GPC: Il segnale che dice ai siti web «Basta vendere i miei dati» (e perché devi rispettarlo)

Cos'è il segnale GPC e perché ti riguarda?

Immagina di entrare in un negozio e di indossare un cartello che dice: «Non voglio che tu condivida i miei dati con nessuno». Il Global Privacy Control (GPC) è esattamente questo: un segnale che il browser o un'estensione invia automaticamente a ogni sito web che visiti, comunicando la tua volontà di esercitare il diritto di opt-out dalla vendita dei dati personali ai sensi del CCPA/CPRA.

Se gestisci un sito web o un'app, devi sapere che la legge californiana (California Consumer Privacy Act, integrato dal California Privacy Rights Act) riconosce il GPC come un valido esercizio del diritto di opt-out. In pratica, se un utente ha attivato il GPC, tu sei obbligato a trattarlo come se avesse cliccato sul link «Do Not Sell My Personal Information».

Come funziona il GPC? Un meccanismo semplice (ma potente)

Il GPC è un segnale HTTP (un header chiamato Sec-GPC) o una proprietà JavaScript (navigator.globalPrivacyControl). Quando un utente visita il tuo sito, il browser invia questo segnale se l'utente ha attivato l'impostazione. Tu, come proprietario del sito, devi rilevarlo e rispettarlo.

Non è obbligatorio per legge? Sì, se il tuo sito è soggetto al CCPA/CPRA. La legge dice che devi onorare i segnali GPC come se fossero una richiesta esplicita di opt-out. Ignorarli può costarti caro: multe fino a $7.500 per violazione intenzionale.

Devo rispettare il GPC? (Spoiler: sì, se operi in California o tratti dati di californiani)

Il CCPA si applica a qualsiasi azienda che raccoglie dati personali di residenti californiani e soddisfa almeno uno di questi requisiti: fatturato annuo superiore a $25 milioni, possiede dati di almeno 50.000 consumatori, o ricava almeno il 50% del fatturato dalla vendita di dati personali. Se rientri in questi criteri, devi rispettare il GPC.

Ma attenzione: anche se la tua azienda non ha sede in California, se tratti dati di californiani, la legge ti riguarda. E con l'evoluzione delle leggi sulla privacy (Virginia, Colorado, Connecticut, ecc.), il GPC sta diventando uno standard de facto.

Come implementare il supporto GPC (senza perdere la testa)

Ecco i passi pratici:

• Rileva il segnale GPC: controlla l'header HTTP Sec-GPC o la proprietà JavaScript navigator.globalPrivacyControl.
• Tratta l'utente come se avesse cliccato su «Do Not Sell»: blocca la vendita dei suoi dati, la condivisione per pubblicità comportamentale, e la profilazione.
• Aggiorna la tua privacy policy: menziona che rispetti i segnali GPC.
• Testa con browser che supportano GPC (es. Firefox, Brave) o estensioni come Privacy Badger.

Non serve un'infrastruttura complessa. Molti CMP (Consent Management Platform) come OneTrust o Cookiebot già integrano il supporto GPC. Se usi un CMP, verifica che sia configurato correttamente.

Featured Snippet Bait

Il Global Privacy Control (GPC) è un segnale che gli utenti possono attivare nel browser per opporsi automaticamente alla vendita dei propri dati personali. Ai sensi del CCPA/CPRA, i siti web soggetti alla legge devono trattare il segnale GPC come una richiesta valida di opt-out, pena sanzioni fino a $7.500 per violazione.

FAQ