Souhlas a bannery

Global Privacy Control (GPC): Jak zacházet s automatizovanými signály pro odhlášení

7. července 2026 · 14 min čtení

Rychlá odpověď: Global Privacy Control (GPC) je signál ochrany soukromí na úrovni prohlížeče, který automaticky upozorňuje webové stránky na preferenci uživatele odhlásit se z prodeje nebo sdílení jeho osobních údajů. Webové stránky provozované ve státech jako Kalifornie, Colorado a Connecticut jsou právně povinny respektovat signály GPC podle platných zákonů o ochraně soukromí. Podniky musí detekovat hlavičku HTTP Sec-GPC: 1 nebo vlastnost JavaScriptu navigator.globalPrivacyControl a reagovat potlačením aktivit sdílení dat v reálném čase.

Klíčové poznatky

GPC přenáší preference pro odhlášení prostřednictvím hlavičky HTTP (Sec-GPC: 1) a vlastnosti JavaScriptu, čímž eliminuje potřebu, aby uživatelé individuálně interagovali s bannerem souhlasu každé stránky.
Právní uznání GPC se týká několika států USA, včetně Kalifornie, Colorada, Connecticutu, New Jersey a Oregonu, což činí dodržování povinným pro podniky působící v těchto jurisdikcích. [1]
V roce 2022 dosáhl generální prokurátor Kalifornie dohody ve výši 1,2 milionu dolarů se společností Sephora konkrétně za to, že nerespektovala signály GPC, čímž stanovil jasný precedens pro vymáhání. [1]
GPC je právně odlišné od staršího signálu Do Not Track (DNT), který ve většině jurisdikcí nemá žádnou vymahatelnou právní váhu.
Prohlížeče včetně Firefoxu (v120+), Brave a mobilního prohlížeče DuckDuckGo podporují GPC nativně nebo prostřednictvím rozšíření. [2]
Platformy pro správu souhlasu (CMP) mohou automatizovat detekci a reakci GPC, čímž snižují manuální zátěž pro vývojové týmy.
Ignorování signálů GPC není v dotčených státech šedou zónou; představuje porušení práv spotřebitelů na odhlášení a vystavuje podniky regulačnímu vymáhání.
GPC nezaručuje úplné zastavení veškerého sběru dat; konkrétně se zaměřuje na prodej a sdílení osobních údajů, nikoli na analýzy první strany nebo striktně nezbytné zpracování.

Co je Global Privacy Control (GPC) a jak funguje

Global Privacy Control je technická specifikace, která uživatelům umožňuje vysílat univerzální preferenci pro odhlášení z jejich prohlížeče na každou webovou stránku, kterou navštíví, aniž by ručně upravovali nastavení na každé jednotlivé stránce. Byla vyvinuta koalicí výzkumníků v oblasti ochrany soukromí, dodavatelů prohlížečů a advokátních organizací jako škálovatelná alternativa k interakcím se souhlasem na jednotlivých stránkách. [7]

Technicky GPC funguje na dvou kanálech současně:

HTTP hlavička: Když má uživatel povolené GPC, jeho prohlížeč odesílá Sec-GPC: 1 s každým požadavkem HTTP. Servery mohou tuto hlavičku číst a upravovat chování zpracování dat ještě před načtením stránky.
Vlastnost JavaScriptu: Prohlížeč také vystavuje navigator.globalPrivacyControl = true, kterou mohou skripty na straně klienta dotazovat, aby zjistily, zda aktivovat potlačení sledování. [4]

Pokud jsou přítomny oba signály, vyhovující webová stránka by měla požadavek považovat za rovnocenný formálnímu odhlášení z prodeje nebo sdílení osobních údajů tohoto uživatele podle platného zákona. Důležité je, že signály GPC jsou navrženy tak, aby byly trvalé a automatické; uživatelé nastaví preferenci jednou a ta se aplikuje univerzálně napříč všemi relacemi prohlížení.

