Global Privacy Control (GPC)

Che cos'è il Global Privacy Control (GPC)?

Il Global Privacy Control (GPC) è un'impostazione del browser che comunica a ogni sito visitato di non vendere né condividere le tue informazioni personali. Quando è attiva, il browser aggiunge l'intestazione HTTP Sec-GPC: 1 a ogni richiesta e imposta navigator.globalPrivacyControl su true per gli script della pagina. Questo è il segnale GPC.

In California, Colorado, Connecticut e in un numero crescente di stati USA, la legge considera il segnale GPC una richiesta valida di opt-out dalla vendita o dalla condivisione dei dati personali e dalla pubblicità mirata. I siti soggetti a queste leggi devono rispettarlo automaticamente, senza chiedere al visitatore di fare clic su nulla.

Il GPC è il segnale di preferenza di opt-out più noto, il termine generale usato dalla normativa californiana per questo tipo di opt-out a livello di browser.

Chi ha creato il Global Privacy Control?

Il GPC è stato presentato nel Privacy Community Group del World Wide Web Consortium (W3C) ad aprile 2020 da un gruppo di browser, editori, ricercatori e sostenitori della privacy. A novembre 2024 è diventato un tema di lavoro ufficiale del W3C Privacy Working Group, dove la specifica è in fase di standardizzazione.

Come funziona il segnale GPC?

La specifica definisce due modi in cui un sito può leggere il segnale, più un file facoltativo con cui il sito dichiara di rispettare il GPC:

• Intestazione HTTP: il browser invia Sec-GPC: 1 con le richieste. L'intestazione viene inviata solo quando il GPC è attivo, e i server devono considerare qualsiasi valore diverso da 1 come non impostato.
• Proprietà JavaScript: navigator.globalPrivacyControl restituisce true quando l'intestazione verrebbe inviata e false in caso contrario.
• Dichiarazione del sito: un sito può pubblicare /.well-known/gpc.json per indicare che intende rispettare il GPC.

GET /checkout HTTP/1.1
Host: www.example.com
Sec-GPC: 1

// Leggere il segnale GPC nel browser
if (navigator.globalPrivacyControl === true) {
  // Trattare il visitatore come escluso da vendita, condivisione e pubblicità mirata
}

// /.well-known/gpc.json
// { "gpc": true, "lastUpdate": "2026-10-01" }

Il GPC è un segnale, non un blocco. Non ferma i tag da solo: il sito, o la sua piattaforma di gestione del consenso, deve rilevarlo e applicarlo.

Quali browser ed estensioni inviano il GPC?

L'Opt Me Out Act della California (AB 566), firmato a ottobre 2025, obbliga i browser a offrire un'impostazione integrata per il segnale di preferenza di opt-out dal 1° gennaio 2027, quindi il traffico con GPC è destinato a crescere.

Come attivare il Global Privacy Control

• Brave e DuckDuckGo: non serve fare nulla, il GPC è attivo per impostazione predefinita.
• Firefox: apri Impostazioni, vai a Privacy e sicurezza e seleziona l'opzione che chiede ai siti di non vendere né condividere i tuoi dati. Nelle finestre private è già attiva.
• Altri browser: installa un'estensione che invia il GPC, come Privacy Badger.

Per verificare, apri la console del browser su una pagina qualsiasi e digita navigator.globalPrivacyControl. Il risultato è true quando il segnale è attivo.

Quali leggi obbligano i siti a rispettare il GPC?

Secondo il regolamento CCPA, un'azienda che vende o condivide informazioni personali deve trattare il segnale GPC come un opt-out valido dalla vendita e dalla condivisione per quel browser o dispositivo e per qualsiasi profilo collegato, incluso l'account del consumatore quando l'azienda sa chi è. Da quando il regolamento aggiornato è entrato in vigore il 1° gennaio 2026, l'azienda deve anche mostrare sul proprio sito se ha elaborato il segnale, ad esempio con un messaggio come "Opt-Out Request Honored". Trovi tutti gli stati nella nostra guida alle leggi sulla privacy degli stati USA.

