Encabezado Sec-GPC
El aviso que el navegador envía al servidor en cada solicitud. Cuando la persona activó el GPC, su valor es exactamente 1.
Guía · Señal del navegador
Global Privacy Control: cuando el navegador dice que no por ti
El GPC es un aviso automático que el navegador envía a cada sitio para decir que la persona no quiere que se vendan ni se compartan sus datos. En varios estados de EE. UU., ignorar este aviso ya ha costado una multa. Mira cómo reaccionar y cómo probarlo.
- ✓Basado en la especificación del GPC y en fuentes oficiales de los estados
- ✓Una prueba que cualquiera puede hacer en el navegador
- ✓Lectura sin modificar el sitio
3navegadores con GPC propio: Brave, DuckDuckGo y Firefox
US$ 1,2 millonesacuerdo de Sephora en California por ignorar el GPC, en 2022
2024año en que Colorado empezó a exigir el GPC, desde el 1 de julio
3estados en el barrido conjunto de septiembre de 2025: California, Colorado y Connecticut
Qué es
Un aviso de privacidad que va con cada visita
El Global Privacy Control, o GPC, es una configuración del navegador. Cuando la persona activa esta opción, el navegador empieza a avisar a todos los sitios que visita que no quiere que se vendan ni se compartan sus datos personales.
La gran diferencia con un banner de cookies es que nadie tiene que hacer clic en nada en tu sitio. El rechazo ya llega listo, incluso antes de que la página se cargue. El sitio solo necesita leer el aviso y obedecer.
El GPC ya viene en Brave y DuckDuckGo, donde está activado por defecto, y en Firefox, donde la persona lo activa en la configuración. Extensiones como Privacy Badger, Disconnect y OptMeowt también envían la señal en otros navegadores.
La propuesta nació en 2020, en un grupo del W3C, la organización que crea estándares web. En noviembre de 2024 pasó a ser un elemento de trabajo oficial del Grupo de Trabajo de Privacidad del W3C, donde se está estandarizando.
Lista de verificación
Lo que debes cumplir
Estas obligaciones valen donde la ley exige el GPC, como California, Colorado y Connecticut, para empresas dentro de los límites de cada ley.
Trata la señal como un rechazo válido
En California, el GPC es una solicitud válida de rechazo. En Colorado, desde el 1 de julio de 2024, vale como rechazo de venta y de publicidad dirigida. En Connecticut, la obligación rige desde el 1 de enero de 2025.
Lee la señal antes de las etiquetas
El navegador avisa con el encabezado Sec-GPC con valor 1 y con la propiedad navigator.globalPrivacyControl. La guía oficial del GPC pide que el script esté lo antes posible en la página.
// Lê o GPC antes das tags e liga o RDP na GPT if (navigator.globalPrivacyControl === true) { googletag.cmd.push(function () { googletag.pubads().setPrivacySettings({ restrictDataProcessing: true }); }); }No pidas inicio de sesión ni datos extra
Las reglas de Colorado prohíben exigir inicio de sesión para aceptar la señal y pedir más datos de los estrictamente necesarios.
Explica el GPC en la política de privacidad
En Colorado, la política tiene que decir cómo se procesan los rechazos por señal universal, como el GPC.
EjemploRespetamos el Global Privacy Control. Si tu navegador envía esa señal, tratamos la visita como rechazo de venta y de publicidad dirigida.
Lleva el rechazo a todos los socios
Google activa el RDP cuando la string GPP muestra un rechazo, o cuando la etiqueta pide el RDP. El mismo rechazo tiene que llegar al header bidding y a los píxeles.
Muestra el estado de la elección
En California, las reglas vigentes desde 2026 piden que el sitio le muestre al visitante el estado de su elección. En Colorado, se permite mostrar que se respetó la señal.
EjemploPanel de privacidad: Señal GPC recibida. Tu rechazo fue aplicado.
En la práctica
Lo correcto y lo incorrecto
✕IncorrectoEl sitio solo aplica el rechazo si el visitante vuelve a hacer clic en un banner. ✓CorrectoEl navegador envía el GPC y el sitio aplica el rechazo al instante, sin pedir un clic. ✕IncorrectoLos píxeles y los anuncios se disparan antes de que alguien lea la señal. ✓CorrectoLas etiquetas de anuncios esperan a que la CMP lea el GPC antes de cargar. ✕IncorrectoLa política no menciona el GPC ni las señales automáticas del navegador. ✓CorrectoLa política dice que el sitio respeta el GPC y explica qué pasa con la visita.
