# Global Privacy Control (GPC): mikä se on ja miten sitä noudatetaan

> Mikä Global Privacy Control -signaali on, missä sen noudattaminen on lakisääteistä ja miten sen tunnistaa navigator.globalPrivacyControl- ja Sec-GPC-tiedoista.

Source: https://www.cookiesh.eu/fi/blog/global-privacy-control  
Published: 2026-06-18

## Key takeaways

- Global Privacy Control on selainsignaali, joka kertoo verkkosivustoille, että ihminen haluaa kieltää henkilötietojensa myynnin tai jakamisen.
- Kalifornian CCPA-määräykset velvoittavat henkilötietoja myyvät tai jakavat yritykset käsittelemään GPC:tä pätevänä kieltäytymispyyntönä.
- Selaimet lähettävät GPC:n Sec-GPC: 1 -pyyntöotsakkeena ja tarjoavat sen skripteille navigator.globalPrivacyControl-ominaisuutena.
- GPC:n noudattaminen tarkoittaa, että kyseisen selaimen tietovirrat, kuten mainos- ja uudelleenmarkkinointipikselit, oikeasti pysäytetään, eikä signaalia vain kirjata.
- EU:ssa ja Isossa-Britanniassa GPC ei poista tarvetta pyytää ennakkosuostumusta muille kuin välttämättömille evästeille.

Global Privacy Control (GPC) on selainasetus, joka lähettää verkkosivustoille yksinkertaisen signaalin: älä myy tai jaa henkilötietojani. Selaimet välittävät sen `Sec-GPC: 1` -HTTP-otsakkeena ja tarjoavat sen JavaScriptille `navigator.globalPrivacyControl`-ominaisuutena. Kalifornia velvoittaa lain piiriin kuuluvat yritykset käsittelemään sitä pätevänä kieltäytymisenä, joten sen noudattaminen tarkoittaa signaalin tunnistamista ja asiaankuuluvien tietovirtojen pysäyttämistä.

## Mikä Global Privacy Control on?

GPC on tekninen määrittely, jonka avulla ihmiset voivat ilmaista tietosuojatoiveensa kerran selaimessaan sen sijaan, että tekisivät sen jokaisella vierailemallaan sivustolla. Sen kehitti tietosuojatutkijoiden, selainvalmistajien ja julkaisijoiden yhteenliittymä, ja määrittely on julkaistu osoitteessa globalprivacycontrol.org.

Kun asetus on päällä, selain lisää HTTP-pyyntöihinsä otsakkeen ja asettaa JavaScript-ominaisuuden, jonka sivut voivat lukea. Osa selaimista, kuten Brave ja Firefox, tarjoaa sen suoraan, kun taas toiset tarvitsevat laajennuksen. Signaali joko on tai ei ole läsnä, eikä se välitä käyttäjästä mitään muuta tietoa.

Toisin kuin vanhemman Do Not Track -otsakkeen taustalla, jota mikään laki ei velvoittanut noudattamaan, GPC:n takana on lainsäädäntöä useissa Yhdysvaltain osavaltioissa. Siksi se ansaitsee kehitysaikaa.

## Onko GPC:n noudattaminen lakisääteistä?

Kaliforniassa on. CCPA-määräykset velvoittavat henkilötietoja myyvät tai jakavat yritykset käsittelemään GPC:n kaltaisia kieltäytymistä ilmaisevia preferenssisignaaleja pätevinä kieltäytymispyyntöinä, ja Kalifornian valvontaviranomaiset ovat ryhtyneet täytäntöönpanotoimiin yrityksiä vastaan, jotka ovat sivuuttaneet ne.

Useat muut Yhdysvaltain osavaltiot, joilla on kattava tietosuojalaki, velvoittavat yritykset noudattamaan yleisiä kieltäytymismekanismeja kohdennetun mainonnan ja tietojen myynnin osalta, ja osa valvontaviranomaisista on virallisesti tunnustanut GPC:n tällaiseksi mekanismiksi. Vaatimukset ja voimaantulopäivät vaihtelevat osavaltioittain, joten tarkista jokainen sinuun sovellettava laki. Kalifornian taustasta kerrotaan artikkelissa [CCPA ja CPRA: mitä Yhdysvaltain tietosuojalaki tarkoittaa evästeille](/fi/blog/ccpa-cpra-cookies).

