快速回答： 全球隐私控制 (GPC) 是一种浏览器级隐私信号，自动通知网站用户选择退出其个人数据的销售或共享。根据适用的隐私法律，加利福尼亚州、科罗拉多州和康涅狄格州等州的企业在法律上必须尊重 GPC 信号。企业必须检测
Sec-GPC: 1HTTP 头或navigator.globalPrivacyControlJavaScript 属性，并通过实时抑制数据共享活动作出响应。
关键要点
- GPC 通过 HTTP 头 (
Sec-GPC: 1) 和 JavaScript 属性传递选择退出偏好，消除了用户需要单独与每个网站的同意横幅互动的必要。 - GPC 在多个美国州获得法律认可，包括加利福尼亚州、科罗拉多州、康涅狄格州、新泽西州和俄勒冈州，使得在这些司法管辖区内运营的企业必须遵守。 [1]
- 2022年，加利福尼亚州检察长与 Sephora 达成120万美元的和解，特别是因为未能尊重 GPC 信号，建立了明确的执法先例。 [1]
- GPC 在法律上与较早的“请勿追踪”（DNT）信号有所不同，后者在大多数司法管辖区内没有可执行的法律效力。
- 包括 Firefox (v120+)、Brave 和 DuckDuckGo 的移动浏览器在内的浏览器原生或通过扩展支持 GPC。 [2]
- 同意管理平台 (CMP) 可以自动化 GPC 检测和响应，减少开发团队的手动合规负担。
- 忽视 GPC 信号在受覆盖的州并不是灰色地带；这构成了对消费者选择退出权利的侵犯，并使企业面临监管执法。
- GPC 并不保证完全停止所有数据收集；它专门针对个人数据的销售和共享，而不是第一方分析或严格必要的处理。
什么是全球隐私控制 (GPC)，它是如何工作的
全球隐私控制是一项技术规范，允许用户从其浏览器向他们访问的每个网站广播通用选择退出偏好，而无需手动调整每个网站的设置。它是由隐私研究人员、浏览器供应商和倡导组织的联盟开发的，作为每个网站同意互动的可扩展替代方案。 [7]
从技术上讲，GPC 同时在两个通道上运行：
- HTTP 头： 当用户启用 GPC 时，他们的浏览器会在每个 HTTP 请求中发送
Sec-GPC: 1。服务器可以读取此头，并在页面加载之前调整数据处理行为。 - JavaScript 属性： 浏览器还会暴露
navigator.globalPrivacyControl = true，客户端脚本可以查询此属性以确定是否激活跟踪抑制。 [4]
当两个信号都存在时，合规的网站应将请求视为根据适用法律正式选择退出该用户个人数据的销售或共享。重要的是，GPC 信号旨在持久且自动；用户只需设置一次偏好，它将在所有浏览会话中普遍适用。
GPC 对网站和企业是否具有法律约束力
是的，在几个美国州，GPC 信号具有与手动提交的选择退出请求相同的法律效力。在这些司法管辖区内，未能尊重 GPC 信号的企业违反了州隐私法，而不仅仅是最佳实践指南。
GPC 在法律上被认可为有效选择退出机制的州包括：
| 州 | 适用法律 | GPC 强制性 |
|---|---|---|
| 加利福尼亚州 | CCPA / CPRA | 是 |
| 科罗拉多州 | CPA | 是 |
| 康涅狄格州 | CTDPA | 是 |
| 新泽西州 | NJDPA | 是 |
| 俄勒冈州 | OCPA | 是 |
2022年8月的 Sephora 执法行动，导致120万美元的和解，明确表明加利福尼亚州检察长将 GPC 不合规视为直接的 CCPA 违反。 [1] 企业应将此案例视为有效的执法基准，而不是个例。
决策规则： 如果您的网站从上述五个州的居民那里收集个人数据，并与第三方进行任何销售或共享，则 GPC 合规是法律义务，而非可选。
GPC 与请勿追踪：有什么区别
GPC 和请勿追踪 (DNT) 解决类似的用户意图，但在法律可执行性上根本不同。DNT 于2009年左右推出，是一种没有法定支持的自愿信号；网站可以并且在很大程度上确实忽视它，而没有后果。
