# Global Privacy Control (GPC): что это такое и как его соблюдать

> Что такое сигнал Global Privacy Control, где его соблюдение обязательно по закону и как распознать его с помощью navigator.globalPrivacyControl и Sec-GPC.

Source: https://www.cookiesh.eu/ru/blog/global-privacy-control  
Published: 2026-06-18

## Key takeaways

- Global Privacy Control — это сигнал браузера, сообщающий сайтам, что человек хочет отказаться от продажи или передачи своих персональных данных.
- Нормативные акты CCPA в Калифорнии обязывают компании, которые продают или передают персональную информацию, считать GPC действительным запросом на отказ.
- Браузеры отправляют GPC в виде заголовка запроса Sec-GPC: 1 и делают его доступным для скриптов как navigator.globalPrivacyControl.
- Соблюдать GPC — значит действительно останавливать потоки данных, например рекламные пиксели и пиксели ретаргетинга для этого браузера, а не просто фиксировать сигнал.
- В ЕС и Великобритании GPC не отменяет необходимости получать предварительное согласие на необязательные файлы cookie.

Global Privacy Control (GPC) — это настройка браузера, которая отправляет сайтам простой сигнал: не продавайте и не передавайте мои персональные данные. Браузеры передают его в HTTP-заголовке `Sec-GPC: 1` и делают доступным в JavaScript как `navigator.globalPrivacyControl`. В Калифорнии компании, на которые распространяется закон, обязаны считать его действительным запросом на отказ, поэтому соблюдать GPC — значит распознавать сигнал и останавливать соответствующие потоки данных.

## Что такое Global Privacy Control?

GPC — это техническая спецификация, которая позволяет человеку один раз указать свои предпочтения в отношении конфиденциальности в браузере, а не на каждом посещаемом сайте. Ее разработала коалиция исследователей в области конфиденциальности, производителей браузеров и издателей, а сама спецификация опубликована на сайте globalprivacycontrol.org.

Когда настройка включена, браузер добавляет заголовок к своим HTTP-запросам и устанавливает свойство JavaScript, которое могут прочитать страницы. Некоторые браузеры, например Brave и Firefox, поддерживают ее по умолчанию, другие полагаются на расширения. Сигнал либо есть, либо его нет, и никакой другой информации о пользователе он не несет.

В отличие от более старого заголовка Do Not Track, соблюдение которого никогда не требовалось по закону, GPC подкреплен законодательством ряда штатов США. Именно поэтому на него стоит тратить время разработчиков.

## Обязательно ли соблюдать GPC по закону?

В Калифорнии — да. Нормативные акты CCPA обязывают компании, которые продают или передают персональную информацию, считать сигналы о предпочтениях отказа, такие как GPC, действительными запросами на отказ, а калифорнийские регуляторы уже принимали принудительные меры против компаний, которые их игнорировали.

Ряд других штатов США с комплексными законами о конфиденциальности обязывает компании соблюдать универсальные механизмы отказа от таргетированной рекламы и продажи данных, и некоторые регуляторы официально признали GPC таким механизмом. Требования и даты вступления в силу различаются от штата к штату, поэтому проверьте каждый применимый к вам закон. О ситуации в Калифорнии читайте в статье [CCPA и CPRA: что американское законодательство о конфиденциальности означает для файлов cookie](/ru/blog/ccpa-cpra-cookies).

В ЕС и Великобритании правовой статус GPC менее определен. Отсутствие сигнала GPC никогда не означает согласия, поэтому на необязательные файлы cookie по-прежнему нужно предварительное согласие. Вместе с тем Общий регламент по защите данных (GDPR) предусматривает возможность возражать с помощью автоматизированных средств, поэтому воспринимать GPC как значимое предпочтение — разумная и бережная к конфиденциальности настройка по умолчанию.

## Как распознать сигнал GPC?

Проверяйте `navigator.globalPrivacyControl` в браузере и заголовок `Sec-GPC` на сервере. Используйте оба способа: проверка на клиенте управляет тегами, которые загружаются на странице, а проверка на сервере охватывает решения при серверном рендеринге и серверное тегирование.

В браузере свойство равно `true`, если пользователь включил GPC. В браузерах без поддержки оно равно `undefined`, поэтому используйте строгое сравнение:

```js
// Выполните до загрузки любых маркетинговых тегов
const gpcEnabled = navigator.globalPrivacyControl === true;

if (gpcEnabled) {
  // Считайте это отказом от продажи и передачи данных для этого браузера:
  // пропустите рекламные пиксели, пиксели ретаргетинга и соцсетей и сохраните отказ.
}
```

На сервере браузер с включенным GPC отправляет `Sec-GPC: 1` с каждым запросом. В приложении Node.js на Express:

```js
app.use((req, res, next) => {
  // Имена заголовков нечувствительны к регистру; "1" — единственное определенное значение
  req.gpcOptOut = req.get('Sec-GPC') === '1';
  // Если ответы зависят от GPC и кешируются, учитывайте заголовок в ключе кеша
  res.vary('Sec-GPC');
  next();
});
```

Кроме того, вы можете опубликовать файл `/.well-known/gpc.json`, чтобы заявить, что ваш сайт соблюдает этот сигнал, как описано в спецификации GPC:

```json
{
  "gpc": true,
  "lastUpdate": "2026-06-18"
}
```

## Что на практике означает соблюдение GPC?

Соблюдать GPC — значит менять поведение сайта, а не просто считывать флаг. Рассматривайте сигнал как полный отказ от продажи и передачи данных для этого браузера.

