Consentiment i bàners

Global Privacy Control (GPC): Com gestionar els senyals d'exclusió voluntària automatitzats

7 de juliol del 2026 · 14 min de lectura

Resposta ràpida: Global Privacy Control (GPC) és un senyal de privadesa a nivell de navegador que notifica automàticament als llocs web la preferència d'un usuari d'excloure's de la venda o compartició de les seves dades personals. Els llocs web que operen en estats com Califòrnia, Colorado i Connecticut estan legalment obligats a respectar els senyals GPC segons les lleis de privadesa aplicables. Les empreses han de detectar la capçalera HTTP Sec-GPC: 1 o la propietat JavaScript navigator.globalPrivacyControl i respondre suprimint les activitats de compartició de dades en temps real.

Punts clau

GPC transmet les preferències d'exclusió voluntària mitjançant una capçalera HTTP (Sec-GPC: 1) i una propietat JavaScript, eliminant la necessitat que els usuaris interactuïn individualment amb el bàner de consentiment de cada lloc.
El reconeixement legal de GPC s'estén a diversos estats dels EUA, incloent Califòrnia, Colorado, Connecticut, Nova Jersey i Oregon, fent que el compliment sigui obligatori per a les empreses que operen en aquestes jurisdiccions. [1]
El 2022, el Fiscal General de Califòrnia va arribar a un acord de 1,2 milions de dòlars amb Sephora específicament per no respectar els senyals GPC, establint un precedent clar d'aplicació. [1]
GPC és legalment diferent del senyal Do Not Track (DNT) més antic, que no té cap pes legal exigible en la majoria de jurisdiccions.
Navegadors com Firefox (v120+), Brave i el navegador mòbil de DuckDuckGo admeten GPC de forma nativa o mitjançant extensions. [2]
Les plataformes de gestió de consentiment (CMPs) poden automatitzar la detecció i resposta de GPC, reduint la càrrega de compliment manual dels equips de desenvolupament.
Ignorar els senyals GPC no és una àrea grisa en els estats coberts; constitueix una violació dels drets d'exclusió voluntària del consumidor i exposa les empreses a l'aplicació reguladora.
GPC no garanteix la cessació completa de tota la recollida de dades; s'adreça específicament a la venda i compartició de dades personals, no a l'anàlisi de primera part o al processament estrictament necessari.

Què és Global Privacy Control (GPC) i com funciona

Global Privacy Control és una especificació tècnica que permet als usuaris difondre una preferència d'exclusió voluntària universal des del seu navegador a cada lloc web que visiten, sense ajustar manualment la configuració en cada lloc individual. Va ser desenvolupat per una coalició d'investigadors de privadesa, proveïdors de navegadors i organitzacions de defensa com una alternativa escalable a les interaccions de consentiment per lloc. [7]

Tècnicament, GPC opera en dos canals simultàniament:

Capçalera HTTP: Quan un usuari té GPC habilitat, el seu navegador envia Sec-GPC: 1 amb cada sol·licitud HTTP. Els servidors poden llegir aquesta capçalera i ajustar el comportament de processament de dades abans que la pàgina es carregui.
Propietat JavaScript: El navegador també exposa navigator.globalPrivacyControl = true, que els scripts del costat del client poden consultar per determinar si s'ha d'activar la supressió de seguiment. [4]

Quan ambdós senyals estan presents, un lloc web compliant hauria de tractar la sol·licitud com a equivalent a una exclusió voluntària formal de la venda o compartició de les dades personals d'aquest usuari segons la llei aplicable. És important destacar que els senyals GPC estan dissenyats per ser persistents i automàtics; els usuaris estableixen la preferència una vegada i s'aplica universalment a totes les sessions de navegació.

És GPC legalment vinculant per a llocs web i empreses

Sí, en diversos estats dels EUA, els senyals GPC tenen el mateix pes legal que una sol·licitud d'exclusió voluntària enviada manualment. Les empreses que no respecten els senyals GPC en aquestes jurisdiccions estan violant la llei de privadesa estatal, no només una directriu de bones pràctiques.

Els estats on GPC és legalment reconegut com un mecanisme d'exclusió voluntària vàlid inclouen:

Estat	Llei reguladora	GPC obligatori
Califòrnia	CCPA / CPRA	Sí
Colorado	CPA	Sí
Connecticut	CTDPA	Sí
Nova Jersey	NJDPA	Sí
Oregon	OCPA	Sí

L'acció d'aplicació de Sephora a l'agost de 2022, que va resultar en un acord de 1,2 milions de dòlars, va deixar clar que el Fiscal General de Califòrnia tracta el no compliment de GPC com una violació directa de la CCPA. [1] Les empreses haurien de tractar aquest cas com el punt de referència d'aplicació operatiu, no com una excepció.

