Audit Complete
Site web : https://www.gymshark.com
Parcours de consentement : Composer:Pixels
Post-Consent Flow: Reload only
Pages visited: 4
Agent: browser-use (7 steps)
Lieu : Pennsylvania (US-PA)
Terminé : 2026-09-18T21:06:26.218455+00:00
Checkpoints: 3 phases captured
Évaluation des risques liés aux pixels
This assessment focuses on pixel-litigation theories that apply to this geo and the evidence captured in this audit.
Matrice WESCA de Pennsylvanie
| Catégorie | Résultat | Risque | Éléments de preuve et autorité |
|---|---|---|---|
| Consentement de toutes les parties | Mixte | Élevé | La bannière affichée lors du chargement initial était visiblement présentée et décrivait les « Cookies et pixels de suivi », mais l’utilisateur testé a sélectionné « Accepter uniquement les cookies essentiels » ; après rechargement, du trafic Google Analytics, Google Ads, mParticle, Intercom et Datadog est néanmoins apparu. Le libellé de type browsewrap de la bannière peut étayer une défense fondée sur le consentement implicite, mais l’action expresse de refus l’affaiblit sensiblement. Popa v. Harriet Carter Gifts, Inc. a jugé que le caractère adéquat de l’avis indiquant que des communications étaient envoyées à un tiers constitue une question de consentement dépendante des faits. (www2.ca3.uscourts.gov) |
| Interception du contenu | Élevé | Élevé | Avant tout choix et de nouveau après le refus, les requêtes GA/Ads ont transmis des identifiants persistants, des URL, des titres de page, l’activité de défilement, des identifiants de produit, la taille sélectionnée, un événement d’ajout au panier, une valeur et un SKU. La charge utile d’ajout au panier après refus identifiait le jogging noir taille Medium et une valeur de 33,60 $. Cela est plus probant qu’une simple théorie fondée sur le chargement d’un traceur, bien que ce test n’ait pas montré de champs de paiement saisis par l’utilisateur ni d’enregistrement de session. 18 Pa. C.S. § 5703 ; comparer Popa (le routage par un tiers des interactions sur un site web peut constituer une interception). (www2.ca3.uscourts.gov) |
| Droit d’action civile privé / dommages-intérêts | Élevé | Critique | Si l’interception, la divulgation ou l’utilisation est établie, la WESCA prévoit une action privée avec des dommages-intérêts réels ou au minimum 100 $ par jour / 1 000 $, selon le montant le plus élevé, ainsi que des dommages-intérêts punitifs potentiels, honoraires et frais. Le risque d’exposition collective est réel, bien que ce test ne fournisse pas de preuve de données sensibles saisies. 18 Pa. C.S. § 5725. À titre de repère, le règlement dans l’affaire Philadelphia Inquirer comprenait un fonds de 1,125 million de dollars et des modifications des pratiques relatives au Meta Pixel, liées en partie aux exigences de la loi de Pennsylvanie sur les écoutes électroniques ; ses faits relatifs aux pixels vidéo ne sont pas identiques à ce parcours de commerce électronique. (legis.state.pa.us) |
Matrice sur les écoutes électroniques de l’ECPA
| Catégorie | Résultat | Risque | Éléments de preuve et autorité |
|---|---|---|---|
| Interception de contenu en transit | Élevé | Élevé | Le parcours testé montre des transmissions contemporaines à des tiers de contenu de navigation et d’intention d’achat — et non simplement le chargement d’un script statique — notamment la page produit, le nom/SKU du produit, la taille choisie, l’événement d’ajout au panier et la valeur après refus. Aucun champ d’e-mail, d’adresse, de téléphone ou de paiement n’a été saisi ; il ne s’agit donc pas d’une constatation de capture du contenu de formulaires. 18 U.S.C. § 2510 ; comparer Price v. Carnival Corp., dans laquelle la capture alléguée par rejeu de session d’informations saisies dans des champs a été considérée comme constituant des « contenus » allégués. (law.justia.com) |
