Guida · Standard di settore

GPP spiegato: un solo segnale per più leggi sulla privacy

Il GPP riunisce in un unico codice le scelte di privacy richieste da ogni legge, dagli stati americani al Canada e all'Europa. Qui capisci come funziona, cosa legge Google e quando il tuo sito ne ha bisogno.

Controlla il GPP del mio sito Leggi la guida

✓Basato sulla specifica dell'IAB Tech Lab
✓Include ciò che Ad Manager accetta e ignora
✓Lettura senza modificare il sito

2022anno in cui è stata pubblicata la versione 1.0 della GPP string

20sezioni statali degli USA nell'elenco ufficiale del GPP

6sezioni degli USA che Ad Manager legge dentro il GPP

7numero della sezione nazionale degli USA, la usnat

Che cos'è

Una scatola unica per i segnali di privacy

Il GPP è un protocollo dell'IAB Tech Lab, l'ente tecnico del settore pubblicitario. È nato come Global Privacy Platform e oggi compare sul sito ufficiale come Global Privacy Protocol. La sigla resta la stessa.

L'idea è semplice. Ogni legge sulla privacy richiede informazioni diverse. La California parla di vendita e condivisione dei dati. Altri stati parlano di pubblicità mirata. L'Europa parla di consenso per finalità. Il GPP conserva tutto questo in un unico codice, la GPP string, diviso in sezioni.

Il banner di privacy del sito, la CMP, costruisce questa stringa in base alla regione e alla scelta del visitatore. Poi il codice degli annunci invia la stringa alle piattaforme, che leggono solo la sezione valida per quel visitatore.

Come il TCF, il GPP non è una legge. È uno strumento tecnico per portare la scelta del visitatore ai partner pubblicitari in modo standardizzato.

Checklist

Cosa devi rispettare

Il GPP non è una legge, quindi questi punti vengono dalle leggi dei singoli stati USA e da ciò che Google chiede per leggere il segnale.

Mostra il link di rifiuto ai visitatori USA
In California, l'azienda che vende dati personali deve avere un link chiaro e visibile chiamato Do Not Sell or Share My Personal Information. Il messaggio sulle normative statali di Google crea questo link.
Esempio
Footer per i visitatori USA con il link Do Not Sell or Share My Personal Information.
Tratta il GPC come rifiuto
In California, il segnale Global Privacy Control inviato dal browser deve essere rispettato come richiesta valida di interrompere la vendita o la condivisione dei dati.
Esempio
Quando il browser invia il GPC, la CMP registra il rifiuto nella GPP string senza chiedere un clic.
Fai in modo che il rifiuto cambi la GPP string
Google attiva il trattamento limitato dei dati quando la stringa indica il rifiuto di vendita, condivisione o pubblicità mirata. Se il clic non cambia la stringa, il rifiuto non arriva a Google.
Usa le sezioni che Google legge
Google accetta nel GPP la sezione nazionale degli USA e le sezioni di California, Colorado, Connecticut, Florida e Virginia. Non accetta la sezione dello Utah, il TCF canadese né la versione 1.0 del GPP.
Mantieni il TCF specifico per l'Europa
Per i visitatori di SEE, Regno Unito e Svizzera, Google continua a usare il TCF di IAB Europe con una CMP certificata. La TC string europea dentro il GPP non è accettata.
Invia gpp e gpp_sid in ogni richiesta
Google riceve la stringa nel parametro gpp e il numero delle sezioni nel parametro gpp_sid. Controlla che anche i partner di header bidding ricevano entrambi.
Esempio
Nella richiesta di annuncio di un visitatore con la sezione nazionale, il parametro gpp_sid contiene il numero 7.
7
Senza GPP, segna il rifiuto nel tag
Google non richiede né GPP né CMP per gli stati USA. Chi ha un proprio link di rifiuto può attivare il trattamento limitato dei dati direttamente nel tag di Ad Manager per chi ha rifiutato.
```
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true
});
```
Sostituisci la US Privacy String con il GPP
IAB ha dismesso la US Privacy String a gennaio 2024. Google legge ancora questo segnale, ma consiglia di passare al GPP.

In pratica

Giusto e sbagliato

SbagliatoIl sito non ha un link di rifiuto, oppure il clic non cambia la GPP string.
GiustoI visitatori USA vedono nel footer il link per rifiutare la vendita o la condivisione.
SbagliatoIl sito ignora il GPC e continua a inviare la stringa senza rifiuto.
GiustoIl browser invia il GPC e la CMP registra subito il rifiuto.

