一、从形式合规到实质合规：CPPA执法逻辑的最新变化

近年来，随着CCPA及其实施细则不断完善，CPPA的执法重点也正在发生变化。早期，企业的数据合规更多聚焦于隐私政策、消费者权利入口、Cookie Banner等制度或功能是否已经建立；而近年来的执法实践则更加关注消费者权利是否能够在企业的产品设计、业务流程和数据处理过程中得到真实、有效的实现。换言之，监管机关关注的重点，正逐步从企业“是否提供了行权渠道（whether the right exists）”，转向“消费者权利是否能够真正行权（whether the right works）”。这一变化意味着，企业的合规义务已经不再局限于隐私政策的披露或行权入口的设置，而是进一步延伸至消费者权利请求处理的整个流程。

立法动向层面，《加州选择退出法案》（California Opt Me Out Act，AB 566号法案）已于2025年10月签署，将于2027年1月正式生效，明确规定任何开发或维护浏览器的企业，不得开发或维护不具备“退出偏好信号”功能的浏览器。该功能须可由消费者配置，使其能向所交互的企业发送退出信号，且该功能必须“易查找和配置”（easy for a reasonable person to locate and configure）。企业须在其公开文件中清晰说明该信号如何运作及预期效果。这要求监管机关（CPPA）不仅关注企业是否提供了退出（Opt-Out）出售或共享个人信息、限制数据处理等法定权利，更要关注消费者能否以合理、便捷、低阻力的方式行使这些权利，以及企业是否能够通过其后台系统和业务流程，真正落实消费者所作出的选择。

执法实践层面，执法思路的变化在CPPA发布的《Enforcement Advisory No. 2024-01》中已得到充分体现。该指引明确指出，数据最小化（Data Minimization）原则不仅适用于企业对个人信息的收集、使用、存储和共享，同样适用于消费者权利请求的处理过程。对于退出出售或共享个人信息等请求，企业不得要求消费者提供完成请求所不必要的信息，也不得通过创建账户、重复身份验证或者其他额外程序增加消费者行使权利的负担。换言之，消费者权利请求本身也是企业处理个人信息的一部分，因此同样应当遵循“合理必要且相称（reasonably necessary and proportionate）”的基本要求。

值得注意的是，该执法指引的意义，并不仅在于进一步阐释数据最小化原则，更重要的是反映出CPPA对于消费者权利保障方式的理解已经发生变化。监管机关关注的不再只是企业是否已经建立了相关制度，而是这些制度是否能够有效运行；监管机关关注的也不再只是审查消费者是否能够提交请求，而是进一步审查请求是否能够顺利进入企业内部流程、得到及时处理，并最终落实到实际的数据处理活动之中。

在这一执法逻辑下，企业产品设计中的每一个环节——无论是消费者权利页面、Cookie管理机制、身份验证流程，还是后台数据流转、第三方技术服务以及偏好信号识别机制——都可能成为监管机关审查的对象。对于企业而言，数据合规的重点已经从“形式是否完备”逐渐转向“产品流程是否真正保障消费者权利”。2026年3月，CPPA公布了Ford Motor Company和PlayOn Sports两案的调查结果，体现了这一执法逻辑在不同场景中的运用。

二、Ford与PlayOn共同揭示了消费者权利实现的监管要求

（一）Ford 案：消费者提出请求时，企业不得设置不必要障碍

Ford案最值得关注之处，并非企业是否允许消费者选择退出出售或共享个人信息，而是企业在已经能够处理消费者退出请求的情况下，仍然人为增加了额外程序。

根据CPPA公布的调查结果，消费者在Ford官方网站提交退出请求后，Ford 本可在不要求额外信息的情况下处理这些请求，但其没有直接停止后续出售/共享，而是跳出“还有一步！请确认你的请求！”（“One More Step! Please confirm your request!”）页面，要求消费者再去邮箱点击确认。在此基础上，邮件正文又把该步骤表述为必须确认邮箱与身份，并告知在确认身份后，Ford 才会在法定期限内响应。对未点邮箱按钮者，Ford 直接将其请求记为“超时”（“expired”）。CPPA认为，在企业已经具备处理退出请求所需信息的情况下，再要求消费者完成额外邮箱确认，属于对消费者权利请求施加了不必要的程序负担（unnecessary friction），违反了CCPA关于消费者退出权的要求。

