O que é o Global Privacy Control, e você tem que respeitá-lo

Todos os artigos

O Global Privacy Control é um sinal que o navegador do seu visitante envia em toda requisição, dizendo não venda nem compartilhe meus dados pessoais. Não é uma preferência que você pondera. Na maioria dos estados dos EUA que têm lei abrangente de privacidade, Califórnia incluída, respeitá-lo é juridicamente vinculante, e ignorá-lo já rendeu fiscalização.

O que o sinal é de verdade

O Global Privacy Control é uma especificação técnica aberta e não um produto. Um visitante liga uma vez, em um navegador que suporta ou por uma extensão, e a partir daí todo site que ele visita recebe automaticamente a mesma mensagem.

Ele chega de duas formas ao mesmo tempo. Cada requisição carrega um cabeçalho Sec-GPC: 1, e a página pode ler navigator.globalPrivacyControl, que retorna true. Brave, Firefox e DuckDuckGo entregam, Chrome e Safari não, e extensões cobrem o resto. Do seu lado, publicar /.well-known/gpc.json é como você declara que respeita.

O detalhe que mais importa é o que os glossários deixam de fora: o sinal já está lá antes de o seu banner ter renderizado qualquer coisa. Ninguém clicou. Não há diálogo para interpretar e nenhuma interação pela qual esperar. A sua camada de consentimento ou procura por ele no início da página ou nunca o vê.

Você tem que respeitá-lo

Nos Estados Unidos, normalmente sim. O regulamento da CCPA da Califórnia exige desde 2020 que as empresas respeitem um controle global de privacidade ativado pelo usuário. Colorado, Connecticut, Texas, Montana, Oregon e Delaware adicionaram depois a mesma obrigação. Uma minoria de estados com leis abrangentes de privacidade, Virgínia e Utah entre eles, não exige. Essa lista continua se mexendo, o que é um bom argumento para respeitar o sinal em todo lugar em vez de manter um mapa de onde dá para ignorar com segurança.

Não é teórico. O Procurador-Geral da Califórnia moveu ações de fiscalização que giraram em torno de empresas que não processaram sinais de opção de saída. O padrão de fatos é fácil de provar de fora: envie o sinal, veja as requisições de publicidade saírem mesmo assim.

Na UE e no Reino Unido a resposta é diferente, porque o modelo legal é. O GDPR exige consentimento prévio de opt-in, então um sinal de navegador que expressa recusa não fornece a permissão que você ainda tem que pedir. Respeitar o GPC lá é boa prática e não obrigação, e não muda nada sobre se você precisa de um banner para começar.

Onde o GPC e o seu banner discordam

Essa é a parte que quebra em silêncio na produção. Um visitante aceitou tudo no mês passado, então a sua camada de consentimento tem um registro guardado dizendo sim. Hoje ele chega com o sinal ligado. Qual instrução vence?

Sob as regras da Califórnia, a opção de saída vence, para venda e compartilhamento. O sinal é a instrução mais recente e tem que ser tratado como um pedido válido da pessoa, não como um conselho competindo com o seu próprio cookie. Muitas implementações fazem isso ao contrário: leem o estado de consentimento guardado primeiro, encontram uma decisão, e nunca olham o cabeçalho. Nada dá erro, o banner se comporta normalmente, e o site continua compartilhando dados de um visitante que disse para não fazer isso.

Como verificar se o seu próprio site respeita

1. Ligue o sinal em um navegador

   Brave, Firefox e DuckDuckGo conseguem enviar o Global Privacy Control nativamente, e uma extensão acrescenta ao resto. Ligue em um navegador e mantenha um segundo navegador sem ele, para você sempre ter um controle com que comparar.

2. Confirme que o sinal está de fato saindo do navegador

   No console, navigator.globalPrivacyControl deve retornar true. No painel de rede, a requisição do documento deve carregar um cabeçalho Sec-GPC: 1. Confira isso antes de julgar o seu site: uma configuração que parece ativada mas não envia nada já desperdiçou muitas tardes.

3. Observe o que a sua camada de consentimento faz com ele

   Carregue a página com o sinal ligado e leia o estado de consentimento que as suas tags recebem. Os sinais de publicidade já devem estar negados na primeira visualização de página, antes de alguém tocar no diálogo. Se a sua camada de consentimento só reage a cliques, ela nunca viu o cabeçalho.

4. Teste o caso de conflito, que é onde normalmente quebra

   Aceite tudo, depois recarregue com o sinal ligado. Na Califórnia a instrução mais recente vence para venda e compartilhamento, então um aceite guardado do mês passado não pode sobrepor uma opção de saída chegando hoje. Camadas de consentimento que leem o próprio cookie primeiro e nunca reconferem o cabeçalho falham exatamente aqui, em silêncio.

5. Confira a divulgação além do comportamento

   Publique /.well-known/gpc.json para o sinal poder ser confirmado programaticamente, e diga no seu aviso de privacidade que você respeita mecanismos universais de opção de saída. Respeitar sem dizer deixa você explicando um detalhe de implementação a um regulador em vez de apontar para uma página.

O que a opção de saída custa à sua medição, e o que não custa

Aqui é onde a maior parte da cobertura sobre o GPC para, e é a metade que os nossos clientes de fato perguntam. Uma recusa na Europa e uma opção de saída na Califórnia não são o mesmo evento, e tratá-las de forma idêntica joga fora dados que ninguém pediu para você abrir mão.

Uma opção de saída via GPC tem escopo na venda e no compartilhamento de dados pessoais para publicidade direcionada. Mapeado no Consent Mode v2, isso significa que ad_storage, ad_user_data e ad_personalization vão para negado, enquanto analytics_storage pode continuar concedido, dependendo de como a sua própria análise é caracterizada sob a lei estadual aplicável. Então a perda cai sobre públicos de remarketing, conversões aprimoradas e atribuição de publicidade. O seu relatório de tráfego sobrevive em boa parte, o que não é verdade em uma recusa total europeia.

Duas formas de falha saem de errar esse escopo, e vemos as duas. A primeira é a rombuda: uma camada de consentimento mapeia o sinal em uma negação geral, e uma análise que nunca esteve em questão apaga para uma fatia de tráfego dos EUA que ninguém consegue identificar depois. A segunda é pior, porque parece tudo certo. O diálogo respeita o sinal na própria interface e a central de preferências mostra opção de saída, mas as tags de publicidade nunca foram ligadas ao estado de consentimento, então elas continuam enviando de qualquer jeito. O único jeito de diferenciar as duas é observar as requisições, que é o passo três acima.

A versão curta

Trate como uma opção de saída válida, leia antes de o seu banner decidir qualquer coisa, deixe sobrepor um aceite guardado, e mapeie nos sinais de publicidade em vez de em tudo o que você mede. Essa é a obrigação inteira, e é uma mudança menor do que o enquadramento jurídico sugere.

O Velo lê o sinal no topo da página, antes de o diálogo ser desenhado, e o mapeia nos sinais de consentimento da v2. Ele também guarda o sinal junto com o registro de consentimento, que é a parte que você vai querer à mão se alguém um dia perguntar. Se você ainda está descobrindo qual desses trabalhos pertence à sua ferramenta de consentimento, o nosso explicador sobre o que uma plataforma de gestão de consentimento realmente faz é o lugar para começar.