Strumenti ufficiali

CMP certificate e link ufficiali

Google non richiede né una CMP certificata né il GPP per gli stati USA, quindi usa queste pagine ufficiali per generare il segnale e mostrare il rifiuto.

Definizioni

I termini che vedrai nel pannello e nei report

Sei concetti spiegano quasi tutto ciò che accade con il GPP in un sito.

GPP string

Il codice completo, con un'intestazione e una o più sezioni. È ciò che viaggia insieme alle richieste di annuncio.

Intestazione

La prima parte della stringa. Indica quali sezioni contiene, così che ogni partner trovi quella che gli serve.

Sezione

Il blocco di una giurisdizione, come la sezione nazionale degli USA o quella di uno stato. Ognuna ha un numero e un nome breve.

gpp_sid

L'elenco dei numeri delle sezioni valide per quella richiesta. Viaggia insieme alla stringa perché il partner sappia quale leggere.

API __gpp

Il comando standard della CMP nella pagina. Gli script degli annunci le chiedono se la stringa è pronta e qual è il contenuto.

MSPA

Contratto multistatale dell'IAB per le transazioni pubblicitarie negli USA. La sezione nazionale ha campi che indicano se la transazione è coperta da esso.

Le sezioni

Cosa sta dentro una GPP string

L'elenco ufficiale delle sezioni si trova nel repository dell'IAB Tech Lab e cresce man mano che entrano in vigore nuove leggi.

TCF dell'Europa (tcfeuv2)

Porta la TC string europea dentro il GPP. Utile per i partner che leggono tutto tramite il GPP, ma Google non accetta questo percorso per i visitatori europei.

TCF del Canada (tcfcav1)

Versione canadese del TCF, creata da IAB Canada per le regole sul consenso del paese.

US Privacy (uspv1)

Il vecchio segnale della California, detto anche stringa di quattro lettere. Resta nell'elenco, ma è stato dismesso dall'IAB.

Nazionale degli USA (usnat)

Una sezione che copre le leggi statali in modo unificato. Molte CMP usano solo questa per tutti gli stati.

Sezioni statali

Blocchi propri di stati come California, Virginia, Colorado, Connecticut, Texas, Oregon e altri. L'elenco ufficiale ne ha 20.

Sottosezione GPC

La sezione nazionale può portare con sé l'avviso che il browser ha inviato il Global Privacy Control, il segnale di rifiuto automatico.

A chi si applica

Quando il tuo sito ha bisogno del GPP, e dove non aiuta

Il GPP fa più differenza per i siti con visitatori degli Stati Uniti che mostrano annunci programmatici. È tramite il GPP che le piattaforme vengono a sapere se il visitatore ha chiesto di non far vendere, condividere o usare i suoi dati nella pubblicità mirata.

Se il tuo pubblico è quasi tutto brasiliano, il GPP ha poco effetto. La LGPD non usa questo standard e Google non richiede il GPP per i visitatori del Brasile. Anche così, conviene configurare la CMP per regione in modo che il pubblico degli USA riceva il segnale giusto.

Per l'Europa, il GPP non sostituisce il TCF in Google. Ad Manager non accetta la TC string europea inviata dentro il GPP per i visitatori di SEE, Regno Unito e Svizzera. In queste regioni, la CMP certificata con TCF resta obbligatoria per gli annunci personalizzati.

A far rispettare le leggi dietro il GPP sono le autorità di ogni paese o stato, come i procuratori generali degli stati americani. Il GPP in sé non applica sanzioni. È la prova tecnica che la scelta del visitatore è stata portata avanti.

Diritti del visitatore

Cosa registra la sezione nazionale degli USA

La sezione usnat conserva due tipi di informazioni. Il primo è se il sito ha avvisato il visitatore: avviso di condivisione, avviso di vendita, avviso di pubblicità mirata e avvisi sui dati sensibili.

Il secondo è ciò che il visitatore ha deciso. Ci sono campi per il rifiuto della vendita di dati, il rifiuto della condivisione, il rifiuto della pubblicità mirata, l'uso di dati sensibili e il consenso per i dati dei minori.

