Droit et conformité

Le Global Privacy Control (GPC) et l'en-tête Sec-GPC

Le Global Privacy Control (GPC) permet à une personne d'exprimer une préférence persistante au niveau de son navigateur, au lieu de devoir trouver et actionner un refus de vente ou de partage distinct sur chaque site.

Le signal technique

Le brouillon de travail du W3C définit deux surfaces :

Sec-GPC: 1

Le navigateur envoie cet en-tête de requête lorsque la préférence est activée. Le code JavaScript de la page peut lire le booléen correspondant navigator.globalPrivacyControl. Le signal signifie « ne pas vendre ni partager » ; il ne constitue pas un enregistrement de consentement polyvalent et n'explique pas à lui seul l'effet juridique dans chaque juridiction.

L'effet juridique en Californie

Au titre de la réglementation CCPA, un signal de préférence de refus conforme est traité comme une demande d'opposition à la vente ou au partage. L'entreprise doit le traiter pour le navigateur ou l'appareil concerné et ne peut exiger aucune information supplémentaire pour le rendre effectif, même si le traitement des comptes identifiés et les exceptions font l'objet de règles détaillées. La section 7025 traite également de la façon dont le site indique si le signal a été traité.

Le contrôle est effectif en Californie : l'accord conclu par le procureur général de l'État avec Sephora comportait le grief de ne pas avoir traité les refus exprimés par GPC.

Ce que teste AllyProof

Le travailleur californien envoie à la fois l'en-tête Sec-GPC: 1 et la préférence exposée dans le DOM depuis un navigateur situé en Californie. Il recherche un accusé de traitement visible et enregistre les requêtes et les commandes de choix pertinentes. L'absence d'accusé visible conduit normalement au statut À examiner, et non à un échec automatique : l'obligation peut être conditionnelle, un site peut en accuser réception dans une interface peu apparente, et une observation faite par un navigateur ne peut pas prouver que chaque destinataire en aval a cessé toute vente ou tout partage.

Sources officielles

L'effet du GPC dépend de la loi applicable et des pratiques de l'entreprise. Un accusé de réception côté interface est un élément utile, mais une vérification complète suppose aussi d'examiner les traitements en aval et les contrôles exercés sur les prestataires.

Questions fréquentes

Qu'est-ce que Sec-GPC ?
Sec-GPC est l'en-tête de requête HTTP défini par la spécification GPC. Lorsque la préférence est active, sa valeur est 1. La même préférence est exposée aux scripts de la page via navigator.globalPrivacyControl.
Le GPC est-il la même chose que Do Not Track ?
Non. Le GPC exprime une préférence de non-vente et de non-partage conçue pour s'articuler avec les lois sur la protection des données. L'ancien signal DNT avait un périmètre différent et n'a pas obtenu le même traitement au titre du droit de refus californien.
Un site doit-il afficher une confirmation du GPC ?
La réglementation californienne impose à une entreprise d'indiquer si elle a traité le signal, mais les implémentations varient. L'observation par AllyProof d'un accusé de réception visible n'est qu'un élément de la vérification que la vente ou le partage en aval ont réellement cessé.

Articles liés

Vous souhaitez examiner ces éléments sur votre propre site ?

Lancer une vérification de conformité gratuite