Мой кабинет

Руководство · Сигнал браузера

Global Privacy Control: когда браузер говорит нет за вас

GPC это автоматическое уведомление, которое браузер отправляет каждому сайту и сообщает, что человек не хочет, чтобы его данные продавались или передавались. В нескольких штатах США игнорирование этого уведомления уже привело к штрафу. Узнайте, как реагировать и как это проверить.

Проверить, соблюдает ли мой сайт GPCЧитать руководство
  • ✓По спецификации GPC и официальным источникам штатов
  • ✓Проверка, которую может сделать любой человек в браузере
  • ✓Проверка без изменения сайта
3браузера со встроенным GPC: Brave, DuckDuckGo и Firefox
1,2 млн долл. СШАсоглашение Sephora в Калифорнии за игнорирование GPC, 2022 год
2024год, когда Колорадо стал требовать GPC, начиная с 1 июля
3штата в совместной проверке в сентябре 2025 года: Калифорния, Колорадо и Коннектикут

Что это

Уведомление о конфиденциальности, которое идет с каждым визитом

Global Privacy Control, или GPC, это настройка браузера. Когда человек включает эту опцию, браузер начинает сообщать всем посещаемым сайтам, что он не хочет, чтобы его персональные данные продавались или передавались.

Главное отличие от баннера cookie в том, что на вашем сайте никому не нужно ничего нажимать. Отказ приходит уже готовым, еще до загрузки страницы. Сайту остается только прочитать уведомление и подчиниться.

GPC уже встроен в Brave и DuckDuckGo, где включен по умолчанию, и в Firefox, где человек включает его в настройках. Расширения, такие как Privacy Badger, Disconnect и OptMeowt, тоже отправляют сигнал в других браузерах.

Идея появилась в 2020 году в группе W3C, организации, которая создает веб-стандарты. В ноябре 2024 года она стала официальной рабочей задачей Рабочей группы W3C по конфиденциальности, где проходит стандартизацию.

Чек-лист

Что нужно выполнить

Эти обязанности действуют там, где закон требует GPC, например в Калифорнии, Колорадо и Коннектикуте, для компаний в пределах порогов каждого закона.

  1. Считайте сигнал действительным отказом

    В Калифорнии GPC это действительный запрос на отказ. В Колорадо с 1 июля 2024 года он считается отказом от продажи и таргетированной рекламы. В Коннектикуте обязанность действует с 1 января 2025 года.

  2. Читайте сигнал до тегов

    Браузер сообщает о нём заголовком Sec-GPC со значением 1 и свойством navigator.globalPrivacyControl. Официальное руководство по GPC требует, чтобы скрипт был на странице как можно раньше.

    // Lê o GPC antes das tags e liga o RDP na GPT
if (navigator.globalPrivacyControl === true) {
  googletag.cmd.push(function () {
    googletag.pubads().setPrivacySettings({
      restrictDataProcessing: true
    });
  });
}

  3. Не просите вход в аккаунт и лишние данные

    Правила Колорадо запрещают требовать вход в аккаунт, чтобы принять сигнал, и запрашивать больше данных, чем строго необходимо.

  4. Объясните GPC в политике конфиденциальности

    В Колорадо политика должна говорить, как обрабатываются отказы через универсальный сигнал, например GPC.

    Пример

    Мы соблюдаем Global Privacy Control. Если ваш браузер отправляет этот сигнал, мы считаем визит отказом от продажи и таргетированной рекламы.

  5. Передайте отказ всем партнёрам

    Google включает RDP, когда строка GPP показывает отказ или когда тег запрашивает RDP. Тот же отказ должен дойти до header bidding и пикселей.

  6. Покажите статус выбора

    В Калифорнии правила, действующие с 2026 года, требуют, чтобы сайт показывал посетителю статус его выбора. В Колорадо показывать, что сигнал соблюдён, разрешено.

    Пример

    Панель конфиденциальности: Сигнал GPC получен. Ваш отказ применён.

На практике

Как правильно и как неправильно

Официальные инструменты

Сертифицированные CMP и официальные ссылки

У GPC нет списка сертифицированных CMP, и Google не требует сертифицированную CMP в США. Проверьте, что ваша CMP читает GPC и записывает отказ в строку GPP.

Определения

Технические термины без сложностей

Эти слова встречаются в законах, в CMP и в инструментах разработчика браузера.

Заголовок Sec-GPC

Уведомление, которое браузер отправляет серверу с каждым запросом. Когда человек включил GPC, его значение равно 1.

navigator.globalPrivacyControl

Та же информация, доступная скриптам страницы. Принимает значение true, когда GPC включен, и false, когда нет.

Файл gpc.json

Необязательный файл по адресу well-known сайта, в котором владелец заявляет, что соблюдает GPC, и указывает дату последнего обновления.

Продажа и передача

В Калифорнии передача означает использование данных для поведенческой рекламы на разных сайтах. Программатическая реклама обычно сюда попадает.

Таргетированная реклама

Термин, используемый такими законами, как законы Колорадо и Коннектикута, для рекламы, выбранной на основе того, что человек делает на других сайтах.

