Le Global Privacy Control (GPC) est un réglage de navigateur qui indique à tous les sites que vous visitez de ne pas vendre ni partager vos données personnelles. Vous l’activez une fois, et il parle pour vous partout. Aucune fenêtre surgissante, aucun formulaire de refus site par site, aucun marathon de bandeaux cookies. Et contrairement aux signaux de confidentialité qui l’ont précédé, celui-ci a des dents : dans un nombre croissant d’États américains, les entreprises sont légalement tenues de lui obéir.
Voici tout ce qu’il faut savoir sur le GPC en 2026 : ce que c’est, comment il fonctionne, quels navigateurs l’envoient, comment l’activer en trente secondes, et où la loi oblige les sites à l’honorer.
Le GPC en 60 secondes
- Ce que c’est : un réglage de navigateur qui diffuse automatiquement « ne vendez ni ne partagez mes données » à tous les sites.
- Est-ce contraignant ? Oui dans 12 États américains (Californie, Colorado, Connecticut et d’autres). Pas encore dans l’UE, où les bandeaux de consentement restent obligatoires.
- Comment l’activer : actif par défaut dans Brave et DuckDuckGo, une simple case à cocher dans Firefox, une extension dans Chrome et Edge.
- Nouveauté 2026 : la Californie impose désormais aux entreprises qui vendent ou partagent des données de montrer au visiteur que son signal a été honoré, et non de le traiter en silence.
Qu’est-ce que le Global Privacy Control ?
Le Global Privacy Control (GPC) est un signal de confidentialité émis au niveau du navigateur, qui indique automatiquement à chaque site visité de ne pas vendre ni partager vos données personnelles. Le navigateur l’ajoute à chaque requête sous forme d’en-tête HTTP (Sec-GPC: 1), et dans 12 États américains les entreprises sont légalement tenues de l’honorer. Un seul réglage couvre tout le web, au lieu d’un refus site par site.
L’idée a été présentée au groupe communautaire Privacy du W3C en avril 2020 et lancée publiquement le 7 octobre 2020, portée par une coalition inhabituellement large : l’Electronic Frontier Foundation, DuckDuckGo, Brave, Mozilla, Consumer Reports, Disconnect, Abine, et de grands éditeurs dont le New York Times, le Washington Post et le Financial Times. Elle a été menée par Ashkan Soltani, futur premier directeur exécutif de l’autorité californienne de protection de la vie privée, et par Sebastian Zimmeck, de l’université Wesleyan.
Où en est la norme aujourd’hui ? À la mi-2026, le GPC est un Working Draft publié par le groupe de travail Privacy du W3C, sur la voie des Recommandations. Autrement dit, c’est une norme web officielle en cours d’élaboration active, pas encore une Recommandation W3C achevée. Ce statut technique compte moins que le statut juridique, d’où le GPC tire sa véritable force (voir plus bas).
Comment le GPC fonctionne techniquement
Le mécanisme n’a rien de mystérieux. Quand vous activez le GPC, votre navigateur fait deux choses :
- Il ajoute un en-tête HTTP,
Sec-GPC: 1, aux requêtes qu’il envoie. Quand le GPC est désactivé, l’en-tête est simplement absent. - Il expose une propriété en lecture seule,
navigator.globalPrivacyControl, que le JavaScript de la page peut lire àtrue.
Un site (ou l’outil de consentement qu’il utilise) détecte le signal soit côté serveur en lisant l’en-tête, soit côté client en deux lignes :
if (navigator.globalPrivacyControl) {
// Traiter ce visiteur comme ayant refusé la vente et le partage
}Un site peut aussi déclarer publiquement qu’il honore le GPC en publiant un petit fichier à l’adresse /.well-known/gpc.json.
Un point est essentiel et souvent mal compris : le GPC est un signal, pas un bloqueur. Votre navigateur annonce votre préférence, mais c’est le site destinataire qui doit agir. Le GPC n’empêche par lui-même aucun traceur de se charger. Il ne fonctionne que si le site, ou son outil de consentement, choisit de l’honorer, ou y est légalement contraint.
