Global Privacy Control (GPC): что это такое и как его соблюдать

Global Privacy Control (GPC) — это настройка браузера, которая отправляет сайтам простой сигнал: не продавайте и не передавайте мои персональные данные. Браузеры передают его в HTTP-заголовке Sec-GPC: 1 и делают доступным в JavaScript как navigator.globalPrivacyControl. В Калифорнии компании, на которые распространяется закон, обязаны считать его действительным запросом на отказ, поэтому соблюдать GPC — значит распознавать сигнал и останавливать соответствующие потоки данных.

Что такое Global Privacy Control?

GPC — это техническая спецификация, которая позволяет человеку один раз указать свои предпочтения в отношении конфиденциальности в браузере, а не на каждом посещаемом сайте. Ее разработала коалиция исследователей в области конфиденциальности, производителей браузеров и издателей, а сама спецификация опубликована на сайте globalprivacycontrol.org.

Когда настройка включена, браузер добавляет заголовок к своим HTTP-запросам и устанавливает свойство JavaScript, которое могут прочитать страницы. Некоторые браузеры, например Brave и Firefox, поддерживают ее по умолчанию, другие полагаются на расширения. Сигнал либо есть, либо его нет, и никакой другой информации о пользователе он не несет.

В отличие от более старого заголовка Do Not Track, соблюдение которого никогда не требовалось по закону, GPC подкреплен законодательством ряда штатов США. Именно поэтому на него стоит тратить время разработчиков.

Обязательно ли соблюдать GPC по закону?

В Калифорнии — да. Нормативные акты CCPA обязывают компании, которые продают или передают персональную информацию, считать сигналы о предпочтениях отказа, такие как GPC, действительными запросами на отказ, а калифорнийские регуляторы уже принимали принудительные меры против компаний, которые их игнорировали.

Ряд других штатов США с комплексными законами о конфиденциальности обязывает компании соблюдать универсальные механизмы отказа от таргетированной рекламы и продажи данных, и некоторые регуляторы официально признали GPC таким механизмом. Требования и даты вступления в силу различаются от штата к штату, поэтому проверьте каждый применимый к вам закон. О ситуации в Калифорнии читайте в статье CCPA и CPRA: что американское законодательство о конфиденциальности означает для файлов cookie.

В ЕС и Великобритании правовой статус GPC менее определен. Отсутствие сигнала GPC никогда не означает согласия, поэтому на необязательные файлы cookie по-прежнему нужно предварительное согласие. Вместе с тем Общий регламент по защите данных (GDPR) предусматривает возможность возражать с помощью автоматизированных средств, поэтому воспринимать GPC как значимое предпочтение — разумная и бережная к конфиденциальности настройка по умолчанию.

Как распознать сигнал GPC?

Проверяйте navigator.globalPrivacyControl в браузере и заголовок Sec-GPC на сервере. Используйте оба способа: проверка на клиенте управляет тегами, которые загружаются на странице, а проверка на сервере охватывает решения при серверном рендеринге и серверное тегирование.

В браузере свойство равно true, если пользователь включил GPC. В браузерах без поддержки оно равно undefined, поэтому используйте строгое сравнение:

// Выполните до загрузки любых маркетинговых тегов
const gpcEnabled = navigator.globalPrivacyControl === true;

if (gpcEnabled) {
  // Считайте это отказом от продажи и передачи данных для этого браузера:
  // пропустите рекламные пиксели, пиксели ретаргетинга и соцсетей и сохраните отказ.
}

На сервере браузер с включенным GPC отправляет Sec-GPC: 1 с каждым запросом. В приложении Node.js на Express:

app.use((req, res, next) => {
  // Имена заголовков нечувствительны к регистру; "1" — единственное определенное значение
  req.gpcOptOut = req.get('Sec-GPC') === '1';
  // Если ответы зависят от GPC и кешируются, учитывайте заголовок в ключе кеша
  res.vary('Sec-GPC');
  next();
});

Кроме того, вы можете опубликовать файл /.well-known/gpc.json, чтобы заявить, что ваш сайт соблюдает этот сигнал, как описано в спецификации GPC:

{
  "gpc": true,
  "lastUpdate": "2026-06-18"
}

Что на практике означает соблюдение GPC?

Соблюдать GPC — значит менять поведение сайта, а не просто считывать флаг. Рассматривайте сигнал как полный отказ от продажи и передачи данных для этого браузера.

1. Распознавайте сигнал заранее. Проверяйте его до того, как сработает любой тег, который продает или передает данные.
2. Останавливайте потоки данных. Отключайте сторонние рекламные пиксели, пиксели ретаргетинга и соцсетей и обновляйте последующие механизмы управления — например, переводите связанные с рекламой сигналы в Google Consent Mode в состояние denied.
3. Распространяйте отказ на известных пользователей. Если посетитель вошел в систему или иным образом вам известен, примените отказ и к его учетной записи.
4. Не создавайте лишних препятствий. Не требуйте дополнительных действий или сведений для подтверждения отказа. Если ранее данное на вашем сайте согласие противоречит сигналу, вы можете объяснить это противоречие и дать пользователю подтвердить свой выбор.
5. Показывайте результат. Короткое сообщение вроде «Запрос на отказ выполнен» помогает пользователям убедиться, что сигнал сработал.
6. Ведите учет. Фиксируйте, что отказ через GPC был получен и применен, наряду с другими записями, подтверждающими согласие.

О том, как технически задерживать теги, читайте в статье как блокировать сторонние скрипты до получения согласия. Тот же уровень блокировки может обеспечивать и отказ через GPC.

Чем GPC отличается от других сигналов конфиденциальности?

GPC уже, чем баннер согласия, но имеет больший юридический вес, чем более старые сигналы браузера. Таблица показывает, какое место он занимает.

Сигнал	Что он сообщает	Юридический вес
Global Privacy Control	Не продавайте и не передавайте мои данные	Обязательный отказ по законодательству Калифорнии и некоторых других штатов США
Do Not Track	Не отслеживайте меня	Соблюдать по закону не требуется; сейчас считается устаревшим
Выбор в баннере cookie	Детальное согласие для каждой цели	Необходим для действительного предварительного согласия в ЕС и Великобритании

Итоги

GPC превращает предпочтение в отношении конфиденциальности в машиночитаемый сигнал, а в Калифорнии и растущем числе других штатов игнорировать его — значит нарушать требования. Распознавайте его и на клиенте, и на сервере, останавливайте потоки данных, на которые он распространяется, фиксируйте свои действия и держите процесс получения согласия для ЕС отдельно. Такие инструменты, как Cookiesh, поддерживают GPC, так что сигнал обрабатывается вместе с остальными настройками согласия.

Эта статья носит общий информационный характер и не является юридической консультацией. Для решений, касающихся вашей конкретной ситуации, обратитесь к квалифицированному специалисту по защите данных.