¿Qué es Global Privacy Control y tienes que respetarlo?

Todos los artículos

Global Privacy Control es una señal que el navegador de tu visitante envía en cada petición para decir: no vendas ni cedas mis datos personales. No es una preferencia que puedas sopesar. En la mayoría de los estados de EE. UU. con una ley general de privacidad, California incluida, respetarla es obligatorio, e ignorarla ya ha llevado a las autoridades a actuar.

Qué es exactamente la señal

Global Privacy Control no es un producto, sino una especificación técnica abierta. El visitante lo activa una sola vez, en un navegador compatible o con una extensión, y a partir de ese momento todas las webs que visita reciben automáticamente el mismo mensaje.

Llega por dos vías a la vez. Cada petición incluye la cabecera Sec-GPC: 1, y la página puede leer navigator.globalPrivacyControl, que devuelve true. Brave, Firefox y DuckDuckGo lo traen de serie; Chrome y Safari no, y las extensiones cubren el resto. Por tu parte, publicar /.well-known/gpc.json es la forma de declarar que respetas la señal.

El detalle más importante es justo el que los glosarios omiten: la señal ya está ahí antes de que tu banner haya pintado nada. Nadie ha hecho clic. No hay diálogo que interpretar ni interacción que esperar. O tu capa de consentimiento la busca nada más empezar a cargar la página, o no la verá nunca.

¿Tienes que respetarlo?

En Estados Unidos, normalmente sí. El reglamento de la CCPA de California obliga desde 2020 a las empresas a respetar un control global de privacidad activado por el usuario. Colorado, Connecticut, Texas, Montana, Oregón y Delaware han añadido después la misma obligación. Una minoría de estados con leyes generales de privacidad, entre ellos Virginia y Utah, no lo exige. Esa lista cambia constantemente, y eso ya es un buen argumento para respetar la señal en todas partes en lugar de mantener un mapa de dónde puedes ignorarla sin riesgo.

No es teoría. El Fiscal General de California ya ha emprendido acciones contra empresas por no procesar las señales de exclusión. Y los hechos son fáciles de demostrar desde fuera: envías la señal y ves cómo las peticiones publicitarias salen igualmente.

En la UE y el Reino Unido la respuesta cambia, porque el modelo legal es otro. El RGPD exige consentimiento previo, así que una señal del navegador que expresa un rechazo no puede darte el permiso que, de todos modos, tienes que pedir. Allí, respetar GPC es una buena práctica, no una obligación, y no cambia nada a la hora de decidir si de verdad necesitas un banner de cookies.

Cuando GPC y tu banner dicen cosas distintas

Esta es la parte que falla sin hacer ruido en producción. Un visitante lo aceptó todo el mes pasado, así que tu capa de consentimiento tiene guardado un registro que dice que sí. Hoy vuelve con la señal activada. ¿Qué instrucción manda?

Según la normativa de California, en lo que respecta a la venta y la cesión de datos, manda la exclusión. La señal es la instrucción más reciente y hay que tratarla como una solicitud válida de la persona, no como una sugerencia que compite con tu propia cookie. Muchas implementaciones lo hacen al revés: leen primero el estado de consentimiento guardado, encuentran una decisión y nunca miran la cabecera. No salta ningún error, el banner se comporta con normalidad y la web sigue compartiendo los datos de un visitante que le ha pedido que no lo haga.

Cómo comprobar si tu web la respeta

1. Activa la señal en un navegador

   Brave, Firefox y DuckDuckGo pueden enviar Global Privacy Control de forma nativa, y en el resto se añade con una extensión. Actívalo en un navegador y deja otro sin activar, para tener siempre uno de control con el que comparar.

2. Confirma que la señal sale de verdad del navegador

   En la consola, navigator.globalPrivacyControl debería devolver true. En el panel de red, la petición del documento debería llevar la cabecera Sec-GPC: 1. Compruébalo antes de sacar conclusiones sobre tu web: un ajuste que parece activado pero no envía nada ya se ha comido más de una tarde.

3. Fíjate en qué hace con ella tu capa de consentimiento

   Carga la página con la señal activada y mira qué estado de consentimiento reciben tus etiquetas. Las señales publicitarias ya deberían estar en denied desde la primera vista de página, antes de que nadie toque el diálogo. Si tu capa de consentimiento solo reacciona a los clics, ni siquiera ha visto la cabecera.

4. Prueba el caso de conflicto, que es donde suele fallar

   Acéptalo todo y después recarga con la señal activada. En California, para la venta y la cesión de datos manda la instrucción más reciente, así que una aceptación guardada el mes pasado no puede imponerse a una exclusión que llega hoy. Las capas de consentimiento que leen primero su propia cookie y nunca vuelven a comprobar la cabecera fallan justo aquí, y sin avisar.

5. Revisa también lo que declaras, no solo lo que hace tu web

   Publica /.well-known/gpc.json para que la señal se pueda comprobar de forma automática, e indica en tu aviso de privacidad que respetas los mecanismos universales de exclusión. Si la respetas pero no lo dices, acabarás explicándole un detalle de implementación a un regulador en lugar de enseñarle una página.

Qué le cuesta la exclusión a tu medición, y qué no

Aquí es donde se detiene casi todo lo que se ha escrito sobre GPC, y es justo la mitad por la que nos preguntan nuestros clientes. Un rechazo en Europa y una exclusión en California no son lo mismo, y tratarlos igual te lleva a tirar datos a los que nadie te ha pedido renunciar.

Una exclusión GPC se limita a la venta y la cesión de datos personales para publicidad segmentada. Traducido a Consent Mode v2, significa que ad_storage, ad_user_data y ad_personalization pasan a denied, mientras que analytics_storage puede seguir en granted, según cómo se califique tu analítica en la ley estatal aplicable. Lo que pierdes, por tanto, son las audiencias de remarketing, las conversiones mejoradas y la atribución publicitaria. Tus informes de tráfico se mantienen en buena medida, algo que no ocurre con un "rechazar todo" europeo.

Equivocarse con ese alcance provoca dos tipos de fallo, y vemos los dos. El primero es el burdo: la capa de consentimiento convierte la señal en una denegación total y la analítica, que nunca estuvo en cuestión, se apaga para una parte del tráfico estadounidense que luego nadie sabe identificar. El segundo es peor, porque parece que todo funciona. El diálogo respeta la señal en su propia interfaz y el centro de preferencias muestra la exclusión, pero las etiquetas publicitarias nunca se conectaron al estado de consentimiento, así que siguen enviando datos igualmente. La única forma de distinguirlos es mirar las peticiones, que es el tercer paso de arriba.

La versión corta

Trátala como una exclusión válida, léela antes de que tu banner decida nada, deja que se imponga a una aceptación guardada y aplícala a las señales publicitarias, no a todo lo que mides. Eso es todo lo que se te exige, y el cambio es menor de lo que hace pensar el planteamiento legal.

Velo lee la señal al principio de la página, antes de pintar el diálogo, y la traduce a las señales de consentimiento de v2. Además guarda la señal junto al registro de consentimiento, que es justo lo que querrás tener a mano si alguien te lo pregunta algún día. Si aún estás viendo qué parte de este trabajo le corresponde a tu herramienta de consentimiento, empieza por nuestra explicación sobre qué hace realmente una plataforma de gestión del consentimiento.