Краткий ответ: Глобальный контроль конфиденциальности (GPC) — это сигнал конфиденциальности на уровне браузера, который автоматически уведомляет веб-сайты о предпочтении пользователя отказаться от продажи или передачи его личных данных. Веб-сайты, работающие в таких штатах, как Калифорния, Колорадо и Коннектикут, обязаны соблюдать сигналы GPC в соответствии с применимыми законами о конфиденциальности. Компании должны обнаруживать HTTP-заголовок
Sec-GPC: 1или свойство JavaScriptnavigator.globalPrivacyControlи реагировать, подавляя действия по обмену данными в реальном времени.
Основные выводы
- GPC передает предпочтения об отказе через HTTP-заголовок (
Sec-GPC: 1) и свойство JavaScript, устраняя необходимость пользователям взаимодействовать с баннерами согласия на каждом сайте. - Юридическое признание GPC охватывает несколько штатов США, включая Калифорнию, Колорадо, Коннектикут, Нью-Джерси и Орегон, что делает соблюдение обязательным для компаний, работающих в этих юрисдикциях. [1]
- В 2022 году Генеральный прокурор Калифорнии достиг соглашения на сумму 1,2 миллиона долларов с Sephora за то, что компания не соблюдала сигналы GPC, установив четкий прецедент для правоприменения. [1]
- GPC юридически отличается от старого сигнала "Не отслеживать" (DNT), который не имеет обязательной юридической силы в большинстве юрисдикций.
- Браузеры, включая Firefox (v120+), Brave и мобильный браузер DuckDuckGo, поддерживают GPC нативно или через расширения. [2]
- Платформы управления согласиями (CMP) могут автоматизировать обнаружение и реакцию на GPC, снижая ручную нагрузку по соблюдению требований на команды разработчиков.
- Игнорирование сигналов GPC не является серой зоной в охваченных штатах; это является нарушением прав потребителей на отказ и подвергает компании риску регуляторного принуждения.
- GPC не гарантирует полного прекращения сбора всех данных; он конкретно нацелен на продажу и передачу личных данных, а не на аналитику первой стороны или строго необходимые обработки.
Что такое Глобальный контроль конфиденциальности (GPC) и как он работает
Глобальный контроль конфиденциальности — это техническая спецификация, которая позволяет пользователям транслировать универсальное предпочтение об отказе от своего браузера на каждый веб-сайт, который они посещают, без необходимости вручную настраивать параметры на каждом отдельном сайте. Он был разработан коалицией исследователей в области конфиденциальности, поставщиков браузеров и организаций по защите прав как масштабируемая альтернатива взаимодействиям по согласованию на каждом сайте. [7]
Технически GPC работает по двум каналам одновременно:
- HTTP-заголовок: Когда у пользователя включен GPC, его браузер отправляет
Sec-GPC: 1с каждым HTTP-запросом. Серверы могут читать этот заголовок и корректировать поведение обработки данных еще до загрузки страницы. - Свойство JavaScript: Браузер также открывает
navigator.globalPrivacyControl = true, которое клиентские скрипты могут запрашивать, чтобы определить, следует ли активировать подавление отслеживания. [4]
Когда оба сигнала присутствуют, соответствующий веб-сайт должен рассматривать запрос как эквивалентный формальному отказу от продажи или передачи личных данных этого пользователя в соответствии с применимым законодательством. Важно отметить, что сигналы GPC предназначены для того, чтобы быть постоянными и автоматическими; пользователи устанавливают предпочтение один раз, и оно применяется универсально ко всем сеансам просмотра.
Является ли GPC юридически обязательным для веб-сайтов и компаний
Да, в нескольких штатах США сигналы GPC имеют такую же юридическую силу, как и вручную поданный запрос об отказе. Компании, которые не соблюдают сигналы GPC в этих юрисдикциях, нарушают законы о конфиденциальности штата, а не просто рекомендации по лучшим практикам.
