Global Privacy Control: Cosa deve fare il tuo sito web con il segnale

Quando il GPC ha valore legale di opt-out?

Il GPC è un segnale tecnico, non una legge. Il suo effetto dipende da quale legge statale si applica, dal fatto che la tua azienda rientri nel suo ambito e dall’attività sui dati interessata.

In California, un’azienda soggetta al CCPA che vende o condivide informazioni personali deve trattare un segnale di preferenza di opt-out idoneo come un opt-out valido dalla vendita e dalla condivisione; il Procuratore generale della California indica il GPC come uno di questi segnali. In Colorado, dal 1° luglio 2024 i titolari del trattamento soggetti alla legge devono rispettare i meccanismi universali di opt-out per la vendita e la pubblicità mirata, e il Procuratore generale del Colorado riconosce il GPC come l’unico finora.

Le altre leggi statali sono diverse: alcune impongono di rispettare questi segnali, altre no. Verifica ogni mercato invece di copiare la configurazione per la California; la guida al CPA del Colorado illustra le altre norme del Colorado.

Dal 1° gennaio 2027 la California impone inoltre alle aziende che sviluppano o gestiscono un browser web di offrire un’impostazione che invia un segnale di preferenza di opt-out (Civil Code §1798.136), quindi più visitatori potrebbero arrivare con il segnale attivo.

Cosa significa il segnale, e cosa non significa

I browser inviano il GPC come intestazione di richiesta Sec-GPC: 1 e lo rendono disponibile agli script come navigator.globalPrivacyControl. Dove la legge gli attribuisce effetto, è un opt-out dalla vendita e dalla condivisione in California, e dalla vendita e dalla pubblicità mirata in Colorado.

Non è una richiesta di cancellare i dati o chiudere un account, e non equivale automaticamente a “rifiuta tutti i cookie” in ogni regime giuridico. Il checkout, la sicurezza e le altre funzioni necessarie continuano a funzionare.

L’assenza del segnale non equivale a un consenso. Se il tuo sito web serve anche regioni che richiedono il consenso preventivo, come l’UE, tieni queste scelte separate dai segnali di opt-out statunitensi.

Esempio: una visita con il GPC attivo

Esempio illustrativo: un negozio online di attrezzatura outdoor è soggetto al CCPA e condivide gli eventi di navigazione con una piattaforma pubblicitaria tramite un pixel e un feed di conversioni lato server. Un cliente californiano arriva sulla landing page di una campagna con il GPC attivato.

1. Segnale ricevuto: la prima richiesta di pagina contiene il segnale, prima che venga eseguito qualsiasi tag pubblicitario.
2. Opt-out registrato: il sito salva un opt-out dalla vendita e dalla condivisione per quel browser, senza clic, moduli o accesso.
3. Reazione dei flussi nel browser: il pixel pubblicitario non viene caricato; carrello e checkout funzionano normalmente.
4. Reazione dei flussi lato server: il feed di conversioni smette di inviare alla piattaforma gli eventi di questo browser.
5. Profilo noto gestito: quando il cliente accede, l’opt-out viene registrato anche per l’account, che resta escluso dai caricamenti delle audience, come richiedono le norme della California per un consumatore noto.
6. Stato mostrato: il sito indica che l’opt-out è stato rispettato.

Per verificarlo, ripeti la visita senza GPC e confronta le richieste. Dovrebbero differire solo le attività coperte dall’opt-out.

Cosa succede se il GPC è in conflitto con una scelta precedente?

Quando arriva il segnale, un visitatore potrebbe avere già una scelta salvata nel banner, un’impostazione dell’account o l’iscrizione a un programma fedeltà. California e Colorado risolvono il conflitto a favore del segnale, con possibilità limitate di chiedere di nuovo.

