Il Global Privacy Control (GPC) è un’impostazione del browser che comunica a ogni sito che visiti di non vendere né condividere i tuoi dati personali. La attivi una volta, e parla per te ovunque. Nessun pop-up, nessun modulo di rifiuto sito per sito, nessuna maratona di banner cookie. E a differenza dei segnali di privacy che l’hanno preceduto, questo ha i denti: in un numero crescente di Stati americani le imprese sono tenute per legge a rispettarlo.
Ecco tutto ciò che vale la pena sapere sul GPC nel 2026: cos’è, come funziona, quali browser lo inviano, come attivarlo in trenta secondi e dove la legge obbliga i siti a rispettarlo.
Il GPC in 60 secondi
- Cos’è: un’impostazione del browser che comunica automaticamente a tutti i siti “non vendere né condividere i miei dati”.
- È vincolante? Sì in 12 Stati americani (California, Colorado, Connecticut e altri). Non ancora nell’UE, dove i banner di consenso restano obbligatori.
- Come attivarlo: attivo per impostazione predefinita in Brave e DuckDuckGo, una semplice casella in Firefox, un’estensione in Chrome ed Edge.
- Novità 2026: la California impone ora alle imprese che vendono o condividono dati di mostrare al visitatore che il suo segnale è stato rispettato, non di trattarlo in silenzio.
Che cos’è il Global Privacy Control?
Il Global Privacy Control (GPC) è un segnale di privacy emesso a livello di browser che comunica automaticamente a ogni sito visitato di non vendere né condividere i tuoi dati personali. Il browser lo allega a ogni richiesta sotto forma di intestazione HTTP (Sec-GPC: 1), e in 12 Stati americani le imprese sono tenute per legge a rispettarlo. Una sola impostazione copre l’intero web, invece di rifiutare sito per sito.
L’idea è stata presentata al gruppo Privacy Community del W3C nell’aprile 2020 e lanciata pubblicamente il 7 ottobre 2020, sostenuta da una coalizione insolitamente ampia: Electronic Frontier Foundation, DuckDuckGo, Brave, Mozilla, Consumer Reports, Disconnect, Abine e grandi editori tra cui il New York Times, il Washington Post e il Financial Times. È stata guidata da Ashkan Soltani, poi primo direttore esecutivo dell’autorità californiana per la privacy, e da Sebastian Zimmeck della Wesleyan University.
A che punto è lo standard oggi? A metà 2026 il GPC è un Working Draft pubblicato dal gruppo di lavoro Privacy del W3C, sul percorso delle Raccomandazioni. In parole semplici, è uno standard web ufficiale in corso di sviluppo attivo, non ancora una Raccomandazione W3C conclusa. Questo stato tecnico conta meno di quello giuridico, da cui il GPC trae la sua vera forza (vedi più avanti).
Come funziona il GPC sotto il cofano
Il meccanismo non ha nulla di misterioso. Quando attivi il GPC, il browser fa due cose:
- Aggiunge alle richieste che invia un’intestazione HTTP,
Sec-GPC: 1. Quando il GPC è disattivato, l’intestazione semplicemente non c’è. - Espone una proprietà in sola lettura,
navigator.globalPrivacyControl, che il JavaScript della pagina può leggere cometrue.
Un sito (o lo strumento di consenso che utilizza) rileva il segnale lato server leggendo l’intestazione, oppure lato client in un paio di righe:
if (navigator.globalPrivacyControl) {
// Tratta questo visitatore come se avesse rifiutato vendita e condivisione
}Un sito può anche dichiarare pubblicamente di rispettare il GPC pubblicando un piccolo file all’indirizzo /.well-known/gpc.json.
Un punto è essenziale e spesso frainteso: il GPC è un segnale, non un blocco. Il tuo browser annuncia la tua preferenza, ma è il sito destinatario a dover agire. Il GPC di per sé non impedisce a nessun tracker di caricarsi. Funziona solo se il sito, o il suo strumento di consenso, sceglie di rispettarlo o è tenuto per legge a farlo.