Je GPC právně závazné pro webové stránky a podniky

Ano, v několika státech USA mají signály GPC stejnou právní váhu jako ručně podaná žádost o odhlášení. Podniky, které nerespektují signály GPC v těchto jurisdikcích, porušují státní zákony o ochraně soukromí, nikoli pouze doporučení osvědčených postupů.

Státy, kde je GPC právně uznáno jako platný mechanismus pro odhlášení, zahrnují:

Stát	Řídící zákon	GPC povinné
Kalifornie	CCPA / CPRA	Ano
Colorado	CPA	Ano
Connecticut	CTDPA	Ano
New Jersey	NJDPA	Ano
Oregon	OCPA	Ano

Vymáhací akce společnosti Sephora v srpnu 2022, která vyústila v dohodu ve výši 1,2 milionu dolarů, jasně ukázala, že generální prokurátor Kalifornie považuje nedodržení GPC za přímé porušení CCPA. [1] Podniky by měly tento případ považovat za operativní měřítko vymáhání, nikoli za odchylku.

Pravidlo rozhodování: Pokud vaše webová stránka shromažďuje osobní údaje od obyvatel kteréhokoli z pěti výše uvedených států a zapojuje se do jakéhokoli prodeje nebo sdílení těchto dat s třetími stranami, dodržování GPC je právní povinností, nikoli volitelnou.

GPC vs. Do Not Track: Jaký je rozdíl

GPC a Do Not Track (DNT) se zabývají podobnými záměry uživatelů, ale zásadně se liší v právní vymahatelnosti. DNT, zavedené kolem roku 2009, bylo dobrovolným signálem bez zákonné podpory; webové stránky ho mohly a z velké části ignorovaly bez následků.

GPC bylo účelově vytvořeno k odstranění této mezery. Klíčové rozdíly:

Právní síla: GPC je vymahatelné podle CCPA, CPA, CTDPA a dalších státních zákonů. DNT nemá v USA žádný vymahatelný právní status.
Rozsah: GPC se konkrétně zaměřuje na prodej a sdílení osobních údajů. DNT byl širší, méně definovaný požadavek na obecné omezení sledování.
Přijetí: Hlavní prohlížeče implementovaly GPC nativně. Podpora DNT byla několika dodavateli prohlížečů zrušena nebo odstraněna.
Odpověď průmyslu: Regulátoři aktivně vymáhají dodržování GPC. DNT bylo reklamním průmyslem z velké části ignorováno bez právních následků.

Praktický závěr pro podniky: Signály DNT lze z hlediska dodržování ignorovat, ale signály GPC nelze v dotčených jurisdikcích.

Jak povolit Global Privacy Control ve vašem prohlížeči a které prohlížeče jej podporují

Povolení GPC závisí na používaném prohlížeči. Firefox zavedl nativní podporu GPC ve verzi 120, přístupnou prostřednictvím panelu nastavení Enhanced Tracking Protection. [2] Uživatelé ji mohou aktivovat přechodem na Nastavení > Soukromí a zabezpečení > Rozšířená ochrana proti sledování a povolením možnosti GPC.

Další prohlížeče a nástroje s podporou GPC:

Brave Browser: GPC je ve výchozím nastavení povoleno a nevyžaduje žádnou akci uživatele.
DuckDuckGo Privacy Browser (mobilní): Automaticky odesílá signály GPC.
Chrome/Edge: K polovině roku 2026 žádná nativní podpora; uživatelé si mohou nainstalovat rozšíření prohlížeče, jako je oficiální rozšíření GPC z projektu Global Privacy Control.
Safari: V současné době žádná nativní podpora GPC.

Pro uživatele, kteří se spoléhají pouze na rozšíření pro ochranu soukromí, nemusí GPC fungovat, pokud je rozšíření zakázáno nebo koliduje s jinými nástroji. Ověření, že je signál aktivní, lze provést návštěvou testovací stránky GPC, která čte vlastnost navigator.globalPrivacyControl.

