuvent simplement pas utiliser les données de ce visiteur pour la vente, le partage ou la publicité ciblée.

Comment activer le GPC pour tester ?

Dans Firefox, activez l'option dans les paramètres de confidentialité. Dans Brave et DuckDuckGo, le signal est déjà activé. Ensuite, tapez navigator.globalPrivacyControl dans la console : le résultat doit être true.

Le fichier gpc.json est-il obligatoire ?

Non. C'est une déclaration facultative prévue par la spécification. Ce qui compte pour la loi, c'est que le site applique réellement le refus.

Google lit-il le GPC tout seul ?

Ne comptez pas dessus. La voie sûre est que la CMP transforme le signal en refus dans la GPP string, qu'Ad Manager lit et utilise pour restreindre le traitement des données.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Voyez ce que fait votre site quand le navigateur dit non

L'audit visite le site avec et sans GPC et montre la différence, sans rien modifier.

Lancer l'audit