In California, segnalare il conflitto è facoltativo. Qualsiasi richiesta di consenso deve offrire scelte chiare e simmetriche, e un’azienda che si avvale dell’elaborazione frictionless (senza attriti) per omettere il link “Do Not Sell or Share” non può mostrare richieste di questo tipo. Al di là di questo, attendi almeno 12 mesi prima di chiedere a un visitatore che ha esercitato l’opt-out di dare di nuovo il consenso (regolamenti CCPA §7025 e §7026).

Le norme del Colorado sono simili: considera valido l’opt-out per il browser, il dispositivo e il consumatore noto finché non danno il consenso, e non chiedere il consenso tramite pop-up, banner che dominano la pagina o altre schermate interstitial. Un link a una pagina di impostazioni privacy, ad esempio accanto allo stato dell’opt-out, è una soluzione accettata (CPA Rules 5.08, 5.09 e 7.05).

Applica l’opt-out a ogni flusso di dati

Elenca gli strumenti coinvolti nella vendita, nella condivisione o nella pubblicità mirata: pixel, eventi lato server, caricamenti di liste clienti e integrazioni con partner. Valuta ciascuno in base all’uso e al destinatario, non al nome del cookie. In California, un service provider (fornitore di servizi) con un contratto conforme è escluso dall’opt-out, ma un fornitore che offre pubblicità comportamentale cross-context è una terza parte.

Leggi il segnale su ogni pagina di ingresso, comprese le landing page delle campagne e il checkout, prima che vengano eseguiti i tag interessati. Se fermi un trasferimento dopo il caricamento del banner, alcuni dati sono già stati inviati.

Poi verifica cosa continua fuori dal browser: API di conversione, esportazioni delle audience e impostazioni dei partner. La California impone di interrompere la vendita e la condivisione non appena concretamente possibile e di informare le terze parti che nel frattempo hanno ricevuto i dati.

Passiro gestisce Global Privacy Control in tutti i piani e tratta automaticamente un segnale supportato come opt-out nella configurazione del consenso che gestisce sul tuo sito web. Le integrazioni lato server, i caricamenti delle audience e i dati degli account sono al di fuori di qualsiasi strumento nel browser, quindi verificali separatamente.

Aspettati audience di remarketing più ridotte dove si applica l’opt-out, e organizza la reportistica di conseguenza invece di ricostruire lo stesso flusso di dati sotto un’altra etichetta.

Mostra e spiega il risultato

I regolamenti attualmente in vigore in California impongono di indicare se hai trattato il segnale come opt-out, ad esempio con “Opt-Out Request Honored” (richiesta di opt-out rispettata) o con un interruttore nelle impostazioni che mostra l’opt-out. Il Colorado consente un’indicazione simile ma non la impone.

La tua informativa sulla privacy dovrebbe descrivere i diritti di opt-out e il modo in cui gestisci i segnali. Il Colorado richiede che spieghi come vengono elaborate le richieste di opt-out universale; in California, un’azienda che si avvale dell’elaborazione frictionless deve dichiararlo e spiegare come attivare un segnale.

Indica la scelta come “vendita o condivisione” invece di usare un generico interruttore “personalizzazione” senza spiegazioni, e fai in modo che le richieste di accesso e cancellazione restino facili da trovare: sono processi separati.

Checklist GPC

• Ambito: annota quali leggi statali si applicano e quali attività rientrano nella vendita, nella condivisione o nella pubblicità mirata.
• Prima visita: confronta le richieste sulla landing page di una campagna con e senza GPC.
• Scelte precedenti: invia il GPC da un browser che in precedenza aveva accettato e verifica che prevalga l’opt-out.
• Percorso con accesso: verifica che l’account sia contrassegnato con l’opt-out e resti escluso dai caricamenti delle audience.
• Lato server: controlla le API di conversione e le integrazioni con i partner, non solo i tag nel browser.
• Stato e informativa: verifica che lo stato di opt-out rispettato venga mostrato e che l’informativa sulla privacy corrisponda.

Domande frequenti