GPC contre Do Not Track : pourquoi celui-ci tient
Si tout cela vous rappelle quelque chose, c’est normal. Le web a tenté à peu près la même chose il y a dix ans, et a échoué. Cet échec est la meilleure façon de comprendre ce qui rend le GPC différent.
| Do Not Track (DNT) | Global Privacy Control (GPC) | |
|---|---|---|
| Apparition | 2009 (proposition d’en-tête HTTP) | avril 2020 (groupe Privacy du W3C) |
| Premiers navigateurs | Firefox, janvier 2011 | Brave, DuckDuckGo et d’autres, octobre 2020 |
| Normalisation | Groupe Tracking Protection du W3C, clos en janvier 2019 sans norme | Working Draft du W3C, sur la voie des Recommandations |
| Force juridique | Aucune, jamais | Contraignant dans 12 États américains |
| Ce qu’il est devenu | Retiré de Safari en 2019, case supprimée de Firefox début 2025 | Sanctionné par des amendes, et bientôt imposé aux navigateurs par la loi californienne |
Le Do Not Track était une demande polie. Une loi américaine (CalOPPA) obligeait seulement les sites à déclarer comment ils y répondaient, ce qui faisait de « nous l’ignorons » une réponse parfaitement légale. Les sites l’ont donc ignoré. Les navigateurs ont fini par abandonner : Apple a retiré le DNT de Safari en 2019, le qualifiant de norme périmée devenue vecteur d’empreinte numérique, et Firefox a supprimé la case DNT début 2025 en renvoyant ses utilisateurs vers le GPC.
Le GPC a tiré la leçon. Il a été conçu pour s’adosser à un droit existant : le droit de refuser la vente ou le partage de ses données personnelles, prévu par les lois d’États américains. L’explication du projet GPC lui-même est sans détour : les demandes Do Not Track n’exprimaient pas clairement l’intention de l’utilisateur de refuser la vente de ses données, et le GPC a été conçu pour corriger exactement cela.
En une phrase : le Do Not Track demandait poliment, le GPC dépose une demande juridiquement contraignante, là où la loi le prévoit.
Quels navigateurs prennent en charge le GPC ?
La prise en charge est inégale, et c’est la partie du sujet qui évolue le plus vite. Voici l’état des lieux à la mi-2026 (à revérifier, car cela bouge).
| Navigateur | Prise en charge du GPC | Actif par défaut ? | Où le trouver |
|---|---|---|---|
| Brave | native | oui (ordinateur et Android) | réglages Shields |
| DuckDuckGo (navigateur, applications, extension) | native | oui | activé automatiquement |
| Firefox | native (ordinateur depuis la v120) | fenêtres privées uniquement, facultatif en navigation normale | Paramètres, Vie privée et sécurité |
| Mullvad Browser | native (depuis la 14.0) | oui | activé automatiquement |
| Chrome | aucune | extension requise | installer Privacy Badger ou OptMeowt |
| Edge | aucune | extension requise | installer Privacy Badger ou OptMeowt |
| Safari | aucune | aucune prise en charge native, ni extension grand public | indisponible à ce jour |
Les deux grandes lacunes sont Chrome et Safari. Chrome n’a aucune prise en charge native, mais des extensions comme Privacy Badger (de l’EFF) ou OptMeowt comblent le manque.
Peut-on avoir le GPC sur Safari ou sur iPhone ?
Pas nativement. Safari n’a aucun réglage GPC intégré, et aucune extension grand public ne l’ajoute. Sur iPhone, la voie praticable est l’application DuckDuckGo, qui envoie le GPC par défaut.
Cela ne durera peut-être pas. En octobre 2025, la Californie a adopté l’« Opt Me Out Act » (AB 566), qui impose aux navigateurs opérant en Californie d’intégrer un réglage de signal de refus au 1er janvier 2027. Autrement dit, les navigateurs qui ont ignoré le GPC devront bientôt l’ajouter. Ni Google ni Apple n’a annoncé son implémentation, mais l’échéance est fixée.
