Guida · Segnale del browser

Global Privacy Control: quando il browser dice no al posto tuo

Il GPC è un avviso automatico che il browser invia a ogni sito per dire che la persona non vuole che i suoi dati vengano venduti o condivisi. In diversi stati americani, ignorare questo avviso è già costato una multa. Scopri come reagire e come testare.

Verifica se il mio sito rispetta il GPC Leggi la guida

✓Basato sulla specifica del GPC e su fonti ufficiali degli stati
✓Test che chiunque può fare nel browser
✓Lettura senza modificare il sito

3browser con GPC proprio: Brave, DuckDuckGo e Firefox

1,2 mln USDaccordo di Sephora in California per aver ignorato il GPC, nel 2022

2024anno in cui il Colorado ha iniziato a richiedere il GPC, dal 1° luglio

3stati nell'operazione congiunta di settembre 2025: California, Colorado e Connecticut

Che cos'è

Un avviso di privacy che accompagna ogni visita

Il Global Privacy Control, o GPC, è un'impostazione del browser. Quando la persona attiva questa opzione, il browser avvisa tutti i siti visitati che non vuole che i suoi dati personali vengano venduti o condivisi.

La grande differenza rispetto a un banner dei cookie è che nessuno deve cliccare nulla sul tuo sito. Il rifiuto arriva già pronto, prima ancora che la pagina si carichi. Il sito deve solo leggere l'avviso e rispettarlo.

Il GPC è già incluso in Brave e DuckDuckGo, dove è attivo per impostazione predefinita, e in Firefox, dove la persona lo attiva nelle impostazioni. Estensioni come Privacy Badger, Disconnect e OptMeowt inviano il segnale anche in altri browser.

La proposta è nata nel 2020, in un gruppo del W3C, l'organizzazione che crea gli standard del web. A novembre 2024 è diventata un elemento di lavoro ufficiale del Privacy Working Group del W3C, dove viene standardizzata.

Checklist

Cosa devi rispettare

Questi obblighi valgono dove la legge richiede il GPC, come California, Colorado e Connecticut, per le aziende entro i limiti di ciascuna legge.

Tratta il segnale come rifiuto valido
In California, il GPC è una richiesta valida di rifiuto. In Colorado, dal 1º luglio 2024, vale come rifiuto di vendita e di pubblicità mirata. In Connecticut, l'obbligo vale dal 1º gennaio 2025.
2
Leggi il segnale prima dei tag
Il browser avvisa tramite l'intestazione Sec-GPC con valore 1 e tramite la proprietà navigator.globalPrivacyControl. La guida ufficiale del GPC chiede che lo script sia il più in alto possibile nella pagina.
```
// Lê o GPC antes das tags e liga o RDP na GPT
if (navigator.globalPrivacyControl === true) {
  googletag.cmd.push(function () {
    googletag.pubads().setPrivacySettings({
      restrictDataProcessing: true
    });
  });
}
```
Non chiedere login né dati extra
Le regole del Colorado vietano di richiedere il login per accettare il segnale e di chiedere più dati di quelli strettamente necessari.
Spiega il GPC nell'informativa sulla privacy
In Colorado, l'informativa deve dire come vengono elaborati i rifiuti tramite segnale universale, come il GPC.
Esempio
Rispettiamo il Global Privacy Control. Se il tuo browser invia questo segnale, trattiamo la visita come rifiuto di vendita e di pubblicità mirata.
Porta il rifiuto a tutti i partner
Google attiva l'RDP quando la stringa GPP mostra un rifiuto, o quando il tag richiede l'RDP. Lo stesso rifiuto deve arrivare all'header bidding e ai pixel.
Mostra lo stato della scelta
In California, le regole in vigore dal 2026 richiedono che il sito mostri al visitatore lo stato della sua scelta. In Colorado, mostrare che il segnale è stato rispettato è consentito.
Esempio
Pannello privacy: Segnale GPC ricevuto. Il tuo rifiuto è stato applicato.