Herramientas oficiales
CMPs certificadas y enlaces oficiales
El GPC no tiene una lista de CMPs certificadas, y Google no exige una CMP certificada en EE. UU. Revisa que tu CMP lea el GPC y guarde el rechazo en la string GPP.
- Global Privacy Control: guía de implementaciónGuía oficial del GPC para sitios, con el script que lee la señal y el archivo gpc.json.globalprivacycontrol.org/implementation
- W3C: especificación del Global Privacy ControlTexto técnico con el encabezado Sec-GPC y la propiedad navigator.globalPrivacyControl.w3c.github.io/gpc
- Fiscalía General de Colorado: mecanismo universal de rechazoMuestra que el GPC es la única señal reconocida en Colorado y desde cuándo vale.coag.gov/uoom
- Google AdSense: compatibilidad con IAB GPPMuestra qué secciones de la string GPP lee Google y qué rechazos activan el procesamiento restringido de datos.support.google.com/adsense/answer/14126816
- Google AdSense: procesamiento restringido de datos en las etiquetas de GoogleTrae el código oficial para activar el RDP por solicitud en GPT y en la etiqueta de AdSense.support.google.com/adsense/answer/9598414
Definiciones
Los términos técnicos, sin complicaciones
Estas palabras aparecen en las leyes, en las CMP y en las herramientas para desarrolladores del navegador.
navigator.globalPrivacyControl
La misma información, disponible para los scripts de la página. Es verdadera cuando el GPC está activado y falsa cuando no.
Archivo gpc.json
Un archivo opcional en la dirección well-known del sitio, en el que el dueño declara que respeta el GPC y la fecha de la última actualización.
Venta y uso compartido
En California, compartir significa usar los datos para publicidad conductual entre sitios distintos. Los anuncios programáticos suelen entrar aquí.
Publicidad dirigida
Término usado por leyes como las de Colorado y Connecticut para los anuncios elegidos según lo que la persona hace en otros sitios.
Señal universal de rechazo
Nombre genérico que las leyes usan para avisos automáticos como el GPC. Cada estado indica qué señales acepta.
A quién se aplica
Dónde respetar el GPC ya es una obligación
Las leyes se aplican a las empresas que cumplen los criterios de cada estado, como el volumen de datos de residentes. Consulta con el área jurídica si tu sitio cumple esos criterios.
California
La fiscalía general dice que las empresas cubiertas deben aceptar el GPC como una solicitud válida para dejar de vender o compartir datos.
Colorado
Desde el 1 de julio de 2024, las empresas cubiertas deben respetar el GPC. Hoy es la única señal universal que acepta el estado.
Connecticut
Desde el 1 de enero de 2025, las señales del navegador valen como rechazo de la venta de datos y de la publicidad dirigida.
Oregón
Desde el 1 de enero de 2026, los residentes pueden usar una señal universal de rechazo enviada por el navegador o por una extensión.
Otros estados
Otras leyes estatales de EE. UU. también tratan las señales universales de rechazo, con fechas propias. La lista cambia con frecuencia.
Fuera de EE. UU.
En Brasil y Europa, el GPC no sustituye al banner ni al consentimiento. Aun así, respetar la señal muestra cuidado con el visitante.
Derechos del visitante
Qué cambia para el visitante que activa el GPC
Para la ley, el GPC equivale a que la persona haga clic en el enlace No vender ni compartir mi información. La diferencia es que no necesita encontrar ese enlace en cada sitio.
Tras recibir el rechazo, el sitio ya no puede vender ni compartir los datos de esa persona, a menos que ella lo autorice de nuevo. En California, la orientación oficial es atender las solicitudes de rechazo lo antes posible, sin pasar de 15 días hábiles.
En Connecticut, la señal vale incluso cuando entra en conflicto con una elección anterior de la persona o con un programa de fidelidad. El sitio puede avisar del conflicto y pedir confirmación, pero no puede simplemente ignorar la señal.
El GPC no pide que el sitio deje de funcionar ni que oculte los anuncios. Los anuncios siguen apareciendo. Solo que no pueden usar los datos de esa persona para la venta, el uso compartido o la publicidad dirigida.
