S’il y a encore quelques semaines, le ballon rond était à l’honneur aux Etats-Unis à l’occasion de la Coupe du Monde, c’est finalement le ballon ovale du football américain qui est en première ligne de l’actualité privacy de cet été. En effet, début juillet, une action collective a été déposée en Californie et vise le site de la NFL (National Football League). Selon la plainte, 182 traceurs tiers se déclenchaient sur le site avant que l'utilisatrice (Thelma Kimmons) puisse exprimer un choix, et 186 continuaient de fonctionner après qu'elle avait refusé les cookies et donc exprimé son désir d’opt-out.
Si aujourd’hui nous ne sommes qu’aux prémices du dossier, cette plainte éclaire malgré tout sur l’évolution des mœurs Outre-Atlantique par rapport à la gestion du consentement en ligne. Dans ce numéro de Check-Up Conformité estival, nous vous proposons de revenir sur cette affaire, sur ce que cela traduit des écarts entre le cadre européen et les lois américaines, et sur les mécanismes (déjà disponibles avec Axeptio) pour traiter correctement le signal d'opt-out aux États-Unis.
Traceurs, fingerprinting, enregistrement de session : les cookies ne sont que la face émergée de l’iceberg du cas Kimmons v. NFL Enterprises LLC
Selon l'analyse publiée par le National Law Review, Thelma Kimmons, résidant en Californie, indique avoir consulté le site NFL.com aux alentours de janvier 2026. La plaignante affirme que dès son arrivée sur le site, la NFL a déclenché sur son navigateur toute une série de traceurs et de cookies relatifs à des fournisseurs comme Google, The Trade Desk, Rubicon Project, OpenX, LogRocket, Inc. et Shape Security.
Des tests sont venus alors nourrir le cœur du dossier. Ceux-ci font état de 182 traceurs tiers déployés avant que l'utilisateur ait pu paramétrer ses préférences, dont 24 cookies, 4 scripts de technologies de fingerprinting et 1 outil d'enregistrement de session, selon Courthouse News Service.
Plusieurs manquements à des fondements juridiques seraient donc concernés et les demandes de compensations financières pourraient s’élever jusqu'à 5 000 dollars par violation au titre de la section 637.2 du CIPA, et, sur le fondement de l'ECPA, le montant le plus élevé entre 10 000 dollars et 100 dollars par jour et par violation.
Le cas Kimmons v. NFL Enterprises LLC est loin d'être isolé. En effet, une vague d'autres actions collectives similaires est actuellement menée dans différents États américains, les requérants s'appuyant notamment sur des législations relatives à la confidentialité des écoutes électroniques tel que le CIPA. Face à cette multiplication des recours, les tribunaux américains seront inévitablement amenés à trancher sur l'applicabilité et la portée de ces différentes lois dans le cadre de l’utilisation de cookies et autres traceurs sur Internet.
Toutefois l'allégation la plus intéressante est liée à l’opt-out : refuser les traceurs via un bandeau permettant de s'opposer aux cookies n'aurait finalement pas arrêté le traitement de la donnée.
La plainte soutient que ce bandeau donne alors un sentiment de sécurité trompeur, pour deux raisons :
- les traceurs se déclencheraient dès l'arrivée sur la page, avant toute interaction avec le bandeau. Le fingerprinting, l'enregistrement de session et le dépôt de cookies et de pixels seraient donc déjà intervenus au moment où l'utilisateur exprime son choix.
- refuser les cookies n'affecterait ni l'enregistrement de la session, ni les scripts de fingerprinting, ni les autres scripts qui ne reposent pas sur des cookies pour fonctionner. Selon les tests référencés dans la plainte, 186 traceurs tiers continuaient à fonctionner malgré l’expression de l’opt-out via l’interface.
Si, comme le fait remarquer le National Law Review, plusieurs questions doivent encore être débattues (le bandeau couvrait-il l'ensemble des technologies visées, l'information délivrée était-elle suffisante, un consentement avait-il été recueilli par un autre moyen, etc…), le dossier met toutefois en évidence que lorsque l'interface de consentement ne gère que les cookies, elle ne couvre qu'une fraction de la surface réelle de collecte des données.