Applicazione del GPC: Sephora e Disney

• Sephora, agosto 2022: nel primo accordo CCPA, l'Attorney General della California ha sanzionato Sephora per 1,2 milioni di dollari. Una delle contestazioni era che Sephora non aveva rispettato le richieste di opt-out inviate tramite controlli globali della privacy attivati dall'utente. Lo stesso giorno, l'Attorney General ha inviato avvisi ad altre aziende che ignoravano il GPC.
• Disney, febbraio 2026: Disney ha accettato di pagare 2,75 milioni di dollari, il più grande accordo CCPA finora. Quando i consumatori inviavano un segnale GPC, Disney applicava l'opt-out solo a quel dispositivo, anche quando avevano effettuato l'accesso al proprio account Disney, e continuava a vendere o condividere i loro dati da altri dispositivi e servizi. Leggi la nostra analisi: la sanzione CCPA a Disney per il Global Privacy Control.

GPC e Do Not Track a confronto

Do Not Track (DNT) era una precedente intestazione del browser che chiedeva ai siti di non tracciare l'utente. Nessuna legge obbligava i siti a rispettarla, quindi la maggior parte la ignorava, e browser come Safari e Firefox hanno poi rimosso l'impostazione.

Il GPC è più mirato e ha valore legale. Chiede una sola cosa, nessuna vendita o condivisione dei dati personali, e le leggi degli stati USA trasformano questa richiesta in un opt-out vincolante. Un sito che ignora il GPC in California o in Colorado non rispetta la legge.

GPC e GDPR

Il GDPR non menziona il GPC e nessuna autorità UE lo ha reso un segnale obbligatorio. La specifica GPC osserva che, nell'UE, può esprimere una richiesta generale di limitare la vendita o la condivisione dei dati personali, collegata al diritto di revocare il consenso (articolo 7) e al diritto di opposizione (articolo 21).

In pratica il GDPR si basa sul consenso preventivo: serve comunque il consenso prima di impostare cookie non essenziali, che il visitatore invii o meno il GPC. Trattare un segnale GPC come rifiuto dei cookie pubblicitari per i visitatori UE è una scelta prudente, ma non sostituisce il banner di consenso GDPR.

Come devono rispettare i siti il segnale GPC?

1. Rilevare il segnale alla prima pagina vista, dall'intestazione Sec-GPC sul server o da navigator.globalPrivacyControl nel browser.
2. Applicare l'opt-out del visitatore alla vendita e alla condivisione dei dati personali e alla pubblicità mirata, senza pop-up né passaggi aggiuntivi.
3. Applicarlo all'account: se il visitatore ha effettuato l'accesso, applica l'opt-out al suo profilo su tutti i dispositivi e servizi, come ha mostrato il caso Disney.
4. Mostrare lo stato: indica che il segnale di preferenza di opt-out è stato rispettato, come richiesto dal regolamento CCPA dal 2026.
5. Trasmetterlo ai partner: imposta l'opt-out e il campo GPC nelle sezioni USA di IAB GPP e nella stringa US Privacy, così che i partner pubblicitari smettano di vendere o condividere i dati.
6. Testare e documentare: verifica regolarmente che i tag pubblicitari e di analisi rispettino il segnale.

Come UniConsent rispetta il Global Privacy Control

Con UniConsent rispetti gli opt-out e il Global Privacy Control automaticamente, mentre le tue analisi continuano a funzionare.

UniConsent rispetta automaticamente il Global Privacy Control per i visitatori coperti dalle tue impostazioni CCPA o US State Privacy. Un segnale GPC vale come opt-out dalla vendita e dalla condivisione delle informazioni personali e dalla pubblicità mirata, senza che il visitatore apra il banner. Le altre finalità non sono interessate.

L'opt-out viene trasmesso ai tuoi partner nelle sezioni USA di IAB GPP, incluso il campo GPC, e nella stringa US Privacy, ed è disponibile come variabile GPC nel data layer per Google Tag Manager. Nei banner con categorie di consenso negli USA, il GPC disattiva la categoria targeting. Nelle app mobili, l'impostazione del dispositivo che limita il tracciamento pubblicitario viene trattata come il GPC.

Usa una piattaforma di gestione del consenso come UniConsent per rispettare il GPC, mostrare le scelte di opt-out e trasmettere il segnale ai tuoi partner con un unico tag.

Scelta da oltre 5000 editori e marketer in tutto il mondo

• 
• 
• 
• 
• 
•