Obligaciones del sitio
Cómo debe reaccionar el sitio al GPC
- Detecta la señal desde el principioLa CMP o un script en la parte superior de la página lee la señal antes de que se cargue cualquier etiqueta de anuncios o de marketing.
- Aplica el rechazo de inmediatoMarca al visitante como rechazado para la venta, el uso compartido y la publicidad dirigida, sin pedir un clic ni un formulario.
- Lleva el rechazo a los sociosActualiza la GPP string, con el rechazo y el campo de GPC de la sección nacional, para que Google y los demás socios reciban el mismo aviso.
- Muestra que se respetó la señalUna frase como Recibimos tu señal de privacidad en el panel de preferencias ayuda al visitante y sirve de registro para el sitio.
- Prueba en un navegador con GPCActiva el GPC en Firefox o usa Brave, abre el sitio y comprueba en la consola y en las solicitudes de red si se aplicó el rechazo.
// Lê o GPC antes das tags de anúncio
if (navigator.globalPrivacyControl === true) {
// trate como recusa de venda, compartilhamento
// e publicidade direcionada
// a CMP deve refletir isso na GPP string
}
// Opcional: /.well-known/gpc.json
{ "gpc": true, "lastUpdate": "2026-11-02" }AdSense y Ad Manager
Cómo llega el rechazo del GPC a los anuncios de Google
El GPC habla con tu sitio, no directamente con cada socio de anuncios. Por eso, el camino más seguro es que la CMP convierta la señal en un rechazo registrado en la GPP string.
Ad Manager lee la sección nacional de EE. UU. y las secciones de California, Colorado, Connecticut, Florida y Virginia. Cuando la cadena muestra un rechazo de venta, uso compartido o publicidad dirigida, Google activa el procesamiento restringido de datos.
Con esto, el anuncio se sigue mostrando, pero sin personalización basada en los datos de ese visitante. Los ingresos por visita suelen bajar un poco, pero el sitio deja de correr el riesgo de ignorar un rechazo válido.
Atención al header bidding y a las redes adicionales. Si solo la etiqueta de Google recibe el rechazo, otros compradores de la subasta siguen usando los datos como si el visitante nunca hubiera rechazado.
Cronología
Del experimento a la supervisión
En pocos años, el GPC pasó de ser una propuesta técnica a ser objeto de supervisión conjunta entre estados.
- 2020
Propuesta en el W3C
El GPC empieza en un grupo comunitario de privacidad del W3C.
- 24 de agosto de 2022
Caso Sephora
La fiscalía de California anuncia un acuerdo de US$ 1,2 millones. Una de las acusaciones es no procesar los rechazos enviados mediante el GPC.
- 1 de julio de 2024
Colorado exige el GPC
Las empresas cubiertas por la ley de Colorado pasan a respetar el GPC como rechazo de venta y de publicidad dirigida.
- Noviembre de 2024
Elemento oficial del W3C
El GPC pasa a ser estandarizado por el Grupo de Trabajo de Privacidad del W3C.
- 1 de enero de 2025
Connecticut exige señales del navegador
Señales como el GPC pasan a valer como rechazo de venta y de publicidad dirigida.
- 9 de septiembre de 2025
Barrido conjunto
California, Colorado y Connecticut envían cartas a empresas que parecen no respetar el GPC.
- 1 de enero de 2026
Oregón adopta la señal universal
Los residentes de Oregón pasan a poder usar una señal universal de rechazo desde el navegador.
Supervisión
Quién lo exige y qué ha ocurrido ya
Quienes supervisan son las fiscalías generales de cada estado y, en California, también la agencia estatal de privacidad. Pueden investigar, exigir correcciones y aplicar las sanciones previstas en cada ley.
El primer caso grande fue el de Sephora, en 2022. La fiscalía de California afirmó que la empresa no procesaba los rechazos enviados mediante el GPC y no corrigió el problema en el plazo que la ley daba en ese momento. El acuerdo fue de US$ 1,2 millones.
En septiembre de 2025, California, Colorado y Connecticut hicieron un barrido conjunto y enviaron cartas a empresas que no parecían respetar el GPC, pidiendo una corrección inmediata.
La prueba que hacen las autoridades es simple: activar el GPC en el navegador y ver si el sitio sigue enviando datos a los socios de anuncios. Cualquier persona puede repetir esa prueba.
Errores comunes
Qué hace que un sitio ignore el GPC sin darse cuenta
En la mayoría de los casos, el dueño del sitio cree que todo está bien porque el banner aparece.