Regla de decisió: Si el vostre lloc web recull dades personals de residents de qualsevol dels cinc estats esmentats anteriorment i participa en qualsevol venda o compartició d'aquestes dades amb tercers, el compliment de GPC és una obligació legal, no opcional.

GPC vs. Do Not Track: Quina és la diferència

GPC i Do Not Track (DNT) aborden intencions d'usuari similars, però difereixen fonamentalment en la seva aplicabilitat legal. DNT, introduït al voltant de 2009, era un senyal voluntari sense suport legal; els llocs web podien i, en gran mesura, el van ignorar sense conseqüències.

GPC va ser construït amb el propòsit de tancar aquesta bretxa. Diferències clau:

Força legal: GPC és exigible sota CCPA, CPA, CTDPA i altres lleis estatals. DNT no té cap estatus legal exigible als Estats Units.
Abast: GPC s'adreça específicament a la venda i compartició de dades personals. DNT era una sol·licitud més àmplia i menys definida per limitar el seguiment en general.
Adopció: Els navegadors principals han implementat GPC de forma nativa. El suport a DNT ha estat deprecado o eliminat per diversos proveïdors de navegadors.
Resposta de la indústria: Els reguladors apliquen activament el compliment de GPC. DNT va ser en gran part ignorat per la indústria publicitària sense conseqüències legals.

La conclusió pràctica per a les empreses: els senyals DNT es poden ignorar des del punt de vista del compliment, però els senyals GPC no es poden ignorar en les jurisdiccions cobertes.

Com habilitar Global Privacy Control al vostre navegador i quins navegadors el suporten

Habilitar GPC depèn del navegador en ús. Firefox va introduir el suport natiu de GPC a la versió 120, accessible a través del panell de configuració de Protecció de seguiment millorada. [2] Els usuaris poden activar-lo navegant a Configuració > Privadesa i seguretat > Protecció de seguiment millorada i habilitant l'opció GPC.

Altres navegadors i eines amb suport GPC:

Brave Browser: GPC està habilitat per defecte, sense requerir cap acció de l'usuari.
DuckDuckGo Privacy Browser (mòbil): Envia senyals GPC automàticament.
Chrome/Edge: Sense suport natiu a mitjans de 2026; els usuaris poden instal·lar extensions de navegador com l'extensió oficial de GPC del projecte Global Privacy Control.
Safari: Sense suport natiu de GPC actualment.

Per als usuaris que depenen només d'extensions de privadesa, GPC pot no funcionar si l'extensió està deshabilitada o entra en conflicte amb altres eines. La verificació que el senyal està actiu es pot fer visitant un lloc de prova de GPC que llegeix la propietat navigator.globalPrivacyControl.

Com han de respondre els llocs web als senyals d'exclusió voluntària de GPC

Quan un lloc web detecta un senyal GPC, la resposta requerida és tractar aquest usuari com si s'hagués exclòs formalment de la venda i compartició de les seves dades personals, amb efecte immediat i per a totes les visites posteriors. Aquesta és l'obligació de compliment principal sota Global Privacy Control (GPC): Com gestionar els senyals d'exclusió voluntària automatitzats.

Passos pràctics d'implementació per als operadors de llocs web:

Detectar el senyal al costat del servidor mitjançant la capçalera HTTP Sec-GPC: 1 abans de renderitzar qualsevol script de seguiment.
Consultar la propietat JavaScript (navigator.globalPrivacyControl) al costat del client com a comprovació secundària.
Suprimir els scripts de compartició de dades com ara píxels publicitaris de tercers, cookies de seguiment entre llocs i integracions de corredors de dades.
Registrar l'exclusió voluntària al vostre sistema de gestió de consentiment per mantenir un registre auditable.
No anul·lar el senyal amb un bàner de consentiment que demani a l'usuari que torni a donar el seu consentiment; aquesta pràctica es considera un patró fosc i pot constituir una violació.

Les plataformes de gestió de consentiment poden automatitzar gran part d'aquest flux de treball. Quan s'integra correctament, una CMP detecta el senyal GPC entrant, aplica la preferència d'exclusió voluntària automàticament i mostra una confirmació a l'usuari en lloc d'una sol·licitud de consentiment completa. [3] Biscotti CMP (www.biscotti-cmp.com) proporciona detecció de senyals GPC i gestió de respostes automatitzades com a part de la seva infraestructura de compliment, permetent als operadors de llocs web complir aquestes obligacions sense un treball de desenvolupament personalitzat.

GPC realment atura la recollida i el seguiment de dades?

GPC atura la venda i compartició de dades personals amb tercers quan es respecta correctament, però no elimina totes les formes de recollida de dades. Aquesta distinció és important tant per als usuaris com per als responsables de compliment.

