Global Privacy Control: Hvad din hjemmeside skal gøre med signalet

Hvornår er GPC et juridisk gyldigt fravalg?

GPC er et teknisk signal, ikke en lov. Virkningen afhænger af, hvilken delstatslov der gælder, om din virksomhed er omfattet, og hvilken aktivitet med data det drejer sig om.

I Californien skal en virksomhed, der er omfattet af CCPA, og som sælger eller deler personoplysninger, behandle et kvalificerende signal om fravalg som et gyldigt fravalg af salg og deling; California Attorney General nævner GPC som et sådant signal. I Colorado har omfattede dataansvarlige siden 1. juli 2024 skullet respektere universelle fravalgsmekanismer for salg og målrettet annoncering, og Colorado Attorney General anerkender indtil videre GPC som den eneste.

Andre delstatslove er forskellige: nogle kræver, at du respekterer disse signaler, andre gør ikke. Tjek hvert marked i stedet for at kopiere opsætningen fra Californien; guiden til Colorados CPA gennemgår Colorados øvrige regler.

Fra 1. januar 2027 kræver Californien også, at virksomheder, der udvikler eller vedligeholder en webbrowser, tilbyder en indstilling, der sender et signal om fravalg (Civil Code §1798.136), så flere besøgende kan komme med signalet slået til.

Hvad signalet betyder, og hvad det ikke betyder

Browsere sender GPC som request-headeren Sec-GPC: 1 og gør signalet tilgængeligt for scripts som navigator.globalPrivacyControl. Hvor loven giver det virkning, er det et fravalg af salg og deling i Californien og af salg og målrettet annoncering i Colorado.

Det er ikke en anmodning om at slette data eller lukke en konto, og det er ikke automatisk et “afvis alle cookies” under alle retsordener. Kassen, sikkerhed og andre nødvendige funktioner fortsætter.

Et manglende signal er ikke samtykke. Hvis din hjemmeside også betjener regioner, der kræver forudgående samtykke, f.eks. EU, så hold de valg adskilt fra amerikanske fravalgssignaler.

Eksempel: et besøg med GPC slået til

Illustrativt eksempel: en webshop, der sælger friluftsudstyr, er omfattet af CCPA og deler browsinghændelser med en annonceplatform via en pixel og et serverside-konverteringsfeed. En kunde fra Californien lander på en kampagneside med GPC slået til.

1. Signal modtaget: den første sideanmodning indeholder signalet, før noget annoncetag kører.
2. Fravalg registreret: hjemmesiden gemmer et fravalg af salg og deling for den browser, uden klik, formular eller login.
3. Browserflows reagerer: annoncepixlen indlæses ikke; kurv og kasse fungerer som normalt.
4. Serverflows reagerer: konverteringsfeedet holder op med at sende denne browsers hændelser til platformen.
5. Kendt profil håndteret: når kunden logger ind, omfatter fravalget også kontoen, og den udelades af uploads af målgrupper, som Californiens regler kræver for en kendt forbruger.
6. Status vist: hjemmesiden viser, at fravalget er blevet respekteret.

Gentag besøget uden GPC for at teste det, og sammenlign anmodningerne. Kun de aktiviteter, som fravalget dækker, bør være forskellige.

Hvad hvis GPC er i modstrid med et tidligere valg?

En besøgende kan allerede have et gemt valg i banneret, en kontoindstilling eller et loyalitetsmedlemskab, når signalet kommer. Californien og Colorado løser konflikten til fordel for signalet, med begrænsede muligheder for at spørge igen.

I Californien er det valgfrit at nævne konflikten. Enhver anmodning om samtykke skal tilbyde klare, symmetriske valg, og en virksomhed, der benytter friktionsfri behandling (frictionless processing) for at kunne udelade linket “Do Not Sell or Share”, må ikke vise sådanne opfordringer. Ud over det skal du vente mindst 12 måneder, før du beder en besøgende, der har fravalgt, om at give samtykke igen (CCPA-reglerne §7025 og §7026).

Colorados regler minder om dem: behandl browseren, enheden og den kendte forbruger som fravalgt, indtil de giver samtykke, og spørg ikke via pop-ups, bannere, der dominerer siden, eller andre mellemliggende vinduer (interstitials). Et link til en side med privatlivsindstillinger, f.eks. ved siden af fravalgsstatus, er en accepteret vej (CPA Rules 5.08, 5.09 og 7.05).

Før fravalget igennem alle dataflows

Oplist de værktøjer, der indgår i salg, deling eller målrettet annoncering: pixels, serverside-hændelser, uploads af kundelister og partnerintegrationer. Vurder hvert værktøj ud fra dets anvendelse og modtager, ikke ud fra cookienavnet. I Californien er en tjenesteudbyder (service provider) med en kontrakt, der lever op til kravene, uden for fravalget, men en leverandør, der leverer adfærdsbaseret annoncering på tværs af kontekster (cross-context behavioural advertising), er en tredjepart.

Læs signalet på alle indgangssider, også kampagnesider og kassen, før berørte tags kører. Hvis en overførsel først stoppes, når banneret er indlæst, er data allerede sendt.

Tjek derefter, hvad der fortsætter uden for browseren: konverterings-API’er, eksport af målgrupper og partnerindstillinger. Californien kræver, at du stopper salg og deling, så snart det er praktisk muligt, og underretter tredjeparter, der har modtaget data i mellemtiden.

Passiro håndterer Global Privacy Control i alle abonnementer og behandler automatisk et understøttet signal som et fravalg i den samtykkeopsætning, Passiro styrer på din hjemmeside. Serverside-integrationer, uploads af målgrupper og kontodata ligger uden for ethvert browserværktøj, så test dem separat.

Forvent mindre remarketingmålgrupper, hvor fravalget gælder, og planlæg rapporteringen efter det i stedet for at genopbygge det samme dataflow under et andet navn.

Vis og forklar resultatet

Californiens gældende regler kræver, at du viser, om du har behandlet signalet som et fravalg, f.eks. “Opt-Out Request Honored” eller en kontakt i indstillingerne, der viser fravalget. Colorado tillader en lignende visning, men kræver det ikke.

Din privatlivspolitik bør beskrive rettighederne til fravalg, og hvordan du håndterer signaler. Colorado kræver, at den forklarer, hvordan anmodninger om universelt fravalg behandles; i Californien skal en virksomhed, der benytter friktionsfri behandling, oplyse det og forklare, hvordan man slår et signal til.

Kald valget “salg eller deling” i stedet for en uforklaret kontakt til “personalisering”, og gør anmodninger om indsigt og sletning lette at finde: det er separate processer.

Tjekliste for GPC

• Omfang: notér, hvilke delstatslove der gælder, og hvilke aktiviteter der tæller som salg, deling eller målrettet annoncering.
• Første besøg: sammenlign anmodningerne på en kampagneside med og uden GPC.
• Tidligere valg: send GPC fra en browser, der tidligere har accepteret, og bekræft, at fravalget vinder.
• Forløb med login: bekræft, at kontoen er markeret som fravalgt og udeladt af uploads af målgrupper.
• Serverside: tjek konverterings-API’er og partnerintegrationer, ikke kun browsertags.
• Status og politik: bekræft, at status for det respekterede fravalg vises, og at privatlivspolitikken stemmer overens.

Ofte stillede spørgsmål