Ford除了缴纳罚款以及提供更简便的退出程序以外，CPPA还要求其网站上的追踪技术进行审计，并确保遵守退出偏好信号，包括“全球隐私控制”（Global Privacy Control）。

（二）PlayOn 案：企业必须提供与实际数据处理活动相匹配的有效退出机制

与 Ford 案关注企业是否人为增加消费者行权障碍不同，PlayOn 案更集中地揭示了另一个问题：当企业通过 Cookie、Meta Pixel 等 Tracking Technologies 收集并出售/共享消费者个人信息时，是否提供了能够真正覆盖该等数据处理活动的有效退出机制。

从 CPPA 公布的决定来看，PlayOn 的问题并非单纯在于某个 Cookie Banner设计不当，也不仅是收到消费者请求后未能执行，而是其整体退出机制与实际数据处理活动之间存在脱节。PlayOn 在其数字平台中使用 Tracking Technologies 收集个人信息，并与广告、社交媒体及分析合作伙伴共享相关信息，但其在相关期间内提供的退出方式主要限于电话和电子邮箱，未能充分对应通过追踪技术进行的出售/共享行为。同时，PlayOn 还在隐私政策中将消费者引导至Network Advertising Initiative（NAI）和Digital Advertising Alliance（DAA）等第三方平台自行完成退出，而不是由企业自身提供充分、有效的退出渠道；对于消费者通过浏览器发送的 GPC 等退出偏好信号，PlayOn 亦未能识别和响应。

因此，PlayOn 案真正值得关注的并不是某一个技术细节，而是 CPPA 要求企业的退出机制必须与其真实的数据处理方式相匹配。如果企业通过网页、App、Cookie、SDK、Pixel 或其他追踪技术开展个人信息出售/共享，相应的退出机制也必须能够覆盖这些具体场景，而不能仅依赖电话、邮箱、隐私政策说明或第三方行业平台作为形式上的替代。

三、CPPA执法趋势对中国出海企业的合规启示

Ford与PlayOn两案虽然分别发生于汽车行业和数字体育平台，但其共同反映出的执法趋势，对于所有面向美国消费者提供产品或服务的中国出海企业都具有重要参考意义。随着CPPA逐步将监管重点从隐私政策、消费者权利入口等形式合规要求，转向消费者权利是否得到有效实现的实质性审查，企业的数据合规工作也需要相应调整思路和方法。

（一）不要低估历史违规行为带来的执法风险

首先，企业不应认为，只要在收到监管调查后完成整改，即可消除既往合规风险。

从Ford与PlayOn两案可以看出，CPPA通常并非仅审查企业当前的网站或产品状态，而是会确定特定的相关期间（Relevant Period），对企业在该期间内的数据处理活动进行回溯调查。Ford案的调查覆盖约八个月期间，而PlayOn案的调查则追溯约两年。即使企业在调查过程中完成整改，监管机关仍可能依据整改前已经发生的违法行为作出处罚决定。

此外，CCPA实行按次违法（per violation）的处罚机制[3]。对于持续存在的产品流程缺陷，例如未有效响应消费者退出请求、持续共享个人信息或未落实消费者退出偏好等行为，其风险并不仅体现为一次行政处罚，而可能随着受影响消费者数量及违法行为持续时间不断累积。对于拥有大量美国用户的平台型企业而言，一个看似细微的产品设计缺陷，最终可能演变为具有重大商业影响的合规风险。

因此，对于已经开展美国业务的中国企业而言，数据合规越早启动，历史风险暴露的范围就越小；反之，如果等到收到监管调查通知后再进行整改，往往已经难以消除既往违法行为带来的法律责任。

（二）数据合规工作的重点正在从法律文本转向产品流程

更值得关注的是，Ford与PlayOn两案，反映出的不仅是处罚力度的变化，更是监管思路的变化。

长期以来，不少企业将数据合规理解为一项以法律文件为中心的工作，例如完善隐私政策、更新Cookie政策、准备消费者权利页面等。然而，CPPA近年来的执法实践表明，这些工作只是合规体系的起点，而非终点。监管机关越来越关注的是，消费者作出的每一项隐私选择，是否能够真正影响企业后续的数据处理活动。