Штаты, где GPC юридически признан действительным механизмом отказа, включают:
| Штат | Регулирующий закон | Обязательность GPC |
|---|---|---|
| Калифорния | CCPA / CPRA | Да |
| Колорадо | CPA | Да |
| Коннектикут | CTDPA | Да |
| Нью-Джерси | NJDPA | Да |
| Орегон | OCPA | Да |
Действие по принуждению к соблюдению в отношении Sephora в августе 2022 года, приведшее к соглашению на сумму 1,2 миллиона долларов, ясно показало, что Генеральный прокурор Калифорнии рассматривает несоблюдение GPC как прямое нарушение CCPA. [1] Компании должны рассматривать этот случай как действующий стандарт принуждения, а не как исключение.
Правило принятия решения: Если ваш веб-сайт собирает личные данные от жителей любого из пяти перечисленных выше штатов и участвует в продаже или передаче этих данных третьим лицам, соблюдение GPC является юридическим обязательством, а не опциональным.
GPC против "Не отслеживать": в чем разница
GPC и "Не отслеживать" (DNT) касаются схожих намерений пользователей, но принципиально различаются по юридической обязательности. DNT, введенный около 2009 года, был добровольным сигналом без законодательной поддержки; веб-сайты могли и в значительной степени игнорировали его без последствий.
GPC был специально разработан, чтобы закрыть этот пробел. Ключевые различия:
- Юридическая сила: GPC подлежит принуждению в соответствии с CCPA, CPA, CTDPA и другими законами штатов. DNT не имеет обязательного юридического статуса в Соединенных Штатах.
- Область применения: GPC конкретно нацелен на продажу и передачу личных данных. DNT был более широким, менее определенным запросом на ограничение отслеживания в целом.
- Принятие: Основные браузеры внедрили GPC нативно. Поддержка DNT была прекращена или удалена несколькими поставщиками браузеров.
- Ответ отрасли: Регуляторы активно принуждают к соблюдению GPC. DNT в значительной степени игнорировался рекламной отраслью без юридических последствий.
Практический вывод для бизнеса: сигналы DNT могут быть проигнорированы с точки зрения соблюдения, но сигналы GPC не могут быть проигнорированы в охваченных юрисдикциях.
Как включить Глобальный контроль конфиденциальности в вашем браузере и какие браузеры его поддерживают
Включение GPC зависит от используемого браузера. Firefox внедрил нативную поддержку GPC в версии 120, доступную через панель настроек Защиты от отслеживания. [2] Пользователи могут активировать его, перейдя в Настройки > Конфиденциальность и безопасность > Защита от отслеживания и включив опцию GPC.
Другие браузеры и инструменты с поддержкой GPC:
- Браузер Brave: GPC включен по умолчанию, не требуя действий от пользователя.
- Мобильный браузер DuckDuckGo: Автоматически отправляет сигналы GPC.
- Chrome/Edge: На середину 2026 года нет нативной поддержки; пользователи могут установить расширения браузера, такие как официальное расширение GPC от проекта Глобального контроля конфиденциальности.
- Safari: В настоящее время нет нативной поддержки GPC.
Для пользователей, полагающихся только на расширения конфиденциальности, GPC может не работать, если расширение отключено или конфликтует с другими инструментами. Проверить, активен ли сигнал, можно, посетив сайт для тестирования GPC, который считывает свойство navigator.globalPrivacyControl.
Как веб-сайты должны реагировать на сигналы об отказе GPC
Когда веб-сайт обнаруживает сигнал GPC, необходимая реакция заключается в том, чтобы рассматривать этого пользователя как формально отказавшегося от продажи и передачи своих личных данных, с немедленным эффектом и для всех последующих посещений. Это основное обязательство по соблюдению в рамках Глобального контроля конфиденциальности (GPC): как обрабатывать автоматические сигналы об отказе.
