打开空间

指南 · 美国

美国隐私：有广告的网站需要了解什么

美国没有单一的联邦隐私法。各州正在各自制定自己的法律，几乎都采用选择退出模式：广告可以投放，但访客有权说不。本指南介绍这一模式、加利福尼亚州、GPC 和 GPP 信号，以及 Google 如何处理美国各州。

立即审核我的网站阅读指南
  • ✓基于加利福尼亚州、科罗拉多州、康涅狄格州和弗吉尼亚州的官方来源
  • ✓概览，并附有各州指南的链接
  • ✓读取网站，不修改任何内容
45 天弗吉尼亚州答复请求的期限，可延长一次
10 万加利福尼亚州法律的门槛之一：消费者或家庭数量
7,988 美元2025 年加利福尼亚州对故意违规的最高罚款
2023继加利福尼亚州之后，首批州法律开始生效的年份

概览

拼凑而成，而不是单一的法律

美国没有像 GDPR 或 LGPD 那样的联邦通用隐私法。在联邦层面，存在按行业和按人群划分的法律。对有广告的网站来说，最重要的是联邦贸易委员会法（FTC Act），它禁止欺骗性和不公平的做法，以及 COPPA，它保护 13 岁以下儿童的数据。

在实践中，这意味着隐私政策必须如实。如果网站声称不共享数据，却把数据传给了广告网络，FTC 可以将其视为欺骗性做法。如果内容面向儿童，则不能投放个性化广告。

联邦层面留下的空白由各州填补。加利福尼亚州以 CCPA 开了头，自 2023 年起，越来越多的州通过了全面的消费者隐私法。每部法律都有各自的适用门槛、期限和细节，但几乎都遵循相同的设计。

清单

你需要做到的事项

每个州都有各自的细节，但这些义务出现在大多数法律和 Google 的规则中。

  1. 提供一条容易退出的途径

    做定向广告或出售数据的一方，需要清楚地展示访客如何退出。在加利福尼亚，链接放在首页的页眉或页脚。

    示例

    所有页面的页脚：Do Not Sell or Share My Personal Information

  2. 把 GPC 当作退出请求

    加利福尼亚、自 2024 年 7 月 1 日起的科罗拉多，以及自 2025 年 1 月 1 日起的康涅狄格，都要求接受 Global Privacy Control 作为退出请求。访客不需要点击任何东西。

  3. 把退出请求传给 Google

    当 Google 通过 GPP 字符串或标签本身收到退出请求时，会开启受限数据处理（RDP）。启用 RDP 后，该次访问只会收到非个性化广告。

    // GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
  googletag.pubads().setPrivacySettings({
    restrictDataProcessing: true
  });
});

  4. 保持完整的隐私政策

    弗吉尼亚、犹他和科罗拉多要求政策说明您处理哪些数据、用途、涉及哪些类型的第三方，以及访客如何行使权利。

    示例

    我们使用广告合作伙伴的 cookie，根据您的浏览行为展示广告。如需退出，请使用页脚中的 Do Not Sell or Share My Personal Information 链接。

  5. 在使用敏感数据之前征求许可

    弗吉尼亚、科罗拉多和康涅狄格要求对健康、宗教和性取向等数据取得同意。在犹他，则需要事先给出清晰的通知并提供拒绝的机会。

  6. 按期答复请求

    在加利福尼亚、弗吉尼亚、科罗拉多、康涅狄格和犹他，访问、更正或删除请求须在 45 天内答复，可再延长 45 天。在加利福尼亚，退出请求须在 15 个工作日内处理。

  7. 关注未成年人

    在加利福尼亚，出售或共享你明知未满 16 岁者的数据，需要事先获得授权。不满 13 岁的，授权来自父母。

  8. 检查广告合作伙伴

    在 AdSense 和 Ad Manager 中，“隐私权和消息”下的“查看您的广告合作伙伴”控件，决定哪些买家可以在有相关法律的州投放广告。

    示例

    隐私权和消息 > 美国各州法规 > 设置图标 > 查看您的广告合作伙伴

实际案例

正确与错误示例

官方工具

经认证的 CMP 与官方链接

Google 对美国各州没有要求使用认证 CMP。它表示使用 GPP 或 CMP 不是强制的，但访客的退出选择必须传达到广告。以下是官方途径。

各州的模式

选择退出：可以投放，但个人可以说不

在欧洲，默认做法是先征求许可。在美国各州，默认做法是允许，并给访客一个简单的拒绝方式。

定向广告

访客可以拒绝让自己的数据被用于基于其在其他网站和应用中行为的广告。

出售或共享

访客可以拒绝出售自己的数据。在加利福尼亚州，这包括为跨情境行为广告而进行的共享。

敏感数据

健康、种族或民族出身、宗教、性取向和精确位置有额外保护。在多个州需要取得同意，而在加利福尼亚州，访客可以限制其使用。

浏览器自动信号

加利福尼亚州、科罗拉多州和康涅狄格州等要求尊重浏览器发送的选择退出信号，例如 Global Privacy Control。

加利福尼亚州

CCPA 和 CPRA：作为参照的法律

加利福尼亚州消费者隐私法（CCPA）经 2020 年 11 月通过的第 24 号提案扩展，这就是所谓的 CPRA。它适用于在加利福尼亚州开展业务、并达到以下至少一项门槛的营利性企业。