Comment activer le GPC, étape par étape
Pour activer le GPC : dans Firefox, cochez « Demander aux sites web de ne pas vendre ni partager mes données » dans Vie privée et sécurité ; dans Brave, DuckDuckGo et Mullvad, il est déjà actif par défaut ; dans Chrome ou Edge, installez une extension GPC comme Privacy Badger. Le détail par navigateur :
- Firefox : ouvrez les Paramètres, allez dans Vie privée et sécurité, descendez jusqu’à la section des préférences de confidentialité des sites web, et cochez « Demander aux sites web de ne pas vendre ni partager mes données ». À noter : Firefox envoie le GPC automatiquement en navigation privée, mais il faut cocher cette case pour l’envoyer en navigation normale.
- Brave : rien à faire, le GPC est actif par défaut.
- DuckDuckGo (navigateur ou application mobile) : rien à faire, actif par défaut.
- Mullvad Browser : actif par défaut depuis la version 14.0.
- Chrome ou Edge : installez une extension compatible GPC comme Privacy Badger ou OptMeowt, et le signal sera envoyé automatiquement.
- Safari : il n’existe aujourd’hui aucune bonne option. Utilisez un autre navigateur pour la navigation sensible, ou attendez l’échéance de 2027.
Vous voulez vérifier que cela fonctionne ? Rendez-vous sur globalprivacycontrol.org avec votre navigateur. La page détecte votre signal et vous dit s’il est bien envoyé.
Où le GPC est juridiquement contraignant
C’est ici que le GPC cesse d’être une bonne idée pour devenir une obligation de conformité. Et le tableau est très différent de part et d’autre de l’Atlantique.
États-Unis : 12 États, et ça continue
La Californie est le point d’ancrage. Son procureur général (Attorney General) considère depuis juillet 2021 que le GPC doit être traité comme une demande de refus valable. Le texte réglementaire est explicite : une entreprise qui vend ou partage des données personnelles doit traiter un signal de préférence de refus conforme aux exigences du règlement comme une demande de refus valable (11 CCR § 7025(b)). Et il doit être honoré sans friction, sans obligation de se connecter ni de vérifier son identité au préalable.
Précision de vocabulaire utile : « vendre ou partager » (sell or share) sont ici des notions juridiques du droit californien, où « partager » vise spécifiquement la publicité comportementale entre sites, pas le partage au sens courant.
Que risque-t-on à ignorer le GPC ?
Ce n’est pas théorique. Le non-respect des signaux de refus est devenu le fil rouge des plus lourdes sanctions américaines en matière de vie privée, et le rythme s’est nettement accéléré en 2026 :
| Date | Entité | Autorité | Montant | Le manquement |
|---|---|---|---|---|
| août 2022 | Sephora | procureur général de Californie | 1,2 M$ | Ne traitait pas du tout les signaux de refus GPC (première action publique au titre du CCPA) |
| juil. 2025 | Healthline | procureur général de Californie | 1,55 M$ | A continué de partager des données à des fins publicitaires malgré le refus exprimé via le GPC |
| sept. 2025 | Tractor Supply | CPPA | 1,35 M$ | Mécanismes de refus inefficaces, dont les signaux GPC du navigateur (plus forte amende de l’histoire de la CPPA) |
| sept. 2025 | Opération coordonnée | CPPA et procureurs généraux de Californie, du Colorado et du Connecticut | courriers, pas d’amendes | Enquête coordonnée sur les entreprises ignorant les signaux de préférence de refus |
| févr. 2026 | Disney et ABC | procureur général de Californie | 2,75 M$ | Ne traitait pas les signaux de préférence de refus comme des demandes valables, et éparpillait le refus entre appareils et applications (plus important accord transactionnel CCPA à ce jour) |
| mars 2026 | PlayOn Sports | CPPA | 1,1 M$ | N’a pas reconnu les signaux de préférence de refus, et son bandeau conditionnait l’usage de la plateforme de billetterie à l’acceptation des traceurs |
| mars 2026 | Ford | CPPA | 375 703 $ | Imposait une vérification d’adresse e-mail avant de traiter un refus, et a dû auditer ses traceurs et corriger son traitement des signaux de préférence de refus |
Le schéma est constant : l’autorité active le GPC dans un navigateur, visite le site, et regarde ce que font les traceurs. La détection n’est pas hypothétique, c’est le test.
