打开空间

指南 · 浏览器信号

Global Privacy Control：当浏览器替你说“不”

GPC 是浏览器向每个网站自动发送的通知，表示用户不希望自己的数据被出售或共享。在美国的多个州，忽略这个通知已经招致罚款。请了解如何响应以及如何测试。

检查我的网站是否尊重 GPC阅读指南
  • ✓基于 GPC 规范和各州的官方资料
  • ✓任何人都能在浏览器中做的测试
  • ✓只读取，不修改网站
3自带 GPC 的浏览器：Brave、DuckDuckGo 和 Firefox
120 万美元2022 年 Sephora 因忽略 GPC 在加利福尼亚州达成的和解
2024科罗拉多州自 7 月 1 日起要求 GPC 的年份
32025 年 9 月联合排查涉及的州：加利福尼亚州、科罗拉多州和康涅狄格州

是什么

随每次访问而来的隐私通知

Global Privacy Control，简称 GPC，是浏览器的一项设置。用户开启此选项后，浏览器会通知其访问的所有网站，表示不希望自己的个人数据被出售或共享。

与 Cookie 横幅最大的区别是，用户不需要在你的网站上点击任何东西。拒绝已经准备好，在页面加载之前就送达了。网站只需要读取这个通知并遵从。

Brave 和 DuckDuckGo 自带 GPC，默认开启；Firefox 中则由用户在设置里启用。Privacy Badger、Disconnect 和 OptMeowt 等扩展程序也可以在其他浏览器中发送这个信号。

该提案诞生于 2020 年，出自制定网络标准的组织 W3C 的一个小组。2024 年 11 月，它成为 W3C 隐私工作组的正式工作项目，目前正在标准化。

清单

你需要做到的事项

这些义务适用于法律要求遵守 GPC 的地方，例如加利福尼亚、科罗拉多和康涅狄格，适用于符合各项法律门槛的企业。

  1. 把该信号当作有效的退出请求

    在加利福尼亚，GPC 是有效的退出请求。在科罗拉多，自 2024 年 7 月 1 日起，它被视为拒绝出售和拒绝定向广告。在康涅狄格，该义务自 2025 年 1 月 1 日起生效。

  2. 在标签之前读取该信号

    浏览器通过值为 1 的 Sec-GPC 标头和 navigator.globalPrivacyControl 属性发出通知。GPC 官方指南要求该脚本尽可能早地放在页面中。

    // Lê o GPC antes das tags e liga o RDP na GPT
if (navigator.globalPrivacyControl === true) {
  googletag.cmd.push(function () {
    googletag.pubads().setPrivacySettings({
      restrictDataProcessing: true
    });
  });
}

