# Global Privacy Control (GPC) : définition et mise en conformité

> Le signal Global Privacy Control : ce qu'il est, quand sa prise en compte est obligatoire et comment le détecter avec navigator.globalPrivacyControl et Sec-GPC.

Source: https://www.cookiesh.eu/fr/blog/global-privacy-control  
Published: 2026-06-18

## Key takeaways

- Global Privacy Control est un signal envoyé par le navigateur pour indiquer aux sites qu'une personne s'oppose à la vente ou au partage de ses données personnelles.
- La réglementation d'application du CCPA en Californie impose aux entreprises qui vendent ou partagent des informations personnelles de traiter le GPC comme une demande d'opt-out valable.
- Les navigateurs transmettent le GPC via l'en-tête de requête Sec-GPC: 1 et l'exposent aux scripts sous la forme navigator.globalPrivacyControl.
- Respecter le GPC, c'est réellement interrompre les flux de données, comme les pixels publicitaires et de retargeting, pour ce navigateur, et pas seulement enregistrer le signal.
- Dans l'UE et au Royaume-Uni, le GPC ne dispense pas de recueillir un consentement préalable (opt-in) pour les cookies non essentiels.

Global Privacy Control (GPC) est un paramètre du navigateur qui envoie aux sites un signal simple : ne vendez pas et ne partagez pas mes données personnelles. Les navigateurs le transmettent sous la forme de l'en-tête HTTP `Sec-GPC: 1` et l'exposent en JavaScript via `navigator.globalPrivacyControl`. La Californie impose aux entreprises concernées de le traiter comme une demande d'opt-out valable : le respecter suppose donc de détecter le signal et d'interrompre les flux de données concernés.

## Qu'est-ce que Global Privacy Control ?

Le GPC est une spécification technique qui permet aux internautes d'exprimer une préférence de confidentialité une seule fois, dans leur navigateur, plutôt que sur chaque site visité. Il a été élaboré par une coalition de chercheurs en protection de la vie privée, d'éditeurs de navigateurs et d'éditeurs de sites, et la spécification est publiée sur globalprivacycontrol.org.

Lorsque le paramètre est activé, le navigateur ajoute un en-tête à ses requêtes HTTP et définit une propriété JavaScript que les pages peuvent lire. Certains navigateurs, comme Brave et Firefox, le proposent nativement, tandis que d'autres reposent sur des extensions. Le signal est soit présent, soit absent, et ne transmet aucune autre information sur l'utilisateur.

Contrairement à l'ancien en-tête Do Not Track, qu'aucune obligation légale n'imposait de respecter, le GPC s'appuie sur la loi dans plusieurs États américains. C'est pourquoi il mérite du temps de développement.

## Respecter le GPC est-il une obligation légale ?

En Californie, oui. La réglementation d'application du CCPA impose aux entreprises qui vendent ou partagent des informations personnelles de traiter les signaux de préférence d'opt-out comme le GPC comme des demandes d'opt-out valables, et les autorités californiennes ont engagé des procédures contre des entreprises qui les ignoraient.

Plusieurs autres États américains dotés de lois complètes sur la protection de la vie privée imposent aux entreprises de respecter les mécanismes universels d'opt-out pour la publicité ciblée et la vente de données, et certaines autorités ont officiellement reconnu le GPC comme l'un d'eux. Les exigences et les dates d'entrée en vigueur varient selon les États : vérifiez chaque loi qui vous est applicable. Pour le contexte californien, voir [CCPA et CPRA : ce que le droit américain de la vie privée implique pour les cookies](/fr/blog/ccpa-cpra-cookies).

Dans l'UE et au Royaume-Uni, le statut juridique du GPC est moins établi. L'absence de signal GPC ne vaut jamais consentement : vous avez donc toujours besoin d'un consentement préalable pour les cookies non essentiels. Le RGPD envisage toutefois que les personnes puissent s'opposer par des moyens automatisés : traiter le GPC comme une préférence à part entière est donc un choix par défaut judicieux et respectueux de la vie privée.

## Comment détecter le signal GPC ?

Vérifiez `navigator.globalPrivacyControl` dans le navigateur et l'en-tête `Sec-GPC` côté serveur. Utilisez les deux : la vérification côté client régit les balises qui se chargent dans la page, et la vérification côté serveur couvre les décisions prises au rendu serveur ainsi que le balisage côté serveur.

Dans le navigateur, la propriété vaut `true` lorsque l'utilisateur a activé le GPC. Dans les navigateurs qui ne le prennent pas en charge, elle vaut `undefined` : utilisez donc une comparaison stricte.

```js
// À exécuter avant le chargement de toute balise marketing
const gpcEnabled = navigator.globalPrivacyControl === true;

if (gpcEnabled) {
  // Traiter comme une opposition à la vente et au partage pour ce navigateur :
  // ignorer les pixels publicitaires, de retargeting et sociaux, et enregistrer l'opposition.
}
```

Côté serveur, le navigateur envoie `Sec-GPC: 1` avec chaque requête lorsque le GPC est activé. Dans une application Node.js utilisant Express :

```js
app.use((req, res, next) => {
  // Les noms d'en-tête ne sont pas sensibles à la casse ; "1" est la seule valeur définie
  req.gpcOptOut = req.get('Sec-GPC') === '1';
  // Si les réponses varient selon le GPC et sont mises en cache, faire varier le cache selon l'en-tête
  res.vary('Sec-GPC');
  next();
});
```

Vous pouvez également publier un fichier `/.well-known/gpc.json` pour déclarer que votre site respecte le signal, comme le prévoit la spécification GPC :

```json
{
  "gpc": true,
  "lastUpdate": "2026-06-18"
}
```

## Que suppose concrètement le respect du GPC ?

Respecter le GPC, c'est modifier le comportement de votre site, pas seulement lire un indicateur. Traitez le signal comme une opposition complète à la vente et au partage pour ce navigateur.

