Control Global de Privacidad (GPC)

¿Qué es Global Privacy Control (GPC)?

Global Privacy Control (GPC) es un ajuste del navegador que indica a cada sitio web que visita que no venda ni comparta su información personal. Cuando está activado, el navegador añade la cabecera HTTP Sec-GPC: 1 a cada solicitud y establece navigator.globalPrivacyControl en true para los scripts de la página. Esa es la señal GPC.

En California, Colorado, Connecticut y una lista creciente de estados de EE. UU., la ley trata la señal GPC como una solicitud válida para excluirse de la venta o el intercambio de datos personales y de la publicidad dirigida. Los sitios web sujetos a esas leyes deben respetarla automáticamente, sin pedir al visitante que haga clic en nada.

GPC es la señal de preferencia de exclusión más conocida, el término general que usa la normativa de California para este tipo de exclusión a nivel del navegador.

¿Quién creó Global Privacy Control?

GPC se presentó en el Privacy Community Group del World Wide Web Consortium (W3C) en abril de 2020, impulsado por un grupo de navegadores, editores, investigadores y defensores de la privacidad. En noviembre de 2024 pasó a ser un tema de trabajo oficial del W3C Privacy Working Group, donde se está estandarizando la especificación.

¿Cómo funciona la señal GPC?

La especificación define dos formas de que un sitio web lea la señal, además de un archivo opcional con el que el sitio declara que respeta GPC:

• Cabecera HTTP: el navegador envía Sec-GPC: 1 con las solicitudes. La cabecera solo se envía cuando GPC está activado, y los servidores deben tratar cualquier valor distinto de 1 como no establecido.
• Propiedad de JavaScript: navigator.globalPrivacyControl devuelve true cuando se enviaría la cabecera y false cuando no.
• Declaración del sitio web: un sitio puede publicar /.well-known/gpc.json para indicar que tiene intención de respetar GPC.

GET /checkout HTTP/1.1
Host: www.example.com
Sec-GPC: 1

// Leer la señal GPC en el navegador
if (navigator.globalPrivacyControl === true) {
  // Tratar al visitante como excluido de la venta, el intercambio y la publicidad dirigida
}

// /.well-known/gpc.json
// { "gpc": true, "lastUpdate": "2026-10-01" }

GPC es una señal, no un bloqueador. No detiene las etiquetas por sí sola: el sitio web, o su plataforma de gestión del consentimiento, tiene que detectarla y aplicarla.

¿Qué navegadores y extensiones envían GPC?

La Opt Me Out Act de California (AB 566), firmada en octubre de 2025, obliga a los navegadores a ofrecer un ajuste integrado de señal de preferencia de exclusión a partir del 1 de enero de 2027, por lo que se espera que el tráfico con GPC crezca.

Cómo activar Global Privacy Control

• Brave y DuckDuckGo: no hay que hacer nada, GPC está activado por defecto.
• Firefox: abra Ajustes, vaya a Privacidad y seguridad y marque la opción que indica a los sitios web que no vendan ni compartan sus datos. En las ventanas privadas ya está activada.
• Otros navegadores: instale una extensión que envíe GPC, como Privacy Badger.

Para comprobar que funciona, abra la consola del navegador en cualquier página y escriba navigator.globalPrivacyControl. Devuelve true cuando la señal está activada.

¿Qué leyes obligan a los sitios web a respetar GPC?

Según el reglamento de la CCPA, una empresa que vende o comparte información personal debe tratar la señal GPC como una exclusión válida de la venta y el intercambio para ese navegador o dispositivo y para cualquier perfil vinculado, incluida la cuenta del consumidor cuando la empresa sabe quién es. Desde que el reglamento actualizado entró en vigor el 1 de enero de 2026, la empresa también debe mostrar en su sitio web si ha procesado la señal, por ejemplo con un mensaje como "Opt-Out Request Honored". Consulte todas las leyes estatales en nuestra guía de leyes de privacidad de los estados de EE. UU..

