# Global Privacy Control (GPC): qué es y cómo respetarlo

> Qué es la señal Global Privacy Control, dónde es obligatorio respetarla por ley y cómo detectarla con navigator.globalPrivacyControl y la cabecera Sec-GPC.

Source: https://www.cookiesh.eu/es/blog/global-privacy-control  
Published: 2026-06-18

## Key takeaways

- Global Privacy Control es una señal del navegador que indica a los sitios web que una persona quiere excluirse de la venta o el intercambio de sus datos personales.
- Los reglamentos de la CCPA de California exigen a las empresas que venden o comparten información personal tratar GPC como una solicitud de exclusión válida.
- Los navegadores envían GPC como la cabecera de solicitud Sec-GPC: 1 y lo exponen a los scripts como navigator.globalPrivacyControl.
- Respetar GPC significa detener de verdad los flujos de datos, como los píxeles publicitarios y de retargeting, para ese navegador, no solo registrar la señal.
- En la UE y el Reino Unido, GPC no sustituye la necesidad de un consentimiento previo y expreso para las cookies no esenciales.

Global Privacy Control (GPC) es un ajuste del navegador que envía a los sitios web una señal sencilla: no vendas ni compartas mis datos personales. Los navegadores la transmiten como la cabecera HTTP `Sec-GPC: 1` y la exponen en JavaScript como `navigator.globalPrivacyControl`. California exige a las empresas sujetas a su ley tratarla como una exclusión voluntaria (opt-out) válida, así que respetarla implica detectar la señal y detener los flujos de datos correspondientes.

## ¿Qué es Global Privacy Control?

GPC es una especificación técnica que permite a las personas expresar una preferencia de privacidad una sola vez, en su navegador, en lugar de hacerlo en cada sitio que visitan. La desarrolló una coalición de investigadores de privacidad, fabricantes de navegadores y editores, y la especificación está publicada en globalprivacycontrol.org.

Cuando el ajuste está activado, el navegador añade una cabecera a sus solicitudes HTTP y define una propiedad de JavaScript que las páginas pueden leer. Algunos navegadores, como Brave y Firefox, lo ofrecen de forma nativa, mientras que otros dependen de extensiones. La señal está presente o ausente, y no transmite ninguna otra información sobre el usuario.

A diferencia de la antigua cabecera Do Not Track, que no tenía ningún requisito legal detrás, GPC está respaldada por la ley en varios estados de EE. UU. Por eso merece tiempo de desarrollo.

## ¿Es obligatorio por ley respetar GPC?

En California, sí. Los reglamentos de la CCPA exigen a las empresas que venden o comparten información personal tratar las señales de preferencia de exclusión, como GPC, como solicitudes de exclusión válidas, y los reguladores californianos han emprendido acciones contra empresas que las ignoraron.

Varios otros estados de EE. UU. con leyes de privacidad integrales exigen a las empresas respetar los mecanismos universales de exclusión para la publicidad segmentada y la venta de datos, y algunos reguladores han reconocido formalmente GPC como uno de ellos. Los requisitos y las fechas de entrada en vigor varían según el estado, así que revisa cada ley que se te aplique. Para el contexto de California, consulta [CCPA y CPRA: qué implica la ley de privacidad de EE. UU. para las cookies](/es/blog/ccpa-cpra-cookies).

En la UE y el Reino Unido, el estatus jurídico de GPC está menos claro. La ausencia de la señal GPC nunca equivale a consentimiento, así que sigues necesitando un consentimiento previo y expreso para las cookies no esenciales. Aun así, el RGPD contempla que las personas se opongan por medios automatizados, por lo que tratar GPC como una preferencia significativa es un comportamiento por defecto sensato y respetuoso con la privacidad.

## ¿Cómo detecto la señal GPC?

Comprueba `navigator.globalPrivacyControl` en el navegador y la cabecera `Sec-GPC` en el servidor. Usa ambas: la comprobación en el cliente gobierna las etiquetas que se cargan en la página, y la del servidor cubre las decisiones renderizadas en el servidor y el etiquetado del lado del servidor.

En el navegador, la propiedad vale `true` cuando el usuario ha activado GPC. En los navegadores que no lo admiten vale `undefined`, así que usa una comparación estricta:

```js
// Ejecutar antes de que se cargue cualquier etiqueta de marketing
const gpcEnabled = navigator.globalPrivacyControl === true;

if (gpcEnabled) {
  // Tratar como exclusión de la venta y el intercambio para este navegador:
  // omitir los píxeles publicitarios, de retargeting y sociales, y guardar la exclusión.
}
```

En el servidor, el navegador envía `Sec-GPC: 1` con cada solicitud cuando GPC está activado. En una aplicación Node.js con Express:

```js
app.use((req, res, next) => {
  // Los nombres de cabecera no distinguen mayúsculas; "1" es el único valor definido
  req.gpcOptOut = req.get('Sec-GPC') === '1';
  // Si las respuestas varían según GPC y se almacenan en caché, haz que la caché varíe según la cabecera
  res.vary('Sec-GPC');
  next();
});
```

También puedes publicar un archivo `/.well-known/gpc.json` para declarar que tu sitio respeta la señal, tal como se describe en la especificación de GPC:

```json
{
  "gpc": true,
  "lastUpdate": "2026-06-18"
}
```

## ¿Qué implica realmente respetar GPC?

Respetar GPC significa cambiar lo que hace tu sitio, no solo leer un indicador. Trata la señal como una exclusión completa de la venta y el intercambio de datos para ese navegador.