1. **Détectez tôt.** Vérifiez le signal avant que toute balise qui vend ou partage des données puisse se déclencher.
2. **Interrompez les flux de données.** Neutralisez les pixels tiers publicitaires, de retargeting et sociaux, et mettez à jour les contrôles en aval, par exemple en passant à « denied » les signaux liés à la publicité dans [Google Consent Mode](/fr/blog/google-consent-mode-v2-guide).
3. **Étendez-le aux utilisateurs connus.** Si le visiteur est connecté ou que vous le connaissez par ailleurs, appliquez aussi l'opposition à son compte.
4. **N'ajoutez pas de friction.** N'exigez ni étapes ni informations supplémentaires pour confirmer l'opposition. Si un accord donné précédemment sur votre site contredit le signal, vous pouvez expliquer la contradiction et laisser l'utilisateur confirmer son choix.
5. **Affichez le résultat.** Un court message comme « Demande d'opt-out prise en compte » aide les utilisateurs à constater que le signal a fonctionné.
6. **Conservez une trace.** Consignez la réception et l'application d'une demande d'opt-out GPC, avec vos autres [preuves de consentement](/fr/blog/proof-of-consent-records).

Pour le détail technique du blocage des balises, voir [comment bloquer les scripts tiers jusqu'au consentement](/fr/blog/block-scripts-until-consent). La même couche de blocage peut appliquer une opposition GPC.

## Comment le GPC se compare-t-il aux autres signaux de confidentialité ?

Le GPC a une portée plus étroite qu'un bandeau cookies, mais un poids juridique plus important que les anciens signaux de navigateur. Ce tableau montre où il se situe.

| Signal | Ce qu'il exprime | Portée juridique |
| --- | --- | --- |
| Global Privacy Control | Ne vendez pas et ne partagez pas mes données | Opt-out contraignant en vertu du droit californien et de certaines autres lois d'États américains |
| Do Not Track | Ne me suivez pas | Aucune obligation légale de le respecter ; désormais obsolète |
| Choix exprimé dans le bandeau cookies | Consentement granulaire par finalité | Nécessaire pour un consentement préalable valable dans l'UE et au Royaume-Uni |

## En résumé

Le GPC transforme une préférence de confidentialité en signal lisible par machine et, en Californie comme dans un nombre croissant d'autres États, l'ignorer constitue un manquement. Détectez-le côté client et côté serveur, interrompez les flux de données qu'il couvre, consignez ce que vous avez fait et gardez votre parcours de consentement européen distinct. Des outils comme Cookiesh prennent en charge le GPC, afin que le signal soit traité avec le reste de votre dispositif de consentement.

*Cet article est fourni à titre d'information générale et ne constitue pas un avis juridique. Pour toute décision concernant votre situation, consultez un professionnel qualifié de la protection des données.*

## FAQ

### Le GPC remplace-t-il un bandeau cookies ?

Non. Le GPC ne transmet qu'un seul message, une opposition à la vente et au partage : vous avez donc toujours besoin d'un moyen de recueillir un consentement conforme aux exigences européennes et de proposer d'autres choix. En revanche, les visiteurs californiens qui ont activé le GPC ne devraient pas avoir à renouveler leur opposition manuellement.

### Quels navigateurs prennent en charge le GPC ?

La prise en charge varie et évolue dans le temps. Certains navigateurs, comme Brave et Firefox, proposent le GPC nativement, d'autres le prennent en charge via des extensions de protection de la vie privée. Le site Global Privacy Control tient à jour une liste.

### Que faire si un utilisateur GPC a auparavant accepté la vente ou le partage sur mon site ?

La réglementation californienne permet à une entreprise d'informer le consommateur de la contradiction et de lui proposer de conserver son choix antérieur. Tant qu'il ne l'a pas confirmé, traitez le signal GPC comme une demande d'opt-out.

### Dois-je respecter le GPC pour les visiteurs situés hors de Californie ?

Plusieurs autres États américains imposent aux entreprises de respecter les signaux universels d'opt-out, et appliquer le GPC partout est souvent plus simple que de le cibler géographiquement. Ailleurs, c'est un choix par défaut raisonnable et respectueux des utilisateurs, même lorsqu'aucune loi ne l'exige.

## Sources

- [Global Privacy Control](https://globalprivacycontrol.org/)
- [California Consumer Privacy Act (CCPA), California Attorney General](https://oag.ca.gov/privacy/ccpa)
- [California Privacy Protection Agency](https://cppa.ca.gov/)