Global Privacy Control (GPC): qué es y cómo respetarlo
Global Privacy Control es una señal del navegador que indica a un sitio web: «no vender ni compartir mis datos personales». Un número creciente de leyes estatales de privacidad de EE. UU. exigen o reconocen señales universales de opt-out como GPC, y en muchos de esos estados un enlace manual de opt-out por sí solo no es suficiente.
Esta página explica qué es la señal, dónde la ley obliga a respetarla, qué navegadores la envían, cómo comprobar el suyo y qué hace CookieHub cuando un visitante llega con GPC activado.
Qué es Global Privacy Control
GPC es una señal binaria de sí o no.
Cuando un visitante la activa, su navegador añade un encabezado Sec-GPC: 1 a las solicitudes compatibles y establece navigator.globalPrivacyControl en true en JavaScript.
La preferencia en sí significa: «no vender ni compartir mis datos personales».
La señal no transmite más información. No indica qué ley se aplica al visitante, a qué proveedores se opone ni si consiente el uso de herramientas de analítica.
GPC no es una cadena de consentimiento como los formatos IAB TCF o GPP. Es una preferencia que el sitio debe gestionar de conformidad con la legislación aplicable.
GPC fue desarrollado por un grupo de fabricantes de navegadores, editores y organizaciones de privacidad, tomando como punto de partida Do Not Track.
La principal diferencia es su peso jurídico.
Do Not Track nunca obtuvo un reconocimiento jurídico comparable y fue ignorado en gran medida por los sitios web.
GPC, en cambio, se diseñó para ajustarse, entre otras cosas, a los mecanismos de opt-out de la California Consumer Privacy Act, modificada por la CPRA, y actualmente está reconocido por varias leyes de privacidad de EE. UU.
Dónde la ley obliga a respetar GPC
Los efectos jurídicos de GPC en Estados Unidos dependen de la legislación de cada estado.
Doce estados cuentan actualmente con disposiciones sobre GPC o sobre mecanismos universales de opt-out en sus leyes de privacidad:
Delaware
Maryland
Minnesota
Montana
Nebraska
Nuevo Hampshire
Nueva Jersey
Oregón
Texas
Las obligaciones no son idénticas.
Colorado reconoce formalmente GPC como un mecanismo universal de opt-out válido.
Nueva Jersey exige a los responsables del tratamiento sujetos a su ley que respeten los mecanismos universales de opt-out.
Maryland funciona de otra manera. Un responsable del tratamiento puede cumplir determinadas obligaciones de opt-out mediante un enlace de opt-out claramente visible o mediante una señal de preferencia de opt-out.
Más estados se están sumando.
La ley de Luisiana, que entrará en vigor el 1 de enero de 2027, incluye disposiciones de opt-out basadas en el navegador y en el dispositivo, con sus propias condiciones.
La Act 145 de Vermont añadirá a partir de 2028 un requisito relacionado con las señales de preferencia de opt-out.
California hace cumplir GPC desde hace varios años.
En 2022, Sephora llegó a un acuerdo de 1,2 millones de USD con el Fiscal General de California en un caso que incluía, entre otras cuestiones, no haber procesado las señales GPC.
Cuando la ley lo exige, respetar GPC significa tratar la propia señal como la solicitud de opt-out del visitante.
Un enlace «Do Not Sell or Share» que el visitante tenga que encontrar y pulsar generalmente no cumplirá ese requisito por sí solo.
¿Y el RGPD?
GPC no sustituye al consentimiento exigido por el RGPD o por las normas de ePrivacy.
Los reguladores europeos no han reconocido formalmente GPC como sustituto universal del consentimiento para cookies.
Por lo tanto, los sitios web de la UE y el Reino Unido siguen necesitando un mecanismo de opt-in adecuado antes de utilizar tecnologías de seguimiento no esenciales.
No obstante, GPC puede ser pertinente en determinadas circunstancias como expresión de la oposición de un usuario o de la retirada de su consentimiento.
Qué navegadores envían GPC
El soporte varía considerablemente de un navegador a otro:
Brave:
GPC está activado por defecto en escritorio y Android. En iOS, Brave expone la señal de JavaScript, pero actualmente no envía el encabezado HTTP.
DuckDuckGo:
Sus navegadores y su extensión de navegador activan GPC por defecto.
Firefox:
GPC está integrado y disponible en Privacidad y seguridad. Se activa automáticamente durante la navegación privada.
Chrome y Edge:
Las versiones estables actuales no incluyen soporte nativo de GPC. Las extensiones compatibles pueden añadirlo, por lo que la mayor parte del tráfico de Chrome y Edge no incluirá la señal.
Safari:
La versión estable actual no incluye soporte nativo de GPC.
