Ouvrir l'espace

Guide · Norme du secteur

La GPP expliquée : un seul signal pour plusieurs lois de confidentialité

La GPP rassemble dans un seul code les choix de confidentialité que demande chaque loi, des États américains au Canada et à l'Europe. Vous comprendrez ici comment elle fonctionne, ce que Google lit et quand votre site en a besoin.

Auditer la GPP de mon siteLire le guide
  • ✓Basé sur la spécification de l'IAB Tech Lab
  • ✓Comprend ce qu'Ad Manager accepte et ignore
  • ✓Lecture sans modifier le site
2022année où la version 1.0 de la chaîne GPP a été publiée
20sections d'États américains dans la liste officielle de la GPP
6sections américaines qu'Ad Manager lit dans la GPP
7numéro de la section nationale américaine, usnat

Définition

Une boîte unique pour les signaux de confidentialité

La GPP est un protocole de l'IAB Tech Lab, l'organisme technique de l'industrie publicitaire. Elle est née sous le nom de Global Privacy Platform et apparaît aujourd'hui sur le site officiel sous le nom de Global Privacy Protocol. Le sigle reste le même.

L'idée est simple. Chaque loi de confidentialité demande des informations différentes. La Californie parle de vente et de partage de données. D'autres États parlent de publicité ciblée. L'Europe parle de consentement par finalité. La GPP range tout cela dans un seul code, la chaîne GPP, divisé en sections.

La bannière de confidentialité du site, la CMP, construit cette chaîne selon la région et le choix du visiteur. Ensuite, le code d'annonces envoie la chaîne aux plateformes, qui ne lisent que la section applicable à ce visiteur.

Comme le TCF, la GPP n'est pas une loi. C'est un outil technique pour transmettre le choix du visiteur aux partenaires publicitaires de façon standardisée.

Checklist

Ce que vous devez respecter

Le GPP n'est pas une loi, donc ces points viennent des lois des États américains et de ce que Google demande pour lire le signal.

  1. Affichez le lien de refus aux visiteurs américains

    En Californie, l'entreprise qui vend des données personnelles doit avoir un lien clair et visible appelé Do Not Sell or Share My Personal Information. Le message sur les réglementations des États de Google crée ce lien.

    Exemple

    Pied de page pour les visiteurs américains avec le lien Do Not Sell or Share My Personal Information.

  2. Traitez le GPC comme un refus

    En Californie, le signal Global Privacy Control envoyé par le navigateur doit être respecté comme une demande valide d'arrêter la vente ou le partage des données.

    Exemple

    Quand le navigateur envoie le GPC, la CMP enregistre le refus dans la GPP string sans demander de clic.

  3. Faites en sorte que le refus modifie la GPP string

    Google active le traitement restreint des données quand la chaîne indique un refus de la vente, du partage ou de la publicité ciblée. Si le clic ne change pas la chaîne, le refus n'arrive pas chez Google.

  4. Utilisez les sections que Google lit

    Google accepte dans le GPP la section nationale des États-Unis et les sections de la Californie, du Colorado, du Connecticut, de la Floride et de la Virginie. Il n'accepte pas la section de l'Utah, le TCF canadien ni la version 1.0 du GPP.

  5. Gardez le TCF propre à l'Europe

    Pour les visiteurs de l'EEE, du Royaume-Uni et de la Suisse, Google continue d'utiliser le TCF de l'IAB Europe avec une CMP certifiée. La TC string européenne à l'intérieur du GPP n'est pas acceptée.

  6. Envoyez gpp et gpp_sid dans chaque requête

    Google reçoit la chaîne dans le paramètre gpp et le numéro des sections dans le paramètre gpp_sid. Vérifiez que les partenaires de header bidding reçoivent aussi les deux.

    Exemple

    Dans la requête d'annonce d'un visiteur avec la section nationale, le paramètre gpp_sid contient le numéro 7.

  7. Sans GPP, indiquez le refus dans la balise

    Google n'exige ni GPP ni CMP pour les États américains. Celui qui a son propre lien de refus peut activer le traitement restreint directement dans la balise Ad Manager pour ceux qui ont refusé.

    googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true
});

  8. Remplacez l'US Privacy String par le GPP

    L'IAB a abandonné l'US Privacy String en janvier 2024. Google lit encore ce signal, mais recommande de passer au GPP.