GPC contro Do Not Track: perché questo regge
Se ti sembra di averlo già sentito, è normale. Dieci anni fa il web ha tentato praticamente la stessa cosa, fallendo. Quel fallimento è il modo migliore per capire cosa rende diverso il GPC.
| Do Not Track (DNT) | Global Privacy Control (GPC) | |
|---|---|---|
| Nascita | 2009 (proposta di intestazione HTTP) | aprile 2020 (gruppo Privacy del W3C) |
| Primi browser | Firefox, gennaio 2011 | Brave, DuckDuckGo e altri, ottobre 2020 |
| Standardizzazione | Gruppo Tracking Protection del W3C, chiuso nel gennaio 2019 senza standard | Working Draft del W3C, sul percorso delle Raccomandazioni |
| Forza giuridica | Nessuna, mai | Vincolante in 12 Stati americani |
| Dove è finito | Rimosso da Safari nel 2019, casella eliminata da Firefox all’inizio del 2025 | Sanzionato con multe, e presto imposto ai browser dalla legge californiana |
Il Do Not Track era una richiesta cortese. Una legge americana (CalOPPA) obbligava i siti soltanto a dichiarare come vi rispondevano, il che rendeva “lo ignoriamo” una risposta perfettamente legale. E i siti lo hanno ignorato. I browser hanno finito per arrendersi: Apple ha rimosso il DNT da Safari nel 2019, definendolo uno standard scaduto diventato un vettore di fingerprinting, e Firefox ha eliminato la casella DNT all’inizio del 2025 rimandando gli utenti al GPC.
Il GPC ha imparato la lezione. È stato costruito apposta per agganciarsi a un diritto esistente: il diritto di rifiutare la vendita o la condivisione dei propri dati personali previsto dalle leggi statali americane. La spiegazione del progetto GPC è netta: le richieste Do Not Track non esprimevano chiaramente l’intenzione dell’utente di rifiutare la vendita dei propri dati, e il GPC è stato progettato per correggere esattamente questo.
In una riga: il Do Not Track chiedeva cortesemente, il GPC deposita una richiesta giuridicamente vincolante, là dove la legge lo prevede.
Quali browser supportano il GPC?
Il supporto è disomogeneo, ed è la parte dell’argomento che cambia più in fretta. Ecco la situazione a metà 2026 (da ricontrollare, perché si muove).
| Browser | Supporto GPC | Attivo per impostazione predefinita? | Dove trovarlo |
|---|---|---|---|
| Brave | nativo | sì (desktop e Android) | impostazioni Shields |
| DuckDuckGo (browser, app, estensione) | nativo | sì | attivato automaticamente |
| Firefox | nativo (desktop dalla v120) | solo finestre anonime, facoltativo nella navigazione normale | Impostazioni, Privacy e sicurezza |
| Mullvad Browser | nativo (dalla 14.0) | sì | attivato automaticamente |
| Chrome | nessuno | serve un’estensione | installare Privacy Badger o OptMeowt |
| Edge | nessuno | serve un’estensione | installare Privacy Badger o OptMeowt |
| Safari | nessuno | nessun supporto nativo, né estensioni diffuse | non disponibile a oggi |
Le due grandi lacune sono Chrome e Safari. Chrome non ha supporto nativo, ma estensioni come Privacy Badger (della EFF) o OptMeowt colmano il vuoto.
Si può avere il GPC su Safari o su iPhone?
Non in modo nativo. Safari non ha alcuna impostazione GPC integrata né estensioni diffuse che la aggiungano. Su iPhone la strada praticabile è l’app del browser DuckDuckGo, che invia il GPC per impostazione predefinita.
Potrebbe non durare. Nell’ottobre 2025 la California ha approvato l‘“Opt Me Out Act” (AB 566), che impone ai browser operanti in California di includere un’impostazione integrata per il segnale di opt-out entro il 1° gennaio 2027. In altre parole, i browser che hanno ignorato il GPC dovranno presto aggiungerlo. Né Google né Apple hanno annunciato la propria implementazione, ma la scadenza è fissata.
