2026 年 2 月至 3 月，加州两大隐私执法机关在短短数周内接连公布三起与“拒绝出售/共享个人信息”（opt-out）有关的处罚：2 月 11 日，加州总检察长办公室宣布 Disney 275 万美元和解；3 月 3 日，加州隐私保护局（CPPA）董事会作出决定，对青少年体育票务平台 PlayOn Sports 处以 110 万美元罚款；3 月 5 日前后，CPPA 又与 Ford Motor Company 以 375,703 美元达成和解。三个案件行业不同、金额不一，但指向同一个信号：opt-out 不是“有就行”，而是必须“好用、免门槛、跨设备、对信号有反应”。对在加州有消费者、使用广告追踪技术的中资跨境电商与出海企业而言，这是 2026 年最需要对照自查的执法方向。
一、背景：CCPA 的 opt-out 义务与执法重心
《加州消费者隐私法》（CCPA，经 CPRA 修订）赋予消费者拒绝企业出售或共享其个人信息的权利。实践中，“共享”主要指为跨情境行为广告而向第三方披露个人信息，因此网站上的第三方像素、SDK 和广告 cookie，几乎都落在这一条款的射程内。相关规则主要见于 Cal. Civ. Code § 1798.120、§ 1798.135，以及 CPPA 实施条例中关于 opt-out 请求方式和 opt-out 偏好信号的规定（如 11 CCR § 7025、§ 7026，并可结合关于不得使用“暗模式”的 § 7004 理解）。需要说明的是，本文所依据的公开报道和机构通报并未逐案列明各和解文件援引的具体条文，具体条款以各案和解文件原文为准。
从处罚幅度看，CCPA 项下的行政罚款与民事罚款为每次违规最高 2,500 美元，故意违规或涉及 16 岁以下未成年人的最高 7,500 美元（金额按 CPI 定期调整）。2023 年 1 月 1 日起，CCPA 不再规定“30 天补正期”，企业不能再等收到通知后才整改。
二、三起案件：监管者到底在看什么
（一）Disney：opt-out 必须“跨设备、跨服务”。据通报，该案源于 2024 年起针对流媒体服务的专项调查。监管机构认为：其一，消费者通过 opt-out 开关退出后，效力只及于当前使用的服务和设备，同一账户下其他关联服务和设备上的数据出售与共享仍在继续；其二，通过网页表单提出的请求，虽然停止了经由 Disney 自有广告平台的共享，但嵌入的第三方广告技术公司仍在获取个人信息；其三，许多联网电视（CTV）应用内没有应用内 opt-out 方式；其四，全球隐私控制（Global Privacy Control，GPC）信号只被识别为对发出信号的那一台浏览器设备有效，即使用户已登录多个服务。加州总检察长 Bonta 的表态大意是：opt-out 权利适用于企业出售数据的所有场景，企业不能要求消费者逐设备、逐服务重复操作。
（二）PlayOn Sports：不能把 opt-out 外包给行业自律工具。CPPA 认定，PlayOn 没有提供自己的 opt-out 渠道，而是把消费者引向 NAI、DAA 等行业自律组织的退出页面；网站 cookie 横幅只有“同意”按钮，没有其他关闭方式，手机端横幅还遮挡了票券兑换区域；电话和邮件渠道无法处理基于追踪技术的出售与共享；对 GPC 等 opt-out 偏好信号未予识别；隐私政策自 2022 年 7 月至 2024 年 2 月未更新，且错误地声明“不出售个人信息”。尤其值得注意的是：PlayOn 在 2023 年 1 月 1 日至 2024 年 12 月 31 日期间只投放过一次定向广告活动，仍被认定构成出售与共享。该案同时要求：一年内完成隐私风险评估，董事会须审阅并记录审阅人和日期，此后三年内在重大变更前更新；定期（报道称为每季度）扫描网站，维护追踪技术清单。