Практические шаги по реализации для операторов веб-сайтов:
- Обнаружить сигнал на стороне сервера через HTTP-заголовок
Sec-GPC: 1перед рендерингом любых скриптов отслеживания. - Запросить свойство JavaScript (
navigator.globalPrivacyControl) на стороне клиента в качестве вторичной проверки. - Подавить скрипты обмена данными, такие как пиксели рекламы третьих сторон, куки для отслеживания между сайтами и интеграции с брокерами данных.
- Зарегистрировать отказ в вашей системе управления согласиями, чтобы поддерживать аудируемую запись.
- Не переопределять сигнал с помощью баннера согласия, который предлагает пользователю снова согласиться; эта практика считается темным паттерном и может сама по себе являться нарушением.
Платформы управления согласиями могут автоматизировать большую часть этого рабочего процесса. При правильной интеграции CMP обнаруживает входящий сигнал GPC, автоматически применяет предпочтение об отказе и отображает подтверждение пользователю, а не полный запрос на согласие. [3] Biscotti CMP (www.biscotti-cmp.com) предоставляет обнаружение сигнала GPC и автоматическую обработку ответов как часть своей инфраструктуры соблюдения, позволяя операторам веб-сайтов выполнять эти обязательства без индивидуальной разработки.
Останавливает ли GPC фактически сбор данных и отслеживание
GPC останавливает продажу и передачу личных данных третьим лицам, когда соблюдается правильно, но не устраняет все формы сбора данных. Это различие имеет значение как для пользователей, так и для сотрудников по соблюдению требований.
Что GPC ограничивает (при соблюдении):
- Продажа данных пользователей брокерам данных или рекламным сетям
- Передача личных данных третьим лицам для поведенческой рекламы в разных контекстах
- Синхронизация идентификаторов пользователей между несвязанными доменами
Что GPC не ограничивает:
- Аналитику первой стороны (например, измерение трафика на вашем сайте)
- Строго необходимые куки, требуемые для функциональности сайта
- Обработку данных на основе других юридических оснований, таких как выполнение контракта или юридическое обязательство
Исследования показывают, что эффективность GPC на практике сильно зависит от уровня принятия и добровольного соблюдения со стороны веб-сайтов, особенно тех, которые находятся вне юридически обязательных юрисдикций. [9] Пользователи в штатах без обязательств GPC могут обнаружить, что многие сайты вообще не учитывают сигнал.
Требования к соблюдению GPC для сайтов электронной коммерции и что происходит, если веб-сайт игнорирует сигналы GPC
Сайты электронной коммерции сталкиваются с повышенной подверженностью соблюдению GPC, поскольку они обычно интегрируют множество сторонних услуг: рекламные пиксели, сети повторного таргетинга, отслеживание аффилиатов и аналитические платформы, все из которых могут включать продажу или передачу личных данных.
Для операторов электронной коммерции соблюдение Глобального контроля конфиденциальности (GPC): как обрабатывать автоматические сигналы об отказе включает:
- Аудит всех сторонних скриптов для определения, какие из них представляют собой "продажу" или "передачу" данных в соответствии с применимыми определениями штата
- Настройка систем управления тегами для активации только соответствующих тегов при обнаружении сигнала GPC
- Обеспечение того, чтобы программы лояльности, интеграции email-маркетинга и потоки данных CRM уважали отказы GPC
- Документирование технической реализации для потенциального регуляторного обзора
Что происходит, если сайт игнорирует сигналы GPC? В Калифорнии игнорирование GPC рассматривается как неисполнение запросов об отказе в соответствии с CCPA/CPRA. Соглашение с Sephora демонстрирует, что регуляторы будут предпринимать действия по принуждению и налагать значительные финансовые штрафы. [1] За пределами Калифорнии Колорадо, Коннектикут, Нью-Джерси и Орегон имеют свои собственные механизмы принуждения. Компании, работающие на межгосударственном уровне, сталкиваются с нарастающим риском, если соблюдение GPC отсутствует.
