Señales GPC: ¿Tu web las ignora? (Y por qué debería importarte)

¿Qué es el Global Privacy Control (GPC) y por qué debería importarte?

Imagina que cada vez que entras a una tienda, el dependiente te pregunta: "¿Quiere que le vendamos sus datos a terceros?" y tú dices que no. Pero al salir, él llama a su amigo y se los vende igual. Eso es lo que pasa cuando ignoras la señal GPC. El GPC es un mecanismo que permite a los usuarios enviar una señal de exclusión voluntaria (opt-out) de venta de datos a todos los sitios web que visitan, de una vez por todas. Y bajo la CCPA/CPRA, estás obligado a tratarla como una solicitud válida de opt-out.

¿Debo cumplir con el GPC? (Respuesta corta: sí, si te aplica la CCPA)

Si tu negocio está sujeto a la CCPA/CPRA (por ejemplo, tienes ingresos brutos anuales >$25M, o manejas datos de >100,000 residentes de California, o derivas >50% de tus ingresos de la venta de datos personales), entonces sí, debes respetar el GPC. La ley no exige un formato específico, pero el GPC es el estándar de facto. Ignorarlo es como poner un cartel de "No molestar" y abrir la puerta a los vendedores.

¿Qué pasa si no lo respeto?

Multas de hasta $7,500 por infracción intencional (y cada visita de un usuario con GPC activado podría contar como una infracción). Además, la reputación: los usuarios que usan GPC suelen ser más conscientes de privacidad y no dudarán en denunciarte.

¿Cómo implementar el GPC en mi sitio web?

No necesitas un máster en derecho digital. Básicamente, tu servidor debe detectar el encabezado HTTP Sec-GPC: 1 o la propiedad JavaScript navigator.globalPrivacyControl. Cuando lo detectes, debes tratar al usuario como si hubiera hecho clic en "No vender mi información personal". Esto implica: no compartir sus datos con terceros para publicidad conductual, y actualizar tu sistema de gestión de consentimientos.

Puedes usar herramientas como GPC para probar si tu sitio lo maneja correctamente. Y si usas un CMP (Consent Management Platform), la mayoría ya soporta GPC.

¿Y si mi sitio no está en California?

El GPC no es obligatorio fuera de California, pero cada vez más leyes (como la LGPD en Brasil o la GDPR en Europa) están considerando señales similares. Implementarlo ahora te ahorrará dolores de cabeza después. Además, es una buena práctica de privacidad: demuestra que respetas las decisiones de tus usuarios.

FAQ