（三）Ford：验证邮箱也是“摩擦”。据报道，Ford 要求消费者先完成电子邮件验证，才会停止出售或共享其个人信息。CPPA 认为，opt-out 功能本身可用，但被设置在法律并未要求的步骤之后，构成不必要的阻碍。除罚款外，Ford 须在 90 天内审计 Ford.com 上的 cookie、网络信标和像素，并核查其是否尊重 GPC 等信号。CPPA 执法处负责人 Michael Macko 对此表示，不必要的步骤会让消费者放弃行使权利。
另据公开报道，此前 CPPA 对 Honda 的处罚（约 63.25 万美元，2025 年 3 月）同样以“隐私请求流程摩擦过大”为由；2026 年 8 月，CPPA 还对一家数据经纪商处以 116,490 美元罚款，涉及对 opt-out 请求的不当身份验证等问题。这些案件共同勾勒出一条清晰的线索。
三、法律分析：四条可执行的“红线”
第一，opt-out 不得附加不必要的验证或账户要求。opt-out 不同于删除、访问请求，监管机构的立场是，企业不应以邮箱验证、注册账户、填写额外信息等作为前置条件。
第二，GPC 等偏好信号必须被识别并执行。PlayOn 与 Ford 两案的整改都涉及信号识别；Disney 案则说明，仅对发出信号的单一浏览器生效不够，信号在企业能够关联到用户身份时，应扩展到相关账户或设备。
第三，“有横幅”不等于“有选择”。只能点击“同意”的横幅、遮挡核心功能的弹窗，均可能被认定为没有提供真正的选择。
第四，规模不是抗辩。PlayOn 仅一次广告活动、Ford 与 Honda 的违规只涉及流程设计，均未因“体量小”而免责；而且 PlayOn 在监管机构联系前就已整改，仍被处罚。
四、对中资企业的合规要点
1. 做一次“追踪技术盘点”。列出官网、App、小程序、H5 页面上所有第三方像素、SDK 与广告 cookie，逐一标注其接收方、数据字段，以及是否构成 CCPA 意义上的“出售”或“共享”。
2. 压测 opt-out 流程。亲自走一遍：从点击“Do Not Sell or Share My Personal Information”链接到真正停止数据流出，是否有额外验证、是否有断点、是否在所有设备和服务上生效；用浏览器开发者工具确认追踪请求确已停止。
3. 开启并测试 GPC。用带 GPC 信号的浏览器访问站点，确认第三方标签被拦截；对已登录用户，评估如何将信号延伸至账户层级。
4. 复核横幅与隐私政策。去除“只能同意”的设计，核对隐私政策是否如实披露出售/共享行为（至少每年更新一次），并确认与广告、分析供应商的合同载有 CCPA 要求的条款。
5. 提前准备风险评估。PlayOn 案已把隐私风险评估和董事会审阅写入整改要求，涉及广告追踪、敏感信息或未成年人数据的企业，宜把评估纳入常规治理流程，并保留记录。
五、格知律所如何协助
格知律师事务所（Getech Law）长期为中资企业提供美国数据合规服务，针对本文所述的 opt-out 与 GPC 风险，我们可协助：（1）开展 CCPA/CPRA 合规审计，盘点追踪技术与第三方数据流，判断“出售/共享”边界；（2）搭建或优化消费者请求（DSAR）与 opt-out 处理流程，包括 GPC 识别、跨设备关联和去摩擦设计；（3）起草或更新隐私政策、cookie 横幅文案及“Your Privacy Choices”入口，使之与实际数据处理一致；（4）审阅广告、分析等供应商数据处理协议，补强 CCPA 必备条款；（5）协助编制隐私风险评估，并在收到 CPPA 或州总检察长问询时提供应对支持。我们的目标，是让企业的 opt-out 机制经得起监管机构“亲自点一遍”的检验。
六、结语与展望
2026 年的加州执法呈现出清晰的方向：监管者已经从“有没有隐私政策”转向“消费者的选择在技术上有没有真正生效”，并且开始通过自动化监测发现问题，案件规模虽小但处罚坚决。对中资企业而言，与其等待问询，不如现在就用监管者的方式检查自己的网站和 App。本文为一般性法律信息，不构成针对具体事项的法律意见；如需评估贵司的具体情况，欢迎联系格知律师事务所。