In pratica

Giusto e sbagliato

SbagliatoIl sito applica il rifiuto solo se il visitatore clicca di nuovo su un banner.
GiustoIl browser invia il GPC e il sito applica subito il rifiuto, senza chiedere un clic.
SbagliatoPixel e annunci partono prima che qualcuno legga il segnale.
GiustoI tag degli annunci aspettano che la CMP legga il GPC prima di caricarsi.
SbagliatoL'informativa non cita il GPC né i segnali automatici del browser.
GiustoL'informativa dice che il sito rispetta il GPC e spiega cosa succede alla visita.

Strumenti ufficiali

CMP certificate e link ufficiali

Il GPC non ha un elenco di CMP certificate, e Google non richiede una CMP certificata negli USA. Controlla che la tua CMP legga il GPC e salvi il rifiuto nella stringa GPP.

Definizioni

I termini tecnici senza complicazioni

Queste parole compaiono nelle leggi, nelle CMP e negli strumenti per sviluppatori del browser.

Header Sec-GPC

L'avviso che il browser invia al server a ogni richiesta. Quando la persona ha attivato il GPC, vale esattamente 1.

navigator.globalPrivacyControl

La stessa informazione disponibile per gli script della pagina. È vero quando il GPC è attivo e falso quando non lo è.

File gpc.json

Un file facoltativo nell'indirizzo well-known del sito in cui il proprietario dichiara di rispettare il GPC e la data dell'ultimo aggiornamento.

Vendita e condivisione

In California, condividere significa usare i dati per la pubblicità comportamentale tra siti diversi. Gli annunci programmatici di solito rientrano qui.

Pubblicità mirata

Termine usato da leggi come quelle del Colorado e del Connecticut per gli annunci scelti in base a ciò che la persona fa su altri siti.

Segnale universale di rifiuto

Nome generico che le leggi usano per avvisi automatici come il GPC. Ogni stato dice quali segnali accetta.

A chi si applica

Dove rispettare il GPC è già un obbligo

Le leggi valgono per le aziende che raggiungono i criteri di ciascuno stato, come il volume di dati dei residenti. Verifica con l'ufficio legale se il tuo sito rientra in questi criteri.

California

La procura generale afferma che il GPC deve essere accettato dalle aziende coperte come richiesta valida per smettere di vendere o condividere i dati.

Colorado

Dal 1° luglio 2024, le aziende coperte devono rispettare il GPC. Oggi è l'unico segnale universale accettato dallo stato.

Connecticut

Dal 1° gennaio 2025, i segnali del browser valgono come rifiuto della vendita di dati e della pubblicità mirata.

Oregon

Dal 1° gennaio 2026, i residenti possono usare un segnale universale di rifiuto inviato dal browser o da un'estensione.

Altri stati

Anche altre leggi statali degli USA trattano i segnali universali di rifiuto, con date proprie. L'elenco cambia spesso.

Fuori dagli USA

In Brasile e in Europa, il GPC non sostituisce il banner né il consenso. Ciononostante, rispettare il segnale dimostra attenzione verso il visitatore.

Diritti del visitatore

Cosa cambia per il visitatore che attiva il GPC

Per la legge, il GPC equivale a una persona che clicca sul link Non vendere né condividere le mie informazioni. La differenza è che non deve trovare quel link su ogni sito.

Dopo aver ricevuto il rifiuto, il sito non può più vendere né condividere i dati di quella persona, a meno che non autorizzi di nuovo. In California, l'indicazione ufficiale è di dare seguito alle richieste di rifiuto il prima possibile, senza superare i 15 giorni lavorativi.

Nel Connecticut, il segnale vale anche quando è in conflitto con una scelta precedente della persona o con un programma fedeltà. Il sito può avvisare del conflitto e chiedere conferma, ma non può semplicemente ignorare il segnale.

Il GPC non chiede che il sito smetta di funzionare né che nasconda gli annunci. Gli annunci continuano a comparire. Non possono solo usare i dati di quella persona per vendita, condivisione o pubblicità mirata.