EU:ssa ja Isossa-Britanniassa GPC:n oikeudellinen asema on epäselvempi. Puuttuva GPC-signaali ei ole koskaan suostumus, joten tarvitset edelleen ennakkosuostumuksen muille kuin välttämättömille evästeille. Tietosuoja-asetus (GDPR) kuitenkin ottaa huomioon, että ihmiset voivat vastustaa käsittelyä automaattisin keinoin, joten GPC:n käsitteleminen merkityksellisenä toiveena on järkevä ja yksityisyyttä kunnioittava oletus.

## Miten GPC-signaali tunnistetaan?

Tarkista selaimessa `navigator.globalPrivacyControl` ja palvelimella `Sec-GPC`-otsake. Käytä molempia: asiakaspuolen tarkistus ohjaa sivulla latautuvia tageja, ja palvelinpuolen tarkistus kattaa palvelimella renderöidyt päätökset ja palvelinpuolen tagituksen.

Selaimessa ominaisuuden arvo on `true`, kun käyttäjä on ottanut GPC:n käyttöön. Selaimissa, jotka eivät tue sitä, arvo on `undefined`, joten käytä tiukkaa vertailua:

```js
// Suorita ennen kuin yhtään markkinointitagia ladataan
const gpcEnabled = navigator.globalPrivacyControl === true;

if (gpcEnabled) {
  // Käsittele tämän selaimen osalta kieltäytymisenä myynnistä ja jakamisesta:
  // ohita mainos-, uudelleenmarkkinointi- ja somepikselit ja tallenna kieltäytyminen.
}
```

Palvelimella selain lähettää jokaisen pyynnön mukana `Sec-GPC: 1`, kun GPC on päällä. Expressiä käyttävässä Node.js-sovelluksessa:

```js
app.use((req, res, next) => {
  // Otsakkeiden nimissä kirjainkoolla ei ole väliä; "1" on ainoa määritelty arvo
  req.gpcOptOut = req.get('Sec-GPC') === '1';
  // Jos vastaukset vaihtelevat GPC:n mukaan ja ne tallennetaan välimuistiin, vaihtele välimuistia otsakkeen perusteella
  res.vary('Sec-GPC');
  next();
});
```

Voit myös julkaista `/.well-known/gpc.json`-tiedoston, jolla ilmoitat sivustosi noudattavan signaalia, kuten GPC-määrittelyssä kuvataan:

```json
{
  "gpc": true,
  "lastUpdate": "2026-06-18"
}
```

## Mitä GPC:n noudattaminen käytännössä edellyttää?

GPC:n noudattaminen tarkoittaa, että sivustosi toimintaa muutetaan, eikä vain lipun lukemista. Käsittele signaalia täydellisenä kieltäytymisenä myynnistä ja jakamisesta kyseisen selaimen osalta.

1. **Tunnista ajoissa.** Tarkista signaali ennen kuin yksikään tietoja myyvä tai jakava tagi ehtii käynnistyä.
2. **Pysäytä tietovirrat.** Estä kolmansien osapuolten mainos-, uudelleenmarkkinointi- ja somepikselit ja päivitä myöhemmän vaiheen asetukset, esimerkiksi asettamalla [Google Consent Moden](/fi/blog/google-consent-mode-v2-guide) mainontaan liittyvät signaalit tilaan denied.
3. **Laajenna tunnettuihin käyttäjiin.** Jos kävijä on kirjautunut sisään tai muuten tunnettu, sovella kieltäytymistä myös hänen tiliinsä.
4. **Älä lisää kitkaa.** Älä vaadi ylimääräisiä vaiheita tai tietoja kieltäytymisen vahvistamiseksi. Jos aiempi hyväksyntä sivustollasi on ristiriidassa signaalin kanssa, voit selittää ristiriidan ja antaa käyttäjän vahvistaa valintansa.
5. **Näytä lopputulos.** Lyhyt viesti, kuten ”Kieltäytymispyyntösi on huomioitu”, auttaa käyttäjiä näkemään, että signaali toimi.
6. **Pidä kirjaa.** Kirjaa, että GPC-kieltäytyminen vastaanotettiin ja sitä sovellettiin, muiden [suostumuksen todentavien tietueiden](/fi/blog/proof-of-consent-records) rinnalle.

