Global Privacy Control: il segnale che la maggior parte dei siti ignora

Esiste un segnale che milioni di browser inviano a ogni singola visualizzazione di pagina e che la stragrande maggioranza dei siti semplicemente non considera. Si chiama Global Privacy Control, in breve GPC. Ignorarlo costituisce in California una violazione del diritto vigente — e il primo caso in cui ciò è stato sanzionato è costato 1,2 milioni di dollari.

Che cosa dice il segnale

Il GPC è una dichiarazione tecnica con un unico contenuto: questa persona si oppone alla vendita e alla condivisione dei propri dati personali.

L'idea alla base è di una semplicità disarmante. Anziché spuntare caselle su ogni singolo sito, si imposta la preferenza una volta nel browser — che la trasmette poi a ogni sito visitato. Per l'utente significa: decidere una volta anziché cliccare cento volte.

Altrettanto importante è ciò che il GPC non fa: non blocca nulla. Il segnale è una comunicazione, non una barriera tecnica. Il sito viene a conoscenza dell'opposizione — attuarla spetta a lui. Chi non fa nulla riceve comunque il segnale e si limita a ignorarlo.

Chi lo invia

Più persone di quanto si immagini:

• Firefox integra l'impostazione, sotto privacy e sicurezza
• Brave lo invia per impostazione predefinita
• Il browser DuckDuckGo altrettanto
• Chrome, Safari ed Edge non lo inviano spontaneamente, ma possono essere integrati con estensioni come Privacy Badger

Chi lo ha attivato lo invia a tutti i siti — compreso il Suo. Il segnale arriva quindi da tempo, indipendentemente dal fatto che qualcuno lo valuti.

Dove è vincolante

Qui la precisione conta, perché il quadro non è uniforme.

Negli Stati Uniti il GPC è vincolante. La California prescrive nel CCPA, nella versione modificata dal CPRA, che i siti debbano rispettare i segnali di opposizione attivati dall'utente. Colorado, Connecticut e altri Stati hanno adottato norme analoghe. L'attuazione non è facoltativa né negoziabile: chi riceve il segnale deve trattare l'opposizione come se la persona avesse attivamente cliccato su un link.

In Svizzera e nell'UE non lo è. Né la LPD riveduta né il RGPD menzionano espressamente il Global Privacy Control. È tuttavia interessante l'articolo 21 paragrafo 5 del RGPD: esso prevede espressamente che gli interessati possano esercitare il diritto di opposizione «mediante procedure automatizzate che utilizzano specifiche tecniche». Ciò descrive piuttosto fedelmente quanto fa il GPC — semplicemente non è stato finora riconosciuto come tale.

Chi rispetta il segnale in Europa fa quindi più del dovuto. Dal nostro punto di vista non è uno svantaggio.

Il caso che ha reso la cosa seria

Nell'agosto 2022 il procuratore generale della California ha raggiunto con Sephora un accordo per un versamento di 1,2 milioni di dollari — la prima applicazione pubblica in assoluto del CCPA. All'azienda veniva contestato, fra l'altro, di non attuare le opposizioni espresse tramite il Global Privacy Control.

Due dettagli del caso sono istruttivi:

Primo, la violazione non consisteva nel fatto che Sephora vendesse dati. Consisteva nel ricevere il segnale e non farne nulla. L'autorità ha sostenuto che un segnale ricevuto e ignorato equivale a un'opposizione disattesa.

Secondo, l'accordo comprendeva l'obbligo di riferire periodicamente al procuratore generale su come vengono trattati i segnali GPC. La vicenda non si è quindi conclusa con il versamento — è seguito un obbligo di rendicontazione.

Da allora la California ha avviato ulteriori procedimenti. Il messaggio è coerente: il segnale conta.

Come un sito lo riconosce

Tecnicamente l'impegno è minimo. Il GPC arriva in due modi:

Nel browser, tramite una proprietà che vale allora true:

if (navigator.globalPrivacyControl === true) {
    // Questa persona si è opposta
}

Sul server, tramite un'intestazione HTTP inviata a ogni richiesta:

Sec-GPC: 1

Entrambi si valutano in poche righe. Il lavoro vero non sta nel riconoscimento, bensì nella conseguenza: l'opposizione deve confluire nella logica del consenso, i relativi script non devono caricarsi e il risultato deve essere comunicato verso l'esterno — per il traffico statunitense tramite la Global Privacy Platform, affinché anche i partner pubblicitari ne vengano a conoscenza.

Che cosa deve disattivare un'opposizione

Un errore frequente è trattare il GPC come un rifiuto secondo il RGPD e disattivare tutto. Così si manca l'obiettivo.

L'opposizione secondo il diritto californiano è rivolta contro vendita, condivisione e pubblicità mirata. Non è rivolta contro la misurazione dell'audience per finalità proprie — che là non è considerata una vendita. Chi disattiva tutto perde dati che potrebbe conservare. Chi disattiva solo il necessario soddisfa la norma con esattezza.

Un secondo errore: trattare il segnale come un'impostazione predefinita sovrascrivibile. Se qualcuno invia il GPC, l'opposizione è dichiarata. Un banner che chiede comunque l'assenso e lo considera valido la neutralizza.

Come procede Aiara

Non appena per un dominio è attivo il modello di opposizione statunitense, il banner valuta il segnale prima di mostrare alcunché. Se è presente, l'opposizione vale immediatamente — senza ulteriori richieste, senza clic.

Ciò si vede in tre punti. Gli script di marketing non si caricano. Nella finestra di selezione compare un'indicazione che il segnale del browser è stato riconosciuto e già rispettato. E il relativo interruttore è bloccato, perché non c'è più nulla da decidere — un nuovo assenso sovrascriverebbe l'opposizione dichiarata.

Verso l'esterno la decisione viene comunicata tramite la Global Privacy Platform, affinché anche i partner pubblicitari ne siano informati.

Ne vale la pena per i siti svizzeri?

Qui non è obbligatorio. Ma due buone ragioni consigliano di rispettare comunque il segnale.

Quella pratica: non appena ha visitatori dagli Stati Uniti e vi rientra in una delle leggi statali, è un obbligo. Poche PMI svizzere raggiungono questa soglia — ma chi la raggiunge se ne accorge spesso solo quando arriva una richiesta.

Quella di fondo: qualcuno si è preso la briga di impostare una preferenza nelle impostazioni del proprio browser. Questa persona ha espresso la propria volontà in modo inequivocabile. Ignorarla perché nessuna legge lo impone qui è giuridicamente sostenibile — convincente non lo è.