La Californie n’est plus seule. Au 1er janvier 2026, douze États imposent d’honorer les signaux de refus universels comme le GPC : Californie, Colorado, Connecticut, Delaware, Maryland, Minnesota, Montana, Nebraska, New Hampshire, New Jersey, Oregon et Texas. Le Colorado est allé plus loin en approuvant formellement le GPC comme premier (et à ce jour seul) mécanisme de refus universel reconnu. Toutes les lois d’États ne comportent pas cette obligation (plusieurs textes calqués sur la Virginie ne la prévoient pas), raison de plus pour savoir quels États concernent votre audience.
Europe : pas contraignant, pas encore
Dans l’UE d’aujourd’hui, le GPC n’a aucune force juridique formelle. Aucune autorité européenne ne le reconnaît comme contraignant, et la raison est structurelle : le RGPD repose sur le consentement préalable (il faut une autorisation avant de charger des traceurs non essentiels), alors que le GPC est un signal de refus. Les deux ne s’alignent pas. D’où l’enseignement le plus important pour les sites européens : le GPC ne remplace pas votre bandeau de consentement. La FAQ du projet GPC elle-même indique que le signal ne crée pas, à lui seul, d’obligation juridiquement contraignante.
Le GPC va-t-il remplacer les bandeaux cookies en Europe ?
Pas aujourd’hui, et le calendrier vient de se brouiller. Le RGPD exige un consentement préalable avant le chargement des traceurs non essentiels : un site européen a donc toujours besoin d’un bandeau, même pour les visiteurs qui envoient le GPC. La proposition Digital Omnibus (novembre 2025) changerait cela en rendant les signaux du navigateur contraignants, mais les États membres n’ont pas réussi à s’entendre : un texte de compromis du Conseil, en juin 2026, proposait de supprimer purement et simplement la disposition, avant d’être retiré faute de majorité qualifiée. Le Conseil n’a toujours aucune position arrêtée. Prévoyez de conserver votre bandeau.
Il y a bien un débat et une proposition en cours. Le RGPD prévoit déjà l’opposition par voie automatisée à son article 21(5). Et en novembre 2025, la Commission européenne a proposé le « Digital Omnibus », qui déplacerait les règles de consentement aux cookies dans le RGPD et, via un nouvel article 88b, obligerait les responsables de traitement à respecter les signaux navigateur lisibles par machine, le GPC en étant le candidat évident (la proposition elle-même est agnostique quant au signal, la norme technique exacte devant être fixée plus tard). Le CEPD et le CEPD-EDPS, dans leur avis conjoint de février 2026, ont accueilli favorablement l’idée.
Puis tout s’est enlisé. En juin 2026, la présidence du Conseil a fait circuler un texte de compromis qui supprimait purement et simplement l’article 88b, après un intense travail de lobbying de l’industrie publicitaire, l’Allemagne, la France et la Pologne figurant parmi les États membres favorables à ce retrait. Ce texte n’a pas survécu non plus : il a été retiré du processus d’approbation des ambassadeurs fin juin, faute de majorité qualifiée, et le dossier est passé à la présidence irlandaise entrante sans que le Conseil ait arrêté de position. Le Parlement européen ne s’est pas prononcé non plus, et son vote en commission est le prochain rendez-vous à surveiller. Le statut honnête n’est donc ni « les signaux navigateur arrivent en Europe », ni « c’est mort », mais « les États membres n’ont même pas réussi à s’accorder sur un mandat de négociation ».
Si vous voulez le détail des différences entre les deux régimes, nous les comparons dans CCPA vs RGPD : les différences clés pour les propriétaires de sites.
L’Europe a-t-elle sa propre version du GPC ?