Распространенные ошибки, которые совершают компании:
- Предположение, что GPC применяется только к жителям Калифорнии
- Рассмотрение GPC как "мягкого" предпочтения, а не обязательного отказа
- Неспособность обновить конфигурации управления согласиями при добавлении новых сторонних поставщиков
- Позволение баннерам согласия переопределять или скрывать уже действующие отказы GPC
Является ли GPC тем же, что и запрос об отказе CCPA
GPC рассматривается как юридически эквивалентный запросу об отказе CCPA в Калифорнии, но он не идентичен по механизму. Традиционный запрос об отказе CCPA требует от пользователя найти и нажать на ссылку "Не продавать и не делиться моей личной информацией" на каждом веб-сайте. GPC автоматизирует этот запрос на уровне браузера, применяя его универсально. [8]
Руководство Генерального прокурора Калифорнии подтверждает, что компании должны рассматривать входящий сигнал GPC с той же юридической силой, что и вручную поданную форму отказа. Компании не могут требовать от пользователей также завершить ручной отказ, если GPC уже активен. В соответствии с поправками CPRA объем расширился, чтобы включить "передачу" данных для поведенческой рекламы в разных контекстах, а не только продажу, что также охватывает GPC.
Нужен ли мне GPC, если я уже использую расширения конфиденциальности
Расширения конфиденциальности и GPC служат пересекающимся, но различным целям. Расширения, такие как блокировщики рекламы или блокировщики трекеров, работают, блокируя сетевые запросы или изменяя поведение страницы локально. GPC, напротив, передает юридическое предпочтение самому веб-сайту, создавая обязательство по соблюдению на стороне сервера.
Пользователь, использующий блокировщик рекламы, может предотвратить загрузку многих трекеров, но веб-сайт не получает никакого формального сигнала об отказе и не несет юридической обязанности корректировать свои практики обработки данных. GPC создает этот юридический сигнал. Для пользователей в охваченных штатах включение GPC в дополнение к расширениям конфиденциальности обеспечивает как техническую защиту, так и юридически признанный отказ на записи.
Для операторов веб-сайтов вопрос другой: расширения конфиденциальности, используемые посетителями, не удовлетворяют ваши обязательства по соблюдению GPC. Вы должны независимо обнаруживать и уважать сигнал Sec-GPC, независимо от того, какие инструменты установил пользователь.
Часто задаваемые вопросы
В: Что на самом деле говорит заголовок Sec-GPC: 1 веб-сайту? Он сообщает серверу, что пользователь выразил предпочтение отказаться от продажи или передачи своих личных данных. Сервер должен использовать этот сигнал, чтобы подавить любые действия по обмену данными до обслуживания страницы.
В: Может ли веб-сайт попросить пользователя GPC снова согласиться и переопределить его отказ? Нет. Представление баннера согласия, который просит пользователя GPC снова согласиться, считается темным паттерном и может нарушать дух и букву применимых законов о конфиденциальности. Сигнал GPC должен уважаться как есть.
В: Применяется ли GPC к B2B веб-сайтам или только к сайтам, ориентированным на потребителей? Обязанности GPC обычно применяются, когда сайт собирает личные данные от потребителей, как это определено законами о конфиденциальности штата. Чистые B2B контексты могут выходить за пределы некоторых законодательных определений, но юридический совет должен оценивать каждую ситуацию индивидуально.
В: Как я могу проверить, что мой веб-сайт правильно обнаруживает сигналы GPC?
Используйте браузер с включенным GPC (например, Brave) и проверьте свои серверные журналы на наличие заголовка Sec-GPC: 1, или запросите navigator.globalPrivacyControl в консоли браузера, находясь на вашем сайте. Значение true подтверждает, что сигнал присутствует.