Une nouvelle lecture du marché américain en matière de privacy
Le cadre européen et le cadre américain divergent sur le principe clé d’opt-in et d’opt-out par défaut. Plus précisément, la directive EPrivacy (transposée en droit national en France dans la loi informatique et libertés) impose un consentement préalable (opt-in) des utilisateurs avant le dépôt des traceurs non essentiels. Les lois américaines, à commencer par le CCPA en Californie, autorisent l’utilisation de traceurs dès l'arrivée de l'utilisateur sur le site, à condition de lui offrir un droit d'opposition (opt-out) effectif et immédiatement accessible. Nous avions d’ailleurs déjà détaillé ces grandes différences, État par État, dans notre panorama Privacy made in USA, qui recensait en mai 2025 déjà quatorze États dotés d'une loi en matière de protection des données et six textes supplémentaires en vigueur depuis.
Ces différences entraînent des changements d’UX et de fonctionnement de la bannière, avec trois modes d'affichage possibles pour la mise conformité du bandeau Axeptio au CCPA, décrits dans notre article dédié disponible ici.
Cette divergence masque toutefois une exigence commune : celle de propager la préférence de l’utilisateur lorsqu’elle est exprimée à l'ensemble des partenaires appelés par la page.
“En Europe, si le RGPD est entré en vigueur en 2018, ce sont les contrôles et les sanctions des autorités comme la CNIL qui ont progressivement fixé le niveau d'exigence et entraîné l’adoption massive des CMP.
En intentant des actions en justice contre des organisations sportives à fort trafic comme ici, les cabinets d'avocats américains pourraient bien solidifier les bases d’une nouvelle phase majeure dans l’évolution de la privacy aux Etats-Unis.”
Maître Christophe Landat Avocat et co-fondateur d’Axeptio.
GPC et GPP : deux standards de transmission des préférences de l’utilisateur déjà en place aux États-Unis (et avec Axeptio)
Deux standards répondent aujourd'hui aux enjeux de transmission des préférences de l’utilisateur aux Etats-Unis.
Tout d’abord, le Global Privacy Control (GPC), qui est un signal émis par le navigateur, transmis via les en-têtes HTTP à l'ensemble des services appelés par le site. Depuis le 1er janvier 2026, sa prise en compte est obligatoire dans quatre États : la Californie, le Colorado, le Connecticut et le New Jersey. Chez Axeptio, cette détection est active par défaut sur toute nouvelle configuration CCPA, et un module toast informe l'utilisateur que sa préférence a été reconnue tout en lui permettant de la modifier pour le site concerné. Retrouvez le détail de cette fonctionnalité dans notre article consacré au GPC.
Le second standard est le Global Privacy Protocol (GPP), développé par l'IAB Tech Lab, principalement pour les éditeurs, et qui encode les préférences de l'utilisateur dans une chaîne unique, la GPP_String. Il s'appuie sur le Multi-State Privacy Agreement (MSPA), qui aligne contractuellement les signataires sur une même interprétation des préférences transmises. Axeptio prend en charge le GPP depuis son back-office et vous pouvez retrouver son fonctionnement complet décrit dans notre article ici.
Toutefois, au regard du dossier Kimmons v. NFL Enterprises LLC décrit plus haut, le GPC et le GPP règlent la question de la transmission du choix des utilisateurs, pas celle de sa correcte exécution par les fournisseurs tiers. Reste à savoir qui, aux États-Unis, fixera le niveau d'exigence attendu. En Europe, ce furent les autorités de protection des données comme la CNIL. L'affaire Kimmons suggère que la réponse viendra cette fois des tribunaux, et, vu les risques financiers encourus, les entreprises exposées au marché américain n'ont pas d'intérêt particulier à attendre la première décision pour savoir où elles en sont. Une raison de plus de contacter nos experts !