Универсальный сигнал отказа

Общее название, которое законы используют для автоматических уведомлений вроде GPC. Каждый штат сам определяет, какие сигналы принимает.

К кому относится

Где соблюдать GPC уже обязательно

Законы действуют для компаний, которые соответствуют критериям каждого штата, например объему данных жителей. Уточните у юриста, подпадает ли ваш сайт под эти критерии.

Калифорния

Генеральная прокуратура заявляет, что охваченные законом компании должны принимать GPC как действительный запрос на прекращение продажи или передачи данных.

Колорадо

С 1 июля 2024 года охваченные законом компании обязаны соблюдать GPC. Сейчас это единственный универсальный сигнал, принимаемый штатом.

Коннектикут

С 1 января 2025 года сигналы браузера считаются отказом от продажи данных и таргетированной рекламы.

Орегон

С 1 января 2026 года жители могут использовать универсальный сигнал отказа, отправляемый браузером или расширением.

Другие штаты

Законы других штатов США тоже касаются универсальных сигналов отказа, со своими датами. Список часто меняется.

За пределами США

В Бразилии и Европе GPC не заменяет баннер и согласие. Тем не менее соблюдение сигнала показывает заботу о посетителе.

Права посетителя

Что меняется для посетителя, который включает GPC

С точки зрения закона GPC равносилен тому, что человек нажал ссылку «Не продавать и не передавать мою информацию». Разница в том, что ему не нужно искать эту ссылку на каждом сайте.

После получения отказа сайт больше не может продавать или передавать данные этого человека, пока тот не разрешит снова. В Калифорнии официальные рекомендации требуют выполнять запросы на отказ как можно скорее, не позже 15 рабочих дней.

В Коннектикуте сигнал действует, даже если он противоречит прежнему выбору человека или программе лояльности. Сайт может сообщить о конфликте и попросить подтверждение, но не может просто игнорировать сигнал.

GPC не требует, чтобы сайт прекращал работу или скрывал рекламу. Реклама продолжает показываться. Она просто не может использовать данные этого человека для продажи, передачи или таргетированной рекламы.

Обязанности сайта

Как сайт должен реагировать на GPC

  1. Определяйте сигнал в самом началеCMP или скрипт в верхней части страницы читает сигнал до загрузки любого рекламного или маркетингового тега.
  2. Применяйте отказ сразуОтметьте посетителя как отказавшегося от продажи, передачи и таргетированной рекламы, не требуя клика или формы.
  3. Передайте отказ партнерамОбновите строку GPP, указав отказ и поле GPC национального раздела, чтобы Google и остальные партнеры получили то же уведомление.
  4. Покажите, что сигнал соблюденФраза вроде «Мы получили ваш сигнал конфиденциальности» в панели настроек помогает посетителю и служит записью для сайта.
  5. Проверьте в браузере с GPCВключите GPC в Firefox или используйте Brave, откройте сайт и проверьте в консоли и в сетевых запросах, был ли применен отказ.
Чтение сигнала в браузере и необязательный файл заявления
// Lê o GPC antes das tags de anúncio
if (navigator.globalPrivacyControl === true) {
  // trate como recusa de venda, compartilhamento
  // e publicidade direcionada
  // a CMP deve refletir isso na GPP string
}

// Opcional: /.well-known/gpc.json
{ "gpc": true, "lastUpdate": "2026-11-02" }

AdSense и Ad Manager

Как отказ GPC доходит до рекламы Google

GPC обращается к вашему сайту, а не напрямую к каждому рекламному партнеру. Поэтому самый надежный путь: CMP превращает сигнал в зафиксированный отказ в строке GPP.

Ad Manager читает национальный раздел США и разделы Калифорнии, Колорадо, Коннектикута, Флориды и Вирджинии. Когда в строке указан отказ от продажи, передачи или таргетированной рекламы, Google включает ограниченную обработку данных.

В результате реклама продолжает показываться, но без персонализации на основе данных этого посетителя. Доход с одного визита обычно немного снижается, но сайт перестает рисковать из-за игнорирования действительного отказа.

Обратите внимание на header bidding и дополнительные сети. Если отказ получает только тег Google, другие покупатели аукциона продолжают использовать данные так, как будто посетитель никогда не отказывался.

Хронология

От эксперимента до контроля

За несколько лет GPC прошел путь от технического предложения до объекта совместного контроля штатов.

  1. 2020

    Предложение в W3C

    GPC начинается в сообществе W3C по конфиденциальности.

  2. 24 августа 2022 года

    Дело Sephora

    Прокуратура Калифорнии объявляет о соглашении на 1,2 млн долларов США. Одно из обвинений: необработка отказов, отправленных через GPC.

  3. 1 июля 2024 года

    Колорадо требует GPC

    Компании, охваченные законом Колорадо, начинают соблюдать GPC как отказ от продажи и таргетированной рекламы.

  4. Ноябрь 2024 года

    Официальная задача W3C

    GPC начинает стандартизироваться Рабочей группой W3C по конфиденциальности.

  5. 1 января 2025 года

    Коннектикут требует сигналы браузера

    Сигналы вроде GPC начинают считаться отказом от продажи и таргетированной рекламы.