В: Существует ли глобальное (неамериканское) юридическое требование уважать GPC? На середину 2026 года GPC в основном предписывается в соответствии с законами штатов США. Нет обязательного регулирования ЕС или Великобритании, которое специально предписывало бы GPC, хотя сигнал совместим с рамками согласия GDPR, и некоторые CMP обрабатывают его в этом контексте.
В: Как часто необходимо повторно проверять соблюдение GPC? Каждый раз, когда на сайт добавляется новый сторонний скрипт или интеграция данных, конфигурация соблюдения GPC должна быть пересмотрена. Годовые аудиты являются минимальной базой; квартальные проверки рекомендуются для объектов электронной коммерции с высоким трафиком.
В: В чем разница между GPC и баннером согласия на куки? Баннер согласия на куки — это элемент пользовательского интерфейса, который запрашивает разрешение пользователя на конкретные использования данных. GPC — это сигнал на уровне браузера, который передает предсуществующее предпочтение без необходимости взаимодействия с пользовательским интерфейсом. Оба могут сосуществовать, но GPC имеет приоритет для целей отказа в охваченных юрисдикциях.
В: Охватывает ли GPC все типы обработки личных данных? Нет. GPC конкретно касается продажи и передачи личных данных третьим лицам. Он не ограничивает использование данных первой стороны, аналитику или обработку на основе других законных оснований, таких как необходимость выполнения контракта.
Заключение
Глобальный контроль конфиденциальности (GPC): как обрабатывать автоматические сигналы об отказе больше не является теоретической темой соблюдения; это активный приоритет правоприменения в нескольких штатах США с задокументированной историей финансовых штрафов. Соглашение с Sephora установило, что регуляторы будут действовать, а расширяющийся список штатов, признающих GPC как действительный механизм отказа, означает, что область соблюдения растет.
Практические следующие шаги для бизнеса и разработчиков:
- Проведите аудит вашего текущего технологического стека, чтобы выявить все интеграции обмена данными с третьими сторонами.
- Реализуйте обнаружение заголовка
Sec-GPC: 1на стороне сервера как первый уровень реакции. - Добавьте проверки
navigator.globalPrivacyControlна стороне клиента в вашу систему управления тегами. - Разверните или настройте CMP, такую как Biscotti CMP, для автоматизации обнаружения сигнала GPC, применения отказа и ведения аудита.
- Обучите ваши команды маркетинга и аналитики понимать, какие потоки данных ограничены, когда GPC активен.
- Запланируйте квартальные проверки соблюдения, чтобы учесть новые интеграции поставщиков и развивающееся законодательство штатов.
Пользователи, которые хотят воспользоваться правами GPC, должны включить сигнал в Firefox (v120+) или использовать Brave и проверить активацию на ресурсе для тестирования GPC. Сигнал работает тихо в фоновом режиме, но обеспечивает юридическую защиту только там, где веб-сайты обязаны его уважать.
Ссылки
[1] Global Privacy Control - https://en.wikipedia.org/wiki/Global_Privacy_Control?utm_source=openai
[2] Global Privacy Control - https://support.mozilla.org/en-US/kb/global-privacy-control?utm_source=openai
[3] 14641576514844 Global Privacy Control Gpc Signal - https://support.usercentrics.com/hc/en-us/articles/14641576514844-Global-Privacy-Control-GPC-Signal?utm_source=openai
[4] Global Privacy Control - https://www.ethyca.com/glossary/global-privacy-control?utm_source=openai
[5] Global Privacy Control - https://securiti.ai/global-privacy-control/?utm_source=openai
[6] What Is Global Privacy Control Gpc - https://elementor.com/help/what-is-global-privacy-control-gpc/?utm_source=openai
[7] Global Privacy Control - https://apis.io/apis/ccpa/global-privacy-control/?utm_source=openai
[8] oag.ca.gov - https://www.oag.ca.gov/privacy/ccpa/gpc?utm_source=openai
[9] arxiv - https://arxiv.org/abs/2407.14938?utm_source=openai