Cómo comprobar si GPC está activado en su navegador
Puede comprobar en unos segundos si su navegador expone o envía GPC:
Abra la consola de desarrollador:
En cualquier página, abra las herramientas de desarrollador de su navegador, vaya a la pestaña Consola y escriba navigator.globalPrivacyControl. Si devuelve true, su navegador expone GPC. Si devuelve false o undefined, no lo expone.
O visite globalprivacycontrol.org:
El sitio del proyecto GPC detecta la señal y le indica si su navegador la está enviando.
Actívelo si lo desea:
En Firefox, busque en Privacidad y seguridad la opción para indicar a los sitios web que no vendan ni compartan sus datos. En Brave y DuckDuckGo ya está activado. En Chrome o Edge puede instalar una extensión compatible. Safari no ofrece actualmente soporte nativo.
Pruebe su propio sitio web:
Active GPC, borre las cookies del sitio y acceda como un visitante de California. No se le debería exigir una segunda solicitud de opt-out, y su configuración de publicidad y marketing debería respetar la preferencia. Según su configuración, esto puede significar impedir que se activen determinadas etiquetas o hacer que los proveedores compatibles pasen al modo de opt-out o de tratamiento restringido correspondiente.
Qué significa respetar GPC para su sitio web
Los detalles varían según el estado, y la normativa de California se encuentra entre las más específicas.
Cuando un visitante llega con GPC activado, su sitio debería:
Tratarlo como un opt-out de la venta y el uso compartido:
Para ese visitante, cualquier tratamiento que constituya venta, uso compartido o publicidad dirigida según la legislación aplicable debe detenerse o funcionar en el modo de opt-out o de tratamiento restringido correspondiente. Según su configuración, esto puede implicar bloquear por completo las cookies y píxeles publicitarios o transmitir el estado de opt-out a los proveedores correspondientes para que restrinjan su tratamiento.
No exigir una segunda solicitud de opt-out:
La propia señal del navegador debe procesarse como la solicitud del visitante. No debería exigirle que pulse otro botón «Do Not Sell or Share» ni que proporcione información adicional antes de respetarla.
Confirmar que la señal se ha respetado:
La normativa de California exige a las empresas sujetas a ella mostrar si una señal de preferencia de opt-out se ha procesado como una solicitud válida de opt-out de la venta o el uso compartido.
Transmitir el opt-out a los proveedores correspondientes:
Sus proveedores de publicidad, analítica y otros servicios relevantes deben recibir la señal adecuada. Para ello, la cadena IAB GPP incluye un indicador GPC junto con información sobre el opt-out de la venta y el uso compartido. Algunos proveedores también actúan directamente en función de la señal. Google, por ejemplo, aplica el tratamiento restringido de datos cuando recibe GPC de visitantes de varios estados de EE. UU. en los que se aplican estos requisitos.
No exigir una cuenta ni pasos adicionales:
Respetar GPC no puede depender de que el visitante inicie sesión, verifique su identidad o rellene un formulario. La señal se aplica a la sesión de navegación con la que llega al sitio.
Tener en cuenta las preferencias anteriores:
Si un visitante permitió anteriormente la venta o el uso compartido en su sitio y más tarde llega con GPC activado, la normativa de California le permite informarle del conflicto y ofrecerle la posibilidad de dar su consentimiento de forma específica. La decisión debe seguir siendo suya y no debe derivarse de una casilla premarcada ni de un patrón de diseño engañoso (dark pattern).
Comprobador de cumplimiento
Utilice nuestro escáner de cumplimiento gratuito para detectar todos los servicios activos en su sitio web. Reciba un informe detallado con sus tipos, propósitos y duraciones para respaldar sus esfuerzos de cumplimiento en materia de privacidad.
Cómo gestiona CookieHub GPC
El soporte de GPC está integrado en el widget de CookieHub y siempre está activo. No es necesario activar nada:
Detección automática
El widget lee la señal GPC al cargar la página, en todas las regiones. No se requiere ninguna configuración adicional, ningún script extra ni ningún interruptor específico por región.
Tratado como «Do Not Sell or Share»
A los visitantes que envían GPC se les aplica el mismo opt-out de venta y uso compartido que a quienes hacen clic en el enlace «Do Not Sell or Share My Personal Information». El estado de opt-out se pone a disposición de Google Tag Manager para que sus etiquetas puedan responder a él. Cuando la región utiliza los marcos IAB GPP o US Privacy, el opt-out y el indicador GPC se escriben en las cadenas que leen sus proveedores.
Sin banner estándar de opt-out para California
CookieHub procesa la señal automáticamente sin pedir a un visitante de California que realice otra solicitud de opt-out. En lugar del banner estándar, la configuración de privacidad muestra que la señal se ha respetado.
Los demás estados de EE. UU. mantienen su banner configurado
Los visitantes de otros estados siguen viendo el banner que usted haya configurado, con el opt-out de GPC ya aplicado.