Obblighi del sito

Come deve reagire il sito al GPC

Rileva il segnale subito all'inizioLa CMP o uno script in cima alla pagina legge il segnale prima che si carichi qualsiasi tag pubblicitario o di marketing.
Applica il rifiuto subitoSegna il visitatore come rifiutato per vendita, condivisione e pubblicità mirata, senza chiedere clic né moduli.
Porta il rifiuto ai partnerAggiorna la GPP string, con il rifiuto e il campo GPC della sezione nazionale, così Google e gli altri partner ricevono lo stesso avviso.
Mostra che il segnale è stato rispettatoUna frase come Abbiamo ricevuto il tuo segnale di privacy nel pannello delle preferenze aiuta il visitatore e serve da registro per il sito.
Testa in un browser con GPCAttiva il GPC in Firefox o usa Brave, apri il sito e controlla nella console e nelle richieste di rete che il rifiuto sia stato applicato.

Lettura del segnale nel browser e file di dichiarazione facoltativo

// Lê o GPC antes das tags de anúncio
if (navigator.globalPrivacyControl === true) {
  // trate como recusa de venda, compartilhamento
  // e publicidade direcionada
  // a CMP deve refletir isso na GPP string
}

// Opcional: /.well-known/gpc.json
{ "gpc": true, "lastUpdate": "2026-11-02" }

AdSense e Ad Manager

Come il rifiuto del GPC arriva agli annunci di Google

Il GPC parla con il tuo sito, non direttamente con ogni partner pubblicitario. Per questo, la strada più sicura è che la CMP trasformi il segnale in un rifiuto registrato nella GPP string.

Ad Manager legge la sezione nazionale degli USA e le sezioni di California, Colorado, Connecticut, Florida e Virginia. Quando la stringa mostra il rifiuto di vendita, condivisione o pubblicità mirata, Google attiva l'elaborazione limitata dei dati.

Così l'annuncio continua a essere mostrato, ma senza personalizzazione basata sui dati di quel visitatore. Il ricavo per visita di solito cala un po', ma il sito non rischia più di ignorare un rifiuto valido.

Attenzione all'header bidding e alle reti aggiuntive. Se solo il tag di Google riceve il rifiuto, gli altri acquirenti dell'asta continuano a usare i dati come se il visitatore non avesse mai rifiutato.

Cronologia

Dall'esperimento al controllo

In pochi anni, il GPC è passato da proposta tecnica a bersaglio di controlli congiunti tra stati.

2020
Proposta al W3C
Il GPC nasce in un gruppo di comunità sulla privacy del W3C.
24 agosto 2022
Caso Sephora
La procura della California annuncia un accordo da 1,2 milioni di USD. Una delle accuse è non aver elaborato i rifiuti inviati tramite GPC.
1° luglio 2024
Il Colorado richiede il GPC
Le aziende coperte dalla legge del Colorado iniziano a rispettare il GPC come rifiuto della vendita e della pubblicità mirata.
Novembre 2024
Elemento ufficiale del W3C
Il GPC viene standardizzato dal Privacy Working Group del W3C.
1° gennaio 2025
Il Connecticut richiede i segnali del browser
Segnali come il GPC iniziano a valere come rifiuto della vendita e della pubblicità mirata.
9 settembre 2025
Operazione congiunta
California, Colorado e Connecticut inviano lettere ad aziende che sembrano non rispettare il GPC.
1° gennaio 2026
L'Oregon adotta il segnale universale
I residenti dell'Oregon possono usare un segnale universale di rifiuto tramite il browser.

Controllo

Chi controlla e cosa è già successo

A controllare sono le procure generali di ciascuno stato e, in California, anche l'agenzia statale per la privacy. Possono indagare, richiedere correzioni e applicare le sanzioni previste da ciascuna legge.

Il primo grande caso è stato quello di Sephora, nel 2022. La procura della California ha affermato che l'azienda non elaborava i rifiuti inviati tramite GPC e non ha risolto il problema entro il termine che la legge concedeva all'epoca. L'accordo è stato di 1,2 milioni di USD.

A settembre 2025, California, Colorado e Connecticut hanno svolto un'operazione congiunta e inviato lettere ad aziende che non sembravano rispettare il GPC, chiedendo una correzione immediata.