Come attivare il GPC, passo per passo
Per attivare il GPC: in Firefox spunta “Segnala ai siti web di non vendere o condividere i miei dati” in Privacy e sicurezza; in Brave, DuckDuckGo e Mullvad è già attivo per impostazione predefinita; in Chrome o Edge installa un’estensione GPC come Privacy Badger. Il dettaglio browser per browser:
- Firefox: apri le Impostazioni, vai su Privacy e sicurezza, scorri fino alla sezione delle preferenze per la privacy dei siti web e spunta “Segnala ai siti web di non vendere o condividere i miei dati”. Attenzione: Firefox invia il GPC automaticamente nelle finestre anonime, ma per inviarlo nella navigazione normale devi spuntare questa casella.
- Brave: nulla da fare, il GPC è attivo per impostazione predefinita.
- DuckDuckGo (browser o app mobile): nulla da fare, attivo per impostazione predefinita.
- Mullvad Browser: attivo per impostazione predefinita dalla versione 14.0.
- Chrome o Edge: installa un’estensione compatibile con il GPC come Privacy Badger o OptMeowt, e il segnale verrà inviato automaticamente.
- Safari: oggi non esiste una buona opzione. Usa un altro browser per la navigazione sensibile, oppure attendi la scadenza del 2027.
Vuoi verificare che funzioni? Apri globalprivacycontrol.org con il tuo browser. La pagina rileva il segnale e ti dice se viene effettivamente inviato.
Dove il GPC è giuridicamente vincolante
È qui che il GPC smette di essere una buona idea e diventa un obbligo di conformità. E il quadro è molto diverso sulle due sponde dell’Atlantico.
Stati Uniti: 12 Stati, e non è finita
La California è il punto di riferimento. Il suo procuratore generale (Attorney General) sostiene da luglio 2021 che il GPC vada trattato come una richiesta di opt-out valida. La norma è esplicita: un’impresa che vende o condivide dati personali deve trattare un segnale di preferenza di opt-out conforme ai requisiti del regolamento come una richiesta di opt-out valida (11 CCR § 7025(b)). E deve rispettarlo senza attriti, senza obbligare l’utente ad autenticarsi o a verificare la propria identità.
Una precisazione utile sul lessico: “vendere o condividere” (sell or share) sono nozioni tecniche del diritto californiano, dove “condividere” indica specificamente la pubblicità comportamentale tra siti diversi, non la condivisione in senso comune.
Cosa si rischia a ignorare il GPC?
Non è teoria. Il mancato rispetto dei segnali di opt-out è diventato il filo conduttore delle più pesanti sanzioni americane in materia di privacy, e nel 2026 il ritmo è nettamente aumentato:
| Data | Soggetto | Autorità | Importo | Il mancato rispetto |
|---|---|---|---|---|
| ago 2022 | Sephora | procuratore generale della California | 1,2 mln $ | Non trattava affatto i segnali di opt-out GPC (prima azione pubblica ai sensi del CCPA) |
| lug 2025 | Healthline | procuratore generale della California | 1,55 mln $ | Ha continuato a condividere dati per pubblicità mirata anche dopo il rifiuto espresso via GPC |
| set 2025 | Tractor Supply | CPPA | 1,35 mln $ | Meccanismi di opt-out inefficaci, compresi i segnali GPC del browser (sanzione più alta nella storia della CPPA) |
| set 2025 | Indagine coordinata | CPPA e procuratori generali di California, Colorado e Connecticut | lettere, non sanzioni | Indagine coordinata sulle imprese che ignorano i segnali di preferenza di opt-out |
| feb 2026 | Disney e ABC | procuratore generale della California | 2,75 mln $ | Non trattava i segnali di preferenza di opt-out come richieste valide e frammentava l’opt-out tra dispositivi e app (il più alto accordo transattivo CCPA finora) |
| mar 2026 | PlayOn Sports | CPPA | 1,1 mln $ | Non ha riconosciuto i segnali di preferenza di opt-out, e il suo banner subordinava l’uso della piattaforma di biglietteria all’accettazione dei tracker |
| mar 2026 | Ford | CPPA | 375.703 $ | Imponeva la verifica dell’indirizzo e-mail prima di trattare un opt-out, ed è stata obbligata a verificare i propri tracker e a correggere la gestione dei segnali di preferenza di opt-out |
Lo schema è sempre lo stesso: l’autorità attiva il GPC in un browser, visita il sito e osserva cosa fanno i tracker. Il rilevamento non è ipotetico, è il test.