Questi campi riflettono i diritti che le leggi statali danno alle persone. Quando un visitatore clicca su Non vendere o condividere le mie informazioni, la CMP modifica il campo corrispondente e tutti i partner ricevono il rifiuto alla richiesta di annuncio successiva.

La sezione indica anche se la transazione è coperta dal contratto MSPA e può riportare il valore del Global Privacy Control inviato dal browser.

Come implementare

Cinque passi perché il GPP funzioni nel sito

Scegli una CMP con supporto al GPPLa maggior parte delle CMP commerciali e il messaggio sulla privacy di Google offrono opzioni per gli stati USA. Verifica quali sezioni genera la tua CMP.
Definisci le regioniMostra il messaggio e genera la sezione degli USA per i visitatori di lì. Per l'Europa, mantieni il TCF proprio. Per il resto del mondo, segui la legge locale.
Metti il link di rifiutoLeggi come quella della California richiedono un link visibile perché il visitatore rifiuti la vendita o la condivisione. Deve aggiornare subito la GPP string.
Passa la stringa ai partnerIl tag di Google legge la stringa tramite l'API della CMP. Con header bidding e altre reti, verifica che la stringa e il gpp_sid viaggino in ogni richiesta.
Prova con e senza rifiutoApri il sito come visitatore degli USA, rifiuta la vendita e verifica se la stringa cambia e se le richieste di annuncio iniziano a portare il rifiuto.

Prova rapida nella console del browser con l'API standard del GPP

// Pergunta à CMP se a GPP string está pronta
__gpp('ping', function (data, ok) {
  if (!ok) return;
  console.log('status:', data.signalStatus);         // 'ready' ou 'not ready'
  console.log('seções:', data.applicableSections);   // ex.: [7]
  console.log('string:', data.gppString);
});

AdSense e Ad Manager

Come Google legge il GPP

Ad Manager riceve la stringa in due parametri della richiesta di annuncio: gpp, con la stringa, e gpp_sid, con i numeri delle sezioni. Il tag di Google se ne occupa quando la CMP espone l'API standard.

Dentro il GPP, Ad Manager accetta la sezione nazionale degli USA e le sezioni di California, Colorado, Connecticut, Florida e Virginia. Non usa il GPP per il TCF europeo, il TCF canadese e la sezione dello Utah.

Quando la stringa mostra un rifiuto, Google attiva il trattamento limitato dei dati. Nella sezione nazionale, questo avviene con il rifiuto di vendita, condivisione o pubblicità mirata. L'annuncio continua a essere mostrato, ma senza personalizzazione basata sui dati di quel visitatore.

Google non richiede che l'editore firmi l'MSPA. Ad Manager partecipa al programma di partner certificati dell'MSPA. Da settembre 2025, Google accetta la seconda versione della sezione nazionale e continua ad accettare la prima.

Cronologia

Come il GPP è arrivato fin qui

Lo standard viene aggiornato ogni volta che entrano in vigore nuove leggi statali.

28 settembre 2022
Versione 1.0 pubblicata
L'IAB Tech Lab pubblica la specifica finale della GPP string e la prima versione dell'API delle CMP.
Dicembre 2022
Nasce la sezione nazionale degli USA
La sezione usnat viene lanciata per riunire le leggi statali in un unico blocco.
Giugno 2023
API delle CMP alla versione 1.1
L'API inizia a rispondere tramite funzioni di callback, e alcuni vecchi comandi vengono rimossi.
Gennaio 2024
US Privacy String dismessa
L'IAB dismette il vecchio segnale della California. Google continua a leggere questo segnale, ma il percorso raccomandato diventa il GPP.
Settembre 2025
Google accetta la sezione nazionale v2
Ad Manager inizia a leggere la seconda versione della sezione nazionale, senza smettere di accettare la prima.
Fine 2025
Nuovi stati
Le sezioni di Maryland, Indiana, Kentucky e Rhode Island vengono finalizzate dopo la consultazione pubblica.
Agosto 2026
Aggiornamento al nuovo MSPA
La specifica viene aggiornata alla versione più recente del contratto multistatale.

Errori comuni

Cosa rompe di più il GPP nei siti

Quasi tutti passano inosservati, perché il banner continua a comparire normalmente.

Link di rifiuto che non cambia nulla

Il visitatore clicca su non vendere, ma la GPP string resta uguale. Per i partner, il rifiuto non è mai avvenuto.