Desactivación opcional de categorías de cookies
Si desea que GPC haga algo más que informar a los proveedores, puede configurar el centro de preferencias para que el opt-out también desactive categorías concretas de cookies, como Marketing o Analítica.
Respete GPC sin tener que desarrollarlo usted mismo
Añada el script de CookieHub y la señal se gestiona automáticamente.
Se aplica el opt-out, se informa a los proveedores a través de la cadena GPP y de Google Tag Manager, y los visitantes de California ven la confirmación exigida por la normativa.
Una sola configuración para todos los estados compatibles.
Gratis para sitios web pequeños.
Preguntas frecuentes sobre Global Privacy Control
GPC son las siglas de Global Privacy Control.
Es una configuración del navegador que envía a los sitios web una señal que significa «no vender ni compartir mis datos personales».
Las empresas sujetas a leyes estatales de privacidad de EE. UU. que incluyen disposiciones sobre señales de preferencia de opt-out deben, por lo general, procesar esa señal de conformidad con la legislación aplicable, sin exigir al visitante que busque un enlace de opt-out adicional o rellene un formulario.
Ambas son señales enviadas por el navegador, pero su peso jurídico es muy diferente.
Do Not Track nunca obtuvo un reconocimiento jurídico comparable y fue ignorado en gran medida por los sitios web.
GPC se diseñó para ajustarse, entre otras cosas, a las disposiciones de opt-out de la CCPA/CPRA, y actualmente está reconocido o es obligatorio en virtud de las leyes de privacidad de un número creciente de estados de EE. UU.
Para muchas empresas sujetas a estas leyes, sí.
Doce estados cuentan actualmente con disposiciones sobre GPC o sobre mecanismos universales de opt-out:
California, Colorado, Connecticut, Delaware, Maryland, Minnesota, Montana, Nebraska, Nuevo Hampshire, Nueva Jersey, Oregón y Texas.
Les seguirán Luisiana en 2027 y Vermont en 2028.
Los detalles varían.
La mayoría de estas leyes exige o reconoce el procesamiento de señales universales de opt-out, mientras que Maryland también permite cumplir determinadas obligaciones mediante un enlace de opt-out claramente visible.
Cada ley establece sus propios criterios para determinar qué empresas están sujetas.
No como sustituto del consentimiento.
Los reguladores europeos no han reconocido formalmente GPC como reemplazo del consentimiento para cookies.
Por lo tanto, en la UE y el Reino Unido sigue siendo necesario un mecanismo de opt-in adecuado antes de utilizar tecnologías de seguimiento no esenciales.
No obstante, la especificación del W3C señala que GPC puede ser pertinente en el marco del RGPD como expresión de la oposición de un usuario o de la retirada de su consentimiento.
Los reguladores europeos todavía no han establecido un efecto jurídico general para GPC en este contexto.
Depende de cómo se utilicen los datos.
El uso de herramientas de analítica que implique venta, uso compartido, publicidad conductual entre contextos o el uso de los datos por parte de un proveedor para sus propios fines publicitarios puede verse afectado por GPC.
La medición propia, o first-party, que no implique estas actividades puede quedar fuera del opt-out de GPC, dependiendo de la legislación estatal aplicable y de la configuración de sus proveedores.
Si desea aplicar una regla más clara, también puede configurar CookieHub para que desactive la categoría Analítica para los visitantes que envían GPC.
No es necesario.
La detección de GPC está siempre activa.
Un visitante que envía la señal se trata como si hubiera pulsado el enlace «Do Not Sell or Share».
El estado de opt-out se pone a disposición de Google Tag Manager y, cuando la región utiliza IAB GPP o US Privacy, el estado de opt-out correspondiente se transmite a los proveedores compatibles.
Si también desea que la señal desactive categorías concretas de cookies, abra la configuración del centro de preferencias de la región en el Dashboard y seleccione las categorías que se desactivarán con el opt-out.
Active GPC en su navegador, borre las cookies del sitio y acceda como un visitante de California, utilizando una VPN si es necesario.
No se le debería exigir otra solicitud de opt-out.
La configuración de privacidad debería confirmar que la señal se ha respetado, y su configuración publicitaria debería aplicar el opt-out, ya sea impidiendo que se activen las etiquetas correspondientes o haciendo que los proveedores compatibles pasen al modo de opt-out o de tratamiento restringido aplicable.
Si utiliza IAB GPP, puede comprobar la cadena a través de la API gpp.
El indicador GPC y los opt-outs aplicables de venta y uso compartido deberían estar establecidos.
La normativa de California exige a las empresas sujetas a ella mostrar si han procesado una señal de preferencia de opt-out como una solicitud válida de opt-out de la venta o el uso compartido.
«Opt-out preference signal honored» indica al visitante que el mecanismo de privacidad del sitio ha reconocido y procesado la preferencia enviada por su navegador.
CookieHub lo muestra automáticamente a los visitantes de California en la configuración de privacidad.
