Hızlı Cevap: Küresel Gizlilik Kontrolü (GPC), kullanıcıların kişisel verilerinin satışını veya paylaşımını reddetme tercihlerini otomatik olarak web sitelerine bildiren bir tarayıcı düzeyinde gizlilik sinyalidir. Kaliforniya, Colorado ve Connecticut gibi eyaletlerde faaliyet gösteren web siteleri, geçerli gizlilik yasaları uyarınca GPC sinyallerini onurlandırmakla yasal olarak yükümlüdür. İşletmeler,
Sec-GPC: 1HTTP başlığını veyanavigator.globalPrivacyControlJavaScript özelliğini tespit etmeli ve veri paylaşım faaliyetlerini gerçek zamanlı olarak bastırarak yanıt vermelidir.
Anahtar Noktalar
- GPC, opt-out tercihlerini bir HTTP başlığı (
Sec-GPC: 1) ve bir JavaScript özelliği aracılığıyla iletir; bu, kullanıcıların her bir sitenin onay banner'ı ile etkileşimde bulunma ihtiyacını ortadan kaldırır. - GPC'nin yasal olarak tanınması, Kaliforniya, Colorado, Connecticut, New Jersey ve Oregon dahil olmak üzere birçok ABD eyaletini kapsamaktadır ve bu yargı alanlarında faaliyet gösteren işletmeler için uyum zorunludur. [1]
- 2022'de Kaliforniya Başsavcısı, GPC sinyallerini onurlandırmamaktan dolayı Sephora ile 1.2 milyon dolarlık bir uzlaşmaya vardı ve bu durum net bir uygulama emsalini oluşturdu. [1]
- GPC, daha eski Do Not Track (DNT) sinyalinden yasal olarak farklıdır; DNT, çoğu yargı alanında uygulanabilir yasal ağırlığa sahip değildir.
- Firefox (v120+), Brave ve DuckDuckGo'nun mobil tarayıcısı gibi tarayıcılar, GPC'yi yerel olarak veya uzantılar aracılığıyla desteklemektedir. [2]
- Onay Yönetim Platformları (CMP'ler), GPC tespiti ve yanıtını otomatikleştirerek geliştirme ekiplerinin manuel uyum yükünü azaltabilir.
- GPC sinyallerini görmezden gelmek, kapsanan eyaletlerde gri bir alan değildir; bu, tüketici opt-out haklarının ihlali anlamına gelir ve işletmeleri düzenleyici yaptırımlara maruz bırakır.
- GPC, tüm veri toplama faaliyetlerinin tamamen durmasını garanti etmez; özellikle kişisel verilerin satışı ve paylaşımını hedefler, birinci taraf analitiği veya kesinlikle gerekli işleme değil.
Küresel Gizlilik Kontrolü (GPC) Nedir ve Nasıl Çalışır
Küresel Gizlilik Kontrolü, kullanıcıların tarayıcılarından ziyaret ettikleri her web sitesine evrensel bir opt-out tercihi yaymalarını sağlayan bir teknik spesifikasyondur; bu, her bir site için ayarları manuel olarak ayarlamayı gerektirmez. Gizlilik araştırmacıları, tarayıcı satıcıları ve savunuculuk kuruluşlarından oluşan bir koalisyon tarafından, site bazında onay etkileşimlerine ölçeklenebilir bir alternatif olarak geliştirilmiştir. [7]
Teknik olarak, GPC iki kanalda aynı anda çalışır:
- HTTP Başlığı: Bir kullanıcı GPC'yi etkinleştirdiğinde, tarayıcısı her HTTP isteğiyle birlikte
Sec-GPC: 1gönderir. Sunucular bu başlığı okuyabilir ve sayfa yüklenmeden önce veri işleme davranışını ayarlayabilir. - JavaScript Özelliği: Tarayıcı ayrıca
navigator.globalPrivacyControl = truedeğerini açığa çıkarır; bu, istemci tarafı betikleri tarafından izleme bastırma işlemini etkinleştirmek için sorgulanabilir. [4]
Her iki sinyal mevcut olduğunda, uyumlu bir web sitesi, talebi geçerli yasalar uyarınca o kullanıcının kişisel verilerinin satışından veya paylaşımından resmi olarak opt-out ettiği şeklinde değerlendirmelidir. Önemli olarak, GPC sinyalleri kalıcı ve otomatik olacak şekilde tasarlanmıştır; kullanıcılar tercihi bir kez ayarlar ve bu, tüm tarayıcı oturumları boyunca evrensel olarak geçerlidir.