  6. 9 сентября 2025 года

    Совместная проверка

    Калифорния, Колорадо и Коннектикут направляют письма компаниям, которые, по-видимому, не соблюдают GPC.

  7. 1 января 2026 года

    Орегон принимает универсальный сигнал

    Жители Орегона получают возможность использовать универсальный сигнал отказа через браузер.

Контроль

Кто требует и что уже произошло

Контроль осуществляют генеральные прокуратуры штатов, а в Калифорнии еще и государственное агентство по конфиденциальности. Они могут расследовать, требовать исправления и применять санкции, предусмотренные каждым законом.

Первым крупным делом стало дело Sephora в 2022 году. Прокуратура Калифорнии заявила, что компания не обрабатывала отказы, отправленные через GPC, и не исправила проблему в срок, который тогда давал закон. Соглашение составило 1,2 млн долларов США.

В сентябре 2025 года Калифорния, Колорадо и Коннектикут провели совместную проверку и направили письма компаниям, которые, по-видимому, не соблюдали GPC, с требованием немедленного исправления.

Проверка, которую проводят власти, простая: включить GPC в браузере и посмотреть, продолжает ли сайт отправлять данные рекламным партнерам. Любой человек может повторить эту проверку.

Частые ошибки

Из-за чего сайт может игнорировать GPC, сам того не замечая

В большинстве случаев владелец сайта думает, что всё в порядке, потому что баннер появляется.

CMP без чтения GPC

Опция в CMP есть, но выключена. Сигнал приходит, и никто его не читает.

Теги раньше CMP

Пиксели и реклама загружаются до того, как CMP прочитает сигнал. К моменту применения отказа первые данные уже ушли.

Отказ только в cookie CMP

CMP фиксирует отказ, но не обновляет строку GPP. Партнеры так и не узнают о нем.

Требовать клик для подтверждения

Сайт показывает уведомление с просьбой подтвердить отказ, прежде чем применить его. Сигнал уже и есть отказ.

Header bidding вне контроля

Отказ доходит до Google, но не до остальных покупателей аукциона.

Только для Калифорнии

Сигнал соблюдается для одного штата и игнорируется в других, где он тоже обязателен.

На практике

Что можно и что нельзя при GPC

Повседневные примеры для сайтов с посетителями из США.

Можно

  • Продолжать показывать рекламу без персонализации на основе данных человека
  • Показывать в панели настроек, что сигнал получен
  • Сообщить о конфликте с прежним выбором и попросить подтверждение
  • Опубликовать файл gpc.json с заявлением, что сайт соблюдает сигнал
  • Применять один и тот же отказ ко всем партнерам аукциона

Нельзя

  • Игнорировать сигнал, потому что посетитель не нажал на баннер
  • Требовать вход, e-mail или форму, чтобы принять отказ
  • Загружать маркетинговые пиксели до чтения сигнала
  • Блокировать контент для тех, кто использует GPC
  • Отменять отказ при следующем визите без нового разрешения

В ConsentMode

Что проверяет аудит в части GPC

  • Открывает сайт дважды, с сигналом GPC и без него, как посетитель из США.
  • Сравнивает теги и рекламные запросы, которые срабатывают при каждом визите.
  • Читает строку GPP и проверяет, что отказ и поле GPC появляются при включенном сигнале.
  • Проверяет, существует ли файл gpc.json и показывает ли панель настроек сигнал.
  • Дает скриншоты каждого визита и нужную правку в CMP или в тегах.
Запустить аудитПосмотреть всё, что проверяется

Частые вопросы

GPC заменяет баннер cookie?

Нет. Баннер по-прежнему нужен там, где закон требует уведомления или согласия. GPC это автоматический отказ, который сайт обязан соблюдать, с баннером или без него.

Мой сайт бразильский. Нужно ли мне беспокоиться?

Если у вас есть посетители из США и ваш бизнес подпадает под критерии законов штатов, да. Для аудитории в Бразилии LGPD не упоминает GPC, но соблюдение сигнала не мешает рекламе.

Убирает ли соблюдение GPC рекламу со страницы?

Нет. Реклама остается. Она просто не может использовать данные этого посетителя для продажи, передачи или таргетированной рекламы.

Как включить GPC для проверки?

В Firefox включите опцию в настройках конфиденциальности. В Brave и DuckDuckGo сигнал включен по умолчанию. Затем введите в консоли navigator.globalPrivacyControl: результат должен быть true.

Обязателен ли файл gpc.json?

Нет. Это необязательное заявление, предусмотренное спецификацией. Для закона важно, чтобы сайт действительно применял отказ.

Читает ли Google GPC самостоятельно?

Не рассчитывайте на это. Надежный путь: CMP превращает сигнал в отказ в строке GPP, которую читает Ad Manager и использует для ограничения обработки данных.

Библиотека

Официальные источники

Это руководство составлено по этим официальным страницам. Читайте прямо в источнике:

Посмотрите, что делает ваш сайт, когда браузер говорит нет

Аудит посещает сайт с GPC и без него и показывает разницу, ничего не меняя.

Начать аудит