Consentimento e banners

Control de Privacidade Global (GPC): Como Xestionar Sinais de Exclusión Automatizados

7 de xullo de 2026 · 14 min de lectura

Resposta rápida: O Control de Privacidade Global (GPC) é un sinal de privacidade a nivel de navegador que notifica automaticamente aos sitios web a preferencia dun usuario de excluírse da venda ou compartición dos seus datos persoais. Os sitios web que operan en estados como California, Colorado e Connecticut están legalmente obrigados a honrar os sinais GPC baixo as leis de privacidade aplicables. As empresas deben detectar o encabezado HTTP Sec-GPC: 1 ou a propiedade JavaScript navigator.globalPrivacyControl e responder suprimindo as actividades de compartición de datos en tempo real.

Puntos clave

O GPC transmite as preferencias de exclusión mediante un encabezado HTTP (Sec-GPC: 1) e unha propiedade JavaScript, eliminando a necesidade de que os usuarios interactúen individualmente co banner de consentimento de cada sitio.
O recoñecemento legal do GPC esténdese a varios estados dos EUA, incluíndo California, Colorado, Connecticut, Nova Jersey e Oregón, facendo que o cumprimento sexa obrigatorio para as empresas que operan nesas xurisdicións. [1]
En 2022, o Fiscal Xeral de California chegou a un acordo de 1,2 millóns de dólares con Sephora especificamente por non honrar os sinais GPC, establecendo un claro precedente de aplicación. [1]
O GPC é legalmente distinto do sinal máis antigo Do Not Track (DNT), que non ten peso legal aplicable na maioría das xurisdicións.
Navegadores como Firefox (v120+), Brave e o navegador móbil de DuckDuckGo admiten GPC de forma nativa ou mediante extensións. [2]
As Plataformas de Xestión de Consentimento (CMPs) poden automatizar a detección e resposta do GPC, reducindo a carga de cumprimento manual nos equipos de desenvolvemento.
Ignorar os sinais GPC non é unha área gris nos estados cubertos; constitúe unha violación dos dereitos de exclusión do consumidor e expón ás empresas á aplicación reguladora.
O GPC non garante a cesación completa de toda a recollida de datos; diríxese especificamente á venda e compartición de datos persoais, non á analítica de primeira parte ou ao procesamento estritamente necesario.

Que é o Control de Privacidade Global (GPC) e como funciona

O Control de Privacidade Global é unha especificación técnica que permite aos usuarios transmitir unha preferencia universal de exclusión desde o seu navegador a cada sitio web que visitan, sen axustar manualmente a configuración en cada sitio individual. Foi desenvolvido por unha coalición de investigadores de privacidade, provedores de navegadores e organizacións de defensa como unha alternativa escalable ás interaccións de consentimento por sitio. [7]

Técnicamente, o GPC opera en dúas canles simultaneamente:

Encabezado HTTP: Cando un usuario ten o GPC activado, o seu navegador envía Sec-GPC: 1 con cada solicitude HTTP. Os servidores poden ler este encabezado e axustar o comportamento de procesamento de datos antes de que a páxina se cargue.
Propiedade JavaScript: O navegador tamén expón navigator.globalPrivacyControl = true, que os scripts do lado do cliente poden consultar para determinar se activar a supresión de seguimento. [4]

Cando ambos os sinais están presentes, un sitio web conforme debería tratar a solicitude como equivalente a unha exclusión formal da venda ou compartición dos datos persoais dese usuario segundo a lei aplicable. É importante destacar que os sinais GPC están deseñados para ser persistentes e automáticos; os usuarios establecen a preferencia unha vez e aplícase universalmente en todas as sesións de navegación.

É o GPC legalmente vinculante para sitios web e empresas

Si, en varios estados dos EUA, os sinais GPC teñen o mesmo peso legal que unha solicitude de exclusión enviada manualmente. As empresas que non honran os sinais GPC nesas xurisdicións están a violar a lei de privacidade estatal, non só unha directriz de mellores prácticas.

Os estados onde o GPC é legalmente recoñecido como un mecanismo de exclusión válido inclúen:

Estado	Lei Reitora	GPC Obrigatorio
California	CCPA / CPRA	Si
Colorado	CPA	Si
Connecticut	CTDPA	Si
Nova Jersey	NJDPA	Si
Oregón	OCPA	Si

A acción de aplicación de Sephora en agosto de 2022, que resultou nun acordo de 1,2 millóns de dólares, deixou claro que o Fiscal Xeral de California trata o incumprimento do GPC como unha violación directa da CCPA. [1] As empresas deben tratar este caso como o referente de aplicación operativo, non como unha excepción.