GPC Web Siteleri ve İşletmeler İçin Yasal Olarak Bağlayıcı mı
Evet, birkaç ABD eyaletinde GPC sinyalleri, manuel olarak sunulan bir opt-out talebi ile aynı yasal ağırlığa sahiptir. Bu yargı alanlarında GPC sinyallerini onurlandırmayan işletmeler, yalnızca en iyi uygulama kılavuzunu ihlal etmekle kalmaz, aynı zamanda eyalet gizlilik yasalarını da ihlal eder.
GPC'nin yasal olarak geçerli bir opt-out mekanizması olarak tanındığı eyaletler şunlardır:
| Eyalet | Yürürlükteki Yasa | GPC Zorunlu |
|---|---|---|
| Kaliforniya | CCPA / CPRA | Evet |
| Colorado | CPA | Evet |
| Connecticut | CTDPA | Evet |
| New Jersey | NJDPA | Evet |
| Oregon | OCPA | Evet |
Ağustos 2022'deki Sephora uygulama eylemi, Kaliforniya Başsavcısı'nın GPC uyumsuzluğunu doğrudan bir CCPA ihlali olarak değerlendirdiğini açıkça ortaya koydu. [1] İşletmeler, bu durumu geçerli bir uygulama ölçütü olarak değerlendirmelidir, sıradışı bir durum olarak değil.
Karar kuralı: Web siteniz, yukarıda listelenen beş eyaletin sakinlerinden kişisel veri topluyorsa ve bu verilerin herhangi bir satışını veya paylaşımını gerçekleştiriyorsa, GPC uyumu yasal bir yükümlülüktür, isteğe bağlı değildir.
GPC ile Do Not Track Arasındaki Fark Nedir
GPC ve Do Not Track (DNT), benzer kullanıcı niyetlerine hitap eder, ancak yasal uygulanabilirlik açısından temelde farklıdır. 2009 civarında tanıtılan DNT, yasal bir dayanağı olmayan gönüllü bir sinyaldi; web siteleri bunu görmezden gelebilir ve büyük ölçüde de görmezden geldi.
GPC, bu boşluğu kapatmak için özel olarak tasarlanmıştır. Anahtar farklar:
- Yasal güç: GPC, CCPA, CPA, CTDPA ve diğer eyalet yasaları uyarınca uygulanabilir. DNT'nin ABD'de uygulanabilir bir yasal durumu yoktur.
- Kapsam: GPC, özellikle kişisel verilerin satışını ve paylaşımını hedefler. DNT, genel olarak izlemeyi sınırlamak için daha geniş, daha az tanımlı bir talep idi.
- Benimseme: Büyük tarayıcılar GPC'yi yerel olarak uygulamıştır. DNT desteği, birçok tarayıcı satıcısı tarafından kaldırılmış veya sona erdirilmiştir.
- Sektör yanıtı: Düzenleyiciler GPC uyumunu aktif olarak uygular. DNT, yasal bir sonuç olmaksızın reklam endüstrisi tarafından büyük ölçüde görmezden gelinmiştir.
İşletmeler için pratik sonuç: DNT sinyalleri uyum açısından göz ardı edilebilir, ancak GPC sinyalleri kapsanan yargı alanlarında göz ardı edilemez.