En pratique

Ce qui est correct et ce qui ne l'est pas

Outils officiels

CMP certifiées et liens officiels

Google n'exige ni CMP certifiée ni GPP pour les États américains, donc utilisez ces pages officielles pour générer le signal et afficher le refus.

Définitions

Les termes que vous verrez dans le tableau de bord et les rapports

Six concepts expliquent presque tout ce qui se passe avec la GPP sur un site.

Chaîne GPP

Le code complet, avec un en-tête et une ou plusieurs sections. C'est ce qui voyage avec les demandes d'annonces.

En-tête

La première partie de la chaîne. Elle indique quelles sections s'y trouvent, pour que chaque partenaire trouve celle dont il a besoin.

Section

Le bloc d'une juridiction, comme la section nationale américaine ou celle d'un État. Chacune a un numéro et un nom court.

gpp_sid

La liste des numéros des sections qui s'appliquent à cette demande. Elle accompagne la chaîne pour que le partenaire sache laquelle lire.

API __gpp

La commande standard de la CMP sur la page. Les scripts d'annonces lui demandent si la chaîne est prête et quel en est le contenu.

MSPA

Contrat multi-États de l'IAB pour les transactions publicitaires aux États-Unis. La section nationale a des champs qui indiquent si la transaction est couverte par ce contrat.

Les sections

Ce que contient une chaîne GPP

La liste officielle des sections se trouve dans le dépôt de l'IAB Tech Lab et s'allonge à mesure que de nouvelles lois entrent en vigueur.

TCF d'Europe (tcfeuv2)

Transporte la TC string européenne dans la GPP. Utile pour les partenaires qui lisent tout par la GPP, mais Google n'accepte pas cette voie pour les visiteurs européens.

TCF du Canada (tcfcav1)

Version canadienne du TCF, créée par l'IAB Canada pour les règles de consentement du pays.

US Privacy (uspv1)

L'ancien signal de la Californie, aussi appelé chaîne de quatre lettres. Il reste dans la liste, mais a été abandonné par l'IAB.

National des États-Unis (usnat)

Une section qui couvre les lois d'État de façon unifiée. Beaucoup de CMP n'utilisent qu'elle pour tous les États.

Sections d'État

Blocs propres à des États comme la Californie, la Virginie, le Colorado, le Connecticut, le Texas, l'Oregon et d'autres. La liste officielle en compte 20.

Sous-section GPC

La section nationale peut transporter l'indication que le navigateur a envoyé le Global Privacy Control, le signal de refus automatique.

À qui il s'applique

Quand votre site a besoin de la GPP, et où elle n'aide pas

La GPP fait plus de différence pour les sites avec des visiteurs des États-Unis qui affichent des annonces programmatiques. C'est par elle que les plateformes savent si le visiteur a demandé que ses données ne soient pas vendues, partagées ou utilisées pour de la publicité ciblée.

Si votre public est presque entièrement brésilien, la GPP a peu d'effet. La LGPD n'utilise pas cette norme et Google ne demande pas de GPP pour les visiteurs du Brésil. Il vaut quand même la peine de configurer la CMP par région pour que le public des États-Unis reçoive le bon signal.

Pour l'Europe, la GPP ne remplace pas le TCF chez Google. Ad Manager n'accepte pas la TC string européenne envoyée dans la GPP pour les visiteurs de l'EEE, du Royaume-Uni et de la Suisse. Dans ces régions, la CMP certifiée avec TCF reste obligatoire pour les annonces personnalisées.

Ceux qui font appliquer les lois derrière la GPP sont les autorités de chaque pays ou État, comme les procureurs généraux des États américains. La GPP elle-même n'inflige pas d'amende. Elle est la preuve technique que le choix du visiteur a été transmis.

Droits du visiteur

Ce que la section nationale américaine enregistre

La section usnat contient deux types d'information. Le premier est de savoir si le site a informé le visiteur : avis de partage, avis de vente, avis de publicité ciblée et avis sur les données sensibles.

Le second est ce que le visiteur a décidé. Il y a des champs pour le refus de la vente de données, le refus du partage, le refus de la publicité ciblée, l'utilisation de données sensibles et le consentement pour les données d'enfants.