Què restringeix GPC (quan es respecta):

Venda de dades d'usuari a corredors de dades o xarxes publicitàries
Compartició de dades personals amb tercers per a publicitat conductual entre contextos
Sincronització d'identificadors d'usuari entre dominis no relacionats

Què no restringeix GPC:

Anàlisis de primera part (per exemple, mesurar el trànsit del vostre propi lloc)
Cookies estrictament necessàries per a la funcionalitat del lloc
Processament de dades basat en altres bases legals com l'execució de contractes o l'obligació legal

La investigació indica que l'efectivitat de GPC a la pràctica depèn en gran mesura de la taxa d'adopció i del compliment voluntari per part dels llocs web, particularment aquells fora de les jurisdiccions legalment obligatòries. [9] Els usuaris en estats sense mandats GPC poden trobar que molts llocs no respecten el senyal en absolut.

Requisits de compliment de GPC per a llocs de comerç electrònic i què passa si un lloc web ignora els senyals de GPC

Els llocs de comerç electrònic s'enfronten a una major exposició al compliment de GPC perquè solen integrar nombrosos serveis de tercers: píxels publicitaris, xarxes de retargeting, seguiment d'afiliats i plataformes d'anàlisi, tots els quals poden implicar la venda o compartició de dades personals.

Per als operadors de comerç electrònic, el compliment de Global Privacy Control (GPC): Com gestionar els senyals d'exclusió voluntària automatitzats implica:

Auditar tots els scripts de tercers per identificar quins constitueixen "venda" o "compartició" de dades segons les definicions estatals aplicables
Configurar els sistemes de gestió d'etiquetes per activar només les etiquetes conformes quan es detecta un senyal GPC
Assegurar que els programes de fidelització, les integracions de màrqueting per correu electrònic i els fluxos de dades de CRM respecten les exclusions voluntàries de GPC
Documentar la implementació tècnica per a una possible revisió reguladora

Què passa si un lloc ignora els senyals GPC? A Califòrnia, ignorar GPC es considera un incompliment de les sol·licituds d'exclusió voluntària segons la CCPA/CPRA. L'acord de Sephora demostra que els reguladors emprendran accions d'aplicació i sancions econòmiques substancials. [1] Més enllà de Califòrnia, Colorado, Connecticut, Nova Jersey i Oregon tenen els seus propis mecanismes d'aplicació. Les empreses que operen a través de les fronteres estatals s'enfronten a un risc creixent si no hi ha compliment de GPC.

Errors comuns que cometen les empreses:

Assumir que GPC només s'aplica als residents de Califòrnia
Tractar GPC com una preferència "suau" en lloc d'una exclusió voluntària vinculant
No actualitzar les configuracions de gestió de consentiment en afegir nous proveïdors de tercers
Permetre que els bàners de consentiment anul·lin o enfosquin les exclusions voluntàries de GPC ja en vigor

És GPC el mateix que una sol·licitud d'exclusió voluntària de la CCPA?

GPC es tracta com a legalment equivalent a una sol·licitud d'exclusió voluntària de la CCPA a Califòrnia, però no és idèntic en el seu mecanisme. Una exclusió voluntària tradicional de la CCPA requereix que un usuari localitzi i faci clic a un enllaç "No vendre ni compartir la meva informació personal" a cada lloc web. GPC automatitza aquesta sol·licitud a nivell de navegador, aplicant-la universalment. [8]

La guia del Fiscal General de Califòrnia confirma que les empreses han de tractar un senyal GPC entrant amb el mateix pes legal que un formulari d'exclusió voluntària enviat manualment. Les empreses no poden exigir als usuaris que també completin una exclusió voluntària manual si GPC ja està actiu. Segons les esmenes de la CPRA, l'abast es va ampliar per incloure la "compartició" de dades per a publicitat conductual entre contextos, no només la venda, que GPC també cobreix.

Necessito GPC si ja utilitzo extensions de privadesa?

Les extensions de privadesa i GPC tenen propòsits superposats però diferents. Les extensions com els bloquejadors d'anuncis o els bloquejadors de rastrejadors operen bloquejant les sol·licituds de xarxa o modificant el comportament de la pàgina localment. GPC, en canvi, comunica una preferència legal al propi lloc web, creant una obligació de compliment per part del servidor.

Un usuari que executa un bloquejador d'anuncis pot evitar que es carreguin molts rastrejadors, però el lloc web no rep cap senyal d'exclusió voluntària formal i no té cap obligació legal d'ajustar les seves pràctiques de dades. GPC crea aquest senyal legal. Per als usuaris dels estats coberts, habilitar GPC a més de les extensions de privadesa proporciona tant protecció tècnica com una exclusió voluntària legalment reconeguda en el registre.

