Global Privacy Control (GPC): cos'è e come rispettarlo
Global Privacy Control è un segnale del browser che comunica a un sito web: «non vendere né condividere i miei dati personali». Un numero crescente di leggi statunitensi sulla privacy richiede o riconosce segnali universali di opt-out come GPC e, in molti di questi Stati, un semplice link di opt-out non è sufficiente.
Questa pagina spiega che cos'è GPC, dove la legge impone di rispettarlo, quali browser lo inviano, come verificare se è attivo nel tuo browser e cosa fa CookieHub quando un visitatore arriva con GPC attivato.
Che cos'è Global Privacy Control
GPC è un segnale binario di tipo sì/no.
Quando un visitatore lo attiva, il browser aggiunge un'intestazione Sec-GPC: 1 alle richieste supportate e imposta navigator.globalPrivacyControl su true in JavaScript.
La preferenza espressa significa: «non vendere né condividere i miei dati personali».
Il segnale non trasmette altre informazioni. Non indica quale legge si applica al visitatore, a quali fornitori si oppone né se acconsente all'utilizzo di strumenti di analisi.
GPC non è una stringa di consenso come i formati IAB TCF o GPP. È una preferenza che il sito deve gestire in conformità alla legge applicabile.
GPC è stato sviluppato da un gruppo di produttori di browser, editori e organizzazioni per la privacy, prendendo come punto di partenza Do Not Track.
La differenza principale è il peso giuridico.
Do Not Track non ha mai ottenuto un riconoscimento giuridico paragonabile ed è stato in gran parte ignorato dai siti web.
GPC, invece, è stato progettato per rientrare, tra l'altro, nei meccanismi di opt-out del California Consumer Privacy Act, come modificato dal CPRA, ed è ora riconosciuto da diverse leggi statunitensi sulla privacy.
Dove la legge impone di rispettare GPC
Gli effetti giuridici di GPC negli Stati Uniti dipendono dalle leggi di ciascuno Stato.
Attualmente dodici Stati prevedono nelle proprie leggi sulla privacy disposizioni relative a GPC o ai meccanismi universali di opt-out:
Delaware
Maryland
Minnesota
Montana
Nebraska
New Hampshire
New Jersey
Oregon
Texas
Gli obblighi non sono identici.
Il Colorado riconosce formalmente GPC come un valido meccanismo universale di opt-out.
Il New Jersey impone ai titolari del trattamento soggetti alla legge di rispettare i meccanismi universali di opt-out.
Il Maryland funziona diversamente. Un titolare del trattamento può adempiere a determinati obblighi di opt-out tramite un link di opt-out chiaramente visibile oppure tramite un segnale di preferenza di opt-out.
Altri Stati stanno seguendo.
La legge della Louisiana, che entrerà in vigore il 1° gennaio 2027, include disposizioni sull'opt-out basate sul browser e sul dispositivo, con condizioni proprie.
L'Act 145 del Vermont introdurrà a partire dal 2028 un obbligo relativo ai segnali di preferenza di opt-out.
La California applica GPC da diversi anni.
Nel 2022 Sephora ha raggiunto con l'Attorney General della California un accordo transattivo da 1,2 milioni di USD in un caso che riguardava, tra l'altro, la mancata elaborazione dei segnali GPC.
Dove la legge lo richiede, rispettare GPC significa trattare il segnale stesso come richiesta di opt-out del visitatore.
Un link «Do Not Sell or Share» che il visitatore deve trovare e cliccare, in genere, non soddisfa da solo tale requisito.
E il GDPR?
GPC non sostituisce il consenso richiesto dal GDPR o dalle norme ePrivacy.
Le autorità europee non hanno riconosciuto formalmente GPC come sostituto universale del consenso ai cookie.
I siti web nell'UE e nel Regno Unito continuano quindi ad avere bisogno di un adeguato meccanismo di opt-in prima di utilizzare tecnologie di tracciamento non essenziali.
GPC può tuttavia essere rilevante in determinate circostanze come espressione dell'opposizione di un utente o della revoca del consenso.
Quali browser inviano GPC
Il supporto varia notevolmente da un browser all'altro:
Brave:
GPC è attivato per impostazione predefinita su desktop e Android. Su iOS, Brave espone il segnale JavaScript ma attualmente non invia l'intestazione HTTP.
DuckDuckGo:
I browser e l'estensione per browser di DuckDuckGo attivano GPC per impostazione predefinita.
Firefox:
GPC è integrato ed è disponibile nelle impostazioni Privacy e sicurezza. Si attiva automaticamente durante la navigazione anonima.
Chrome ed Edge:
Le attuali versioni stabili non offrono supporto nativo per GPC. Le estensioni compatibili possono aggiungerlo, quindi la maggior parte del traffico proveniente da Chrome ed Edge non trasmetterà il segnale.
Safari:
L'attuale versione stabile non offre supporto nativo per GPC.
Come verificare se GPC è attivo nel tuo browser
Puoi verificare in pochi secondi se il tuo browser espone o invia GPC:
Apri la console per sviluppatori:
Su qualsiasi pagina, apri gli strumenti per sviluppatori del browser, passa alla scheda Console e digita navigator.globalPrivacyControl. Se restituisce true, il browser espone GPC. Se restituisce false o undefined, non lo espone.