Ces champs reflètent les droits que les lois d'État donnent aux personnes. Quand un visiteur clique sur Ne pas vendre ni partager mes informations, la CMP modifie le champ correspondant et tous les partenaires reçoivent le refus à la demande d'annonce suivante.

La section indique aussi si la transaction est couverte par le contrat MSPA et peut contenir la valeur du Global Privacy Control envoyée par le navigateur.

Comment mettre en œuvre

Cinq étapes pour que la GPP fonctionne sur le site

  1. Choisissez une CMP compatible GPPLa plupart des CMP commerciales et le message de confidentialité de Google offrent des options pour les États américains. Vérifiez quelles sections votre CMP génère.
  2. Définissez les régionsAffichez le message et générez la section américaine pour les visiteurs des États-Unis. Pour l'Europe, conservez le TCF propre. Pour le reste du monde, suivez la loi locale.
  3. Placez le lien de refusDes lois comme celle de la Californie demandent un lien visible pour que le visiteur refuse la vente ou le partage. Il doit mettre à jour la chaîne GPP immédiatement.
  4. Transmettez la chaîne aux partenairesLa balise Google lit la chaîne via l'API de la CMP. Dans le header bidding et les réseaux supplémentaires, vérifiez que la chaîne et le gpp_sid accompagnent chaque demande.
  5. Testez avec et sans refusOuvrez le site comme un visiteur des États-Unis, refusez la vente et regardez si la chaîne change et si les demandes d'annonces portent désormais le refus.
Test rapide dans la console du navigateur avec l'API standard de la GPP
// Pergunta à CMP se a GPP string está pronta
__gpp('ping', function (data, ok) {
  if (!ok) return;
  console.log('status:', data.signalStatus);         // 'ready' ou 'not ready'
  console.log('seções:', data.applicableSections);   // ex.: [7]
  console.log('string:', data.gppString);
});

AdSense et Ad Manager

Comment Google lit la GPP

Ad Manager reçoit la chaîne dans deux paramètres de la demande d'annonce : gpp, avec la chaîne, et gpp_sid, avec les numéros des sections. La balise Google s'en charge lorsque la CMP expose l'API standard.

Dans la GPP, Ad Manager accepte la section nationale américaine et les sections de la Californie, du Colorado, du Connecticut, de la Floride et de la Virginie. Il n'utilise pas la GPP pour le TCF européen, le TCF canadien et la section de l'Utah.

Quand la chaîne indique un refus, Google active le traitement restreint des données. Dans la section nationale, cela se produit avec le refus de la vente, du partage ou de la publicité ciblée. L'annonce continue d'être affichée, mais sans personnalisation fondée sur les données de ce visiteur.

Google n'exige pas que l'éditeur signe le MSPA. Ad Manager participe au programme de partenaires certifiés du MSPA. Depuis septembre 2025, Google accepte la deuxième version de la section nationale et continue d'accepter la première.

Chronologie

Comment la GPP en est arrivée là

La norme est mise à jour chaque fois que de nouvelles lois d'État entrent en vigueur.

  1. 28 septembre 2022

    Version 1.0 publiée

    L'IAB Tech Lab publie la spécification finale de la chaîne GPP et la première version de l'API des CMP.

  2. Décembre 2022

    Naissance de la section nationale américaine

    La section usnat est lancée pour réunir les lois d'État en un seul bloc.

  3. Juin 2023

    API des CMP en version 1.1

    L'API répond désormais par des fonctions de rappel, et certaines anciennes commandes sont retirées.

  4. Janvier 2024

    Chaîne US Privacy abandonnée

    L'IAB abandonne l'ancien signal de la Californie. Google continue de lire ce signal, mais la voie recommandée devient la GPP.

  5. Septembre 2025

    Google accepte la section nationale v2

    Ad Manager se met à lire la deuxième version de la section nationale, sans cesser d'accepter la première.

  6. Fin 2025

    Nouveaux États

    Les sections du Maryland, de l'Indiana, du Kentucky et du Rhode Island sont finalisées après la consultation publique.

  7. Août 2026

    Mise à jour pour le nouveau MSPA

    La spécification est mise à jour vers la version la plus récente du contrat multi-États.

Erreurs courantes

Ce qui casse le plus la GPP sur les sites

Presque tout passe inaperçu, car la bannière continue de s'afficher normalement.

Lien de refus qui ne change rien

Le visiteur clique sur ne pas vendre, mais la chaîne GPP reste identique. Pour les partenaires, le refus n'a jamais eu lieu.