Tarayıcınızda Küresel Gizlilik Kontrolünü Nasıl Etkinleştirirsiniz ve Hangi Tarayıcılar Destekler
GPC'yi etkinleştirmek, kullanılan tarayıcıya bağlıdır. Firefox, 120. sürümde yerel GPC desteği sunmuştur ve bu, Gelişmiş İzleme Koruma ayarları paneli aracılığıyla erişilebilir. [2] Kullanıcılar, Ayarlar > Gizlilik ve Güvenlik > Gelişmiş İzleme Koruma bölümüne giderek GPC seçeneğini etkinleştirebilir.
GPC desteği olan diğer tarayıcılar ve araçlar:
- Brave Tarayıcı: GPC varsayılan olarak etkinleştirilmiştir, kullanıcı eylemi gerektirmez.
- DuckDuckGo Gizlilik Tarayıcısı (mobil): GPC sinyallerini otomatik olarak gönderir.
- Chrome/Edge: 2026 ortası itibarıyla yerel destek yok; kullanıcılar, Küresel Gizlilik Kontrolü projesinin resmi GPC uzantısı gibi tarayıcı uzantıları yükleyebilir.
- Safari: Şu anda yerel GPC desteği yoktur.
Sadece gizlilik uzantılarına güvenen kullanıcılar için, uzantı devre dışı bırakıldığında veya diğer araçlarla çeliştiğinde GPC çalışmayabilir. Sinyalin aktif olduğunu doğrulamak için, navigator.globalPrivacyControl özelliğini okuyan bir GPC test sitesini ziyaret edebilirsiniz.
Web Siteleri GPC Opt-Out Sinyallerine Nasıl Yanıt Vermelidir
Bir web sitesi GPC sinyalini tespit ettiğinde, gerekli yanıt, o kullanıcının kişisel verilerinin satışından ve paylaşımından resmi olarak opt-out ettiğini hemen ve tüm sonraki ziyaretler için kabul etmektir. Bu, Küresel Gizlilik Kontrolü (GPC): Otomatik Opt-Out Sinyallerini Yönetme konusundaki temel uyum yükümlülüğüdür.
Web sitesi operatörleri için pratik uygulama adımları:
- Sinyali tespit etme:
Sec-GPC: 1HTTP başlığı aracılığıyla sunucu tarafında, herhangi bir izleme betiği yüklenmeden önce. - JavaScript özelliğini sorgulama: İstemci tarafında ikinci bir kontrol olarak (
navigator.globalPrivacyControl). - Veri paylaşım betiklerini bastırma: Üçüncü taraf reklam pikselleri, çapraz site izleme çerezleri ve veri brokeri entegrasyonları gibi.
- Opt-out'u kaydetme: Onay yönetim sisteminizde denetlenebilir bir kayıt tutmak için.
- Sinyali geçersiz kılmayın: Kullanıcıdan tekrar onay istemek için bir onay banner'ı ile sinyali geçersiz kılmayın; bu uygulama karanlık bir desen olarak kabul edilir ve kendisi de bir ihlal oluşturabilir.
Onay Yönetim Platformları, bu iş akışının çoğunu otomatikleştirebilir. Doğru bir şekilde entegre edildiğinde, bir CMP gelen GPC sinyalini tespit eder, opt-out tercihini otomatik olarak uygular ve kullanıcıya tam bir onay istemi yerine bir onay gösterir. [3] Biscotti CMP (www.biscotti-cmp.com), GPC sinyal tespiti ve otomatik yanıt yönetimini uyum altyapısının bir parçası olarak sunarak web sitesi operatörlerinin bu yükümlülükleri yerine getirmesini sağlar.
GPC Gerçekten Veri Toplama ve İzlemeyi Durdurur mu
GPC, doğru bir şekilde onurlandırıldığında, kişisel verilerin üçüncü taraflarla satışını ve paylaşımını durdurur, ancak tüm veri toplama biçimlerini ortadan kaldırmaz. Bu ayrım, hem kullanıcılar hem de uyum görevlileri için önemlidir.