Oppure visita globalprivacycontrol.org:
Il sito del progetto GPC rileva il segnale e ti indica se il tuo browser lo sta inviando.
Attivalo se lo desideri:
In Firefox, cerca nelle impostazioni Privacy e sicurezza l'opzione per indicare ai siti web di non vendere né condividere i tuoi dati. In Brave e DuckDuckGo GPC è già attivo. In Chrome o Edge puoi installare un'estensione compatibile. Safari attualmente non offre supporto nativo.
Testa il tuo sito web:
Attiva GPC, cancella i cookie del sito e accedivi come un visitatore in California. Non dovrebbe esserti chiesto di presentare una seconda richiesta di opt-out, e la tua configurazione pubblicitaria e di marketing dovrebbe rispettare la preferenza. A seconda della configurazione, questo può significare impedire l'attivazione di determinati tag oppure fare in modo che i fornitori supportati passino alla modalità di opt-out o di trattamento limitato appropriata.
Cosa significa rispettare GPC per il tuo sito web
I dettagli variano da Stato a Stato e i regolamenti della California sono tra i più specifici.
Quando un visitatore arriva con GPC attivato, il tuo sito dovrebbe:
Trattarlo come un opt-out dalla vendita e dalla condivisione:
Per quel visitatore, qualsiasi trattamento che costituisca vendita, condivisione o pubblicità mirata ai sensi della legge applicabile deve cessare oppure funzionare nella modalità di opt-out o di trattamento limitato appropriata. A seconda della configurazione, questo può significare bloccare completamente cookie e pixel pubblicitari oppure trasmettere lo stato di opt-out ai fornitori interessati affinché limitino il proprio trattamento.
Non richiedere una seconda richiesta di opt-out:
Il segnale del browser deve essere elaborato come richiesta del visitatore. Non dovresti chiedergli di cliccare un altro pulsante «Do Not Sell or Share» né di fornire informazioni aggiuntive prima di rispettarlo.
Confermare che il segnale è stato rispettato:
I regolamenti della California impongono alle aziende soggette di indicare se un segnale di preferenza di opt-out è stato elaborato come richiesta valida di opt-out dalla vendita o dalla condivisione.
Trasmettere l'opt-out ai fornitori interessati:
I tuoi fornitori di pubblicità, analisi e altri servizi pertinenti devono ricevere il segnale appropriato. A questo scopo, la stringa IAB GPP contiene un flag GPC insieme alle informazioni sull'opt-out dalla vendita e dalla condivisione. Alcuni fornitori agiscono anche direttamente in base al segnale. Google, ad esempio, applica il trattamento limitato dei dati quando riceve GPC da visitatori in diversi Stati degli USA in cui si applicano questi requisiti.
Non richiedere un account o passaggi aggiuntivi:
Il rispetto di GPC non può dipendere dal fatto che il visitatore effettui l'accesso, verifichi la propria identità o compili un modulo. Il segnale si applica alla sessione di navigazione con cui il visitatore arriva sul sito.
Tenere conto delle preferenze precedenti:
Se un visitatore ha precedentemente consentito la vendita o la condivisione sul tuo sito e in seguito arriva con GPC attivato, i regolamenti della California ti permettono di informarlo del conflitto e di offrirgli la possibilità di prestare un consenso specifico. La scelta deve restare sua e non deve derivare da una casella preselezionata o da un modello di progettazione ingannevole (dark pattern).
Controllo di conformità
Utilizza il nostro scanner di conformità gratuito per rilevare tutti i servizi attivi sul tuo sito web. Ricevi un report dettagliato che ne descrive tipologie, finalità e durate, a supporto dei tuoi sforzi di conformità in materia di privacy.
Come CookieHub gestisce GPC
Il supporto per GPC è integrato nel widget di CookieHub ed è sempre attivo. Non devi abilitare nulla:
Rilevamento automatico
Il widget legge il segnale GPC al caricamento della pagina, in ogni regione. Non servono configurazioni aggiuntive, script extra o interruttori specifici per regione.
Trattato come «Do Not Sell or Share»
Ai visitatori che inviano GPC viene applicato lo stesso opt-out dalla vendita e dalla condivisione di chi clicca sul link «Do Not Sell or Share My Personal Information». Lo stato di opt-out viene reso disponibile a Google Tag Manager affinché i tuoi tag possano reagire. Nelle regioni che utilizzano i framework IAB GPP o US Privacy, l'opt-out e il flag GPC vengono scritti nelle stringhe lette dai fornitori.
Nessun banner di opt-out standard in California
CookieHub elabora automaticamente il segnale senza chiedere a un visitatore in California di presentare un'altra richiesta di opt-out. Al posto del banner standard, le impostazioni sulla privacy mostrano che il segnale è stato rispettato.
Negli altri Stati degli USA resta il banner configurato
I visitatori degli altri Stati continuano a vedere il banner che hai configurato, con l'opt-out GPC già applicato.