  3. 不要要求登录，也不要索取额外数据

    科罗拉多的规则禁止为接受该信号而要求登录，也禁止索取超出严格必要范围的数据。

  4. 在隐私政策中解释 GPC

    在科罗拉多，政策必须说明如何处理通过 GPC 等通用信号发出的退出请求。

    示例

    我们尊重 Global Privacy Control。如果您的浏览器发送该信号，我们会把这次访问视为拒绝出售和拒绝定向广告。

  5. 把退出请求传给所有合作伙伴

    当 GPP 字符串显示退出，或标签请求 RDP 时，Google 会开启 RDP。同样的退出请求还必须传到 header bidding 和像素。

  6. 显示选择的状态

    在加利福尼亚，自 2026 年起生效的规则要求网站向访客显示他们所做选择的状态。在科罗拉多，允许显示已尊重该信号。

    示例

    隐私面板：已收到 GPC 信号。您的退出请求已生效。

实际案例

正确与错误示例

官方工具

经认证的 CMP 与官方链接

GPC 没有认证 CMP 的列表，而且 Google 在美国不要求使用认证 CMP。请确认您的 CMP 会读取 GPC，并把退出写入 GPP 字符串。

定义

不复杂的技术术语

这些词会出现在法律、CMP 和浏览器的开发者工具中。

Sec-GPC 标头

浏览器在每次请求中发送给服务器的通知。当用户开启 GPC 时，它的值恰好是 1。

navigator.globalPrivacyControl

页面脚本可以获得的同一信息。GPC 开启时为 true，未开启时为 false。

gpc.json 文件

位于网站 well-known 地址的可选文件，网站所有者在其中声明自己尊重 GPC，并注明最后更新日期。

出售和共享

在加利福尼亚州，共享是指将数据用于跨不同网站的行为广告。程序化广告通常属于这一类。

定向广告

科罗拉多州和康涅狄格州等州的法律使用的术语，指根据用户在其他网站上的行为选择的广告。

通用退出信号

法律对 GPC 这类自动通知的通用称呼。每个州规定自己接受哪些信号。

适用对象

哪些地方尊重 GPC 已是义务

这些法律适用于达到各州标准的企业，比如该州居民的数据量。请向法务确认你的网站是否符合这些标准。

加利福尼亚州

总检察长表示，受该法律涵盖的企业必须把 GPC 当作停止出售或共享数据的有效请求予以接受。

科罗拉多州

自 2024 年 7 月 1 日起，受该法律涵盖的企业必须尊重 GPC。目前它是该州接受的唯一通用信号。

康涅狄格州

自 2025 年 1 月 1 日起，浏览器信号被视为拒绝数据出售和定向广告。

俄勒冈州

自 2026 年 1 月 1 日起，居民可以使用由浏览器或扩展程序发送的通用退出信号。

其他州

美国其他州的法律也涉及通用退出信号，日期各不相同。清单经常变化。

美国以外

在巴西和欧洲，GPC 不能替代横幅或用户同意。即便如此，尊重这个信号也表明你关心访问者。

访问者的权利

开启 GPC 的访问者会有什么变化

在法律上，GPC 等同于用户点击“不要出售或共享我的信息”链接。区别在于，用户不需要在每个网站上寻找这个链接。

收到拒绝后，网站不能再出售或共享该用户的数据，除非用户再次授权。在加利福尼亚州，官方指引是尽快处理拒绝请求，最迟不超过 15 个工作日。

在康涅狄格州，即使信号与用户之前的选择或会员计划冲突，信号也有效。网站可以提示冲突并请求确认，但不能直接忽略信号。

GPC 并不要求网站停止运行，也不要求隐藏广告。广告仍然会显示。只是不能使用该用户的数据进行出售、共享或定向广告。

网站的义务

网站应该如何响应 GPC

  1. 尽早检测信号CMP 或页面顶部的脚本，在任何广告或营销标签加载之前读取信号。
  2. 立即执行拒绝把访问者标记为拒绝出售、共享和定向广告，无需点击或填写表单。
  3. 把拒绝传递给合作伙伴更新 GPP 字符串，包括拒绝标记和 national 分段的 GPC 字段，让 Google 和其他合作伙伴收到同样的通知。
  4. 表明信号已被尊重在偏好设置面板中写一句“我们已收到您的隐私信号”，既能帮到访问者，也可作为网站的记录。
  5. 用带 GPC 的浏览器测试在 Firefox 中开启 GPC，或使用 Brave，打开网站，在控制台和网络请求中检查拒绝是否已执行。
在浏览器中读取信号，以及可选的声明文件
// Lê o GPC antes das tags de anúncio
if (navigator.globalPrivacyControl === true) {
  // trate como recusa de venda, compartilhamento
  // e publicidade direcionada
  // a CMP deve refletir isso na GPP string
}

// Opcional: /.well-known/gpc.json
{ "gpc": true, "lastUpdate": "2026-11-02" }

AdSense 和 Ad Manager

GPC 的拒绝如何传到 Google 的广告

GPC 是与你的网站沟通，而不是直接与每个广告合作伙伴沟通。因此，最稳妥的做法是由 CMP 把信号转换成记录在 GPP 字符串中的拒绝。

Ad Manager 会读取美国 national 分段，以及加利福尼亚州、科罗拉多州、康涅狄格州、佛罗里达州和弗吉尼亚州的分段。当字符串显示拒绝出售、共享或定向广告时，Google 会开启受限数据处理。

