Global Privacy Control: Qué debe hacer tu web con la señal

¿Cuándo es GPC una exclusión legal?

GPC es una señal técnica, no una ley. Su efecto depende de qué ley estatal se aplique, de si tu empresa entra en su ámbito y de qué actividad con datos esté en juego.

En California, una empresa sujeta a la CCPA que vende o comparte información personal debe tratar una señal de preferencia de exclusión que cumpla los requisitos como una exclusión válida de la venta y la compartición; el fiscal general de California cita GPC como una de esas señales. En Colorado, los responsables del tratamiento sujetos a la ley deben respetar desde el 1 de julio de 2024 los mecanismos universales de exclusión para la venta y la publicidad dirigida, y el fiscal general de Colorado reconoce GPC como el único hasta ahora.

Otras leyes estatales son distintas: algunas te obligan a respetar estas señales y otras no. Revisa cada mercado en lugar de copiar la configuración de California; la guía de la CPA de Colorado explica el resto de normas de Colorado.

A partir del 1 de enero de 2027, California también exige a las empresas que desarrollan o mantienen un navegador web que ofrezcan un ajuste que envíe una señal de preferencia de exclusión (Código Civil, §1798.136), así que es posible que más visitantes lleguen con ella activada.

Qué significa la señal y qué no

Los navegadores envían GPC como la cabecera de solicitud Sec-GPC: 1 y la exponen a los scripts como navigator.globalPrivacyControl. Cuando la ley le da efecto, es una exclusión de la venta y la compartición en California, y de la venta y la publicidad dirigida en Colorado.

No es una solicitud para suprimir datos ni para cerrar una cuenta, y no equivale automáticamente a «rechazar todas las cookies» en todos los regímenes legales. El proceso de pago, la seguridad y otras funciones necesarias siguen funcionando.

La ausencia de señal no es consentimiento. Si tu web también da servicio a regiones que exigen consentimiento previo, como la UE, mantén esas decisiones separadas de las señales de exclusión de EE. UU.

Ejemplo: una visita con GPC activado

Ejemplo ilustrativo: una tienda online de material de montaña está sujeta a la CCPA y comparte eventos de navegación con una plataforma publicitaria mediante un píxel y un flujo de conversiones del lado del servidor. Un cliente de California llega a la página de destino de una campaña con GPC activado.

1. Señal recibida: la primera solicitud de página lleva la señal, antes de que se ejecute cualquier etiqueta publicitaria.
2. Exclusión registrada: la web guarda una exclusión de la venta y la compartición para ese navegador, sin clics, formularios ni inicio de sesión.
3. Los flujos del navegador reaccionan: el píxel publicitario no se carga; la cesta y el proceso de pago funcionan con normalidad.
4. Los flujos del servidor reaccionan: el flujo de conversiones deja de enviar a la plataforma los eventos de este navegador.
5. Perfil conocido gestionado: cuando el cliente inicia sesión, la cuenta también queda excluida y fuera de las cargas de audiencias, como exigen las normas de California para un consumidor conocido.
6. Estado visible: la web muestra que se ha respetado la exclusión.

Para probarlo, repite la visita sin GPC y compara las solicitudes. Solo deberían cambiar las actividades cubiertas por la exclusión.

¿Y si GPC contradice una decisión anterior?

Puede que un visitante ya tenga una decisión guardada en el banner, un ajuste en su cuenta o una membresía en un programa de fidelización cuando llega la señal. California y Colorado resuelven el conflicto a favor de la señal, con vías limitadas para volver a preguntar.

En California, mencionar el conflicto es opcional. Cualquier solicitud de consentimiento debe ofrecer opciones claras y simétricas, y una empresa que se basa en el procesamiento sin fricción (frictionless processing) para no mostrar el enlace «Do Not Sell or Share» (no vender ni compartir) no puede mostrar esas solicitudes. Por lo demás, espera al menos 12 meses antes de pedir a un visitante que se ha excluido que vuelva a dar su consentimiento (Reglamento de la CCPA, §7025 y §7026).

Las normas de Colorado son parecidas: trata el navegador, el dispositivo y el consumidor conocido como excluidos hasta que den su consentimiento, y no lo pidas mediante ventanas emergentes, banners que dominen la página u otras pantallas intersticiales. Un enlace a una página de ajustes de privacidad, por ejemplo junto al estado de la exclusión, es una vía aceptada (CPA Rules 5.08, 5.09 y 7.05).

Lleva la exclusión a todos los flujos de datos

Enumera las herramientas que intervienen en la venta, la compartición o la publicidad dirigida: píxeles, eventos del lado del servidor, cargas de listas de clientes e integraciones con socios. Evalúa cada una por su uso y su destinatario, no por el nombre de su cookie. En California, un proveedor de servicios (service provider) con un contrato conforme queda fuera de la exclusión, pero una empresa que presta publicidad comportamental entre contextos es un tercero.

Lee la señal en cada página de entrada, incluidas las páginas de destino de campañas y el proceso de pago, antes de que se ejecuten las etiquetas afectadas. Si detienes una transferencia cuando el banner ya se ha cargado, algunos datos ya se habrán enviado.

Después, revisa lo que continúa fuera del navegador: API de conversiones, exportaciones de audiencias y ajustes de los socios. California exige detener la venta y la compartición tan pronto como sea factible y notificarlo a los terceros que hayan recibido los datos entretanto.

Passiro gestiona Global Privacy Control en todos los planes y trata automáticamente una señal admitida como una exclusión en la configuración de consentimiento que gestiona en tu web. Las integraciones del lado del servidor, las cargas de audiencias y los registros de cuentas quedan fuera de cualquier herramienta de navegador, así que pruébalos por separado.

Cuenta con audiencias de remarketing más pequeñas donde se aplique la exclusión, y planifica los informes teniéndolo en cuenta en lugar de reconstruir el mismo flujo de datos con otro nombre.

Muestra y explica el resultado

La normativa vigente de California exige mostrar si procesaste la señal como una exclusión, por ejemplo con «Opt-Out Request Honored» (solicitud de exclusión respetada) o con un interruptor de ajustes que muestre la exclusión. Colorado permite una indicación similar, pero no la exige.

Tu política de privacidad debería describir los derechos de exclusión y cómo gestionas las señales. Colorado exige que explique cómo se procesan las solicitudes universales de exclusión; en California, una empresa que se basa en el procesamiento sin fricción debe indicarlo y explicar cómo activar una señal.

Etiqueta la opción como «venta o compartición» en lugar de usar un interruptor de «personalización» sin explicación, y mantén las solicitudes de acceso y supresión fáciles de encontrar: son procesos distintos.

Lista de comprobación de GPC

• Ámbito: anota qué leyes estatales se aplican y qué actividades cuentan como venta, compartición o publicidad dirigida.
• Primera visita: compara las solicitudes en una página de destino de campaña con y sin GPC.
• Decisiones anteriores: envía GPC desde un navegador que antes aceptó y confirma que prevalece la exclusión.
• Recorrido con sesión iniciada: confirma que la cuenta queda marcada como excluida y fuera de las cargas de audiencias.
• Lado del servidor: revisa las API de conversiones y las integraciones con socios, no solo las etiquetas del navegador.
• Estado y política: confirma que se muestra el estado de exclusión respetada y que la política de privacidad coincide.

Preguntas frecuentes