Disattivazione facoltativa delle categorie di cookie
Se vuoi che GPC faccia di più che inviare un segnale ai fornitori, puoi configurare il centro preferenze in modo che l'opt-out disattivi anche determinate categorie di cookie, come Marketing o Analisi.
Rispetta GPC senza dover sviluppare nulla
Aggiungi lo script di CookieHub e il segnale viene gestito automaticamente.
L'opt-out viene applicato, i fornitori vengono informati tramite la stringa GPP e Google Tag Manager, e i visitatori in California vedono la conferma richiesta dai regolamenti.
Un'unica configurazione per tutti gli Stati supportati.
Gratuito per i siti web di piccole dimensioni.
Domande frequenti su Global Privacy Control
GPC sta per Global Privacy Control.
È un'impostazione del browser che invia ai siti web un segnale che significa «non vendere né condividere i miei dati personali».
Le aziende soggette a leggi statunitensi sulla privacy che contengono disposizioni sui segnali di preferenza di opt-out devono in genere elaborare tale segnale in conformità alla legge applicabile, senza che il visitatore debba trovare un ulteriore link di opt-out o compilare un modulo.
Entrambi sono segnali inviati dal browser, ma il loro peso giuridico è molto diverso.
Do Not Track non ha mai ottenuto un riconoscimento giuridico paragonabile ed è stato in gran parte ignorato dai siti web.
GPC è stato progettato per rientrare, tra l'altro, nelle disposizioni sull'opt-out del CCPA/CPRA ed è ora riconosciuto o richiesto dalle leggi sulla privacy di un numero crescente di Stati americani.
Per molte aziende soggette a queste leggi, sì.
Attualmente dodici Stati prevedono disposizioni su GPC o sui meccanismi universali di opt-out:
California, Colorado, Connecticut, Delaware, Maryland, Minnesota, Montana, Nebraska, New Hampshire, New Jersey, Oregon e Texas.
Seguiranno la Louisiana nel 2027 e il Vermont nel 2028.
I dettagli variano.
La maggior parte di queste leggi richiede o riconosce l'elaborazione dei segnali universali di opt-out, mentre il Maryland consente anche di adempiere a determinati obblighi tramite un link di opt-out chiaramente visibile.
Ogni legge stabilisce i propri criteri per determinare quali aziende sono soggette.
Non come sostituto del consenso.
Le autorità europee non hanno riconosciuto formalmente GPC come alternativa al consenso ai cookie.
Nell'UE e nel Regno Unito è quindi comunque necessario un adeguato meccanismo di opt-in prima di utilizzare tecnologie di tracciamento non essenziali.
La specifica del W3C indica tuttavia che GPC può essere rilevante ai sensi del GDPR come espressione dell'opposizione di un utente o della revoca del consenso.
Le autorità europee non hanno ancora stabilito un effetto giuridico generale di GPC in questo contesto.
Dipende da come vengono utilizzati i dati.
L'uso di strumenti di analisi che comporta vendita, condivisione, pubblicità comportamentale cross-context o l'utilizzo dei dati da parte di un fornitore per i propri scopi pubblicitari può essere interessato da GPC.
La misurazione di prima parte che non comporta queste attività può non rientrare nell'opt-out GPC, a seconda della legge statale applicabile e della configurazione dei fornitori.
Se vuoi applicare una regola più netta, puoi anche configurare CookieHub in modo che disattivi la categoria Analisi per i visitatori che inviano GPC.
Non è necessario.
Il rilevamento di GPC è sempre attivo.
Un visitatore che invia il segnale viene trattato come se avesse cliccato sul link «Do Not Sell or Share».
Lo stato di opt-out viene reso disponibile a Google Tag Manager e, nelle regioni che utilizzano IAB GPP o US Privacy, il relativo stato di opt-out viene trasmesso ai fornitori supportati.
Se vuoi che il segnale disattivi anche specifiche categorie di cookie, apri le impostazioni del centro preferenze della regione nella Dashboard e seleziona le categorie da disattivare in caso di opt-out.
Attiva GPC nel tuo browser, cancella i cookie del sito e visitalo come un visitatore in California, utilizzando una VPN se necessario.
Non dovrebbe esserti chiesto di presentare un'altra richiesta di opt-out.
Le impostazioni sulla privacy dovrebbero confermare che il segnale è stato rispettato e la configurazione pubblicitaria dovrebbe applicare l'opt-out, impedendo l'attivazione dei tag pertinenti oppure facendo passare i fornitori supportati alla modalità di opt-out o di trattamento limitato appropriata.
Se utilizzi IAB GPP, puoi controllare la stringa tramite l'API gpp.
Il flag GPC e gli opt-out applicabili dalla vendita e dalla condivisione dovrebbero risultare impostati.
I regolamenti della California impongono alle aziende soggette di indicare se hanno elaborato un segnale di preferenza di opt-out come richiesta valida di opt-out dalla vendita o dalla condivisione.
«Opt-out preference signal honored» indica al visitatore che il meccanismo per la privacy del sito ha riconosciuto ed elaborato la preferenza inviata dal suo browser.
CookieHub mostra automaticamente questa informazione ai visitatori in California nelle impostazioni sulla privacy.