Aucune version contraignante, mais les briques existent. L’ADPC (Advanced Data Protection Control), une spécification issue de noyb et de l’université d’économie de Vienne, étend l’idée du GPC au consentement, au refus et à l’opposition granulaires façon RGPD. Elle reste facultative, et aucun navigateur ne l’embarque par défaut. L’Allemagne est allée le plus loin : son règlement EinwV, en vigueur depuis avril 2025, permet à l’autorité fédérale de protection des données d’agréer officiellement des services de gestion du consentement, et le premier a été agréé en octobre 2025. Les honorer reste facultatif pour les sites, ce qui constitue la faiblesse reconnue du dispositif. La jurisprudence avance dans le même sens : un tribunal berlinois a jugé en 2023 qu’un signal Do Not Track du navigateur peut exprimer une opposition automatisée valable au titre de l’article 21(5) du RGPD (LG Berlin, 16 O 420/19, décision non définitive). Si l’article 88b survit au Conseil et au Parlement, l’Europe choisira enfin son signal officiel. Sinon, ces initiatives nationales éparses sont tout ce dont l’Europe dispose.
Ce que votre site doit faire du GPC
Si vous exploitez un site web, voici la liste concrète.
- Détecter le signal : lisez l’en-tête
Sec-GPCcôté serveur, ounavigator.globalPrivacyControldans le navigateur. - L’honorer là où c’est exigé : dans les 12 États cités, traitez-le comme un refus valable de la vente ou du partage des données personnelles (et de la publicité ciblée), immédiatement et sans demander au visiteur de se connecter.
- Le faire primer sur un consentement antérieur : si le visiteur avait auparavant accepté le suivi sur votre site, le signal l’emporte. Les règles californiennes sont explicites : le signal de préférence de refus prime sur une autorisation donnée précédemment sur le site (§ 7025(c)(3)).
- L’appliquer à la personne, pas seulement au navigateur : si vous savez qui est le visiteur (il est connecté, ou vous pouvez l’identifier autrement), le refus doit s’étendre à son compte et à son profil, pas seulement à cette session de navigation.
- Montrer que vous l’avez honoré : c’est nouveau. Depuis le 1er janvier 2026, la Californie impose aux entreprises qui vendent ou partagent des données personnelles d’afficher qu’elles ont traité le signal de préférence de refus du consommateur. Le régulateur suggère même une mention du type « Signal de préférence de refus honoré ». Traiter le signal en silence ne suffit plus.
- Déclarer votre prise en charge (facultatif) : publiez un fichier
/.well-known/gpc.jsonindiquant que vous honorez le GPC. - Dans l’UE : vous n’avez aujourd’hui aucune obligation d’agir sur le GPC, mais le traiter comme un refus est la lecture la plus protectrice et compatible avec le RGPD. Ne traitez jamais le GPC comme un consentement à quoi que ce soit.
Ce cinquième point (prouver que vous avez honoré le signal) n’est pas une formalité. Lorsque la Californie a transigé avec Disney en février 2026, l’accord imposait notamment à Disney de donner aux consommateurs un moyen de confirmer que leur demande de refus avait bien été traitée. Combiné à l’opération coordonnée des trois États, « nous le détectons mais nous n’affichons rien » constitue désormais une faille de conformité bien réelle.
Et si vous utilisez des balises Google, vos signaux de consentement doivent aussi leur parvenir correctement, ce à quoi sert Google Consent Mode v2.
Comment la bannière cookies WebLegal gère le GPC
C’est la partie qui me tient le plus à cœur, parce que c’est la raison pour laquelle nous avons conçu notre bannière cookies gratuite ainsi.
Notre bannière honore le GPC nativement. Quand un visiteur arrive avec le signal activé, elle applique son refus avant qu’un seul traceur ne se charge, et sans lui afficher de bandeau. Quelqu’un qui a déjà dit à son navigateur « ne vendez ni ne partagez mes données » ne devrait pas être accueilli par une fenêtre lui posant la même question. Les traceurs restent bloqués, et un bouton flottant permet au visiteur de rouvrir ses choix s’il souhaite en changer.