营收

上一年度的年总收入达到 26,625,000 美元或以上，该金额自 2025 年 1 月 1 日起按通货膨胀调整。

人数规模

购买、出售或共享 10 万名或以上加利福尼亚州居民或家庭的数据。美国流量很大的网站可能会达到这一数字。

数据收入

年收入的 50% 或以上来自出售或共享加利福尼亚州居民的个人数据。

选择退出链接

出售或共享数据的人需要一个清晰的链接，通常放在页脚，文字为 Do Not Sell or Share My Personal Information、Your Privacy Choices 或 Your California Privacy Choices。

其他各州

哪些州已有全面的法律

继加利福尼亚州之后，最先生效的法律是弗吉尼亚州的（2023 年 1 月 1 日），以及科罗拉多州和康涅狄格州的（2023 年 7 月 1 日）。随后是犹他州，其法律较为精简。

名单继续扩大，包括德克萨斯州、俄勒冈州、蒙大拿州、爱荷华州、特拉华州、内布拉斯加州、新罕布什尔州、新泽西州、田纳西州、明尼苏达州和马里兰州。印第安纳州、肯塔基州和罗得岛州的法律自 2026 年 1 月 1 日起生效。

门槛因州而异。例如在弗吉尼亚州，法律适用于一年内处理至少 10 万名消费者数据的人，或处理 2.5 万名消费者数据且超过一半收入来自出售数据的人。在科罗拉多州，门槛是 10 万名消费者，或者来自出售 2.5 万名或以上消费者数据的收入。

由于各州都有自己的细节，ConsentMode 为主要的州提供了单独的指南。本页给出整体概览。实用的规则是：按要求最严格的模式配置一次网站，并对所有已有法律生效的州应用选择退出。

权利

几乎所有法律中都会重复出现的权利

名称各不相同，但各州的权利组合大体相似。

了解和访问

询问公司拥有哪些数据以及用于什么目的。

修复

要求更正错误的数据。

删除

要求删除数据，法律规定的某些例外情况除外。

可携带性

以可以转移到其他服务的格式获取数据副本。

拒绝（选择退出）

对定向广告、数据出售和某些类型的画像说不。

申诉

在多个州，可以对公司的拒绝答复提出异议，并要求重新审查。答复期限很短：在弗吉尼亚州，处理请求的期限为 45 天，可延长一次。

信号

GPC 和 GPP：网站需要理解的两个信号

Global Privacy Control（GPC）是浏览器自己发送的信号，在 Firefox、Brave 和 DuckDuckGo 等浏览器中或通过扩展程序提供。它的作用相当于一个停止出售或共享我的数据的按钮。加利福尼亚州要求企业把这个信号当作有效的选择退出请求来尊重。

在科罗拉多州，接受通用选择退出机制自 2024 年 7 月 1 日起成为强制要求，GPC 是该州认可的第一个机制。在康涅狄格州，这项义务自 2025 年 1 月 1 日起生效。也就是说：开启了 GPC 的访客，应当视同已点击选择退出链接。

Global Privacy Platform（GPP）则是另一回事。它是 IAB Tech Lab 创建的格式，供 CMP 把访客的选择传递给所有广告合作伙伴，其中包含针对美国各州的部分。它取代了旧的 US Privacy 字符串，IAB 已于 2024 年 1 月停止使用该字符串。

总结：GPC 是来自浏览器的请求。GPP 是 CMP 向 Google 和其他广告网络通知访客选择的方式。

时间线

美国地图是如何逐步形成的

日期已在各州的官方来源中得到确认。

  1. 2020 年 11 月

    加利福尼亚州第 24 号提案

    选民通过 CPRA，它扩展了 CCPA，并设立了州隐私机构（CPPA）。

  2. 2023 年 1 月 1 日

    CPRA 和弗吉尼亚州

    加利福尼亚州的新保护措施和弗吉尼亚州的法律开始生效。Google 针对各州的法律扩大了受限数据处理。

  3. 2023 年 7 月 1 日

    科罗拉多州和康涅狄格州

    两部法律生效，并赋予选择退出定向广告的权利。

  4. 2024 年 1 月

    US Privacy 字符串结束

    IAB 停用 US Privacy 字符串，改用 GPP。

  5. 2024 年 7 月 1 日

    科罗拉多州的通用选择退出

    企业开始必须接受 GPC 之类的信号。

  6. 2025 年 1 月 1 日

    康涅狄格州与加利福尼亚州的新数值

    康涅狄格州开始要求尊重选择退出信号。加利福尼亚州按通货膨胀调整门槛和罚款。

  7. 2026 年 1 月 1 日

    印第安纳州、肯塔基州和罗得岛州

    三部新的州法律开始生效。在加利福尼亚州，有关自动化决策、风险评估和审计的规则开始生效。

AdSense 和 Ad Manager

Google 如何处理美国各州

Google 自 2019 年起提供受限数据处理（RDP），它最初是为 CCPA 设计的，并在 2023 年 1 月扩展到各州的法律。开启 RDP 后，Google 会限制标识符的使用，并且对该次访问只投放非个性化广告。