TCF européen uniquement dans la GPP

La CMP n'envoie la TC string que par la GPP. Google n'accepte pas cette voie pour l'EEE, le Royaume-Uni et la Suisse, et les annonces sont limitées.

gpp_sid erroné ou vide

La chaîne arrive, mais la liste des sections ne correspond pas au contenu. Le partenaire ne sait pas quel bloc lire.

Annonces avant la chaîne

Le code d'annonces se déclenche avant que la CMP soit prête. Les premières demandes partent sans aucun signal de confidentialité.

Header bidding sans GPP

La balise Google reçoit la chaîne, mais pas les partenaires de header bidding. Une partie de l'enchère ignore le refus du visiteur.

GPC ignoré

Le navigateur envoie le Global Privacy Control, mais la CMP n'enregistre pas le refus. Dans plusieurs États, cela est traité comme un refus valable.

En pratique

Ce qui est permis et ce qui ne l'est pas avec la GPP

Exemples pratiques pour ceux qui ont du trafic des États-Unis et d'autres pays.

Autorisé

  • N'utiliser que la section nationale américaine, si la CMP et les partenaires l'acceptent
  • Générer la chaîne uniquement pour les visiteurs des États-Unis et garder le TCF pour l'Europe
  • Afficher un lien fixe Ne pas vendre ni partager en pied de page
  • Enregistrer le GPC du navigateur comme refus dans la chaîne
  • Vérifier dans la console si la chaîne change après le refus

Interdit

  • Utiliser la GPP à la place de la CMP certifiée avec TCF pour l'Europe
  • Laisser le lien de refus ouvrir seulement un formulaire e-mail
  • Envoyer des sections d'États qui ne correspondent pas au visiteur
  • Charger les annonces avant que la CMP réponde
  • Ne garder que l'ancienne chaîne US Privacy sans planifier le remplacement

Dans ConsentMode

Ce que l'audit vérifie sur la GPP

  • Ouvre le site comme un visiteur des États-Unis et d'autres régions et regarde si la CMP génère la chaîne GPP.
  • Identifie la CMP et les sections présentes dans la chaîne, comme la nationale ou les sections d'État.
  • Vérifie si la chaîne et le gpp_sid accompagnent les demandes d'annonces de la page.
  • Vérifie s'il existe un lien de refus et si la chaîne change après le clic.
  • Signale si l'Europe dépend uniquement de la GPP, sans le TCF que Google exige.
Lancer un auditVoir tout ce qui est vérifié

Questions fréquentes

La GPP et le TCF sont-ils concurrents ?

Non. Le TCF est la norme européenne de consentement. La GPP est une enveloppe qui peut transporter le TCF et les signaux d'autres lois. Chez Google, l'Europe continue d'utiliser directement le TCF, et la GPP sert surtout pour les États-Unis.

Mon site est brésilien. Ai-je besoin de la GPP ?

Seulement si vous avez des visiteurs des États-Unis et que vous voulez que leur refus parvienne aux partenaires publicitaires. Pour le public brésilien, la GPP n'est pas exigée par Google.

La GPP remplace-t-elle la chaîne US Privacy ?

C'est la voie indiquée par l'IAB, qui a abandonné l'ancienne chaîne en janvier 2024. Google lit encore l'ancienne chaîne, le remplacement peut donc être planifié sans précipitation.

Dois-je signer le MSPA pour utiliser la GPP ?

Google n'exige pas que l'éditeur signe. Si d'autres partenaires le demandent, évaluez avec le service juridique. Le MSPA est un contrat, pas un paramètre technique.

Le traitement restreint des données supprime-t-il les annonces ?

Non. Google continue d'afficher des annonces, mais sans utiliser les données de ce visiteur pour la personnalisation. Le revenu par visite est généralement plus faible.

Comment voir la chaîne GPP de mon site ?

Ouvrez la console du navigateur et utilisez la commande ping de l'API __gpp, comme dans l'exemple de ce guide. Ou lancez un audit ConsentMode, qui montre la chaîne et les sections.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Découvrez si le refus de vos visiteurs atteint les annonces

L'audit lit la chaîne GPP comme un visiteur des États-Unis et montre ce qu'il faut corriger, sans rien modifier.

Lancer l'audit