GPC'nin kısıtladığı şeyler (onurlandırıldığında):
- Kullanıcı verilerini veri brokerlerine veya reklam ağlarına satmak
- Kişisel verileri üçüncü taraflarla çapraz bağlam davranışsal reklamcılık için paylaşmak
- İlgisiz alanlar arasında kullanıcı tanımlayıcılarını senkronize etmek
GPC'nin kısıtlamadığı şeyler:
- Birinci taraf analitiği (örneğin, kendi site trafiğinizi ölçmek)
- Site işlevselliği için gerekli olan kesinlikle gerekli çerezler
- Sözleşme ifası veya yasal yükümlülük gibi diğer yasal dayanaklara dayanan veri işleme
Araştırmalar, GPC'nin pratikteki etkinliğinin, özellikle yasal olarak zorunlu yargı alanlarının dışındaki web siteleri tarafından benimseme oranına ve gönüllü uyuma bağlı olduğunu göstermektedir. [9] GPC zorunluluğu olmayan eyaletlerdeki kullanıcılar, birçok sitenin sinyali hiç onurlandırmadığını görebilir.
E-Ticaret Siteleri için GPC Uyum Gereksinimleri ve Bir Web Sitesi GPC Sinyallerini Görmezden Gelirse Ne Olur
E-ticaret siteleri, genellikle birçok üçüncü taraf hizmeti entegre ettikleri için GPC uyum riskine daha fazla maruz kalmaktadır: reklam pikselleri, yeniden hedefleme ağları, ortaklık izleme ve analitik platformları, bunların hepsi kişisel verilerin satışını veya paylaşımını içerebilir.
E-ticaret operatörleri için, Küresel Gizlilik Kontrolü (GPC): Otomatik Opt-Out Sinyallerini Yönetme ile uyum sağlamak şunları içerir:
- Hangi üçüncü taraf betiklerinin geçerli eyalet tanımlarına göre veri "satışı" veya "paylaşımı" oluşturduğunu belirlemek için tüm üçüncü taraf betiklerini denetlemek
- GPC sinyali tespit edildiğinde yalnızca uyumlu etiketlerin ateşlenmesini sağlamak için etiket yönetim sistemlerini yapılandırmak
- Sadakat programlarının, e-posta pazarlama entegrasyonlarının ve CRM veri akışlarının GPC opt-out'larına saygı göstermesini sağlamak
- Potansiyel düzenleyici inceleme için teknik uygulamayı belgelemek
Bir site GPC sinyallerini görmezden gelirse ne olur? Kaliforniya'da, GPC'yi görmezden gelmek, CCPA/CPRA uyarınca opt-out taleplerini onurlandırmama olarak değerlendirilir. Sephora uzlaşması, düzenleyicilerin uygulama eylemlerini ve önemli mali cezaları takip edeceğini göstermektedir. [1] Kaliforniya'nın ötesinde, Colorado, Connecticut, New Jersey ve Oregon'un her birinin kendi uygulama mekanizmaları vardır. Eyaletler arası faaliyet gösteren işletmeler, GPC uyumu yoksa artan riskle karşı karşıya kalır.
