Global Privacy Control: Il tuo sito è pronto per il segnale che fa rispettare il CCPA?

Cos'è il segnale Global Privacy Control (GPC)?

Il Global Privacy Control (GPC) è un meccanismo che permette agli utenti di comunicare automaticamente la loro preferenza di non vendere o condividere i propri dati personali a tutti i siti web che visitano. In pratica, è come un cartello "Non vendere i miei dati" che l'utente espone in modo invisibile, ma che i siti devono leggere e rispettare.

Il GPC è stato sviluppato per semplificare l'esercizio dei diritti previsti dal California Consumer Privacy Act (CCPA) e dal California Privacy Rights Act (CPRA). Invece di dover cliccare su un link "Do Not Sell My Personal Information" su ogni sito, l'utente attiva il segnale una volta nel browser o tramite un'estensione, e tutti i siti conformi lo riconoscono.

Devo rispettare il GPC? (Spoiler: sì, se sei soggetto al CCPA)

Se la tua azienda è soggetta al CCPA/CPRA (ad esempio, hai un fatturato annuo superiore a 25 milioni di dollari, o tratti dati di 50.000 o più consumatori californiani), allora devi rispettare il segnale GPC. Il regolamento californiano considera il GPC come un valido esercizio del diritto di opt-out, quindi ignorarlo equivale a violare la legge.

Ma attenzione: anche se non sei in California, il GPC sta diventando uno standard globale. Paesi come il Canada e l'Unione Europea stanno valutando di adottarlo per il GDPR. Quindi, preparati ora per evitare grattacapi futuri.

Come implementare il GPC sul tuo sito

Implementare il GPC non è così complicato come sembra. Ecco i passaggi essenziali:

• Rileva il segnale GPC: controlla l'header HTTP Sec-GPC o la proprietà JavaScript navigator.globalPrivacyControl.
• Se il segnale è presente (valore 1), tratta la richiesta come un opt-out dalla vendita/condivisione dei dati.
• Aggiorna il tuo sistema di gestione del consenso per riconoscere il GPC e applicare le preferenze dell'utente.
• Documenta la tua conformità: tieni traccia delle richieste GPC ricevute e delle azioni intraprese.

Se usi un CMP (Consent Management Platform) come OneTrust o Cookiebot, molti già supportano il GPC. Altrimenti, dovrai integrarlo manualmente. Ma non preoccuparti: è più facile che spiegare a tua nonna come si usa uno smartphone.

Il GPC è obbligatorio anche al di fuori della California?

Al momento, il GPC è esplicitamente riconosciuto solo dal CCPA/CPRA. Tuttavia, il regolamento europeo e altre leggi sulla privacy stanno osservando con interesse. Il Garante della privacy italiano, ad esempio, ha menzionato il GPC come possibile strumento per esercitare il diritto di opposizione al trattamento. Quindi, se operi a livello internazionale, implementarlo è una mossa intelligente.

FAQ