GPC 是专门为填补这一空白而构建的。主要区别：
- 法律效力： GPC 在 CCPA、CPA、CTDPA 和其他州法律下是可执行的。DNT 在美国没有可执行的法律地位。
- 范围： GPC 专门针对个人数据的销售和共享。DNT 是一种更广泛、定义不明确的请求，旨在一般限制跟踪。
- 采用情况： 主要浏览器已原生实现 GPC。DNT 的支持已被多个浏览器供应商弃用或移除。
- 行业响应： 监管机构积极执行 GPC 合规。DNT 在广告行业中基本上被忽视，没有法律后果。
对企业的实际启示：DNT 信号可以从合规的角度被忽视，但 GPC 信号在受覆盖的司法管辖区内则不能。
如何在您的浏览器上启用全球隐私控制以及哪些浏览器支持它
启用 GPC 取决于所使用的浏览器。Firefox 在版本 120 中引入了原生 GPC 支持，可以通过增强跟踪保护设置面板访问。 [2] 用户可以通过导航到 设置 > 隐私与安全 > 增强跟踪保护 并启用 GPC 选项来激活它。
其他支持 GPC 的浏览器和工具：
- Brave 浏览器： GPC 默认启用，无需用户操作。
- DuckDuckGo 隐私浏览器（移动版）： 自动发送 GPC 信号。
- Chrome/Edge： 截至2026年中期没有原生支持；用户可以安装浏览器扩展，例如来自全球隐私控制项目的官方 GPC 扩展。
- Safari： 目前没有原生 GPC 支持。
对于仅依赖隐私扩展的用户，如果扩展被禁用或与其他工具冲突，GPC 可能无法正常工作。可以通过访问读取 navigator.globalPrivacyControl 属性的 GPC 测试网站来验证信号是否处于活动状态。
网站应如何响应 GPC 选择退出信号
当网站检测到 GPC 信号时，所需的响应是将该用户视为已正式选择退出其个人数据的销售和共享，立即生效并适用于所有后续访问。这是全球隐私控制 (GPC)：如何处理自动选择退出信号下的核心合规义务。
网站运营商的实际实施步骤：
- 在服务器端检测信号，通过
Sec-GPC: 1HTTP 头在呈现任何跟踪脚本之前。 - 在客户端查询 JavaScript 属性 (
navigator.globalPrivacyControl) 作为二次检查。 - 抑制数据共享脚本，如第三方广告像素、跨站跟踪 cookie 和数据经纪人集成。
- 在您的同意管理系统中记录选择退出，以保持可审计的记录。
- 不要用同意横幅覆盖信号，要求用户重新选择加入；这种做法被视为黑暗模式，可能本身构成违反。
同意管理平台可以自动化大部分工作流程。当正确集成时，CMP 检测到传入的 GPC 信号，自动应用选择退出偏好，并向用户显示确认，而不是完整的同意提示。 [3] Biscotti CMP (www.biscotti-cmp.com) 提供 GPC 信号检测和自动响应处理，作为其合规基础设施的一部分，使网站运营商能够在无需自定义开发工作的情况下满足这些义务。
GPC 是否真的停止数据收集和跟踪
GPC 在正确尊重的情况下停止与第三方的个人数据销售和共享，但并不消除所有形式的数据收集。这一区别对用户和合规官员都很重要。
GPC 限制的内容（在被尊重时）：
- 向数据经纪人或广告网络出售用户数据
- 为跨上下文行为广告与第三方共享个人数据
- 在不相关域之间同步用户标识符
GPC 不限制的内容：
- 第一方分析（例如，测量您自己网站的流量）
- 网站功能所需的严格必要 cookie
- 基于其他法律依据（如合同履行或法律义务）的数据处理
研究表明，GPC 在实践中的有效性在很大程度上取决于网站的采用率和自愿合规，特别是那些不在法律强制管辖范围内的网站。 [9] 在没有 GPC 强制要求的州，用户可能会发现许多网站根本不尊重该信号。
