全部文章
9 / 9
《加州隐私权法案》CPRA 合规指南
CPRA 于2023年1月1日生效、7月1日执法，在 CCPA 基础上新增更正权与限制敏感个人信息使用权。本文讲清谁需遵守、隐私政策必备内容、消费者新权利、对服务商与承包商的合同义务，以及风险评估、网络安全审计与执法变化，并附企业自测清单。
TikTok 两起诉讼：跨境政策一致性与儿童内容
2022年12月，印第安纳州对 TikTok 提起两起诉讼：一起指其对美国用户隐瞒数据可被境外访问，一起指其向未成年人推送不当内容。本文对比 TikTok 欧盟与美国隐私政策的落差，给出跨境一致与儿童分级两条实操建议，含 YouTube Kids 家长验证范例。
安卓定位合规：地理位置怎么采集才不踩线
承接谷歌3.91亿美元位置追踪和解，本文从工程角度讲地理位置的常见获取方式（GPS/基站/WiFi/IP）、安卓 LocationManager 的四种 provider，以及隐私政策、请求同意、最小化使用三步合规做法，帮出海 App 把定位采集做到不踩线。
谷歌 3.91 亿美元和解：位置追踪的透明度红线
2022年11月14日，谷歌就非法追踪用户位置与40个州达成3.91亿美元和解，为美国史上最大多州隐私和解案。本文梳理“位置历史”“网络和应用活动”“广告个性化”三处误导设计，以及弹窗提醒、位置专页、30天存储限制、四年合规报告等和解整改要求。
GDPR 数据泄露 72 小时上报：判断与操作指南
GDPR Article 33 要求控制者自“知悉”个人数据泄露起72小时内向监管机构上报，逾期或被追责。本文讲清三步判断是否需上报、72小时如何计时起算、上报给谁、报什么，以及72小时内查不清时先报后补的做法，帮出海企业在时限内从容应对。
定向广告合规：从 Twitter 和解看三条红线
2022年5月，Twitter 因把用户为多因素认证提供的电话、邮箱挪作定向广告，向 FTC 支付1.5亿美元和解，逾1.4亿用户受影响。本文拆解定向广告的欧美监管口径（含 Amazon 7 亿欧元、Google 5000 万欧元 GDPR 罚单），给出信息透明、有效同意、可撤回退出三条合规红线。
暗黑模式与隐私设计：监管如何治理欺骗性界面
暗黑模式（Dark Pattern）用误导性界面诱导用户交出数据或放弃退出权。本文按 FTC 2022年9月《暗黑模式报告》分类，结合 TransUnion、LinkedIn、Airbnb 案例，梳理 GDPR、CCPA/CPRA 如何约束欺骗性同意与退出设计。
跨境数据的隐私政策怎么写：SHEIN 与亚马逊的答卷
跨境电商的海外数据回流几乎不可避免，隐私政策怎么写既满足披露义务又能控制合规风险？本文拆解 SHEIN 与亚马逊面向美国、欧洲用户的不同措辞，并逐条梳理 GDPR 第44-49条的合规路径：充分性认定、SCC、BCR、行为准则与例外情况 Derogations。
一次隐私投诉如何演变成 4.05 亿欧元 GDPR 罚单
2019年一名数据科学家向 Meta 报告 Instagram 在 HTML 源码泄露儿童联系方式，客服争辩未予重视，四个月后他转告爱尔兰 DPC，最终演变成4.05亿欧元罚款。本文按判决书拆解 Article 12/35/25/5/6 的处罚金额与逐条违规。
Musical.ly 570 万美元 COPPA 罚单：儿童隐私合规
TikTok 前身 Musical.ly 因违反美国 COPPA 被 FTC 罚570万美元。本文以此案拆解 COPPA 的适用逻辑：13岁以下保护、运营商“事实知识”认定、面向儿童判定标准，以及隐私政策、可核实家长同意、留存删除与安全港等合规要求。
美国生物识别隐私法：BIPA、CUBI、WBPL 三州对比
Snap 同意最高3500万美元集体诉讼和解，引出美国三部专门的生物识别隐私法：伊利诺伊 BIPA、德州 CUBI、华盛顿 WBPL。本文对比三者在责任范围、定义、通知同意、数据安全、销毁与执法上的异同，其中仅 BIPA 赋予个人私人诉讼权，是诉讼高发地。
Instagram 儿童隐私整改实测：默认私密落地了吗（二）
Kaamel Labs 实测 Instagram 对4.05亿欧元罚单的整改：手机端已阻止13岁以下注册、13-16岁账户默认私密，但扫描发现特定场景下新注册未成年账户仍可能默认公开。本文还对比 TikTok 的默认私密设计，梳理 Privacy by Design 要点。
Instagram 4.05 亿欧元罚单：GDPR 儿童隐私违规（一）
2022年9月，爱尔兰 DPC 就 Instagram 违反 GDPR 儿童数据保护义务处以4.05亿欧元罚款，为当时史上第二高。问题出在把13-17岁账户默认设为公开、允许儿童商用账号公开邮箱手机号。本文拆解涉及的 GDPR 条款与合规要点。
丝芙兰 120 万美元 CCPA 和解：用 GA 也算“出售”数据
2022年8月加州总检察长与丝芙兰达成120万美元 CCPA 和解：让 Google Analytics 用第三方 Cookie 换广告服务被认定为“出售”个人信息，且未提供 Do Not Sell 选项、忽视 GPC 信号。本文拆解四项指控与整改路径。