Il test che fanno le autorità è semplice: attivare il GPC nel browser e vedere se il sito continua a inviare dati ai partner pubblicitari. Chiunque può ripetere questo test.

Errori comuni

Cosa fa ignorare il GPC a un sito senza che se ne accorga

Nella maggior parte dei casi, il proprietario del sito pensa che vada tutto bene perché il banner compare.

CMP senza lettura del GPC

L'opzione esiste nella CMP, ma è disattivata. Il segnale arriva e nessuno lo legge.

Tag prima della CMP

Pixel e annunci si caricano prima che la CMP legga il segnale. I primi dati sono già usciti quando il rifiuto viene applicato.

Rifiuto solo nel cookie della CMP

La CMP registra il rifiuto, ma non aggiorna la GPP string. I partner non lo sapranno mai.

Richiedere un clic per confermare

Il sito mostra un avviso che chiede alla persona di confermare il rifiuto prima di applicarlo. Il segnale è già il rifiuto.

Header bidding escluso

Il rifiuto arriva a Google, ma non agli altri acquirenti dell'asta.

Solo per la California

Il segnale viene rispettato per uno stato e ignorato negli altri dove è richiesto allo stesso modo.

In pratica

Cosa si può e cosa non si può fare davanti al GPC

Esempi di tutti i giorni per siti con visitatori dagli Stati Uniti.

Consentito

Continuare a mostrare annunci, senza personalizzazione con i dati della persona
Mostrare nel pannello delle preferenze che il segnale è stato ricevuto
Avvisare del conflitto con una scelta precedente e chiedere conferma
Pubblicare il file gpc.json dichiarando che il sito rispetta il segnale
Applicare lo stesso rifiuto a tutti i partner dell'asta

Non consentito

Ignorare il segnale perché il visitatore non ha cliccato sul banner
Richiedere login, e-mail o modulo per accettare il rifiuto
Caricare pixel di marketing prima di leggere il segnale
Bloccare il contenuto a chi usa il GPC
Annullare il rifiuto alla visita successiva senza una nuova autorizzazione

In ConsentMode

Cosa controlla l'audit sul GPC

Apre il sito due volte, con e senza il segnale GPC, come visitatore dagli USA.
Confronta i tag e le richieste di annunci che partono in ogni visita.
Legge la GPP string e controlla che il rifiuto e il campo GPC compaiano quando il segnale è attivo.
Verifica se esiste il file gpc.json e se il pannello delle preferenze mostra il segnale.
Fornisce screenshot di ogni visita e la modifica da fare nella CMP o nei tag.

Avvia un audit Vedi tutto ciò che viene controllato

Domande frequenti

Il GPC sostituisce il banner dei cookie?

No. Il banner resta necessario dove la legge richiede un avviso o il consenso. Il GPC è un rifiuto automatico che il sito deve rispettare, con o senza banner.

Il mio sito è brasiliano. Devo preoccuparmi?

Se hai visitatori dagli USA e la tua attività rientra nei criteri delle leggi statali, sì. Per il pubblico del Brasile, la LGPD non cita il GPC, ma rispettare il segnale non danneggia gli annunci.

Rispettare il GPC toglie gli annunci dalla pagina?

No. Gli annunci continuano. Non possono solo usare i dati di quel visitatore per vendita, condivisione o pubblicità mirata.

Come attivo il GPC per testare?

In Firefox, attiva l'opzione nelle impostazioni della privacy. In Brave e DuckDuckGo, il segnale è già attivo. Poi digita navigator.globalPrivacyControl nella console: il risultato deve essere true.

Il file gpc.json è obbligatorio?

No. È una dichiarazione facoltativa prevista dalla specifica. Per la legge conta che il sito applichi davvero il rifiuto.

Google legge il GPC da solo?

Non contarci. La strada sicura è che la CMP trasformi il segnale in un rifiuto nella GPP string, che Ad Manager legge e usa per limitare l'elaborazione dei dati.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Scopri cosa fa il tuo sito quando il browser dice no

L'audit visita il sito con e senza GPC e mostra la differenza, senza modificare nulla.

Avvia l'audit