Et pour répondre à la nouvelle obligation californienne, la bannière affiche désormais aux visiteurs GPC un message court et refermable confirmant que leur signal a été honoré, traduit dans les 30 langues que nous prenons en charge. C’est l’exigence « montrez que vous avez traité le signal », gérée pour vous. Les propriétaires de sites qui préfèrent ne pas l’afficher peuvent le désactiver avec un seul attribut (data-gpc-notice="off").
Elle est gratuite, sans inscription, et s’installe avec une seule ligne de JavaScript. Pour le détail technique de ce qu’elle bloque et comment, voyez notre guide de la bannière cookies gratuite conforme au RGPD, ou les 37 traceurs qu’une bannière doit bloquer avant tout consentement.
Questions fréquentes
Le GPC est-il obligatoire dans l’Union européenne ? Non. Le RGPD repose sur le consentement préalable, donc un bandeau cookies conforme reste obligatoire dans l’UE et le GPC ne le remplace pas. La proposition Digital Omnibus pourrait changer cela un jour, mais elle n’est pas la loi aujourd’hui.
Le GPC bloque-t-il les cookies ou les traceurs ? Non. Le GPC est un signal, pas un bloqueur. Ce qui est réellement bloqué dépend du site, ou de son outil de consentement, qui choisit d’honorer le signal. Seul, le GPC n’arrête rien.
Le GPC rend-il les bandeaux cookies inutiles ? Pas en général. Aux États-Unis, il automatise le refus pour les visiteurs qui envoient le signal, mais dans l’UE le consentement est préalable, donc un bandeau reste nécessaire. Le GPC et un bandeau de consentement sont complémentaires, pas interchangeables.
Le GPC désactive-t-il Google Analytics ou Google Ads ? Pas tout seul. Le GPC ne fait qu’annoncer le choix du visiteur. Votre outil de consentement doit lire le signal et transmettre le refus à Google Consent Mode, qui restreint alors la manière dont Google Analytics et Google Ads traitent les données de ce visiteur. Si votre installation ne traduit jamais le signal, les balises Google continuent comme si de rien n’était, ce qui est exactement le manquement sanctionné chez Healthline et Tractor Supply.
Qu’est-ce qu’un mécanisme de refus universel (UOOM) ? C’est le terme juridique employé par plusieurs lois d’États américains pour désigner les signaux comme le GPC : un mécanisme au niveau du navigateur qui communique un refus à tous les sites d’un coup. Le Colorado a formellement reconnu le GPC comme premier mécanisme de refus universel, et la plupart des douze États concernés reprennent la même notion dans leurs textes.
Comment savoir si un site a bien honoré mon signal GPC ?
Depuis janvier 2026, les entreprises californiennes qui vendent ou partagent des données personnelles doivent afficher qu’elles l’ont traité : cherchez un message confirmant que votre signal a été pris en compte. Certains sites publient aussi un fichier /.well-known/gpc.json déclarant leur prise en charge.
Le GPC est-il activé par défaut ? Dans Brave, DuckDuckGo et Mullvad, oui. Dans Firefox, il est actif en navigation privée et facultatif en navigation normale. Chrome, Edge et Safari n’ont aucune prise en charge native : il faut une extension, et pour Safari il n’existe aujourd’hui aucune solution.
Faites le point
Deux vérifications rapides, une par casquette.
En tant qu’internaute : activez le GPC avec les étapes ci-dessus, puis ouvrez globalprivacycontrol.org, qui détecte votre signal et vous dit s’il est bien envoyé. Trente secondes, et cela couvre tous les sites que vous visiterez.
En tant qu’exploitant de site : si votre audience touche les douze États cités, le traitement du GPC est désormais inspecté et sanctionné, alors sachez où vous en êtes. Analysez votre site gratuitement pour voir de quoi ont l’air vos cookies et vos pages légales vus de l’extérieur, puis ajoutez la bannière cookies gratuite, qui honore le GPC (message californien inclus) en une ligne de JavaScript.