Regra de decisión: Se o seu sitio web recolle datos persoais de residentes de calquera dos cinco estados listados anteriormente e participa na venda ou compartición deses datos con terceiros, o cumprimento do GPC é unha obriga legal, non opcional.

GPC vs. Do Not Track: Cal é a diferenza

GPC e Do Not Track (DNT) abordan intencións de usuario similares pero difiren fundamentalmente na aplicabilidade legal. DNT, introducido arredor de 2009, era un sinal voluntario sen respaldo estatutario; os sitios web podían e en gran medida ignorárono sen consecuencias.

O GPC foi construído especificamente para pechar esa brecha. Diferenzas clave:

Forza legal: O GPC é aplicable baixo a CCPA, CPA, CTDPA e outras leis estatais. DNT non ten un estado legal aplicable nos Estados Unidos.
Alcance: O GPC diríxese especificamente á venda e compartición de datos persoais. DNT era unha solicitude máis ampla e menos definida para limitar o seguimento en xeral.
Adopción: Os principais navegadores implementaron o GPC de forma nativa. O soporte DNT foi descontinuado ou eliminado por varios provedores de navegadores.
Resposta da industria: Os reguladores aplican activamente o cumprimento do GPC. DNT foi en gran parte ignorado pola industria publicitaria sen consecuencias legais.

A conclusión práctica para as empresas: os sinais DNT poden ser ignorados desde o punto de vista do cumprimento, pero os sinais GPC non poden ser ignorados nas xurisdicións cubertas.

Como activar o Control de Privacidade Global no seu navegador e que navegadores o admiten

A activación do GPC depende do navegador en uso. Firefox introduciu o soporte nativo de GPC na versión 120, accesible a través do panel de configuración de Protección de Seguimento Mellorada. [2] Os usuarios poden activalo navegando a Configuración > Privacidade e Seguridade > Protección de Seguimento Mellorada e activando a opción GPC.

Outros navegadores e ferramentas con soporte GPC:

Brave Browser: O GPC está activado por defecto, sen requirir ningunha acción do usuario.
DuckDuckGo Privacy Browser (móbil): Envía sinais GPC automaticamente.
Chrome/Edge: Sen soporte nativo a mediados de 2026; os usuarios poden instalar extensións de navegador como a extensión oficial GPC do proxecto Global Privacy Control.
Safari: Sen soporte nativo de GPC actualmente.

Para os usuarios que dependen só de extensións de privacidade, o GPC pode non funcionar se a extensión está desactivada ou entra en conflito con outras ferramentas. Pódese verificar que o sinal está activo visitando un sitio de proba de GPC que lea a propiedade navigator.globalPrivacyControl.

Como deben responder os sitios web aos sinais de exclusión de GPC

Cando un sitio web detecta un sinal GPC, a resposta requirida é tratar a ese usuario como se se excluíu formalmente da venda e compartición dos seus datos persoais, con efecto inmediato e para todas as visitas posteriores. Esta é a obriga principal de cumprimento baixo o Control de Privacidade Global (GPC): Como Xestionar Sinais de Exclusión Automatizados.

Pasos de implementación práctica para os operadores de sitios web:

Detectar o sinal no lado do servidor mediante o encabezado HTTP Sec-GPC: 1 antes de renderizar calquera script de seguimento.
Consultar a propiedade JavaScript (navigator.globalPrivacyControl) no lado do cliente como unha verificación secundaria.
Suprimir scripts de compartición de datos como píxeles de publicidade de terceiros, cookies de seguimento entre sitios e integracións de intermediarios de datos.
Rexistrar a exclusión no seu sistema de xestión de consentimento para manter un rexistro auditable.
Non anular o sinal cun banner de consentimento que pida ao usuario que volva a optar; esta práctica considérase un patrón escuro e pode constituír unha violación.

As Plataformas de Xestión de Consentimento poden automatizar gran parte deste fluxo de traballo. Cando se integra correctamente, un CMP detecta o sinal GPC entrante, aplica a preferencia de exclusión automaticamente e mostra unha confirmación ao usuario en lugar dunha solicitude de consentimento completa. [3] Biscotti CMP (www.biscotti-cmp.com) proporciona detección de sinais GPC e xestión de respostas automatizada como parte da súa infraestrutura de cumprimento, permitindo aos operadores de sitios web cumprir estas obrigas sen traballo de desenvolvemento personalizado.

O GPC realmente detén a recollida e o seguimento de datos

O GPC detén a venda e compartición de datos persoais con terceiros cando se honra correctamente, pero non elimina todas as formas de recollida de datos. Esta distinción é importante tanto para os usuarios como para os oficiais de cumprimento.