CMP sin lectura del GPC
La opción existe en la CMP, pero está desactivada. La señal llega y nadie la lee.
Etiquetas antes de la CMP
Los píxeles y los anuncios se cargan antes de que la CMP lea la señal. Los primeros datos ya salieron cuando se aplica el rechazo.
Rechazo solo en la cookie de la CMP
La CMP registra el rechazo, pero no actualiza la GPP string. Los socios nunca se enteran.
Exigir un clic para confirmar
El sitio muestra un aviso que pide a la persona confirmar el rechazo antes de aplicarlo. La señal ya es el rechazo.
Header bidding fuera del alcance
El rechazo llega a Google, pero no a los otros compradores de la subasta.
Solo para California
La señal se respeta para un estado y se ignora en los otros donde también se exige.
En la práctica
Qué se puede y qué no frente al GPC
Ejemplos del día a día para sitios con visitantes de Estados Unidos.
Sí se puede
- Seguir mostrando anuncios, sin personalización con los datos de la persona
- Mostrar en el panel de preferencias que se recibió la señal
- Avisar de un conflicto con una elección anterior y pedir confirmación
- Publicar el archivo gpc.json declarando que el sitio respeta la señal
- Aplicar el mismo rechazo a todos los socios de la subasta
No se puede
- Ignorar la señal porque el visitante no hizo clic en el banner
- Exigir inicio de sesión, correo electrónico o un formulario para aceptar el rechazo
- Cargar píxeles de marketing antes de leer la señal
- Bloquear el contenido a quien usa GPC
- Deshacer el rechazo en la siguiente visita sin nueva autorización
En ConsentMode
Qué revisa la auditoría sobre el GPC
- Abre el sitio dos veces, con y sin la señal GPC, como visitante de EE. UU.
- Compara las etiquetas y las solicitudes de anuncios que se activan en cada visita.
- Lee la GPP string y comprueba si el rechazo y el campo de GPC aparecen cuando la señal está activada.
- Verifica si existe el archivo gpc.json y si el panel de preferencias muestra la señal.
- Entrega capturas de cada visita y el ajuste que hay que hacer en la CMP o en las etiquetas.
Preguntas frecuentes
¿El GPC reemplaza al banner de cookies?
No. El banner sigue siendo necesario donde la ley pide aviso o consentimiento. El GPC es un rechazo automático que el sitio debe respetar, con o sin banner.
Mi sitio es brasileño. ¿Debo preocuparme?
Si tienes visitantes de EE. UU. y tu negocio cumple los criterios de las leyes estatales, sí. Para el público de Brasil, la LGPD no menciona el GPC, pero respetar la señal no perjudica los anuncios.
¿Respetar el GPC quita los anuncios de la página?
No. Los anuncios continúan. Solo que no pueden usar los datos de ese visitante para la venta, el uso compartido o la publicidad dirigida.
¿Cómo activo el GPC para probarlo?
En Firefox, activa la opción en la configuración de privacidad. En Brave y DuckDuckGo, la señal ya viene activada. Después, escribe navigator.globalPrivacyControl en la consola: el resultado debe ser true.
¿El archivo gpc.json es obligatorio?
No. Es una declaración opcional prevista en la especificación. Lo que cuenta para la ley es que el sitio aplique realmente el rechazo.
¿Google lee el GPC por sí solo?
No cuentes con eso. El camino seguro es que la CMP convierta la señal en un rechazo en la GPP string, que Ad Manager lee y usa para restringir el procesamiento de datos.
Biblioteca
Fuentes oficiales
Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:
- Global Privacy Control: sitio oficialglobalprivacycontrol.org
- W3C: especificación del Global Privacy Controlw3c.github.io/gpc
- Fiscalía General de California: CCPAoag.ca.gov/privacy/ccpa
- Fiscalía General de Colorado: mecanismo universal de rechazocoag.gov/uoom
- Fiscalía General de Connecticut: barrido conjunto sobre el GPCportal.ct.gov/ag/press-releases/2025-press-releases/connecticut-california-and-colorado-announce-joint-investigative-privacy-sweep
- Google AdSense: procesamiento restringido de datos en las etiquetas de Googlesupport.google.com/adsense/answer/9598414
Mira qué hace tu sitio cuando el navegador dice que no
La auditoría visita el sitio con y sin GPC y muestra la diferencia, sin modificar nada.