TCF europeo solo dentro il GPP

La CMP invia la TC string solo tramite il GPP. Google non accetta questo percorso per SEE, Regno Unito e Svizzera, e gli annunci restano limitati.

gpp_sid errato o vuoto

La stringa arriva, ma l'elenco delle sezioni non corrisponde al contenuto. Il partner non sa quale blocco leggere.

Annunci prima della stringa

Il codice degli annunci si attiva prima che la CMP sia pronta. Le prime richieste partono senza alcun segnale di privacy.

Header bidding senza GPP

Il tag di Google riceve la stringa, ma i partner di header bidding no. Una parte dell'asta ignora il rifiuto del visitatore.

GPC ignorato

Il browser invia il Global Privacy Control, ma la CMP non registra il rifiuto. In vari stati, questo è trattato come un rifiuto valido.

In pratica

Cosa è consentito e cosa no con il GPP

Esempi pratici per chi ha traffico dagli Stati Uniti e da altri paesi.

Consentito

Usare solo la sezione nazionale degli USA, se la CMP e i partner la accettano
Generare la stringa solo per i visitatori degli USA e mantenere il TCF per l'Europa
Mostrare un link fisso Non vendere o condividere nel footer
Registrare il GPC del browser come rifiuto nella stringa
Verificare nella console che la stringa cambi dopo il rifiuto

Non consentito

Usare il GPP al posto della CMP certificata con TCF per l'Europa
Lasciare che il link di rifiuto apra solo un modulo e-mail
Inviare sezioni di stati che non corrispondono al visitatore
Caricare gli annunci prima che la CMP risponda
Mantenere solo la vecchia US Privacy String senza pianificare il passaggio

In ConsentMode

Cosa controlla l'audit sul GPP

Apre il sito come visitatore degli USA e di altre regioni e verifica se la CMP genera la GPP string.
Identifica la CMP e le sezioni presenti nella stringa, come la nazionale o quelle statali.
Verifica se la stringa e il gpp_sid accompagnano le richieste di annuncio della pagina.
Controlla se esiste un link di rifiuto e se la stringa cambia dopo il clic.
Segnala se l'Europa dipende solo dal GPP, senza il TCF che Google richiede.

Avvia un audit Vedi tutto ciò che viene controllato

Domande frequenti

GPP e TCF sono concorrenti?

No. Il TCF è lo standard europeo di consenso. Il GPP è un involucro che può portare il TCF e i segnali di altre leggi. In Google, l'Europa continua a usare direttamente il TCF, e il GPP serve soprattutto per gli USA.

Il mio sito è brasiliano. Mi serve il GPP?

Solo se hai visitatori dagli Stati Uniti e vuoi che il loro rifiuto arrivi ai partner pubblicitari. Per il pubblico brasiliano, il GPP non è richiesto da Google.

Il GPP sostituisce la US Privacy String?

È il percorso indicato dall'IAB, che ha dismesso la vecchia stringa a gennaio 2024. Google legge ancora la vecchia stringa, quindi il passaggio può essere pianificato con calma.

Devo firmare l'MSPA per usare il GPP?

Google non richiede che l'editore firmi. Se altri partner lo chiedono, valuta con il legale. L'MSPA è un contratto, non una configurazione tecnica.

Il trattamento limitato dei dati toglie gli annunci?

No. Google continua a mostrare annunci, ma senza usare i dati di quel visitatore per la personalizzazione. I ricavi per visita di solito sono inferiori.

Come vedo la GPP string del mio sito?

Apri la console del browser e usa il comando ping dell'API __gpp, come nell'esempio di questa guida. Oppure esegui un audit di ConsentMode, che mostra la stringa e le sezioni.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Scopri se il rifiuto dei tuoi visitatori arriva agli annunci

L'audit legge la GPP string come un visitatore degli USA e mostra cosa correggere, senza modificare nulla.

Avvia l'audit

GPP spiegato: un solo segnale per più leggi sulla privacy

Una scatola unica per i segnali di privacy

Cosa devi rispettare

Mostra il link di rifiuto ai visitatori USA

Tratta il GPC come rifiuto

Fai in modo che il rifiuto cambi la GPP string

Usa le sezioni che Google legge

Mantieni il TCF specifico per l'Europa

Invia gpp e gpp_sid in ogni richiesta

Senza GPP, segna il rifiuto nel tag

Sostituisci la US Privacy String con il GPP