2026 年 11 月 10 日，加州隐私保护局（California Privacy Protection Agency，下称 CalPrivacy）宣布，其理事会已于 11 月 6 日通过对 Federal Express Corporation（联邦快递）的决定暨《约定最终命令》（Stipulated Final Order，案号 ENF25-073-TS-FE），责令其缴纳 297.5 万美元行政罚款，并在三年内执行一整套追踪技术盘点、测试与监控义务。本案最值得出海企业关注的，并非罚款数字，而是监管机构的一句表态：CCPA 对个人的保护，"即使在企业对企业（B2B）场景下"同样适用。
一、事件背景：一家"以 B2B 为主"的物流企业为何被罚
根据命令所载事实认定，调查期间为 2023 年 7 月 1 日至 2025 年 10 月 27 日。联邦快递在 www.fedex.com 及其移动应用中部署了来自 Meta、LinkedIn、Google、Adobe 等广告技术（AdTech）公司的 Cookie 与像素，这些工具收集设备与用户唯一标识符，并提供给 AdTech 公司用于定向广告。命令特别指出，部分 AdTech 公司还进行 Cookie 同步（cookie syncing），将各自的标识符相互匹配，从而在不同网站和平台间识别同一用户、拼接更完整的画像。命令同时注明，所涉个人信息不包括运单数据——问题完全出在网站的营销追踪层。
值得注意的是，命令第 33 段明确写道：即使访问发生在 B2B 情境下，上述隐私风险依然存在，因为消费者经常用同一部个人设备处理私人与工作事务，访问时被收集的标识符可以被并入其更广泛的在线行为画像。
二、四项核心违规认定
1. 隐私政策作出不实陈述。联邦快递在隐私政策中声明"我们不'出售'或'共享'您的个人信息……且在过去十二个月内也未如此做"。但依《加州民法典》§ 1798.140(ah)，"共享"是指为跨情境行为广告（§ 1798.140(k)）向第三方提供个人信息，无论是否有对价。CalPrivacy 认定，将第三方广告像素放在官网上即构成"共享"，相关披露违反 § 1798.130 及《加州法规汇编》第 11 编 §§ 7011、7013。
2. 未提供法定退出链接。网站只有"Cookie Consent"链接，既无"Do Not Sell or Share My Personal Information"，也无"Your Privacy Choices"链接，隐私政策也未说明如何处理退出偏好信号。
3. 未识别并执行退出偏好信号（OOPS / GPC）。网站未被配置为检测 Global Privacy Control 等浏览器信号，收到信号后仍继续向多家 AdTech 公司共享信息。命令认定每一次此类共享均违反 § 1798.120(d) 及第 11 编 § 7025(c)(1)、§ 7026(f)，并强调自 2020 年起加州法规即要求尊重此类信号。
4. 网页表单与 Cookie 控件均"失灵"。隐私政策中的 CCPA 请求表单明确写明"本表单不会使您退出 Cookie 或追踪技术"；而 Cookie 偏好窗口即便关闭"分析"与"追踪"类 Cookie，部分访客信息仍被提供给某些 AdTech 公司。此外，该窗口未说明 Cookie 设置与"出售/共享"的关系，依 § 7026(a)(4) 不能被当作合规的退出方式。
三、"我们只做 B2B，CCPA 管不到"是一个过时的假设
CPRA 曾为 B2B 联系人信息和员工信息设置临时豁免，但该豁免已于 2023 年 1 月 1 日到期。本案中，CalPrivacy 执行副主任 Tom Kemp 直言：企业必须评估其 B2B 业务是否尊重个人的隐私权利。换言之，采购经理、外贸业务员、平台卖家在浏览企业官网时，都是 CCPA 意义上的"消费者"。对大量以 B2B 官网、询盘落地页、SaaS 控制台获客的中资企业而言，这一表态直接否定了常见的"豁免心态"。
四、整改令：一份可直接对标的合规清单
除罚款须在决定生效后 30 日内缴纳外，命令第 62–71 段规定的非金钱义务有效期三年，主要包括：
（1）至少每季度扫描全部数字资产，维护出售/共享个人信息的追踪技术完整清单，新增追踪技术须先经审查；（2）与直接接收个人信息的第三方签订符合第 11 编 § 7053(a)(1)–(6) 的合同，并建立第三方准入审查流程；（3）在测试环境与生产环境中至少每季度、以及每次新增追踪技术时，测试退出请求是否被完整执行；（4）设置有效的"Do Not Sell or Share"或"Your Privacy Choices"链接，不得为请求增设不必要的摩擦；（5）Cookie 控件须明确说明其如何适用于出售/共享，标题含"privacy""cookie""ad choices"等字样的通知须附可直达选择页面的有效链接；（6）180 日内完成隐私政策与退出流程的全面审查，210 日内完成系统改造；（7）每年在官网公布第 11 编 § 7102 规定的请求处理指标。
联邦快递除承认主体与管辖事实外，对其余事实认定不承认亦不否认，也不承认任何违法责任。
五、对中资企业的合规要点
1. 先做一次"像素普查"。对官网、独立站、App 内嵌 SDK 逐一梳理 Meta、LinkedIn、Google、TikTok 等第三方标签，判断哪些构成"共享"，并建立季度复查机制。B2B 官网也不例外。
2. 隐私政策"说到做到"。若存在第三方广告追踪，不要沿用"我们不出售或共享个人信息"的模板表述；不实陈述本身即构成独立违规。
3. GPC 必须在服务器和标签管理层生效。检测到 GPC 后，须实际阻断相关标签触发，而非仅在前端显示"已退出"；建议在生产环境用开启 GPC 的浏览器抓包验证。
4. Cookie 横幅不能替代退出机制。如以 Cookie 控件承担退出功能，必须明示其对"出售/共享"的作用，并确保关闭后确实停止数据外流。
5. 补齐 AdTech 合同。按 § 7053 审查与广告平台、营销服务商的数据条款，确保第三方受合同限制，否则即使用户退出，上游义务链条仍有缺口。
六、格知律所如何协助
围绕本案暴露的问题，格知律师事务所可为出海企业提供：网站与 App 追踪技术审计（结合抓包测试识别构成"出售/共享"的标签与 SDK）；CCPA/CPRA 合规差距评估，覆盖 B2B 官网、询盘页与 SaaS 平台；隐私政策、Notice at Collection 与退出链接的起草和改写；GPC/OOPS 识别与 Cookie 同意管理方案的法律设计与验收测试；AdTech 及服务商数据处理协议（§ 7053）审阅；以及在收到 CalPrivacy 或加州总检察长问询函时的调查应对与和解谈判。我们的目标是把一次性整改转化为可持续运行的季度合规机制。
七、结语与展望
从本田、Tractor Supply、PlayOn 到联邦快递，CalPrivacy 的执法重心始终落在"退出权能否真正生效"这一技术细节上，而本案又把适用面明确延伸到 B2B 场景。在 CalPrivacy 推进退出偏好信号规则、加州 AB 566 要求浏览器内置退出信号功能（2027 年 1 月 1 日起生效）的背景下，"网站能否正确响应 GPC"将成为监管抽查的常规项目。对于在美开展业务的中资企业，现在正是对照联邦快递整改清单完成自查的窗口期。