同意與橫幅

全球隱私控制 (GPC)：如何處理自動選擇退出信號

2026年7月7日 · 14 分鐘閱讀

快速回答： 全球隱私控制 (GPC) 是一種瀏覽器級別的隱私信號，會自動通知網站用戶選擇退出其個人數據的銷售或共享。根據適用的隱私法，加州、科羅拉多州和康涅狄格州等州的網站在法律上必須尊重 GPC 信號。企業必須檢測 Sec-GPC: 1 HTTP 標頭或 navigator.globalPrivacyControl JavaScript 屬性，並通過實時抑制數據共享活動來做出響應。

主要要點

GPC 通過 HTTP 標頭 (Sec-GPC: 1) 和 JavaScript 屬性傳輸選擇退出偏好，消除了用戶必須單獨與每個網站的同意橫幅互動的需求。
GPC 在多個美國州獲得法律認可，包括加州、科羅拉多州、康涅狄格州、新澤西州和俄勒岡州，這使得在這些司法管轄區內運營的企業必須遵守。 [1]
在 2022 年，加州檢察長與 Sephora 達成 120 萬美元的和解，特別是因為未能尊重 GPC 信號，建立了明確的執法先例。 [1]
GPC 在法律上與較舊的「不追蹤」(DNT) 信號有所不同，後者在大多數司法管轄區內不具可執行的法律效力。
包括 Firefox (v120+)、Brave 和 DuckDuckGo 的移動瀏覽器在內的瀏覽器原生或通過擴展支持 GPC。 [2]
同意管理平台 (CMP) 可以自動化 GPC 的檢測和響應，減少開發團隊的手動合規負擔。
忽視 GPC 信號在涵蓋的州並不是灰色地帶；這構成了對消費者選擇退出權利的侵犯，並使企業面臨監管執法的風險。
GPC 並不保證完全停止所有數據收集；它專門針對個人數據的銷售和共享，而不是第一方分析或嚴格必要的處理。

什麼是全球隱私控制 (GPC) 及其運作方式

全球隱私控制是一項技術規範，允許用戶從其瀏覽器向每個訪問的網站廣播通用的選擇退出偏好，而無需手動調整每個網站的設置。它是由一個隱私研究者、瀏覽器供應商和倡導組織的聯盟開發的，作為對每個網站同意互動的可擴展替代方案。 [7]

從技術上講，GPC 同時在兩個通道上運作：

HTTP 標頭： 當用戶啟用 GPC 時，他們的瀏覽器會在每個 HTTP 請求中發送 Sec-GPC: 1。伺服器可以在頁面加載之前讀取此標頭並調整數據處理行為。
JavaScript 屬性： 瀏覽器還會暴露 navigator.globalPrivacyControl = true，客戶端腳本可以查詢該屬性以確定是否啟用跟蹤抑制。 [4]

當兩個信號同時存在時，合規的網站應將該請求視為根據適用法律正式選擇退出該用戶的個人數據銷售或共享。重要的是，GPC 信號旨在持久且自動；用戶只需設置一次偏好，便可在所有瀏覽會話中普遍適用。

GPC 對網站和企業是否具有法律約束力

是的，在幾個美國州，GPC 信號具有與手動提交的選擇退出請求相同的法律效力。在這些司法管轄區內，未能尊重 GPC 信號的企業違反了州隱私法，而不僅僅是最佳實踐指導方針。

GPC 在法律上被認可為有效選擇退出機制的州包括：

州	管轄法律	GPC 強制性
加州	CCPA / CPRA	是
科羅拉多州	CPA	是
康涅狄格州	CTDPA	是
新澤西州	NJDPA	是
俄勒岡州	OCPA	是

2022 年 8 月的 Sephora 執法行動，導致 120 萬美元的和解，明確表明加州檢察長將 GPC 不合規視為直接的 CCPA 侵犯。 [1] 企業應將此案例視為操作性執法基準，而非例外。

決策規則： 如果您的網站從上述五個州的居民收集個人數據並與第三方進行任何銷售或共享，則 GPC 合規是法律義務，而非選擇性。

GPC 與不追蹤 (DNT)：有什麼區別

GPC 和不追蹤 (DNT) 處理類似的用戶意圖，但在法律可執行性上根本不同。DNT 於 2009 年左右推出，是一種沒有法定支持的自願信號；網站可以且在很大程度上無後果地忽視它。

GPC 是專門為填補這一空白而設計的。主要區別：

法律效力： GPC 在 CCPA、CPA、CTDPA 和其他州法律下是可執行的。DNT 在美國沒有可執行的法律地位。
範圍： GPC 專門針對個人數據的銷售和共享。DNT 是一個更廣泛、定義不明的請求，旨在一般性地限制跟蹤。
採用情況： 主要瀏覽器已原生實現 GPC。DNT 的支持已被幾個瀏覽器供應商棄用或移除。
行業反應： 監管機構積極執行 GPC 合規。DNT 在廣告行業中基本上被忽視，沒有法律後果。