O que o GPC restrinxe (cando se honra):

Venda de datos de usuario a intermediarios de datos ou redes publicitarias
Compartición de datos persoais con terceiros para publicidade comportamental entre contextos
Sincronización de identificadores de usuario en dominios non relacionados

O que o GPC non restrinxe:

Análise de primeira parte (por exemplo, medir o tráfico do seu propio sitio)
Cookies estritamente necesarias para a funcionalidade do sitio
Procesamento de datos baseado noutras bases legais como o cumprimento de contratos ou a obriga legal

A investigación indica que a eficacia do GPC na práctica depende en gran medida da taxa de adopción e do cumprimento voluntario por parte dos sitios web, especialmente aqueles fóra das xurisdicións legalmente obrigadas. [9] Os usuarios en estados sen mandatos GPC poden atopar que moitos sitios non honran o sinal en absoluto.

Requisitos de cumprimento do GPC para sitios de comercio electrónico e que ocorre se un sitio web ignora os sinais GPC

Os sitios de comercio electrónico enfróntanse a unha maior exposición ao cumprimento do GPC porque normalmente integran numerosos servizos de terceiros: píxeles de publicidade, redes de retargeting, seguimento de afiliados e plataformas de análise, todos os cales poden implicar a venda ou compartición de datos persoais.

Para os operadores de comercio electrónico, o cumprimento do Control de Privacidade Global (GPC): Como Xestionar Sinais de Exclusión Automatizados implica:

Auditar todos os scripts de terceiros para identificar cales constitúen "venda" ou "compartición" de datos segundo as definicións estatais aplicables
Configurar sistemas de xestión de etiquetas para disparar só etiquetas conformes cando se detecta un sinal GPC
Asegurarse de que os programas de fidelidade, as integracións de marketing por correo electrónico e os fluxos de datos de CRM respecten as exclusións de GPC
Documentar a implementación técnica para unha posible revisión reguladora

Que ocorre se un sitio ignora os sinais GPC? En California, ignorar o GPC trátase como un incumprimento das solicitudes de exclusión baixo a CCPA/CPRA. O acordo de Sephora demostra que os reguladores perseguirán accións de aplicación e sancións financeiras substanciais. [1] Ademais de California, Colorado, Connecticut, Nova Jersey e Oregón teñen os seus propios mecanismos de aplicación. As empresas que operan a través das fronteiras estatais enfróntanse a un risco composto se o cumprimento do GPC está ausente.

Erros comúns que cometen as empresas:

Asumir que o GPC só se aplica aos residentes de California
Tratar o GPC como unha preferencia "suave" en lugar dunha exclusión vinculante
Non actualizar as configuracións de xestión de consentimento ao engadir novos provedores de terceiros
Permitir que os banners de consentimento anulen ou escurezan as exclusións de GPC xa en vigor

É o GPC o mesmo que unha solicitude de exclusión da CCPA

O GPC trátase como legalmente equivalente a unha solicitude de exclusión da CCPA en California, pero non é idéntico en mecanismo. Unha exclusión tradicional da CCPA require que un usuario localice e faga clic nun enlace "Non vender nin compartir a miña información persoal" en cada sitio web. O GPC automatiza esa solicitude a nivel de navegador, aplicándoa universalmente. [8]

A orientación do Fiscal Xeral de California confirma que as empresas deben tratar un sinal GPC entrante co mesmo peso legal que un formulario de exclusión enviado manualmente. As empresas non poden esixir aos usuarios que tamén completen unha exclusión manual se o GPC xa está activo. Baixo as emendas da CPRA, o alcance expandiuse para incluír a "compartición" de datos para publicidade comportamental entre contextos, non só a venda, o que o GPC tamén cubre.

Necesito GPC se xa uso extensións de privacidade

As extensións de privacidade e o GPC serven para propósitos superpostos pero distintos. As extensións como os bloqueadores de anuncios ou os bloqueadores de rastreadores operan bloqueando as solicitudes de rede ou modificando o comportamento da páxina localmente. O GPC, pola contra, comunica unha preferencia legal ao propio sitio web, creando unha obriga de cumprimento no lado do servidor.

Un usuario que executa un bloqueador de anuncios pode evitar que se carguen moitos rastreadores, pero o sitio web non recibe ningún sinal formal de exclusión e non ten ningunha obriga legal de axustar as súas prácticas de datos. O GPC crea ese sinal legal. Para os usuarios nos estados cubertos, activar o GPC ademais das extensións de privacidade proporciona tanto protección técnica como unha exclusión legalmente recoñecida.