Tagien pidättämisen tekniikasta kerrotaan artikkelissa [kolmansien osapuolten skriptien estäminen suostumukseen asti](/fi/blog/block-scripts-until-consent). Sama estokerros voi panna täytäntöön myös GPC-kieltäytymisen.

## Miten GPC vertautuu muihin tietosuojasignaaleihin?

GPC on suppeampi kuin evästebanneri, mutta sillä on enemmän oikeudellista painoarvoa kuin vanhemmilla selainsignaaleilla. Taulukosta näet, mihin se sijoittuu.

| Signaali | Mitä se viestii | Oikeudellinen painoarvo |
| --- | --- | --- |
| Global Privacy Control | Älä myy tai jaa tietojani | Sitova kieltäytyminen Kalifornian lain ja joidenkin muiden osavaltioiden lakien nojalla |
| Do Not Track | Älä seuraa minua | Noudattamiseen ei ole lakisääteistä velvoitetta; nykyään poistettu käytöstä |
| Evästebannerissa tehty valinta | Käyttötarkoituskohtainen tarkka suostumus | Tarvitaan pätevään ennakkosuostumukseen EU:ssa ja Isossa-Britanniassa |

## Yhteenveto

GPC muuttaa tietosuojatoiveen koneluettavaksi signaaliksi, ja Kaliforniassa sekä yhä useammassa muussa osavaltiossa sen sivuuttaminen on vaatimustenvastaista. Tunnista se sekä asiakas- että palvelinpuolella, pysäytä sen kattamat tietovirrat, kirjaa toimenpiteesi ja pidä EU:n suostumusprosessi erillään. Cookieshin kaltaiset työkalut tukevat GPC:tä, joten signaali käsitellään muun suostumusratkaisusi rinnalla.

*Tämä artikkeli on yleistä tietoa eikä oikeudellista neuvontaa. Kun teet omaa tilannettasi koskevia päätöksiä, käänny pätevän tietosuoja-asiantuntijan puoleen.*

## FAQ

### Korvaako GPC evästebannerin?

Ei. GPC välittää yhden viestin, kieltäytymisen myynnistä ja jakamisesta, joten tarvitset yhä keinon kerätä EU-tyyppinen suostumus ja tarjota muita valintoja. Se kuitenkin tarkoittaa, että kalifornialaisten kävijöiden, joilla GPC on käytössä, ei pitäisi joutua kieltäytymään uudelleen käsin.

### Mitkä selaimet tukevat GPC:tä?

Tuki vaihtelee ja muuttuu ajan myötä. Osa selaimista, kuten Brave ja Firefox, tarjoaa GPC:n suoraan, ja toiset tukevat sitä tietosuojalaajennusten kautta. Global Privacy Control -sivustolla on ajantasainen luettelo.

### Entä jos GPC:tä käyttävä kävijä on aiemmin hyväksynyt myynnin tai jakamisen sivustollani?

Kalifornian määräykset sallivat yrityksen kertoa kuluttajalle ristiriidasta ja tarjota mahdollisuuden pitää aiempi valinta voimassa. Kunnes kuluttaja vahvistaa valintansa, käsittele GPC-signaalia kieltäytymisenä.

### Pitäisikö GPC:tä noudattaa myös Kalifornian ulkopuolisten kävijöiden kohdalla?

Useat muut Yhdysvaltain osavaltiot velvoittavat yritykset noudattamaan yleisiä kieltäytymissignaaleja, ja GPC:n soveltaminen kaikkialla on usein yksinkertaisempaa kuin sen kohdentaminen sijainnin mukaan. Muualla se on järkevä ja käyttäjäystävällinen oletus silloinkin, kun mikään laki ei sitä vaadi.

## Sources

- [Global Privacy Control](https://globalprivacycontrol.org/)
- [California Consumer Privacy Act (CCPA), California Attorney General](https://oag.ca.gov/privacy/ccpa)
- [California Privacy Protection Agency](https://cppa.ca.gov/)