Aplicación de GPC: Sephora y Disney

• Sephora, agosto de 2022: en el primer acuerdo de la CCPA, el Attorney General de California multó a Sephora con 1,2 millones de dólares. Una de las acusaciones fue que Sephora no respetó las solicitudes de exclusión enviadas mediante controles globales de privacidad activados por el usuario. Ese mismo día, el Attorney General envió avisos a otras empresas que ignoraban GPC.
• Disney, febrero de 2026: Disney aceptó pagar 2,75 millones de dólares, el mayor acuerdo de la CCPA hasta la fecha. Cuando los consumidores enviaban una señal GPC, Disney aplicaba la exclusión solo a ese dispositivo, incluso cuando habían iniciado sesión en su cuenta de Disney, y seguía vendiendo o compartiendo sus datos desde otros dispositivos y servicios. Lea nuestro análisis: multa de la CCPA a Disney por Global Privacy Control.

GPC frente a Do Not Track

Do Not Track (DNT) fue una cabecera de navegador anterior que pedía a los sitios web que no rastrearan al usuario. Ninguna ley obligaba a los sitios web a respetarla, así que la mayoría la ignoró, y navegadores como Safari y Firefox han eliminado ya el ajuste.

GPC es más acotado y tiene fuerza legal. Pide una sola cosa, que no se vendan ni compartan los datos personales, y las leyes estatales de EE. UU. convierten esa petición en una exclusión vinculante. Un sitio web que ignora GPC en California o Colorado no cumple la ley.

GPC y el RGPD

El RGPD no menciona GPC y ninguna autoridad de la UE lo ha convertido en una señal obligatoria. La especificación de GPC señala que, en la UE, puede expresar una solicitud general de limitar la venta o el intercambio de datos personales, vinculada al derecho a retirar el consentimiento (artículo 7) y al derecho de oposición (artículo 21).

En la práctica, el RGPD es una ley de consentimiento previo: sigue necesitando el consentimiento antes de instalar cookies no esenciales, envíe o no el visitante GPC. Tratar una señal GPC como rechazo de las cookies publicitarias para los visitantes de la UE es una opción prudente, pero no sustituye al banner de consentimiento del RGPD.

¿Cómo deben respetar los sitios web la señal GPC?

1. Detectar la señal en la primera página vista, a partir de la cabecera Sec-GPC en el servidor o de navigator.globalPrivacyControl en el navegador.
2. Excluir al visitante de la venta y el intercambio de datos personales y de la publicidad dirigida, sin ventanas emergentes ni pasos adicionales.
3. Aplicarla a la cuenta: si el visitante ha iniciado sesión, aplique la exclusión a su perfil en todos los dispositivos y servicios, como demostró el caso Disney.
4. Mostrar el estado: indique que se ha respetado la señal de preferencia de exclusión, como exige el reglamento de la CCPA desde 2026.
5. Transmitirla a los socios: establezca la exclusión y el campo GPC en las secciones de EE. UU. de IAB GPP y en la cadena US Privacy, para que los socios publicitarios dejen de vender o compartir los datos.
6. Probar y documentar: compruebe periódicamente que las etiquetas de publicidad y analítica respetan la señal.

Cómo respeta UniConsent Global Privacy Control

Con UniConsent, respeta las exclusiones y Global Privacy Control automáticamente, mientras su analítica sigue funcionando.

UniConsent respeta Global Privacy Control automáticamente para los visitantes cubiertos por sus ajustes de CCPA o US State Privacy. Una señal GPC cuenta como exclusión de la venta y el intercambio de información personal y de la publicidad dirigida, sin que el visitante abra el banner. Los demás fines no se ven afectados.

La exclusión se transmite a sus socios en las secciones de EE. UU. de IAB GPP, incluido el campo GPC, y en la cadena US Privacy, y está disponible como variable GPC en la capa de datos para Google Tag Manager. En los banners con categorías de consentimiento en EE. UU., GPC desactiva la categoría de segmentación. En las aplicaciones móviles, el ajuste del dispositivo para limitar el seguimiento publicitario se trata igual que GPC.

Utilice una plataforma de gestión del consentimiento como UniConsent para respetar GPC, mostrar las opciones de exclusión y transmitir la señal a sus socios desde una sola etiqueta.

La confianza de más de 5000 editores y profesionales de marketing en todo el mundo

• 
• 
• 
• 
• 
•