Résumé

  • Le groupe de travail du W3C sur la vie privée a publié une version de travail de Global Privacy Control le 24 septembre 2026. Une version précédente date du 17 septembre : il ne s’agit ni de la première publication de GPC ni d’une Recommandation approuvée.
  • Le navigateur peut exprimer la demande par Sec-GPC: 1 et par une propriété du DOM. Le site peut, séparément, publier /.well-known/gpc.json pour déclarer son soutien général.
  • Ce fichier facultatif ne confirme pas que la demande d’une personne donnée a été respectée. Une preuve du traitement exige d’examiner les décisions et les flux de données, pas seulement l’existence de deux signaux.

Une politique de confidentialité peut être simple à publier et difficile à faire respecter dans une chaîne de sous-traitants. Le cas de GPC rend ce décalage particulièrement net : le navigateur formule une préférence lisible par machine, tandis que le site peut afficher une réponse générale. Il serait tentant d’y voir une transaction achevée. Le projet du W3C dit précisément pourquoi cette lecture est trop rapide.

Le texte du 24 septembre décrit une demande de ne pas vendre ou communiquer les informations personnelles à des tiers, ni les utiliser pour le ciblage publicitaire entre contextes. La valeur de préférence est figée à chaque navigation principale. Si la personne active GPC après le chargement d’un onglet, la modification n’y apparaît qu’à la navigation suivante. L’agent utilisateur devrait signaler les onglets discordants et proposer leur rechargement. Il faut donc distinguer le réglage visible maintenant de la requête effectivement émise lors du chargement.

Quand la valeur mise en cache est vraie, le navigateur envoie Sec-GPC: 1 ; quand elle est fausse, il n’envoie pas cet en-tête. La propriété navigator.globalPrivacyControl reflète également l’état retenu pour cette navigation. Voilà la première pièce du dossier : une demande exprimée, avec sa date et son contexte technique. Ce n’est pas une mesure de l’usage ultérieur des données.

La deuxième pièce est le fichier de soutien qu’une origine peut placer à /.well-known/gpc.json. gpc: true indique l’intention de respecter les demandes au moins dans la mesure où la loi l’exige ; lastUpdate date cette déclaration. Le texte précise toutefois que la ressource n’a pas pour objet de renseigner le navigateur qui la consulte sur le respect de sa propre demande. Le soutien est inconnu par défaut. L’absence du fichier facultatif ne démontre donc pas une infraction, et sa présence ne vaut pas quittance individuelle.

Reste la troisième pièce, la plus délicate : l’interprétation de la demande et le sort des données concernées. Un registre d’exploitation pourrait rapprocher la requête reçue, la règle appliquée et les chemins de traitement ou de partage en aval. Il faudrait concevoir ce registre sans exposer inutilement les personnes. C’est une proposition éditoriale de Daniel Kade, pas un format imposé par le W3C ni la preuve qu’un site nommé échoue aujourd’hui.

Le périmètre juridique appelle la même retenue. GPC n’est pas une demande d’effacement, ni un refus de toute publicité ou de tout usage dans le même contexte. Les effets dépendent notamment du droit applicable, du lieu de la personne et d’éventuels accords distincts. Cette publication reste un projet susceptible d’évoluer et ne signifie pas l’aval du W3C ou de ses membres. Elle fournit une grammaire utile pour la demande ; la responsabilité du destinataire se vérifie ailleurs.

Sources