FedEx因广告追踪器和忽略GPC信号被依CCPA罚款297.5万美元
11 min read
加州隐私保护局（California Privacy Protection Agency，简称CalPrivacy）依据CCPA对Federal Express Corporation处以297.5万美元罚款。该机构的委员会于2026年11月6日通过这项决定，并于11月10日对外公布。命令认定，FedEx在其网站上运行广告追踪器，同时告诉访客它不出售也不共享他们的数据；此外，该网站没有遵守Global Privacy Control（GPC）等退出信号。
FedEx因广告追踪器和忽略GPC信号被依CCPA罚款297.5万美元
这笔罚款是Tractor Supply在2025年所付135万美元的两倍多，也是该机构委员会迄今开出的最高行政罚款。FedEx同意接受该命令，但对认定的事实既不承认也不否认，也不承认负有责任。
命令的内容
命令涵盖的期间为2023年7月1日至2025年10月27日，对fedex.com作出了四项认定。
广告追踪器构成“共享”
FedEx安装了来自Meta、LinkedIn、Google、Adobe及其他广告技术公司的追踪技术。这些Cookie和像素把唯一的设备标识符和用户标识符提供给这些公司，用途包括定向广告。运单数据不在其中。
根据CCPA，为跨情境行为广告的目的向第三方提供个人信息即属于“共享”，无论是否有金钱往来。该机构也不接受B2B网站可以例外的说法：人们用同一台设备处理工作和个人事务，在工作访问中收集到的标识符最终会进入同一份广告画像。
隐私政策的说法正好相反
FedEx的隐私政策写道：“我们不‘出售’或‘共享’您的个人信息。”由于追踪器实际上在共享数据，该机构认定这一表述不实。网站上也没有“Do Not Sell or Share My Personal Information”或“Your Privacy Choices”链接，页脚只有一个“Cookie Consent”链接，隐私政策也没有说明如何处理退出偏好信号。
GPC信号没有被遵守
命令指出，FedEx没有对其数字资产进行配置，以正确检测并遵守消费者的退出偏好信号。开启GPC浏览的访客已经作出了退出选择，但他们的数据仍继续流向广告技术公司。该机构指出，加州自2020年起就要求企业遵守这类信号。
Cookie偏好设置没有停止共享
FedEx的退出申请表单写明它不涵盖Cookie，并让用户改用“Cookie Consent”链接。该链接会打开一个窗口，其中有“Functional”“Analytical”和“Tracking”三类Cookie的开关。命令称，即使访客关闭了分析和追踪两个开关，FedEx仍继续把部分访客的个人信息提供给部分广告技术公司。
这个窗口也完全没有提到出售或共享。Cookie工具只有在说明Cookie设置如何适用于个人信息的出售和共享时，才能算作CCPA下的退出方式。
FedEx现在必须做什么
除罚款外，命令还规定了为期三年的义务：
- 至少每季度扫描一次其网站和应用，并维护一份最新的清单，列出出售或共享个人信息的追踪器
- 与每一个向其出售或共享数据的第三方保持符合CCPA的合同，并在接入新的第三方之前进行审核
- 配置其网站和应用，使退出请求完全生效，无论请求来自GPC还是其他方式
- 至少每季度在预发布环境和生产环境中测试这一配置，每次新增追踪器时也要测试
- 提供“Do Not Sell or Share My Personal Information”或“Your Privacy Choices”链接，且不得增加不必要的步骤
- 凡用于退出的Cookie工具，都必须说明它如何适用于出售和共享
- 每年在网站上公布CCPA请求的统计数据
对您网站的启示
只要运行广告像素，您很可能就在“共享”
一个用于广告定向的Meta Pixel、LinkedIn Insight Tag或Google Ads标签就足够了。如果您的网站上有这些标签，隐私政策里一句“我们不出售或共享”就是风险。先核查标签，再据实撰写隐私政策。
GPC必须改变页面加载的内容
仅仅检测到信号是不够的。访客带着GPC到来时，共享数据的广告标签不能对该访客运行。在该机构的公告中，代理执法副主任表示，为退出偏好信号落实适当披露和功能的时间早已过去。从2027年起，加州的Opt Me Out Act还要求浏览器提供内置的退出信号，届时会有更多访客发送这一信号。
Cookie横幅不会自动成为CCPA退出方式
FedEx有Cookie偏好设置工具，但这并不够。工具必须说明它控制出售和共享，必须在访客退出后停止追踪器，网站也仍然需要退出链接。可口可乐集体诉讼从原告一方提出了同样的问题：一个不会改变标签行为的控件。
每季度测试一次，每次新增标签后也要测试
命令要求每季度扫描和测试，并在每次新增追踪器时测试。这对任何网站都是合理的标准。要检查您的网站，可在Firefox或Brave中开启GPC，加载页面并查看网络标签页。在GPC开启的情况下仍有发往广告供应商的请求，正是该机构在fedex.com上发现的情况。
B2B网站同样适用
FedEx主要用于企业寄件，但这并没有帮上忙。如果您的公司达到CCPA的适用门槛，且网站上有广告追踪器，那么即使您的客户是其他企业，这些规则同样适用。
UniConsent如何提供帮助
UniConsent会检测访客浏览器中的GPC信号并自动为该访客执行退出，访客无需打开通知。对于已退出的访客，Meta Pixel、LinkedIn Insight Tag和Google标签等广告标签会被拦截，退出选择会通过IAB GPP传递给您的广告合作伙伴。您只需在后台通过Tags Loader完成设置，无需修改网站代码。
UniConsent还会针对美国各州隐私法在您的页脚添加“Do Not Sell or Share My Personal Information”链接，每天扫描您的网站以发现新的Cookie，并记录每一次选择。
常见问题
FedEx承认违法了吗？ 没有。FedEx同意接受该命令，但对认定的事实既不承认也不否认，也不承认负有责任。
我们没有出售数据换取金钱，这也适用吗？ 适用。根据CCPA，为跨情境行为广告向广告技术公司提供个人信息即属于“共享”，即使没有任何付款。
如何检查我的网站是否遵守GPC？
在开启GPC的浏览器中打开您的网站，在控制台中查看navigator.globalPrivacyControl。然后在网络标签页中观察是否有发往广告供应商的请求。如果这些请求仍在发出，说明信号没有被遵守。
只有加州要求遵守GPC吗？ 不是。科罗拉多州、康涅狄格州和得克萨斯州等其他州也要求网站遵守。详见我们的美国隐私指南。
立即注册，几分钟内即可在您的网站上配置GPC和美国退出选择。
参考资料
Leading Consent Management Platform
Compliant with GDPR, CCPA, COPPA, LGPD, PECR, PDPA, PIPEDA, and more.
开始使您的网站和应用符合欧盟 GDPR、美国 CPRA、加拿大 PIPEDA 等法规
注册意见征求管理平台资源
开始使您的网站和应用符合欧盟 GDPR、美国 CPRA、加拿大 PIPEDA 等法规
注册掌握隐私与同意管理的最新动态
隐私法规、同意管理与合规动态，每月几封邮件。