La California non è più sola. Al 1° gennaio 2026 dodici Stati impongono di rispettare i segnali di opt-out universale come il GPC: California, Colorado, Connecticut, Delaware, Maryland, Minnesota, Montana, Nebraska, New Hampshire, New Jersey, Oregon e Texas. Il Colorado si è spinto oltre, approvando formalmente il GPC come primo (e finora unico) meccanismo di opt-out universale riconosciuto. Non tutte le leggi statali prevedono questo obbligo (diversi testi ispirati alla Virginia non lo contengono), ragione in più per sapere quali Stati riguardano il tuo pubblico.
Europa: non vincolante, non ancora
Nell’UE di oggi il GPC non ha alcuna forza giuridica formale. Nessuna autorità europea lo riconosce come vincolante, e la ragione è strutturale: il GDPR si fonda sul consenso preventivo (serve un’autorizzazione prima di caricare tracker non essenziali), mentre il GPC è un segnale di opt-out. I due non si allineano. Da qui il punto più importante per i siti europei: il GPC non sostituisce il tuo banner di consenso. La stessa FAQ del progetto GPC afferma che il segnale, da solo, non crea obblighi giuridicamente vincolanti.
Il GPC farà sparire i banner cookie in Europa?
Non oggi, e il calendario si è appena complicato. Il GDPR richiede il consenso preventivo prima che si carichino tracker non essenziali, quindi un sito europeo ha ancora bisogno di un banner anche per i visitatori che inviano il GPC. La proposta Digital Omnibus (novembre 2025) cambierebbe le cose rendendo vincolanti i segnali del browser, ma gli Stati membri non hanno trovato l’accordo: un testo di compromesso del Consiglio, nel giugno 2026, proponeva di eliminare del tutto la disposizione, salvo poi essere ritirato per mancanza di maggioranza qualificata. Il Consiglio non ha ancora alcuna posizione condivisa. Metti in conto di tenere il tuo banner.
Un dibattito e una proposta esistono comunque. Il GDPR prevede già l’opposizione con mezzi automatizzati all’articolo 21(5). E nel novembre 2025 la Commissione europea ha proposto il “Digital Omnibus”, che sposterebbe le regole sul consenso ai cookie dentro il GDPR e, tramite un nuovo articolo 88b, obbligherebbe i titolari del trattamento a rispettare i segnali del browser leggibili dalle macchine, con il GPC come candidato più ovvio (la proposta in sé è neutra rispetto al segnale, e lo standard tecnico esatto sarebbe definito in seguito). L’EDPB e il GEPD, nel loro parere congiunto del febbraio 2026, hanno accolto favorevolmente l’idea.
Poi tutto si è arenato. Nel giugno 2026 la presidenza del Consiglio ha fatto circolare un testo di compromesso che eliminava del tutto l’articolo 88b, dopo un’intensa attività di lobbying dell’industria pubblicitaria, con Germania, Francia e Polonia tra gli Stati membri favorevoli alla soppressione. Nemmeno quel testo è sopravvissuto: è stato ritirato dal processo di approvazione degli ambasciatori a fine giugno per mancanza di maggioranza qualificata, e il dossier è passato alla presidenza irlandese entrante senza che il Consiglio avesse una posizione condivisa. Nemmeno il Parlamento europeo si è espresso, e il suo voto in commissione è il prossimo appuntamento da seguire. Lo stato onesto delle cose non è quindi “i segnali del browser stanno arrivando in Europa” né “sono morti”, ma “gli Stati membri non sono nemmeno riusciti a mettersi d’accordo su un mandato negoziale”.
Se ti interessa il confronto approfondito tra i due regimi, lo trattiamo in CCPA vs GDPR: le differenze chiave per chi gestisce un sito.
L’Europa ha una sua versione del GPC?