这意味着，未来的数据合规工作需要更加关注产品流程，特别是产品交互页面设计和技术实现。例如，消费者提交退出请求后，后台系统是否能够及时同步相关偏好；网站部署的Tracking Technologies是否真正停止相应的数据收集和共享；第三方广告、分析及营销合作伙伴是否能够同步执行消费者的退出决定；消费者的退出偏好是否能够贯穿整个数据处理流程。这些问题已经不仅属于产品设计或技术实现问题，而正在成为监管机关重点审查的合规事项。

对于中国企业而言，结合我国近几年的执法特点和我们的经验，很多企业的数据合规工作的重点已经逐渐从“隐私政策是否完善”转向“产品流程是否真正保障消费者权利”。我们建议在产品开发阶段产品和研发团队就协同法务部门、IT及安全部门以及外部律师通力合作，建立更加紧密的协作机制。

（三）建立覆盖消费者权利全过程的合规治理机制

面对上述执法趋势，企业需要建立的不仅是单项合规措施，而是一套覆盖消费者权利实现全过程的内部治理机制。

从消费者提出请求开始，到企业接收请求、识别消费者偏好、同步后台系统、停止相关数据处理、通知第三方合作伙伴执行退出要求，再到保存处理记录、开展持续审计，每一个环节都应形成清晰、完整且可验证的内部流程。对于涉及Cookie、SDK、Tracking Technologies及其他自动化数据处理技术的业务场景，更应确保法律要求已经真正落实到产品设计和系统控制之中，而不能仅依赖隐私政策或客服回复履行法定义务。

同时，PlayOn案也反映出，监管机关越来越重视企业持续性的合规治理能力。整改要求不仅包括修复具体违法行为，还涉及追踪技术管理、第三方供应商管理、风险评估、内部培训以及持续监督等多项制度建设要求。这说明，未来监管关注的不仅是企业是否一时合规，更关注企业是否已经建立起能够持续保障消费者权利实现的治理体系。

（四）关注浏览器端退出信号机制的合规影响

除了关注企业自身产品流程中的退出机制设计外，出海企业还应密切关注《加州选择退出法案》所引发的浏览器端变化。该法案要求自2027年1月1日起，浏览器须内置可由消费者配置的退出偏好信号功能。这意味着，法案生效后可能有大量加州消费者通过浏览器原生功能自动发送退出信号，而接收信号的企业必须能够识别并响应这些信号。

正如PlayOn案中CPPA认定企业未能识别和响应GPC等退出偏好信号构成违规一样，AB 566号法案的施行将进一步扩大退出偏好信号的覆盖范围和使用频率。企业应当提前评估其系统是否能够识别和响应来自不同浏览器（包括Chrome、Safari、Firefox等主流浏览器届时可能推出的原生退出信号功能）的退出偏好信号，并确保后台数据流转、第三方广告及分析合作伙伴能够同步执行消费者的退出决定。

综上，Ford与PlayOn两案共同释放出一个明确的信号：美国数据隐私监管正在从“文本合规”迈向“产品流程合规”。对于中国出海企业而言，真正的合规，不是把消费者权利写进隐私政策，而是让消费者的每一次隐私选择，都能够真实、完整且可验证地落实到企业的数据处理活动之中。这不仅是未来CPPA执法的发展方向，也很可能成为美国州级数据隐私监管持续演进的重要趋势。

四、结语

在美国尚未形成统一联邦隐私法的背景下，CPPA的执法实践很可能继续引领州级隐私监管的发展方向。因此，对于计划长期深耕美国市场的中国企业而言，与其被动应对不断变化的州法要求，不如尽早建立以消费者权利实现为核心、以产品流程治理为基础的数据合规体系。

注释：

[1] https://privacy.ca.gov/wp-content/uploads/sites/357/2026/03/Order-of-Decision-Ford-Motor-Co.pdf

[2] https://privacy.ca.gov/wp-content/uploads/sites/357/2026/03/Order-of-Decision_PlayOn_Enforcement.pdf

[3] 根据 California Civil Code § 1798.155(a)，违反CCPA的企业可能面临按每次违法计算的不超过2,500美元的民事罚款；在故意违法或涉及未成年人个人信息的情形下，每次违法可处以不超过7,500美元的罚款。