對企業的實際啟示：DNT 信號可以從合規的角度被忽視，但 GPC 信號在涵蓋的司法管轄區內則不能。

如何在您的瀏覽器上啟用全球隱私控制以及哪些瀏覽器支持它

啟用 GPC 取決於所使用的瀏覽器。Firefox 在版本 120 中引入了原生 GPC 支持，可以通過增強跟蹤保護設置面板訪問。 [2] 用戶可以通過導航到 設置 > 隱私與安全 > 增強跟蹤保護 並啟用 GPC 選項來激活它。

其他支持 GPC 的瀏覽器和工具：

Brave 瀏覽器： GPC 默認啟用，無需用戶操作。
DuckDuckGo 隱私瀏覽器（移動版）： 自動發送 GPC 信號。
Chrome/Edge： 截至 2026 年中期，無原生支持；用戶可以安裝瀏覽器擴展，例如來自全球隱私控制項目的官方 GPC 擴展。
Safari： 目前無原生 GPC 支持。

對於僅依賴隱私擴展的用戶，如果擴展被禁用或與其他工具衝突，GPC 可能無法正常運作。可以通過訪問一個 GPC 測試網站來驗證信號是否有效，該網站會讀取 navigator.globalPrivacyControl 屬性。

網站應如何響應 GPC 選擇退出信號

當網站檢測到 GPC 信號時，所需的響應是將該用戶視為正式選擇退出其個人數據的銷售和共享，立即生效並適用於所有後續訪問。這是全球隱私控制 (GPC)：如何處理自動選擇退出信號下的核心合規義務。

網站運營商的實際實施步驟：

在伺服器端檢測信號，通過 Sec-GPC: 1 HTTP 標頭在渲染任何跟蹤腳本之前。
在客戶端查詢 JavaScript 屬性 (navigator.globalPrivacyControl) 作為第二次檢查。
抑制數據共享腳本，例如第三方廣告像素、跨網站跟蹤 Cookie 和數據經紀人集成。
在您的同意管理系統中記錄選擇退出，以保持可審計的記錄。
不要用同意橫幅覆蓋信號，要求用戶重新選擇加入；這種做法被視為黑暗模式，可能本身構成違規。

同意管理平台可以自動化這一工作流程的大部分內容。當正確集成時，CMP 檢測到進來的 GPC 信號，自動應用選擇退出偏好，並向用戶顯示確認，而不是完整的同意提示。 [3] Biscotti CMP (www.biscotti-cmp.com) 提供 GPC 信號檢測和自動響應處理，作為其合規基礎設施的一部分，使網站運營商能夠在無需自定義開發工作的情況下滿足這些義務。

GPC 是否真的停止數據收集和跟蹤

GPC 在正確尊重的情況下停止了與第三方的個人數據銷售和共享，但並不消除所有形式的數據收集。這一區別對用戶和合規官員都很重要。

GPC 限制的內容（在被尊重的情況下）：

將用戶數據出售給數據經紀人或廣告網絡
與第三方共享個人數據以進行跨上下文的行為廣告
在不相關的域之間同步用戶標識符

GPC 不限制的內容：

第一方分析（例如，測量您自己網站的流量）
網站功能所需的嚴格必要 Cookie
基於其他法律依據（如合同履行或法律義務）的數據處理

研究表明，GPC 在實踐中的有效性在很大程度上取決於網站的採用率和自願合規，特別是那些不在法律要求的司法管轄區內的網站。 [9] 在沒有 GPC 強制要求的州，用戶可能會發現許多網站根本不尊重該信號。

電子商務網站的 GPC 合規要求以及如果網站忽視 GPC 信號會發生什麼

電子商務網站面臨更高的 GPC 合規風險，因為它們通常集成了許多第三方服務：廣告像素、重定向網絡、聯盟跟蹤和分析平台，所有這些可能涉及個人數據的銷售或共享。

對於電子商務運營商來說，遵守全球隱私控制 (GPC)：如何處理自動選擇退出信號涉及：

審核所有第三方腳本，以確定哪些構成根據適用州定義的數據「銷售」或「共享」
配置標籤管理系統，以便在檢測到 GPC 信號時僅觸發合規標籤
確保忠誠計劃、電子郵件營銷集成和 CRM 數據流尊重 GPC 選擇退出
記錄技術實施以備潛在的監管審查