这样一来，广告仍然会展示，但不会基于该访问者的数据进行个性化。每次访问的收入通常会略有下降，但网站不再有忽略有效拒绝的风险。

要注意 header bidding 和其他广告网络。如果只有 Google 的标签收到了拒绝，竞价中的其他买家仍会使用这些数据，就好像访问者从未拒绝过一样。

时间线

从试验到执法

短短几年间，GPC 从一项技术提案变成了各州联合执法的对象。

  1. 2020

    W3C 的提案

    GPC 起源于 W3C 的一个隐私社区小组。

  2. 2022 年 8 月 24 日

    Sephora 案

    加利福尼亚州总检察长宣布达成 120 万美元的和解。指控之一是没有处理通过 GPC 发送的拒绝请求。

  3. 2024 年 7 月 1 日

    科罗拉多州要求 GPC

    受科罗拉多州法律涵盖的企业，必须把 GPC 作为拒绝数据出售和定向广告来尊重。

  4. 2024 年 11 月

    W3C 正式工作项目

    GPC 开始由 W3C 隐私工作组进行标准化。

  5. 2025 年 1 月 1 日

    康涅狄格州要求浏览器信号

    GPC 等信号被视为拒绝数据出售和定向广告。

  6. 2025 年 9 月 9 日

    联合排查

    加利福尼亚州、科罗拉多州和康涅狄格州向似乎没有尊重 GPC 的企业发出信函。

  7. 2026 年 1 月 1 日

    俄勒冈州采用通用信号

    俄勒冈州居民可以通过浏览器使用通用退出信号。

监督执法

谁来追究，以及已经发生了什么

负责执法的是各州的总检察长，在加利福尼亚州还包括州隐私保护机构。他们可以进行调查、要求整改，并实施各部法律规定的处罚。

第一起大案是 2022 年的 Sephora 案。加利福尼亚州总检察长指出，该公司没有处理通过 GPC 发送的拒绝请求，也没有在当时法律规定的期限内纠正问题。和解金额为 120 万美元。

2025 年 9 月，加利福尼亚州、科罗拉多州和康涅狄格州开展联合排查，向似乎没有尊重 GPC 的企业发出信函，要求立即整改。

当局使用的测试很简单：在浏览器中开启 GPC，看看网站是否仍在向广告合作伙伴发送数据。任何人都可以重复这个测试。

常见错误

网站为什么会在不知不觉中忽略 GPC

大多数情况下，网站所有者以为一切正常，因为横幅出现了。

CMP 没有读取 GPC

CMP 里有这个选项，但处于关闭状态。信号到了，却没有人读取。

标签先于 CMP 加载

像素和广告在 CMP 读取信号之前就加载了。等到应用拒绝时，最初的数据已经发出去了。

拒绝只记录在 CMP 的 Cookie 里

CMP 记录了拒绝，但没有更新 GPP 字符串。合作伙伴永远不会知道。

要求点击确认

网站显示提示，要求用户先确认拒绝再执行。而信号本身就是拒绝。

header bidding 被漏掉

拒绝送达了 Google，但没有送达竞价中的其他买家。

仅限加利福尼亚州

信号只在一个州被尊重，在同样有要求的其他州却被忽略。

实际案例

面对 GPC 可以做什么，不可以做什么

适用于有美国访问者的网站的日常示例。

可以

  • 继续展示广告，但不使用该用户的数据进行个性化
  • 在偏好设置面板中显示已收到信号
  • 提示与之前选择存在冲突，并请求确认
  • 发布 gpc.json 文件，声明网站尊重该信号
  • 对竞价中的所有合作伙伴应用同样的拒绝

不可以

  • 因为访问者没有点击横幅就忽略信号
  • 要求登录、邮箱或表单才接受拒绝
  • 在读取信号之前就加载营销像素
  • 对使用 GPC 的用户屏蔽内容
  • 下次访问时在没有新授权的情况下撤销拒绝

在 ConsentMode 中

审核对 GPC 检查什么

  • 以美国访问者的身份，在有和没有 GPC 信号的情况下各打开一次网站。
  • 比较每次访问中触发的标签和广告请求。
  • 读取 GPP 字符串，检查信号开启时是否出现拒绝标记和 GPC 字段。
  • 检查是否存在 gpc.json 文件，以及偏好设置面板是否显示了信号。
  • 提供每次访问的截图，以及需要在 CMP 或标签中进行的调整。
开始审核查看所有检查项

常见问题

GPC 能代替 Cookie 横幅吗？

不能。在法律要求告知或同意的地方，横幅仍然是必需的。GPC 是自动的拒绝，无论有没有横幅，网站都必须尊重。

我的网站在巴西。我需要担心吗？

如果你有美国访问者，而且你的业务符合各州法律的标准，就需要。对于巴西的受众，LGPD 没有提到 GPC，但尊重这个信号不会影响广告。

尊重 GPC 会让页面上的广告消失吗？

不会。广告仍然会显示。只是不能使用该访问者的数据进行出售、共享或定向广告。

我怎么开启 GPC 来测试？

在 Firefox 中，在隐私设置里开启该选项。Brave 和 DuckDuckGo 默认已开启该信号。然后在控制台输入 navigator.globalPrivacyControl：结果应为 true。

gpc.json 文件是必需的吗？

不是。它是规范中规定的可选声明。对法律而言，关键是网站是否真正执行了拒绝。

Google 会自己读取 GPC 吗？

不要指望这一点。稳妥的做法是由 CMP 把信号转换成 GPP 字符串中的拒绝，Ad Manager 会读取它并用它来限制数据处理。

资料库

官方来源

本指南根据以下官方页面编写。请直接阅读原文：

看看浏览器说“不”的时候，你的网站会怎么做

审核会在有和没有 GPC 的情况下各访问一次网站，并显示差异，不会改动任何内容。

开始审核