Jak by měly webové stránky reagovat na signály GPC pro odhlášení

Když webová stránka detekuje signál GPC, požadovaná reakce je považovat tohoto uživatele za formálně odhlášeného z prodeje a sdílení jeho osobních údajů, s okamžitou platností a pro všechny následující návštěvy. To je základní povinnost dodržování Global Privacy Control (GPC): Jak zacházet s automatizovanými signály pro odhlášení.

Praktické kroky implementace pro provozovatele webových stránek:

Detekujte signál na straně serveru prostřednictvím hlavičky HTTP Sec-GPC: 1 před vykreslením jakýchkoli sledovacích skriptů.
Dotazujte se na vlastnost JavaScriptu (navigator.globalPrivacyControl) na straně klienta jako sekundární kontrolu.
Potlačte skripty pro sdílení dat, jako jsou reklamní pixely třetích stran, cookies pro sledování napříč weby a integrace s datovými brokery.
Zaznamenejte odhlášení do vašeho systému pro správu souhlasu, abyste udrželi auditovatelný záznam.
Nepřepisujte signál bannerem souhlasu, který žádá uživatele o opětovné přihlášení; tato praxe je považována za temný vzor a sama o sobě může představovat porušení.

Platformy pro správu souhlasu mohou velkou část tohoto pracovního postupu automatizovat. Při správné integraci CMP detekuje příchozí signál GPC, automaticky aplikuje preferenci pro odhlášení a zobrazí uživateli potvrzení namísto plné výzvy k souhlasu. [3] Biscotti CMP (www.biscotti-cmp.com) poskytuje detekci signálu GPC a automatické zpracování reakcí jako součást své infrastruktury pro dodržování předpisů, což umožňuje provozovatelům webových stránek plnit tyto povinnosti bez vlastního vývoje.

Zastavuje GPC skutečně sběr a sledování dat

GPC zastavuje prodej a sdílení osobních údajů s třetími stranami, pokud je správně respektováno, ale neodstraňuje všechny formy sběru dat. Tento rozdíl je důležitý jak pro uživatele, tak pro úředníky pro dodržování předpisů.

Co GPC omezuje (pokud je respektováno):

Prodej uživatelských dat datovým brokerům nebo reklamním sítím
Sdílení osobních údajů s třetími stranami pro behaviorální reklamu napříč kontexty
Synchronizace uživatelských identifikátorů napříč nesouvisejícími doménami

Co GPC neomezuje:

Analýzy první strany (např. měření vlastního provozu na webu)
Striktně nezbytné cookies požadované pro funkčnost webu
Zpracování dat na základě jiných právních základů, jako je plnění smlouvy nebo právní povinnost

Výzkum naznačuje, že účinnost GPC v praxi silně závisí na míře přijetí a dobrovolném dodržování ze strany webových stránek, zejména těch mimo právně závazné jurisdikce. [9] Uživatelé ve státech bez mandátů GPC mohou zjistit, že mnoho stránek signál vůbec nerespektuje.

Požadavky na dodržování GPC pro e-commerce stránky a co se stane, pokud webová stránka ignoruje signály GPC

E-commerce stránky čelí zvýšené expozici dodržování GPC, protože obvykle integrují četné služby třetích stran: reklamní pixely, retargetingové sítě, affiliate sledování a analytické platformy, z nichž všechny mohou zahrnovat prodej nebo sdílení osobních údajů.