如果網站忽視 GPC 信號會發生什麼？ 在加州，忽視 GPC 被視為未能尊重 CCPA/CPRA 下的選擇退出請求。Sephora 的和解表明，監管機構將追求執法行動和重大財務處罰。 [1] 除了加州，科羅拉多州、康涅狄格州、新澤西州和俄勒岡州各自擁有自己的執法機制。在跨州經營的企業如果缺乏 GPC 合規，面臨的風險會加倍。

企業常犯的錯誤：

假設 GPC 僅適用於加州居民
將 GPC 視為「軟性」偏好，而非具有約束力的選擇退出
在添加新的第三方供應商時未能更新同意管理配置
允許同意橫幅覆蓋或模糊已生效的 GPC 選擇退出

GPC 是否等同於 CCPA 選擇退出請求

GPC 在加州被視為與 CCPA 選擇退出請求法律上等同，但在機制上並不完全相同。傳統的 CCPA 選擇退出要求用戶在每個網站上找到並點擊「不出售或共享我的個人信息」的鏈接。GPC 在瀏覽器級別自動化該請求，普遍適用。 [8]

加州檢察長的指導確認，企業必須將進來的 GPC 信號視為與手動提交的選擇退出表單具有相同的法律效力。如果 GPC 已經啟用，企業不能要求用戶還需完成手動選擇退出。在 CPRA 修訂下，範圍擴大到包括「共享」數據以進行跨上下文的行為廣告，而不僅僅是銷售，這也是 GPC 所涵蓋的內容。

如果我已經使用隱私擴展，還需要 GPC 嗎

隱私擴展和 GPC 服務於重疊但不同的目的。像廣告攔截器或跟蹤攔截器這樣的擴展通過阻止網絡請求或在本地修改頁面行為來運作。相比之下，GPC 向網站本身傳達法律偏好，創造了伺服器端的合規義務。

運行廣告攔截器的用戶可能會阻止許多跟蹤器加載，但網站不會收到正式的選擇退出信號，並且沒有法律義務調整其數據實踐。GPC 則創造了這一法律信號。對於涵蓋州的用戶來說，啟用 GPC 除了隱私擴展外，還提供了技術保護和法律上認可的選擇退出記錄。

對於網站運營商來說，問題則不同：訪問者使用的隱私擴展並不滿足您的 GPC 合規義務。您必須獨立檢測並尊重 Sec-GPC 信號，而不論用戶安裝了什麼工具。

常見問題

問：Sec-GPC: 1 HTTP 標頭實際上告訴網站什麼？ 它告訴伺服器用戶已表達選擇退出其個人數據的銷售或共享的偏好。伺服器應使用此信號在服務頁面之前抑制任何數據共享活動。

問：網站可以要求 GPC 用戶重新同意並覆蓋其選擇退出嗎？ 不可以。向 GPC 用戶呈現要求重新選擇加入的同意橫幅被視為黑暗模式，可能違反適用隱私法的精神和字面。GPC 信號必須按原樣受到尊重。

問：GPC 是否僅適用於 B2B 網站還是僅適用於面向消費者的網站？ GPC 的義務通常適用於從消費者收集個人數據的網站，根據州隱私法的定義。純 B2B 的情況可能不在某些法定定義之內，但法律顧問應該單獨評估每種情況。

問：我如何驗證我的網站是否正確檢測 GPC 信號？ 使用啟用 GPC 的瀏覽器（例如 Brave），並檢查您的伺服器日誌中是否有 Sec-GPC: 1 標頭，或在您的網站上使用瀏覽器控制台查詢 navigator.globalPrivacyControl。值為 true 確認信號存在。

問：是否有全球（非美國）法律要求尊重 GPC？ 截至 2026 年中期，GPC 主要根據美國州法律強制執行。沒有約束性的歐盟或英國法規專門要求 GPC，儘管該信號與 GDPR 同意框架兼容，某些 CMP 也在該上下文中處理它。

問：GPC 合規需要多頻繁重新審核？ 每當網站添加新的第三方腳本或數據集成時，應審查 GPC 合規配置。年度審核是最低基準；對於高流量的電子商務網站，建議進行季度審核。

問：GPC 和 Cookie 同意橫幅有什麼區別？ Cookie 同意橫幅是一個用戶界面元素，請求用戶對特定數據使用的許可。GPC 是一種瀏覽器級別的信號，傳達預先存在的偏好，而無需任何用戶界面互動。兩者可以共存，但在涵蓋的司法管轄區內，GPC 在選擇退出方面具有優先權。

問：GPC 是否涵蓋所有類型的個人數據處理？ 不。GPC 專門針對與第三方的個人數據銷售和共享。它不限制第一方數據使用、分析或基於其他合法依據（如合同必要性）的處理。