İşletmelerin yaptığı yaygın hatalar:
- GPC'nin yalnızca Kaliforniya sakinlerine uygulandığını varsaymak
- GPC'yi bağlayıcı bir opt-out yerine "yumuşak" bir tercih olarak değerlendirmek
- Yeni üçüncü taraf satıcıları eklerken onay yönetim yapılandırmalarını güncellemeyi ihmal etmek
- Onay banner'larının, zaten geçerli olan GPC opt-out'larını geçersiz kılmasına veya gizlemesine izin vermek
GPC, CCPA Opt-Out Talebi ile Aynı mı
GPC, Kaliforniya'da yasal olarak CCPA opt-out talebi ile eşdeğer olarak kabul edilir, ancak mekanizma olarak aynı değildir. Geleneksel bir CCPA opt-out, kullanıcının her web sitesinde "Kişisel Bilgilerimi Satmayın veya Paylaşmayın" bağlantısını bulmasını ve tıklamasını gerektirir. GPC, bu talebi tarayıcı düzeyinde otomatikleştirir ve evrensel olarak uygular. [8]
Kaliforniya Başsavcısı'nın rehberi, işletmelerin gelen bir GPC sinyalini, manuel olarak sunulan bir opt-out formu ile aynı yasal ağırlıkta değerlendirmeleri gerektiğini doğrulamaktadır. İşletmeler, GPC aktifken kullanıcıların ayrıca manuel bir opt-out tamamlamasını isteyemez. CPRA değişiklikleri uyarınca, kapsam, yalnızca satış değil, aynı zamanda çapraz bağlam davranışsal reklamcılığı için veri "paylaşımını" da içerecek şekilde genişletilmiştir; bu, GPC'nin de kapsadığı bir konudur.
Zaten Gizlilik Uzantıları Kullanıyorsam GPC'ye İhtiyacım Var mı
Gizlilik uzantıları ve GPC, örtüşen ancak farklı amaçlara hizmet eder. Reklam engelleyiciler veya izleyici engelleyiciler gibi uzantılar, ağ isteklerini engelleyerek veya sayfa davranışını yerel olarak değiştirerek çalışır. GPC ise, web sitesine yasal bir tercih ileterek sunucu tarafında bir uyum yükümlülüğü oluşturur.
Reklam engelleyici kullanan bir kullanıcı, birçok izleyicinin yüklenmesini engelleyebilir, ancak web sitesi resmi bir opt-out sinyali almaz ve veri uygulamalarını ayarlamak için yasal bir yükümlülüğü yoktur. GPC, bu yasal sinyali oluşturur. Kapsanan eyaletlerdeki kullanıcılar için, gizlilik uzantılarına ek olarak GPC'yi etkinleştirmek, hem teknik koruma sağlar hem de kayıtlarda yasal olarak tanınan bir opt-out oluşturur.
Web sitesi operatörleri için soru farklıdır: Ziyaretçiler tarafından kullanılan gizlilik uzantıları, GPC uyum yükümlülüklerinizi karşılamaz. Kullanıcının hangi araçları yüklediğine bakılmaksızın Sec-GPC sinyalini bağımsız olarak tespit etmeli ve onurlandırmalısınız.
SSS
S: Sec-GPC: 1 HTTP başlığı bir web sitesine neyi bildirir? Kullanıcının kişisel verilerinin satışını veya paylaşımını reddetme tercihini ifade ettiğini sunucuya bildirir. Sunucu, bu sinyali kullanarak sayfayı sunmadan önce herhangi bir veri paylaşım faaliyetini bastırmalıdır.
S: Bir web sitesi, GPC kullanıcısından tekrar onay isteyebilir mi ve opt-out'larını geçersiz kılabilir mi? Hayır. GPC kullanıcısından tekrar onay istemek için bir onay banner'ı sunmak, karanlık bir desen olarak kabul edilir ve geçerli gizlilik yasalarının ruhunu ve mevcudunu ihlal edebilir. GPC sinyali olduğu gibi saygı gösterilmelidir.
S: GPC, B2B web sitelerine mi yoksa yalnızca tüketici odaklı sitelere mi uygulanır? GPC yükümlülükleri genellikle bir sitenin, eyalet gizlilik yasaları tarafından tanımlandığı gibi, tüketicilerden kişisel veri topladığında geçerlidir. Tamamen B2B bağlamları bazı yasal tanımların dışına çıkabilir, ancak yasal danışman her durumu ayrı ayrı değerlendirmelidir.
S: Web sitemin GPC sinyallerini doğru bir şekilde tespit ettiğini nasıl doğrulayabilirim?