Pro provozovatele e-commerce zahrnuje dodržování Global Privacy Control (GPC): Jak zacházet s automatizovanými signály pro odhlášení:

Auditování všech skriptů třetích stran k identifikaci těch, které představují „prodej“ nebo „sdílení“ dat podle platných státních definic
Konfigurace systémů pro správu značek tak, aby spouštěly pouze vyhovující značky, když je detekován signál GPC
Zajištění, aby věrnostní programy, integrace e-mailového marketingu a toky dat CRM respektovaly odhlášení GPC
Dokumentování technické implementace pro potenciální regulační přezkum

Co se stane, pokud stránka ignoruje signály GPC? V Kalifornii je ignorování GPC považováno za selhání respektování požadavků na odhlášení podle CCPA/CPRA. Dohoda se společností Sephora ukazuje, že regulátoři budou prosazovat vymáhací opatření a značné finanční pokuty. [1] Kromě Kalifornie mají Colorado, Connecticut, New Jersey a Oregon své vlastní mechanismy vymáhání. Podniky působící napříč státními hranicemi čelí složenému riziku, pokud chybí dodržování GPC.

Časté chyby, kterých se podniky dopouštějí:

Předpoklad, že GPC se vztahuje pouze na obyvatele Kalifornie
Považování GPC za „měkkou“ preferenci spíše než za závazné odhlášení
Selhání aktualizace konfigurací správy souhlasu při přidávání nových dodavatelů třetích stran
Povolení bannerů souhlasu přepsat nebo zakrýt již platné odhlášení GPC

Je GPC stejné jako požadavek na odhlášení CCPA

GPC je v Kalifornii považováno za právně rovnocenné požadavku na odhlášení CCPA, ale mechanismem se neliší. Tradiční odhlášení CCPA vyžaduje, aby uživatel našel a klikl na odkaz „Neprodávat ani nesdílet mé osobní údaje“ na každé webové stránce. GPC tento požadavek automatizuje na úrovni prohlížeče a aplikuje jej univerzálně. [8]

Pokyny generálního prokurátora Kalifornie potvrzují, že podniky musí s příchozím signálem GPC zacházet se stejnou právní váhou jako s ručně podaným formulářem pro odhlášení. Podniky nemohou vyžadovat, aby uživatelé také vyplnili ruční odhlášení, pokud je GPC již aktivní. Podle dodatků CPRA se rozsah rozšířil o „sdílení“ dat pro behaviorální reklamu napříč kontexty, nikoli pouze prodej, což GPC také pokrývá.

Potřebuji GPC, pokud již používám rozšíření pro ochranu soukromí

Rozšíření pro ochranu soukromí a GPC slouží k překrývajícím se, ale odlišným účelům. Rozšíření jako blokátory reklam nebo blokátory sledování fungují blokováním síťových požadavků nebo lokální úpravou chování stránky. GPC naopak sděluje právní preferenci samotné webové stránce, čímž vytváří povinnost dodržování na straně serveru.

Uživatel používající blokátor reklam může zabránit načítání mnoha sledovačů, ale webová stránka nedostane žádný formální signál pro odhlášení a nemá žádnou právní povinnost upravit své datové praktiky. GPC vytváří tento právní signál. Pro uživatele v dotčených státech poskytuje povolení GPC navíc k rozšířením pro ochranu soukromí jak technickou ochranu, tak právně uznané odhlášení v záznamu.

Pro provozovatele webových stránek je otázka jiná: rozšíření pro ochranu soukromí používaná návštěvníky nesplňují vaše povinnosti dodržování GPC. Musíte nezávisle detekovat a respektovat signál Sec-GPC bez ohledu na to, jaké nástroje má uživatel nainstalované.

Často kladené otázky

Otázka: Co hlavička HTTP Sec-GPC: 1 vlastně říká webové stránce? Říká serveru, že uživatel vyjádřil preferenci odhlásit se z prodeje nebo sdílení svých osobních údajů. Server by měl tento signál použít k potlačení jakýchkoli aktivit sdílení dat před zobrazením stránky.

Otázka: Může webová stránka požádat uživatele GPC o opětovné udělení souhlasu a přepsání jeho odhlášení? Ne. Zobrazení banneru souhlasu, který žádá uživatele GPC o opětovné přihlášení, je považováno za temný vzor a může porušovat ducha a znění platných zákonů o ochraně soukromí. Signál GPC musí být respektován tak, jak je.