Para os operadores de sitios web, a pregunta é diferente: as extensións de privacidade utilizadas polos visitantes non satisfán as súas obrigas de cumprimento do GPC. Debe detectar e honrar independentemente o sinal Sec-GPC independentemente das ferramentas que o usuario teña instaladas.

Preguntas frecuentes

P: Que lle di realmente o encabezado HTTP Sec-GPC: 1 a un sitio web? Dille ao servidor que o usuario expresou unha preferencia por excluírse da venda ou compartición dos seus datos persoais. O servidor debe usar este sinal para suprimir calquera actividade de compartición de datos antes de servir a páxina.

P: Pode un sitio web pedir a un usuario GPC que volva a consentir e anule a súa exclusión? Non. Presentar un banner de consentimento que pida a un usuario GPC que volva a optar considérase un patrón escuro e pode violar o espírito e a letra das leis de privacidade aplicables. O sinal GPC debe ser respectado tal cal.

P: O GPC aplícase a sitios web B2B ou só a sitios orientados ao consumidor? As obrigas do GPC xeralmente aplícanse cando un sitio recolle datos persoais de consumidores, segundo o definido polas leis de privacidade estatais. Os contextos puramente B2B poden quedar fóra dalgunhas definicións estatutarias, pero o asesoramento legal debe avaliar cada situación individualmente.

P: Como podo verificar que o meu sitio web está a detectar correctamente os sinais GPC? Use un navegador co GPC activado (como Brave) e verifique os rexistros do seu servidor para o encabezado Sec-GPC: 1, ou consulte navigator.globalPrivacyControl na consola do navegador mentres está no seu sitio. Un valor de true confirma que o sinal está presente.

P: Existe un requisito legal global (non estadounidense) para honrar o GPC? A mediados de 2026, o GPC está principalmente mandatado baixo as leis estatais dos EUA. Ningunha regulación vinculante da UE ou do Reino Unido manda especificamente o GPC, aínda que o sinal é compatible cos marcos de consentimento do GDPR e algúns CMPs tamén o xestionan nese contexto.

P: Con que frecuencia debe ser reauditado o cumprimento do GPC? Cada vez que se engade un novo script de terceiros ou unha integración de datos a un sitio, debe revisarse a configuración de cumprimento do GPC. As auditorías anuais son unha base mínima; as revisións trimestrais son aconsellables para propiedades de comercio electrónico de alto tráfico.

P: Cal é a diferenza entre o GPC e un banner de consentimento de cookies? Un banner de consentimento de cookies é un elemento da interface de usuario que solicita o permiso do usuario para usos específicos de datos. O GPC é un sinal a nivel de navegador que comunica unha preferencia preexistente sen requirir ningunha interacción da interface de usuario. Ambos poden coexistir, pero o GPC ten precedencia para fins de exclusión nas xurisdicións cubertas.

P: O GPC cobre todos os tipos de procesamento de datos persoais? Non. O GPC aborda especificamente a venda e compartición de datos persoais con terceiros. Non restrinxe o uso de datos de primeira parte, a análise ou o procesamento baseado noutras bases legais como a necesidade contractual.

Conclusión

O Control de Privacidade Global (GPC): Como Xestionar Sinais de Exclusión Automatizados xa non é un tema de cumprimento teórico; é unha prioridade de aplicación activa en varios estados dos EUA cun historial documentado de sancións financeiras. O acordo de Sephora estableceu que os reguladores actuarán, e a lista crecente de estados que recoñecen o GPC como un mecanismo de exclusión válido significa que a área de superficie de cumprimento está a crecer.

Próximos pasos accionables para empresas e desenvolvedores:

Audite a súa pila tecnolóxica actual para identificar todas as integracións de compartición de datos de terceiros.
Implemente a detección no lado do servidor do encabezado Sec-GPC: 1 como primeira capa de resposta.
Engada comprobacións navigator.globalPrivacyControl no lado do cliente dentro do seu sistema de xestión de etiquetas.
Despregue ou configure un CMP como Biscotti CMP para automatizar a detección de sinais GPC, a aplicación de exclusión e o rexistro de auditorías.
Adestre aos seus equipos de marketing e análise para comprender que fluxos de datos están restrinxidos cando o GPC está activo.
Programe revisións de cumprimento trimestrais para ter en conta as novas integracións de provedores e a lexislación estatal en evolución.

Os usuarios que desexen exercer os dereitos do GPC deben activar o sinal en Firefox (v120+) ou usar Brave, e verificar a activación nun recurso de proba do GPC. O sinal funciona silenciosamente en segundo plano, pero só produce protección legal onde os sitios web están obrigados a honralo.