Per als operadors de llocs web, la pregunta és diferent: les extensions de privadesa utilitzades pels visitants no satisfan les vostres obligacions de compliment de GPC. Heu de detectar i respectar independentment el senyal Sec-GPC independentment de les eines que l'usuari hagi instal·lat.

Preguntes freqüents

P: Què li diu realment la capçalera HTTP Sec-GPC: 1 a un lloc web? Li diu al servidor que l'usuari ha expressat la preferència d'excloure's de la venda o compartició de les seves dades personals. El servidor hauria d'utilitzar aquest senyal per suprimir qualsevol activitat de compartició de dades abans de servir la pàgina.

P: Pot un lloc web demanar a un usuari de GPC que torni a donar el seu consentiment i anul·li la seva exclusió voluntària? No. Presentar un bàner de consentiment que demani a un usuari de GPC que torni a donar el seu consentiment es considera un patró fosc i pot violar l'esperit i la lletra de les lleis de privadesa aplicables. El senyal GPC s'ha de respectar tal qual.

P: GPC s'aplica a llocs web B2B o només a llocs orientats al consumidor? Les obligacions de GPC generalment s'apliquen quan un lloc recull dades personals de consumidors, tal com es defineix per les lleis de privadesa estatals. Els contextos purament B2B poden quedar fora d'algunes definicions legals, però l'assessorament legal hauria d'avaluar cada situació individualment.

P: Com puc verificar que el meu lloc web detecta correctament els senyals GPC? Utilitzeu un navegador amb GPC habilitat (com Brave) i comproveu els vostres registres del servidor per a la capçalera Sec-GPC: 1, o consulteu navigator.globalPrivacyControl a la consola del navegador mentre esteu al vostre lloc. Un valor de true confirma que el senyal està present.

P: Hi ha un requisit legal global (no dels EUA) per respectar GPC? A mitjans de 2026, GPC es troba principalment sota les lleis estatals dels EUA. Cap regulació vinculant de la UE o del Regne Unit exigeix específicament GPC, tot i que el senyal és compatible amb els marcs de consentiment del GDPR i algunes CMPs també el gestionen en aquest context.

P: Amb quina freqüència s'ha de reauditar el compliment de GPC? Cada vegada que s'afegeix un nou script de tercers o una integració de dades a un lloc, s'ha de revisar la configuració de compliment de GPC. Les auditories anuals són un mínim; les revisions trimestrals són aconsellables per a propietats de comerç electrònic amb molt de trànsit.

P: Quina diferència hi ha entre GPC i un bàner de consentiment de cookies? Un bàner de consentiment de cookies és un element d'interfície d'usuari que sol·licita el permís de l'usuari per a usos de dades específics. GPC és un senyal a nivell de navegador que comunica una preferència preexistent sense requerir cap interacció d'interfície d'usuari. Tots dos poden coexistir, però GPC té preferència per a propòsits d'exclusió voluntària en les jurisdiccions cobertes.

P: GPC cobreix tots els tipus de processament de dades personals? No. GPC aborda específicament la venda i compartició de dades personals amb tercers. No restringeix l'ús de dades de primera part, l'anàlisi o el processament basat en altres bases legals com la necessitat contractual.

Conclusió

Global Privacy Control (GPC): Com gestionar els senyals d'exclusió voluntària automatitzats ja no és un tema de compliment teòric; és una prioritat d'aplicació activa en diversos estats dels EUA amb un historial documentat de sancions econòmiques. L'acord de Sephora va establir que els reguladors actuaran, i la llista creixent d'estats que reconeixen GPC com un mecanisme d'exclusió voluntària vàlid significa que la superfície de compliment està creixent.

Pròxims passos accionables per a empreses i desenvolupadors:

Auditeu la vostra pila tecnològica actual per identificar totes les integracions de compartició de dades de tercers.
Implementeu la detecció al costat del servidor de la capçalera Sec-GPC: 1 com a primera capa de resposta.
Afegiu comprovacions navigator.globalPrivacyControl al costat del client dins del vostre sistema de gestió d'etiquetes.
Desplegueu o configureu una CMP com Biscotti CMP per automatitzar la detecció de senyals GPC, l'aplicació d'exclusió voluntària i el registre d'auditories.
Formeu els vostres equips de màrqueting i anàlisi per entendre quins fluxos de dades estan restringits quan GPC està actiu.
Programeu revisions de compliment trimestrals per tenir en compte les noves integracions de proveïdors i l'evolució de la legislació estatal.

Els usuaris que vulguin exercir els drets de GPC haurien d'habilitar el senyal a Firefox (v120+) o utilitzar Brave, i verificar l'activació en un recurs de prova de GPC. El senyal funciona silenciosament en segon pla, però només produeix protecció legal on els llocs web estan obligats a respectar-lo.