GPC etkinleştirilmiş bir tarayıcı (örneğin Brave) kullanın ve sunucu günlüklerinizde Sec-GPC: 1 başlığını kontrol edin veya sitenizdeyken tarayıcı konsolunda navigator.globalPrivacyControl sorgulayın. true değeri, sinyalin mevcut olduğunu doğrular.
S: GPC'yi onurlandırmak için küresel (ABD dışı) yasal bir gereklilik var mı? 2026 ortası itibarıyla, GPC esasen ABD eyalet yasaları altında zorunludur. Bağlayıcı bir AB veya İngiltere düzenlemesi, özellikle GPC'yi zorunlu kılmamaktadır; ancak sinyal, GDPR onay çerçeveleri ile uyumludur ve bazı CMP'ler bu bağlamda da yönetmektedir.
S: GPC uyumu ne sıklıkla yeniden denetlenmelidir? Bir siteye yeni bir üçüncü taraf betiği veya veri entegrasyonu eklendiğinde, GPC uyum yapılandırması gözden geçirilmelidir. Yıllık denetimler minimum bir temel oluşturur; yüksek trafikli e-ticaret mülkleri için üç aylık incelemeler önerilir.
S: GPC ile çerez onay banner'ı arasındaki fark nedir? Bir çerez onay banner'ı, belirli veri kullanımları için kullanıcı izni talep eden bir UI öğesidir. GPC, herhangi bir UI etkileşimi gerektirmeden, önceden var olan bir tercihi ileten bir tarayıcı düzeyinde sinyaldir. Her ikisi de bir arada bulunabilir, ancak GPC, kapsanan yargı alanlarında opt-out amaçları için öncelik taşır.
S: GPC, tüm kişisel veri işleme türlerini kapsar mı? Hayır. GPC, özellikle kişisel verilerin üçüncü taraflarla satışını ve paylaşımını ele alır. Birinci taraf veri kullanımı, analitik veya sözleşmesel gereklilik gibi diğer yasal dayanaklara dayanan işleme üzerinde kısıtlama getirmez.
Sonuç
Küresel Gizlilik Kontrolü (GPC): Otomatik Opt-Out Sinyallerini Yönetme, artık teorik bir uyum konusu değildir; bu, belgelenmiş mali cezalarla birlikte birçok ABD eyaletinde aktif bir uygulama önceliğidir. Sephora uzlaşması, düzenleyicilerin harekete geçeceğini ve GPC'yi geçerli bir opt-out mekanizması olarak tanıyan eyaletlerin artan listesinin uyum yüzeyinin büyüdüğünü göstermektedir.
İşletmeler ve geliştiriciler için uygulanabilir sonraki adımlar:
- Üçüncü taraf veri paylaşım entegrasyonlarınızı belirlemek için mevcut teknoloji yığınınızı denetleyin.
- İlk yanıt katmanı olarak
Sec-GPC: 1başlığının sunucu tarafında tespit edilmesini uygulayın. - Etiket yönetim sisteminiz içinde istemci tarafında
navigator.globalPrivacyControlkontrolleri ekleyin. - GPC sinyal tespiti, opt-out uygulaması ve denetim kaydı otomasyonu için Biscotti CMP gibi bir CMP'yi dağıtın veya yapılandırın.
- Pazarlama ve analitik ekiplerinizi, GPC aktifken hangi veri akışlarının kısıtlandığını anlamaları için eğitin.
- Yeni satıcı entegrasyonları ve gelişen eyalet yasalarını dikkate almak için üç aylık uyum incelemeleri planlayın.
GPC haklarını kullanmak isteyen kullanıcılar, Firefox (v120+) veya Brave'de sinyali etkinleştirmeli ve bir GPC test kaynağında aktivasyonu doğrulamalıdır. Sinyal, arka planda sessizce çalışır, ancak yalnızca web sitelerinin onurlandırması gereken yerlerde yasal koruma sağlar.