| Partie ou intercepteur tiers | Mixte | Élevé | Gymshark est clairement partie à l’échange entre l’acheteur et le site, mais Google, Meta/Facebook, Datadog, mParticle, Intercom, Riskified et les points de terminaison liés à Shopify sont des entités distinctes. Les éléments de preuve étayent le plus fortement une réception par un tiers via Google Analytics/Ads ; déterminer si chaque fournisseur agissait uniquement comme prolongement du site ou traitait indépendamment les données capturées nécessiterait une communication de pièces sur les fournisseurs et la configuration. 18 U.S.C. § 2511(2)(d) ; Price a considéré que le heatmapping et le fingerprinting allégués, allant au-delà d’une fonction d’enregistreur, pouvaient ne pas relever de la protection accordée à une partie. (law.justia.com) |
| Consentement d’une seule partie | Mixte | Élevé | Gymshark peut invoquer sa participation à l’échange web et la bannière affichée. Toutefois, la session testée comportait une bannière visible au chargement initial, une sélection affirmative de « Accepter uniquement les cookies essentiels » et la poursuite d’un trafic GA/Ads marqué pscdl=denied ; ces faits peuvent affaiblir l’argument selon lequel le visiteur a consenti aux transmissions non essentielles observées. 18 U.S.C. § 2511(2)(d) ; comparer Piedmont Healthcare (l’exception applicable à une partie peut faire échec à une théorie ECPA fondée sur des pixels lorsque le site web est le destinataire prévu). (govinfo.gov) |
| Exception crime-délit § 2511(2)(d) | Incertain | Moyen | Le dossier étaye une collecte à des fins de marketing et d’analyse après refus, mais ne montre pas en lui-même qu’une partie a intercepté des communications dans le but de commettre une infraction ou un délit distinct. Le motif marketing ne constitue pas à lui seul un moyen évident de contourner l’exception applicable à une partie ; cette théorie nécessiterait des éléments de preuve bien plus solides quant à l’intention. 18 U.S.C. § 2511(2)(d) ; un récent rejet d’une action relative au suivi par pixels exigeait des faits démontrant l’intention criminelle ou délictuelle requise, et non une simple collecte effectuée sciemment. (govinfo.gov) |
| Contenu ou métadonnées | Mixte | Élevé | Les attributs du navigateur/de l’appareil, les indicateurs de consentement et les identifiants pseudonymes s’apparentent à des métadonnées ; le produit sélectionné, la taille, l’état du panier, le SKU, le prix, le chemin de page et l’événement d’ajout au panier constituent plus vraisemblablement un contenu substantiel de communication sur le site web. L’absence de données de paiement saisies limite l’adéquation factuelle. 18 U.S.C. § 2510(8) ; comparer In re BPS Direct, qui a reconnu la qualité pour agir concernant la capture clandestine alléguée, par rejeu de session, d’informations de paiement/facturation, mais non pour de simples allégations générales de navigation. (law.justia.com) |
Conclusion essentielle
La théorie contentieuse la plus solide n’est pas que des traceurs se sont simplement chargés : c’est qu’après une sélection expresse limitant les cookies aux seuls essentiels, les points de terminaison Google ont continué à recevoir des identifiants persistants ainsi que des données sur le produit, la taille, le panier et la valeur. La WESCA présente la voie d’exposition la plus conséquente pour une session en Pennsylvanie ; la demande fédérale au titre de l’ECPA est plus vulnérable aux défenses fondées sur la qualité de partie, le consentement et l’exception crime-délit.
Observations clés
- La vérification visuelle de la bannière initiale de cookies indiquait « Oui » ; la capture d’écran initiale et les captures d’écran de l’interface de confidentialité après défilement montrent une bannière visible « Cookies et pixels de suivi » avant l’action de refus.