1. **Detecta pronto.** Comprueba la señal antes de que pueda dispararse cualquier etiqueta que venda o comparta datos.
2. **Detén los flujos de datos.** Suprime los píxeles de terceros publicitarios, de retargeting y sociales, y actualiza los controles posteriores, por ejemplo poniendo en denied las señales relacionadas con la publicidad en [Google Consent Mode](/es/blog/google-consent-mode-v2-guide).
3. **Extiéndelo a los usuarios conocidos.** Si el visitante ha iniciado sesión o lo conoces por otra vía, aplica también la exclusión a su cuenta.
4. **No añadas fricción.** No exijas pasos ni datos adicionales para confirmar la exclusión. Si una aceptación anterior en tu sitio entra en conflicto con la señal, puedes explicar el conflicto y dejar que el usuario confirme su elección.
5. **Muestra el resultado.** Un mensaje breve como “Solicitud de exclusión atendida” ayuda a los usuarios a ver que la señal ha funcionado.
6. **Conserva registros.** Registra que se recibió y aplicó una exclusión por GPC, junto con el resto de tus [registros de prueba del consentimiento](/es/blog/proof-of-consent-records).

Para la mecánica de retener etiquetas, consulta [cómo bloquear scripts de terceros hasta obtener el consentimiento](/es/blog/block-scripts-until-consent). La misma capa de bloqueo puede aplicar una exclusión por GPC.

## ¿Cómo se compara GPC con otras señales de privacidad?

GPC tiene un alcance más limitado que un banner de cookies, pero más peso jurídico que las señales de navegador más antiguas. Esta tabla muestra dónde encaja.

| Señal | Qué comunica | Peso jurídico |
| --- | --- | --- |
| Global Privacy Control | No vendas ni compartas mis datos | Exclusión vinculante según la ley de California y las de algunos otros estados de EE. UU. |
| Do Not Track | No me rastrees | Sin obligación legal de respetarla; ya está obsoleta |
| Elección en el banner de cookies | Consentimiento granular por finalidad | Necesaria para un consentimiento previo y expreso válido en la UE y el Reino Unido |

## En resumen

GPC convierte una preferencia de privacidad en una señal legible por máquinas, y en California y en un número creciente de estados, ignorarla es un incumplimiento. Detéctala tanto en el cliente como en el servidor, detén los flujos de datos que cubre, registra lo que hiciste y mantén separado tu flujo de consentimiento para la UE. Herramientas como Cookiesh incluyen compatibilidad con GPC, de modo que la señal se gestiona junto con el resto de tu configuración de consentimiento.

*Este artículo ofrece información general y no constituye asesoramiento jurídico. Para tomar decisiones sobre tu situación concreta, consulta a un profesional cualificado en privacidad.*

## FAQ

### ¿GPC sustituye al banner de cookies?

No. GPC transmite un único mensaje, la exclusión de la venta y el intercambio, así que sigues necesitando una forma de recoger el consentimiento al estilo europeo y de ofrecer otras opciones. Eso sí, los visitantes de California con GPC activado no deberían tener que excluirse de nuevo a mano.

### ¿Qué navegadores admiten GPC?

La compatibilidad varía y cambia con el tiempo. Algunos navegadores, como Brave y Firefox, ofrecen GPC de forma nativa, y otros lo admiten mediante extensiones de privacidad. El sitio web de Global Privacy Control mantiene una lista actualizada.

### ¿Y si un usuario con GPC había aceptado antes la venta o el intercambio en mi sitio?

Los reglamentos de California permiten que la empresa informe al consumidor del conflicto y le ofrezca la posibilidad de mantener su elección anterior. Hasta que lo confirme, trata la señal GPC como una exclusión.

### ¿Debo respetar GPC para los visitantes de fuera de California?

Varios otros estados de EE. UU. exigen a las empresas respetar las señales universales de exclusión, y aplicar GPC en todas partes suele ser más sencillo que segmentarlo por ubicación. En el resto del mundo es un comportamiento por defecto razonable y respetuoso con el usuario, aunque ninguna ley lo exija.

## Sources

- [Global Privacy Control](https://globalprivacycontrol.org/)
- [California Consumer Privacy Act (CCPA), California Attorney General](https://oag.ca.gov/privacy/ccpa)
- [California Privacy Protection Agency](https://cppa.ca.gov/)