Nessuna versione vincolante, ma i mattoni ci sono. L’ADPC (Advanced Data Protection Control), una specifica nata da noyb e dall’Università di economia di Vienna, estende l’idea del GPC al consenso, al rifiuto e all’opposizione granulari in stile GDPR. Resta facoltativa, e nessun browser la integra per impostazione predefinita. La Germania si è spinta più avanti di tutti: il suo regolamento EinwV, in vigore da aprile 2025, consente all’autorità federale per la protezione dei dati di riconoscere ufficialmente i servizi di gestione del consenso, e il primo è stato riconosciuto nell’ottobre 2025. Rispettarli resta facoltativo per i siti, che è la debolezza riconosciuta del sistema. Anche la giurisprudenza si muove nella stessa direzione: un tribunale di Berlino ha stabilito nel 2023 che un segnale Do Not Track del browser può esprimere una valida opposizione automatizzata ai sensi dell’articolo 21(5) del GDPR (LG Berlin, 16 O 420/19, decisione non definitiva). In Italia, invece, il Garante non si è mai pronunciato sui segnali leggibili dalle macchine: le Linee guida del giugno 2021 restano il riferimento e impongono il modello del banner con consenso preventivo. Se l’articolo 88b sopravvivrà al Consiglio e al Parlamento, l’Europa sceglierà finalmente il suo segnale ufficiale. In caso contrario, queste iniziative nazionali sparse sono tutto ciò che l’Europa ha.
Cosa deve fare il tuo sito con il GPC
Se gestisci un sito web, ecco l’elenco concreto.
- Rilevare il segnale: leggi l’intestazione
Sec-GPClato server, oppurenavigator.globalPrivacyControlnel browser. - Rispettarlo dove è richiesto: nei 12 Stati citati, trattalo come un valido rifiuto della vendita o condivisione dei dati personali (e della pubblicità mirata), subito e senza chiedere al visitatore di autenticarsi.
- Farlo prevalere su un consenso precedente: se il visitatore aveva accettato il tracciamento sul tuo sito in passato, vince il segnale. Le regole californiane sono esplicite: il segnale di preferenza di opt-out prevale su un’autorizzazione data in precedenza sul sito (§ 7025(c)(3)).
- Applicarlo alla persona, non solo al browser: se sai chi è il visitatore (è autenticato, o puoi comunque identificarlo), il rifiuto deve estendersi al suo account e al suo profilo, non solo a quella sessione di navigazione.
- Mostrare che l’hai rispettato: questa è la novità. Dal 1° gennaio 2026 la California impone alle imprese che vendono o condividono dati personali di mostrare di aver trattato il segnale di preferenza di opt-out del consumatore. L’autorità suggerisce persino una dicitura del tipo “Segnale di preferenza di opt-out rispettato”. Trattare il segnale in silenzio non basta più.
- Dichiarare il tuo supporto (facoltativo): pubblica un file
/.well-known/gpc.jsonin cui dichiari di rispettare il GPC. - Nell’UE: oggi non hai alcun obbligo di agire sul GPC, ma trattarlo come un rifiuto è la lettura più protettiva e compatibile con il GDPR. Non trattare mai il GPC come un consenso a qualcosa.
Il quinto punto (dimostrare di aver rispettato il segnale) non è una formalità. Quando nel febbraio 2026 la California ha transatto con Disney, parte dell’accordo imponeva a Disney di fornire ai consumatori un modo per confermare che la loro richiesta di opt-out fosse stata effettivamente trattata. Insieme all’indagine coordinata dei tre Stati, “lo rileviamo ma non mostriamo nulla” è ormai una falla di conformità concreta.
E se usi i tag di Google, anche i tuoi segnali di consenso devono arrivare loro correttamente: è a questo che serve Google Consent Mode v2.
Come il banner cookie WebLegal gestisce il GPC
È la parte che mi sta più a cuore, perché è il motivo per cui abbiamo progettato così il nostro banner cookie gratuito.
Il nostro banner rispetta il GPC in modo nativo. Quando un visitatore arriva con il segnale attivo, applica il suo rifiuto prima che si carichi un solo tracker, e senza mostrargli alcun banner. Chi ha già detto al proprio browser “non vendere né condividere i miei dati” non dovrebbe essere accolto da un pop-up che gli pone la stessa domanda. I tracker restano bloccati, e un pulsante flottante consente al visitatore di riaprire le proprie scelte se vuole cambiarle.
