Cookie 弹窗、隐私政策和实际做法不一致，被加州罚款
Cookie 拒绝、退出链接和 GPC 信号要实测生效，隐私政策要如实写。
独立站独立站诉讼上架前政府来函FTC原件核实 2026年10月26日
- 适用范围
- 加州
- 权威级别
- 成文法规
- 规则状态
- 可能近期变化
- 结论性质
- 法律规则
First Steps / 先做什么
- 1先判断 CCPA 是否适用：以营利为目的、在加州经营，并满足任一门槛，例如上一年度总收入超过2,500万美元（2025年1月1日起按通胀调整为2,662.5万美元），或每年单独或合计买卖、分享10万名以上消费者或家庭的个人信息（Civ. Code §1798.140(d)）。
- 2列出网站上所有广告像素、Cookie 和第三方脚本，逐项对照隐私政策。用于广告投放的追踪工具通常构成出售或分享，政策中不能写我们不出售个人信息。
- 3实际测试三件事：点 "Do Not Sell or Share My Personal Information" 链接提交退出、在 Cookie 工具中点拒绝、打开浏览器的 Global Privacy Control，再检查广告像素是否停止发送数据。2026年起，网站还须显示是否已按 GPC 信号处理退出，例如显示 "Opt-Out Request Honored"（Cal. Code Regs. tit. 11, §7025(c)(6)、§7026(g)）。
- 4Cookie 弹窗中接受和拒绝的步骤要对称，例如并列 "Accept All" 和 "Decline All"（Cal. Code Regs. tit. 11, §7004(a)(2)）。
Avoid / 不要做
- 不要以为装了第三方隐私管理平台就完成了合规。Todd Snyder 案中，CPPA 认定公司依赖第三方工具，却不了解其局限，也不验证其运行。
- 不要要求顾客先验证身份或提供不必要的信息才处理退出请求（Todd Snyder 案、Honda 案）。
- 不要把 Cookie 弹窗作为退出出售或分享的唯一方式（Cal. Code Regs. tit. 11, §7026(a)(4)）。
Deadline / 时限
收到退出出售或分享的请求后，应尽快停止出售或分享，最迟不超过收到请求后15个工作日（Cal. Code Regs. tit. 11, §7026(f)(1)）。
The Rule / 规则
CCPA 要求出售或分享个人信息的企业如实告知，提供有效的退出方式，并处理 Global Privacy Control 等退出偏好信号；征求同意的界面须让消费者以同等难度作出选择。违法的，CPPA 可处每项违法最高2,500美元、故意违法或涉及其明知未满16岁的消费者最高7,500美元的行政罚款，州检察长可在法院请求同额民事罚款，2025年1月1日起经通胀调整为2,663美元和7,988美元（Civ. Code §1798.155、§1798.199.90、§1798.199.95(d)）。
Why It Matters / 原因
2022年至2025年，加州检察长和 CPPA 已处罚多家零售商：Sephora 120万美元，Todd Snyder 345,178美元，Tractor Supply 135万美元。处罚事由多为技术配置问题，例如弹窗一闪而过、退出表单不影响像素、没有处理 GPC 信号。所以要按顾客的操作路径实测，只看后台设置不够。
真实案件与处罚
4 Matters
California Privacy Protection Agency · 2025年5月1日
CPPA Case No. ENF23-M-TO-26
行政罚款 345,178 美元
这家男装零售商通过官网销售并向全球发货，网站使用 Cookie 和像素向广告网络分享数据。据命令记载的 CPPA 指称，2023年底起40天内，顾客点击 "Cookie Preferences Center" 时，Cookie 弹窗出现后立即消失，无法提交退出请求，GPC 信号也未被处理；公司还要求顾客验证身份才处理退出。CPPA 理事会采纳双方的最终命令，处以345,178美元罚款，要求不得对退出请求要求验证身份，建立监测退出机制是否有效的制度，并让处理个人信息的员工了解 CCPA 要求。公司对其余事实认定不承认也不否认。
该 PDF 为扫描件，事实依 OCR 文本核对。CPPA 公告：https://cppa.ca.gov/announcements/2025/20250506.html
California Privacy Protection Agency · 2025年3月7日
CPPA Case No. ENF23-V-HO-2
行政罚款 632,500 美元
Honda 官网的 Cookie 管理工具默认开启广告 Cookie。顾客关闭广告 Cookie 至少要点击两次，重新全部开启只需点一次 "Allow All"。CPPA 认定该工具在征求同意时没有提供对称的选择，同时认定 Honda 要求顾客为退出请求提供过多信息并先行验证身份。CPPA 理事会采纳最终命令，处以632,500美元罚款，并要求在 Cookie 工具中增加 "Reject All" 按钮。
California Privacy Protection Agency · 2025年9月26日
CPPA Case No. ENF24-M-TR-04
行政罚款 1,350,000 美元
这家零售商的网站页脚设有 "Do Not Sell My Personal Information" 链接，指向一个隐私表单。顾客提交表单后，网站使用的第三方广告追踪工具照常运行，公司继续出售或分享其数据。网站在2024年7月以前不处理退出偏好信号，隐私政策也未说明如何处理该信号；部分与广告技术公司的合同缺少 CCPA 要求的条款。CPPA 理事会采纳最终命令，处以135万美元罚款。
Cal. Super. Ct. (San Francisco County) · 2022年8月24日
No. CGC-22-601380
和解金 1,200,000 美元
加州检察长起诉称，这家美妆零售商允许第三方在官网和 App 安装追踪软件，以换取分析和广告服务，构成出售个人信息；但隐私政策写明不出售个人信息，网站也没有 "Do Not Sell My Personal Information" 链接，且不处理 GPC 信号。法院登记双方约定的最终判决，Sephora 支付120万美元，并须修改披露、提供包括 GPC 在内的退出方式。
起诉状：https://oag.ca.gov/system/files/media/pea-sephora-complaint.pdf 。判决书首页案号为手写扫描，案号依加州检察长致 FTC 函件所引 https://oag.ca.gov/system/files/attachments/press-docs/Letter%20to%20FTC%202.pdf 。