- Après avoir sélectionné « Accepter uniquement les cookies essentiels » et rechargé la page, le test a tout de même enregistré 16 requêtes de traceurs via Google Ads, Google Analytics et des points de terminaison liés à Amazon.
- Les achats effectués après refus ont transmis des données de page produit et d’ajout au panier à GA/Ads, y compris le jogging, la couleur noire, la taille Medium, le SKU et une valeur de 33,60 $.
- La capture d’écran du paiement montre que les champs de contact, de livraison et de paiement étaient visibles mais non renseignés ; ce test n’établit pas la capture de données personnelles, d’expédition ou de paiement saisies.
Autorités et signaux contentieux
- Popa v. Harriet Carter Gifts, Inc. est l’autorité de Pennsylvanie la plus proche : le routage non divulgué d’interactions sur un site web vers un tiers peut étayer une théorie d’interception au titre de la WESCA, tandis que l’avis et le consentement demeurent très dépendants des faits. (www2.ca3.uscourts.gov)
- In re BPS Direct fournit un utile repère à la baisse : des allégations de rejeu de session liées à la capture de données de paiement ont justifié la qualité pour agir, tandis que de simples allégations de navigation ne l’ont pas fait. Le présent test se situe entre ces deux pôles, car il montre du contenu relatif au panier/produit, mais aucune donnée de paiement saisie. (law.justia.com)
- Price v. Carnival Corp. présente une analogie factuelle concernant le traitement par des tiers de rejeux de session et les arguments faibles de consentement par bannière de cookies, mais impliquait la capture alléguée d’informations sensiblement plus sensibles que dans ce test. (law.justia.com)
- Braun v. Philadelphia Inquirer signale une pression transactionnelle en Pennsylvanie autour du déploiement de pixels : l’approbation finale couvrait un fonds de 1,125 million de dollars ainsi que des restrictions et mesures de divulgation prospectives concernant le Meta Pixel, bien que les faits relatifs à ses pages vidéo diffèrent de ce parcours de vente au détail. (docs.justia.com)
Captures d'écran
Initial Before Scroll
1789765633
Cookie Banner
1789765664
Checkpoint: Post Checkout Journey
1789765853
Checkpoint: Post Reject
1789765715
Checkpoint: Pre Consent
1789765656
Replay de session
Étapes de l'agent
| Heure | Étape | Message |
|---|---|---|
| 21:06:36 | Configure geo proxy | |
| 21:07:13 | Capture the page before scrolling | |
| 21:07:26 | Check whether a cookie banner is visible | |
| 21:07:35 | Scroll to bottom (reveal footer privacy choices) | |
| 21:07:36 | Capture checkpoint 'pre consent' | |
| 21:07:43 | Look for privacy choices | |
| 21:07:52 | Click reject all button | |
| 21:08:11 | Check for internal preference modal | |
| 21:08:33 | Reload page | |
| 21:08:35 | Capture checkpoint 'post reject' | |
| 21:10:51 | Post-consent workflow step 1.1: Click element 3753 | |
| 21:10:51 | Post-consent workflow step 2.1: Click element 7915 | |
| 21:10:51 | Post-consent workflow step 3.1: Click element 14067 | |
| 21:10:51 | Post-consent workflow step 3.2: Click element 14099 | |
| 21:10:51 | Post-consent workflow step 4.1: search page | |
| 21:10:51 | Post-consent workflow step 4.2: Scroll True | |
| 21:10:51 | Post-consent workflow step 5.1: Click element 18309 | |
| 21:10:51 | Post-consent workflow step 6 | |
| 21:10:51 | Post-consent workflow step 7.1: done | |
| 21:10:53 | Capture checkpoint 'post checkout journey' |
Tracking Audit Summary
Pre Consent
4
Entreprises de suivi
0
Cookies tiers
178
Requests (segment)
16
Tracker hits
Chargement...