GPC 合规要求对于电子商务网站以及如果网站忽视 GPC 信号会发生什么
电子商务网站面临更高的 GPC 合规风险，因为它们通常集成了众多第三方服务：广告像素、重定向网络、联盟跟踪和分析平台，这些都可能涉及个人数据的销售或共享。
对于电子商务运营商而言，遵守全球隐私控制 (GPC)：如何处理自动选择退出信号涉及：
- 审核所有第三方脚本，以识别哪些构成适用州定义下的数据“销售”或“共享”
- 配置标签管理系统，仅在检测到 GPC 信号时触发合规标签
- 确保忠诚度计划、电子邮件营销集成和 CRM 数据流尊重 GPC 选择退出
- 记录技术实施，以备潜在的监管审查
如果网站忽视 GPC 信号会发生什么？ 在加利福尼亚州，忽视 GPC 被视为未能尊重 CCPA/CPRA 下的选择退出请求。Sephora 和解表明，监管机构将追求执法行动和巨额财务处罚。 [1] 除加利福尼亚州外，科罗拉多州、康涅狄格州、新泽西州和俄勒冈州各自有自己的执法机制。如果缺乏 GPC 合规，跨州运营的企业面临复合风险。
企业常犯的错误：
- 假设 GPC 仅适用于加利福尼亚州居民
- 将 GPC 视为“软”偏好，而不是具有约束力的选择退出
- 在添加新的第三方供应商时未能更新同意管理配置
- 允许同意横幅覆盖或模糊已生效的 GPC 选择退出
GPC 是否与 CCPA 选择退出请求相同
GPC 在加利福尼亚州被视为与 CCPA 选择退出请求在法律上等同，但在机制上并不相同。传统的 CCPA 选择退出要求用户在每个网站上找到并点击“请勿出售或共享我的个人信息”链接。GPC 在浏览器级别自动化该请求，普遍适用。 [8]
加利福尼亚州检察长的指导确认，企业必须将传入的 GPC 信号视为与手动提交的选择退出表单具有相同的法律效力。如果 GPC 已经处于活动状态，企业不能要求用户还需完成手动选择退出。在 CPRA 修正案下，范围扩大到包括“共享”数据用于跨上下文行为广告，而不仅仅是销售，这也是 GPC 所涵盖的内容。
如果我已经使用隐私扩展，是否还需要 GPC
隐私扩展和 GPC 服务于重叠但不同的目的。广告拦截器或跟踪器拦截器等扩展通过阻止网络请求或修改页面行为在本地操作。相比之下，GPC 向网站本身传达法律偏好，创建了服务器端的合规义务。
运行广告拦截器的用户可能会阻止许多跟踪器加载，但网站不会收到正式的选择退出信号，也没有法律义务调整其数据实践。GPC 创建了该法律信号。对于受覆盖州的用户，启用 GPC 以及隐私扩展提供了技术保护和法律认可的选择退出记录。
对于网站运营商而言，问题则不同：访问者使用的隐私扩展并不能满足您的 GPC 合规义务。您必须独立检测并尊重 Sec-GPC 信号，无论用户安装了什么工具。
常见问题
问：Sec-GPC: 1 HTTP 头实际上告诉网站什么？ 它告诉服务器用户已表达选择退出其个人数据的销售或共享的偏好。服务器应使用此信号在提供页面之前抑制任何数据共享活动。
问：网站可以要求 GPC 用户重新同意并覆盖其选择退出吗？ 不可以。向 GPC 用户展示要求重新选择加入的同意横幅被视为黑暗模式，可能违反适用隐私法律的精神和字面。GPC 信号必须按原样受到尊重。
问：GPC 适用于 B2B 网站还是仅适用于面向消费者的网站？ GPC 义务通常适用于从消费者那里收集个人数据的网站，具体由州隐私法律定义。纯 B2B 环境可能不符合某些法定定义，但法律顾问应单独评估每种情况。
问：我如何验证我的网站是否正确检测 GPC 信号？
使用启用 GPC 的浏览器（如 Brave），并检查您的服务器日志中的 Sec-GPC: 1 头，或在您网站的浏览器控制台中查询 navigator.globalPrivacyControl。值为 true 确认信号存在。
问：是否有全球（非美国）法律要求尊重 GPC？ 截至2026年中期，GPC 主要在美国州法律下强制执行。没有强制性的欧盟或英国法规专门要求 GPC，尽管该信号与 GDPR 同意框架兼容，并且一些 CMP 在该背景下处理它。