RDP 可以通过三种方式开启：通过发送 GPP 信号的 CMP、通过网站标签中每个广告请求的设置，或者在隐私权和消息功能设置中针对适用各州的所有流量开启。按请求设置的方式很适合搭配页脚中的选择退出链接。

在 AdSense 和 Ad Manager 中，还有“美国州级法规”下的“查看您的广告合作伙伴”控件，用来选择哪些买家可以向这些州的用户投放广告。Google 建议从 US Privacy 字符串迁移到 GPP，不过出于兼容性，它仍会读取旧字符串。

与欧洲不同，Google 对美国并不要求认证的 CMP。但发布商仍有责任提供各州法律所要求的选择退出，并保持隐私政策的正确。

该怎么做

如何配置有美国流量的网站

  1. 按州衡量流量在 Analytics 中查看有多少访客来自加利福尼亚州和其他已有法律的州。这有助于了解网站可能达到哪些门槛。
  2. 更新隐私政策说明广告使用哪些数据、哪些合作伙伴会收到这些数据、访客拥有哪些权利以及如何行使，并引用适用的州法律。
  3. 把选择退出链接放在页脚使用被认可的文字，例如 Do Not Sell or Share My Personal Information 或 Your Privacy Choices，并指向一个真正有效的页面或消息。
  4. 尊重 GPC配置 CMP 或网站，把 GPC 信号视为自动选择退出，无需访客再做任何其他操作。
  5. 把选择传递给 Google通过 CMP 使用 GPP、按请求使用 RDP，或者在隐私权和消息功能中使用美国各州的消息。
  6. 检查合作伙伴在 AdSense 或 Ad Manager 的“美国州级法规”中，查看哪些合作伙伴可以在这些州投放广告。

实际案例

对美国访客的允许与不允许

基于各州法律选择退出模式的示例。

可以

  • 默认展示个性化广告，同时提供清晰的选择退出
  • 在所有页面的页脚使用 Your Privacy Choices 链接
  • 只对选择退出的访客或有法律的州开启 Google 的 RDP
  • 把 GPC 视为选择退出，且不弹出任何横幅
  • 为所有有法律的州使用同一个选择退出页面
  • 通过 GPP 字符串把选择发送给合作伙伴

不可以

  • 选择退出链接指向一个没有任何实际操作的页面
  • 要求访客注册或登录后才能选择退出
  • 忽略来自加利福尼亚州访客的 GPC 信号
  • 选择退出之后仍继续发送再营销数据
  • 向美国受众显示欧洲的 TCF 消息
  • 对面向 13 岁以下儿童的内容投放个性化广告

在 ConsentMode 中

审核会针对美国访客检查什么

  • 以加利福尼亚州访客的身份打开网站，并通过截图显示选择退出链接是否出现以及它指向何处。
  • 开启 GPC 信号后重复访问，检查网站和标签的行为是否发生变化。
  • 在页面代码中读取 GPP 字符串或旧的 US Privacy 字符串，并识别 CMP。
  • 检查选择退出之后，广告请求是否带有受限处理信号。
  • 阅读隐私政策，指出是否缺少权利、合作伙伴或州法律。
开始审核查看所有检查项

关于美国法律的常见问题

我的网站是巴西的。美国的法律对我适用吗？

可能适用，只要网站与该州居民开展业务，并达到法律的门槛，例如来自加利福尼亚州的访客数量。每部法律都有自己的标准。如有疑问，提供选择退出并尊重 GPC 是一种简单而稳妥的配置。

美国需要 Cookie 横幅吗？

一般不需要欧洲那种形式。美国的模式要求提供选择退出链接，并在隐私政策中保持透明。对于敏感数据，一些州要求取得同意。

开启 RDP 后收入会怎样？

开启 RDP 的访问只会收到非个性化广告，这类广告的收益通常较低。因此，理想的做法是为选择退出的访客开启 RDP，而不是为全球所有流量开启。

GPC 和 GPP 有什么区别？

GPC 是访客浏览器发送的信号，意思是不要出售我的数据。GPP 是 CMP 用来把访客的选择传递给广告网络的格式。

加利福尼亚州的罚款是多少？

自 2025 年 1 月 1 日起，每次违规最高 2,663 美元，故意违规或涉及 16 岁以下未成年人的违规每次最高 7,988 美元。其他州的法律有各自的金额，例如弗吉尼亚州每次违规最高 7,500 美元。

我在哪里可以找到各州的详细信息？

ConsentMode 为主要的州提供了单独的指南。本页总结了它们的共同点，以及 Google 方面有哪些变化。

资料库

官方来源

本指南根据以下官方页面编写。请直接阅读原文：

以美国访客的身份测试您网站的选择退出

审核会检查选择退出链接、GPC、GPP 以及发送给 Google 的信号，并显示需要修复什么。

开始审核