1. **Распознавайте сигнал заранее.** Проверяйте его до того, как сработает любой тег, который продает или передает данные.
2. **Останавливайте потоки данных.** Отключайте сторонние рекламные пиксели, пиксели ретаргетинга и соцсетей и обновляйте последующие механизмы управления — например, переводите связанные с рекламой сигналы в [Google Consent Mode](/ru/blog/google-consent-mode-v2-guide) в состояние denied.
3. **Распространяйте отказ на известных пользователей.** Если посетитель вошел в систему или иным образом вам известен, примените отказ и к его учетной записи.
4. **Не создавайте лишних препятствий.** Не требуйте дополнительных действий или сведений для подтверждения отказа. Если ранее данное на вашем сайте согласие противоречит сигналу, вы можете объяснить это противоречие и дать пользователю подтвердить свой выбор.
5. **Показывайте результат.** Короткое сообщение вроде «Запрос на отказ выполнен» помогает пользователям убедиться, что сигнал сработал.
6. **Ведите учет.** Фиксируйте, что отказ через GPC был получен и применен, наряду с другими [записями, подтверждающими согласие](/ru/blog/proof-of-consent-records).

О том, как технически задерживать теги, читайте в статье [как блокировать сторонние скрипты до получения согласия](/ru/blog/block-scripts-until-consent). Тот же уровень блокировки может обеспечивать и отказ через GPC.

## Чем GPC отличается от других сигналов конфиденциальности?

GPC уже, чем баннер согласия, но имеет больший юридический вес, чем более старые сигналы браузера. Таблица показывает, какое место он занимает.

| Сигнал | Что он сообщает | Юридический вес |
| --- | --- | --- |
| Global Privacy Control | Не продавайте и не передавайте мои данные | Обязательный отказ по законодательству Калифорнии и некоторых других штатов США |
| Do Not Track | Не отслеживайте меня | Соблюдать по закону не требуется; сейчас считается устаревшим |
| Выбор в баннере cookie | Детальное согласие для каждой цели | Необходим для действительного предварительного согласия в ЕС и Великобритании |

## Итоги

GPC превращает предпочтение в отношении конфиденциальности в машиночитаемый сигнал, а в Калифорнии и растущем числе других штатов игнорировать его — значит нарушать требования. Распознавайте его и на клиенте, и на сервере, останавливайте потоки данных, на которые он распространяется, фиксируйте свои действия и держите процесс получения согласия для ЕС отдельно. Такие инструменты, как Cookiesh, поддерживают GPC, так что сигнал обрабатывается вместе с остальными настройками согласия.

*Эта статья носит общий информационный характер и не является юридической консультацией. Для решений, касающихся вашей конкретной ситуации, обратитесь к квалифицированному специалисту по защите данных.*

## FAQ

### Заменяет ли GPC баннер cookie?

Нет. GPC передает только одно сообщение — отказ от продажи и передачи данных, поэтому вам по-прежнему нужен способ получать согласие по европейским правилам и предлагать другие варианты выбора. Но это значит, что посетителям из Калифорнии с включенным GPC не придется отказываться еще раз вручную.

### Какие браузеры поддерживают GPC?

Поддержка различается и со временем меняется. Некоторые браузеры, например Brave и Firefox, поддерживают GPC по умолчанию, другие — через расширения для защиты конфиденциальности. Актуальный список ведется на сайте Global Privacy Control.

### Что делать, если пользователь с GPC ранее дал на моем сайте согласие на продажу или передачу данных?

Калифорнийские нормативные акты позволяют компании сообщить потребителю о противоречии и предложить сохранить прежний выбор. Пока он его не подтвердит, обрабатывайте сигнал GPC как отказ.

### Нужно ли соблюдать GPC для посетителей не из Калифорнии?

Ряд других штатов США обязывает компании соблюдать универсальные сигналы отказа, и применять GPC везде зачастую проще, чем настраивать его по геолокации. В остальных регионах это разумная и удобная для пользователей настройка по умолчанию, даже если закон ее не требует.

## Sources

- [Global Privacy Control](https://globalprivacycontrol.org/)
- [California Consumer Privacy Act (CCPA), California Attorney General](https://oag.ca.gov/privacy/ccpa)
- [California Privacy Protection Agency](https://cppa.ca.gov/)