2022年8月29日，加州总检察长与美妆零售平台丝芙兰（Sephora）达成和解，和解金额120万美元，这是加州基于《加州消费者隐私法》（CCPA）的第一例公开执法。核心争议在于：丝芙兰允许 Google Analytics 以第三方 Cookie 形式获取客户数据、换取免费或低价的广告与分析服务，加州认定这种“以数据换价值”的安排就构成 CCPA 定义下的“出售”，而丝芙兰却在隐私政策里声称“不出售客户数据”。

TL;DR

• 2022年8月29日，加州总检察长宣布与丝芙兰达成120万美元 CCPA 和解，为加州首例公开执法。
• CCPA 对“出售”定义宽泛：任何以客户数据交换价值的安排都算，包括用第三方 Cookie 换 Google Analytics 的广告与分析服务。
• 四项指控：隐私政策未披露“出售”、未在显著位置提供 Do Not Sell 选项、忽视 Global Privacy Control（GPC）信号、未在30天补救期内整改。
• 加州给出两条降险路径：与第三方签服务合同证明是“买服务”而非“卖数据”，以及为所有用户开启受限数据处理（RDP）。
• 自2023年1月1日起 CPRA 取代 CCPA，30天固定补救期被取消，改由检察官裁量。

“出售”的宽泛定义

CCPA（California Consumer Privacy Act）自2020年1月生效、同年7月开始执法，适用于大量面向加州消费者的企业。它对“出售”（sale）的界定不限于以数据直接换钱，而是任何形式的“以客户数据交换价值”。

丝芙兰同意 Google Analytics 通过第三方 Cookie 获取并使用其客户数据，作为交换获得精准广告投放、顾客画像等服务。加州认定这是一种“出售”。而丝芙兰在隐私条款中写明“我们不出售客户数据”，与事实不符。这一步在业界曾被视为常规操作：多数公司认为“自己没有主动卖数据就不算出售”，并用“提升客户体验”为使用第三方广告分析服务正名。CCPA 之下，这套说法不再成立。

四项指控

• 隐私政策未披露“出售”（Civil Code 1798.130(a)(5)）：把与 Google Analytics 的数据交换排除在“出售”之外，构成不实陈述。
• 未提供 Do Not Sell 选项（1798.135(a)）：CCPA 赋予加州居民退出权，企业须在网站、App、用户资料界面显著且易达的位置提供“Do Not Sell My Personal Information”选择，并在后台落实。丝芙兰未能提供有效退出入口。
• 忽视 GPC 信号（1798.120(a)）：Global Privacy Control 是浏览器层面的通用退出信号，启用后网站应自动视为用户已退出。加州的监测数据显示，大量启用了 GPC 的实验流量仍流向 Google Analytics。
• 未在30天补救期内整改：CCPA 给企业30天补救窗口，期内解决则不予控告。对数字化程度高的数据大户，30天调整全渠道实现并不宽裕。

两条降险路径

加州总检察长在通报中给出两点可操作建议，用来降低被认定为“出售”的风险。

一、用服务合同证明是“买服务”而非“卖数据”。 在 CCPA 框架下（1798.140(v)），无服务合同时把个人信息分享给第三方，第三方通常被认定为“非服务商”，企业行为大概率被判为“出售”。当合同明确了服务内容、服务目的限于“必要的公司运作”并载明支付价格时，第三方才被认定为服务商，企业“花钱买服务、过程中用到客户数据”的定性就更稳。

二、为所有用户开启受限数据处理（RDP，Restricted Data Processing）。 部分分析与广告服务商（如 Google Analytics）自带 RDP。开启后服务商可使用数据的范围受限，减少数据外流。若服务商不自带 RDP，企业应在合同中要求其隐私政策同样符合 CCPA，重点包括退出机制（opt-out）与数据留存政策。

GPC 的落地

GPC 已获 Mozilla Firefox、DuckDuckGo 等隐私浏览器支持，也得到加州执法机构背书。相比前身 Do-Not-Track，它更具可执行性。落地有三个方向：浏览器把 navigator.globalPrivacyControl 置为 true 通知网站；客户端在 HTTP 请求头加 Sec-GPC: 1；服务端在站点提供 /.well-known/gpc.json 声明遵守，返回如下 JSON：

{ "gpc": true, "lastUpdate": "2022-09-01" }

企业在使用 Google 分析或广告服务时，最稳妥的做法是同时兼容 Do-Not-Track 与常见浏览器的退出信号，在检测到退出意愿时不向分析后端发送数据。关于同类退出信号与 Cookie 同意的实操，可参考 暗黑模式与隐私设计 中对退出流程设计的讨论，以及 Google Consent Mode 适配要求。

对出海企业的启示

这起案件说明，隐私政策里“怎么说”必须与后台“怎么做”一致：声称“不出售”，就不能让启用了 GPC 的流量继续流向广告分析后端。面向全球消费者的网站或 App，需要持续跟踪业务所在地的隐私执法标准，把退出权、RDP、GPC 三个检查项都落到产品与后端配置里，而不是停留在条款措辞。

时点也在变化：自2023年1月1日起，《加州隐私权法》（CPRA）取代 CCPA，30天固定补救期被取消，改由检察官决定给予多长补救时间，“被抓了再改”的容错空间收窄。关于加州现行框架的义务清单，可参考 CPRA 合规指南；执法并未停在丝芙兰一例，加州对迪士尼开出 275 万美元 CCPA 罚单 显示监管仍在延续。企业内部也需法务、技术、安全协同，并第一时间响应用户的隐私投诉与反馈。