问：GPC 合规需要多频繁重新审核？ 每当向网站添加新的第三方脚本或数据集成时，GPC 合规配置应进行审核。年度审核是最低基准；对于高流量电子商务网站，建议进行季度审核。
问：GPC 和 cookie 同意横幅有什么区别？ cookie 同意横幅是一个用户界面元素，征求用户对特定数据使用的许可。GPC 是一种浏览器级信号，传达预先存在的偏好，而无需任何用户界面交互。两者可以共存，但在受覆盖的司法管辖区内，GPC 在选择退出方面优先。
问：GPC 是否涵盖所有类型的个人数据处理？ 不。GPC 专门针对与第三方的个人数据销售和共享。它不限制第一方数据使用、分析或基于其他合法依据（如合同必要性）的处理。
结论
全球隐私控制 (GPC)：如何处理自动选择退出信号不再是一个理论合规主题；它是多个美国州的积极执法优先事项，并有着财务处罚的文档历史。Sephora 和解确立了监管机构将采取行动的事实，而越来越多的州承认 GPC 作为有效的选择退出机制意味着合规面临的风险正在增加。
企业和开发人员的可操作下一步：
- 审核您当前的技术栈，以识别所有第三方数据共享集成。
- 实施服务器端检测
Sec-GPC: 1头作为响应的第一层。 - 在您的标签管理系统中添加客户端
navigator.globalPrivacyControl检查。 - 部署或配置 CMP，例如 Biscotti CMP，以自动化 GPC 信号检测、选择退出应用和审计日志记录。
- 培训您的营销和分析团队，了解在 GPC 活动时哪些数据流受到限制。
- 安排季度合规审查，以考虑新的供应商集成和不断变化的州立法。
希望行使 GPC 权利的用户应在 Firefox (v120+) 中启用该信号或使用 Brave，并在 GPC 测试资源上验证激活。该信号在后台静默工作，但只有在网站需要尊重它的情况下才能产生法律保护。
参考文献
[1] 全球隐私控制 - https://en.wikipedia.org/wiki/Global_Privacy_Control?utm_source=openai
[2] 全球隐私控制 - https://support.mozilla.org/en-US/kb/global-privacy-control?utm_source=openai
[3] 14641576514844 全球隐私控制 Gpc 信号 - https://support.usercentrics.com/hc/en-us/articles/14641576514844-Global-Privacy-Control-GPC-Signal?utm_source=openai
[4] 全球隐私控制 - https://www.ethyca.com/glossary/global-privacy-control?utm_source=openai
[5] 全球隐私控制 - https://securiti.ai/global-privacy-control/?utm_source=openai
[6] 什么是全球隐私控制 Gpc - https://elementor.com/help/what-is-global-privacy-control-gpc/?utm_source=openai
[7] 全球隐私控制 - https://apis.io/apis/ccpa/global-privacy-control/?utm_source=openai
[8] oag.ca.gov - https://www.oag.ca.gov/privacy/ccpa/gpc?utm_source=openai
[9] arxiv - https://arxiv.org/abs/2407.14938?utm_source=openai