E per rispondere al nuovo obbligo californiano, il banner mostra ora ai visitatori GPC un avviso breve e chiudibile che conferma che il loro segnale è stato rispettato, tradotto in tutte le 30 lingue che supportiamo. È il requisito “dimostra di aver trattato il segnale”, gestito per te. Chi gestisce un sito e preferisce non mostrarlo può disattivarlo con un solo attributo (data-gpc-notice="off").
È gratuito, senza registrazione, e si installa con una sola riga di JavaScript. Per il dettaglio tecnico di cosa blocca e come, vedi la nostra guida al banner cookie gratuito conforme al GDPR, oppure i 37 tracker che un banner deve bloccare prima del consenso.
Domande frequenti
Il GPC è obbligatorio nell’Unione europea? No. Il GDPR si basa sul consenso preventivo, quindi nell’UE resta obbligatorio un banner cookie conforme e il GPC non lo sostituisce. La proposta Digital Omnibus potrebbe cambiare le cose in futuro, ma oggi non è legge.
Il GPC blocca i cookie o i tracker? No. Il GPC è un segnale, non un blocco. Ciò che viene effettivamente bloccato dipende dal sito, o dal suo strumento di consenso, che sceglie di rispettare il segnale. Da solo, il GPC non ferma nulla.
Il GPC rende superflui i banner cookie? In generale no. Negli Stati Uniti automatizza l’opt-out per i visitatori che inviano il segnale, ma nell’UE il consenso è preventivo, quindi il banner serve comunque. GPC e banner di consenso sono complementari, non intercambiabili.
Il GPC disattiva Google Analytics o Google Ads? Non da solo. Il GPC si limita ad annunciare la scelta del visitatore. È il tuo strumento di consenso che deve leggere il segnale e trasmettere il rifiuto a Google Consent Mode, che a quel punto limita il modo in cui Google Analytics e Google Ads trattano i dati di quel visitatore. Se la tua configurazione non traduce mai il segnale, i tag di Google proseguono come se nulla fosse: è esattamente il mancato rispetto sanzionato in Healthline e Tractor Supply.
Che cos’è un meccanismo di opt-out universale (UOOM)? È il termine giuridico usato da diverse leggi statali americane per i segnali come il GPC: un meccanismo a livello di browser che comunica un rifiuto a tutti i siti in una volta sola. Il Colorado ha approvato formalmente il GPC come primo meccanismo di opt-out universale riconosciuto, e la maggior parte dei dodici Stati interessati adotta la stessa impostazione nelle proprie leggi.
Come faccio a sapere se un sito ha rispettato il mio segnale GPC?
Da gennaio 2026 le imprese californiane che vendono o condividono dati personali devono mostrare di averlo trattato: cerca un avviso che confermi che il tuo segnale è stato rispettato. Alcuni siti pubblicano anche un file /.well-known/gpc.json per dichiarare il proprio supporto.
Il GPC è attivo per impostazione predefinita? In Brave, DuckDuckGo e Mullvad sì. In Firefox è attivo nelle finestre anonime e facoltativo nella navigazione normale. Chrome, Edge e Safari non hanno alcun supporto nativo: serve un’estensione e, per Safari, oggi non esiste alcuna soluzione.
Fai il punto
Due verifiche rapide, una per ruolo.
Come utente del web: attiva il GPC seguendo i passaggi qui sopra, poi apri globalprivacycontrol.org, che rileva il segnale e ti dice se viene inviato. Trenta secondi, e vale per tutti i siti che visiterai.
Come gestore di un sito: se il tuo pubblico include i dodici Stati citati, la gestione del GPC è ormai ispezionata e sanzionata, quindi scopri a che punto sei. Analizza gratis il tuo sito per vedere come appaiono dall’esterno i tuoi cookie e le tue pagine legali, poi aggiungi il banner cookie gratuito, che rispetta il GPC (avviso californiano incluso) con una riga di JavaScript.