Otázka: Vztahuje se GPC na B2B webové stránky nebo pouze na stránky zaměřené na spotřebitele? Povinnosti GPC se obecně vztahují, když stránka shromažďuje osobní údaje od spotřebitelů, jak je definováno státními zákony o ochraně soukromí. Čistě B2B kontexty mohou spadat mimo některé zákonné definice, ale právní poradce by měl posoudit každou situaci individuálně.

Otázka: Jak mohu ověřit, že moje webová stránka správně detekuje signály GPC? Použijte prohlížeč s povoleným GPC (například Brave) a zkontrolujte své serverové protokoly na hlavičku Sec-GPC: 1, nebo se dotazujte na navigator.globalPrivacyControl v konzoli prohlížeče, když jste na svém webu. Hodnota true potvrzuje přítomnost signálu.

Otázka: Existuje globální (mimo USA) právní požadavek na respektování GPC? K polovině roku 2026 je GPC primárně nařízeno podle státních zákonů USA. Žádná závazná regulace EU nebo Spojeného království konkrétně nenařizuje GPC, ačkoli signál je kompatibilní s rámci souhlasu GDPR a některé CMP jej v tomto kontextu také zpracovávají.

Otázka: Jak často je třeba znovu auditovat dodržování GPC? Kdykoli je na web přidán nový skript třetí strany nebo datová integrace, měla by být zkontrolována konfigurace dodržování GPC. Roční audity jsou minimální základní linií; čtvrtletní kontroly jsou vhodné pro e-commerce vlastnosti s vysokým provozem.

Otázka: Jaký je rozdíl mezi GPC a bannerem pro souhlas s cookies? Banner pro souhlas s cookies je prvek uživatelského rozhraní, který žádá o souhlas uživatele s konkrétním použitím dat. GPC je signál na úrovni prohlížeče, který sděluje již existující preferenci bez nutnosti jakékoli interakce s uživatelským rozhraním. Oba mohou koexistovat, ale GPC má přednost pro účely odhlášení v dotčených jurisdikcích.

Otázka: Pokrývá GPC všechny typy zpracování osobních údajů? Ne. GPC se konkrétně zabývá prodejem a sdílením osobních údajů s třetími stranami. Neomezuje použití dat první strany, analýzy nebo zpracování na základě jiných zákonných základů, jako je smluvní nezbytnost.

Závěr

Global Privacy Control (GPC): Jak zacházet s automatizovanými signály pro odhlášení již není teoretickým tématem dodržování; je to aktivní priorita vymáhání napříč několika státy USA s dokumentovanou historií finančních pokut. Dohoda se společností Sephora prokázala, že regulátoři budou jednat, a rozšiřující se seznam států uznávajících GPC jako platný mechanismus pro odhlášení znamená, že se oblast dodržování rozšiřuje.

Akční další kroky pro podniky a vývojáře:

Auditujte svůj aktuální technologický stack k identifikaci všech integrací pro sdílení dat třetích stran.
Implementujte detekci hlavičky Sec-GPC: 1 na straně serveru jako první vrstvu reakce.
Přidejte kontroly navigator.globalPrivacyControl na straně klienta do vašeho systému pro správu značek.
Nasaďte nebo nakonfigurujte CMP, jako je Biscotti CMP, k automatizaci detekce signálu GPC, aplikace odhlášení a protokolování auditu.
Vyškolte své marketingové a analytické týmy, aby pochopily, které datové toky jsou omezeny, když je GPC aktivní.
Naplánujte čtvrtletní kontroly dodržování, aby se zohlednily nové integrace dodavatelů a vyvíjející se státní legislativa.

Uživatelé, kteří chtějí uplatnit práva GPC, by měli povolit signál ve Firefoxu (v120+) nebo použít Brave a ověřit aktivaci na testovacím zdroji GPC. Signál funguje tiše na pozadí, ale poskytuje právní ochranu pouze tam, kde jsou webové stránky povinny jej respektovat.