Lexique · Gouvernance & conformité
Global Privacy Control
Signal que le navigateur envoie automatiquement (en-tête HTTP Sec-GPC) pour demander aux sites de ne pas vendre ni partager les données personnelles de l'internaute. En Californie, il doit être respecté comme un refus valable ; la proposition européenne d'article 88b du RGPD envisage des signaux de même nature.
- Rubrique
- Gouvernance
- Mise à jour
- Articles
- 1
Notions liées
Sources · 5
- [1] Global Privacy Control (GPC), Working Draft du 18 février 2026 (W3C)
- [2] California Consumer Privacy Act (CCPA) (Office of the Attorney General de Californie)
- [3] Attorney General Bonta Announces Settlement with Sephora as Part of Ongoing Enforcement of California Consumer Privacy Act (Office of the Attorney General de Californie)
- [4] EDPB-EDPS Joint Opinion 2/2026 on the Digital Omnibus, adopté le 10 février 2026 (Comité européen de la protection des données)
- [5] EU Member States (and Google) suddenly want to keep cookie banners! (noyb)
Ce que ça change pour une organisation
Lorsque le Global Privacy Control est activé, le navigateur joint à chaque requête un en-tête Sec-GPC dont la seule valeur définie est 1 ; le serveur doit ignorer l’en-tête s’il porte une autre valeur. La spécification du W3C, qui reste à ce jour un projet de travail (Working Draft du 18 février 2026), décrit ce signal comme l’expression d’une demande de ne pas vendre ni partager des données personnelles avec des tiers, notamment pour la publicité ciblée entre contextes.
En Californie, l’Office du procureur général indique que les entreprises concernées doivent honorer ce signal comme une demande valable d’arrêter la vente ou le partage des données. Pour un site qui monétise l’audience de visiteurs californiens, cela suppose de détecter le signal, côté serveur ou dans la plateforme de gestion du consentement, et de bloquer les balises qui transmettent des données à des tiers.
En Europe, la proposition Digital Omnibus présentée par la Commission le 19 novembre 2025 ajouterait un article 88b au RGPD, consacré aux indications automatisées et lisibles par machine des choix des personnes, avec des normes pour transmettre ces choix du navigateur aux sites, et une disposition visant les fournisseurs de navigateurs (article 88b, paragraphe 6). Le CEPD et le Contrôleur européen de la protection des données l’ont accueilli très favorablement dans leur avis du 10 février 2026, qui ne cite pas le Global Privacy Control. Selon l’association noyb (23 juin 2026), la position du Conseil du 18 juin 2026 supprime toutefois cet article et le Parlement européen n’avait pas encore arrêté la sienne : le sort de ce volet reste donc ouvert.
Exemple
Le 24 août 2022, le procureur général de Californie a annoncé un règlement amiable avec Sephora, assorti de 1,2 million de dollars de pénalités. Il reprochait notamment à l’entreprise de ne pas avoir traité les demandes de refus de la vente de données transmises par des contrôles de confidentialité activés par les utilisateurs, et de ne pas avoir corrigé ces manquements dans le délai de 30 jours prévu par la loi. Le règlement impose à Sephora de proposer des mécanismes de refus, y compris par le Global Privacy Control.
À ne pas confondre avec
- Le consentement du RGPD : accord préalable donné par un acte positif, alors que le Global Privacy Control exprime un refus (opt-out), selon la logique californienne.
- L’article 88b proposé : mécanisme européen envisagé, dont les normes techniques restent à définir, alors que le Global Privacy Control est un signal qui existe déjà.
- Une norme achevée : la spécification est un projet de travail du W3C et non une recommandation définitive.
