全球隐私控制的影响

Lola Odelola
2025年3月15日
阅读时间5分钟

隐私一直是万维网联盟（W3C）近年来的关注焦点，他们发布了隐私原则，浏览器厂商也在研究应该用什么工具来替代第三方Cookie。因此，全球隐私控制（GPC）获得关注并进入标准制定轨道也就不足为奇，隐私工作组最近发布了第一份工作草案。本文审视该草案，探讨网站所有者和希望使用GPC的用户将如何体验该技术。

信任与数据收集

根据英国政府伦理与创新中心的数据，57%的受访者同意收集个人数据“有助于创造对个人有益的产品和服务”。只有46%的受访者信任大型科技公司会让他们决定自己的数据如何使用，而当涉及社交媒体公司时，这一数字降至31%。我们可以将此解读为大多数受访者不信任社交媒体和大型科技公司在与其数据相关的决策和同意方面的做法。用户显然希望更深入地控制个人数据的收集和共享方式，但要找到易于控制和执行的平衡点却很微妙。

GPC与禁止追踪（DNT）

这不是第一次有追踪预防机制进入W3C并被浏览器实施。2009年，禁止追踪（DNT）标头被创建，作为网络用户表达其追踪偏好的一种方式。虽然它在浏览器中广泛实施，但在网站中的采用率很低。DNT的主要问题是缺乏法律和监管支持。网站所有者可以决定是否遵守DNT信号，如果他们选择不遵守，也不会面临法律后果。这就是GPC的不同之处。在撰写本文时，加利福尼亚州总检察长已建议遵守GPC以符合CCPA。还有意与欧盟的GDPR合作：

GPC信号旨在传达来自全球隐私控制的“请勿出售”请求，根据CCPA-REGULATIONS §999.315，针对该浏览器或设备，或者如果已知，针对消费者。在GDPR下，GPC信号的意图是传达数据控制者应限制将用户个人数据出售或共享给其他数据控制者的一般请求（GDPR第7条和第21条）。随着时间的推移，GPC信号可能旨在传达其他司法管辖区的权利。——globalprivacycontrol.org/#about

该信号还得到了各种浏览器和扩展的支持，包括Mozilla的Firefox、Brave和DuckDuckGo的隐私浏览器。GPC与其他正在讨论和开发的提案不同之处在于它将权力交给了网络用户。Google正在Web平台孵化社区组中开发用户代理客户端提示规范，而反弹追踪缓解已在隐私工作组的章程中。虽然这两个提案都有其优点，但都没有像GPC那样给予用户选择权。

GPC如何给予用户更多控制权

网络用户希望对自己的数据拥有更多自主权。他们想知道谁拥有数据、数据去向及原因，并希望能够同意数据在各方之间的流动方式。GPC提出了两种浏览器信号，可以作为标头在所有HTTP请求中设置。这两种信号将是一个交互和一个偏好，都称为do-not-sell-or-share，但作用域不同。交互是按域设置的，例如，网络用户可能希望允许国家卫生服务https://nhs.uk与他们的药房或健康保险公司共享数据，因此他们可以关闭https://nhs.uk的do-not-sell-or-share交互。同一用户可能不希望https://tiktok.com与任何人共享其数据，因此他们会为https://tiktok.com开启交互。交互的作用域是针对一个域，而偏好的作用域涵盖每个浏览器的所有交互。设置偏好就是设置全球隐私控制。

GPC对网站所有者的意义

要求从已知URI（/.well-known/gpc.json）返回GPC支持资源作为JSON对象，包含以下成员：

1
2
3
4


{
  "gpc": true,
  "lastUpdate": "2025-03-15"
}

其含义如下：

gpc
gpc的值可以是true（服务器打算遵守GPC请求）或false，表示不遵守。对于任何其他值，来源的支持状态未知。

lastUpdate
一个完整日期（YYYY-MM-DD）或日期时间（YYYY-MM-DDTHH:mm:ss.sssZ），表示支持声明的时间。以后GPC标准含义的更改不应影响出于法律目的对该资源的解释。

对于处理带有GPC信号的请求，开发者可以通过检查请求中的Sec-GPC HTTP头来实现监听器。一个Express应用可能如下所示：

1
2
3
4
5
6


app.use((req, res, next) => {
  if (req.get('Sec-GPC') === '1') {
    optOutUser(req.user.id)
  }
  next()
})

您也可以使用浏览器中的globalPrivacyControl属性：

1
2
3


if (navigator.globalPrivacyControl) {
  optOutUser(userId)
}

上面的示例使用了一个占位符optOutUser(userId)进行说明，但后端应调用任何满足用户选择所需的逻辑。如果用户将GPC设置为“true”，HTTP响应将如下所示：

1

Sec-GPC: 1

收到GPC信号时该怎么办

由开发者/企业决定如何处理该信号，例如，从第三方追踪或营销中删除用户的详细信息，遵循与用户选择不共享数据用于营销目的时类似的程序。如果在CCPA管辖范围内，必须遵守该信号以避免法律后果。

尝试GPC和浏览器支持

GPC目前可在最新版本的Firefox、Brave和DuckDuckGo的隐私浏览器中使用，用户可以在其设置中开启该信号（PDF）。除了浏览器配置外，GPC扩展还可用于Microsoft Edge和Google Chrome。开发者可以使用express-gpc中间件在Express应用中测试GPC，您可以使用npm i express-gpc将其添加到项目中。

总结

GPC是一个令人兴奋的规范，在一众公司高度关注如何实现私有广告的海洋中，有一个优先考虑网络用户需求的规范令人耳目一新。随着浏览器支持的日益增长以及开发者所需集成工作不多，这是朝着为网络用户提供更大透明度和控制权迈出的一步。

Lola Odelola是一位Web标准技术专家，致力于使Web标准对开发者更易理解。Lola是W3C技术架构组的成员，并以W3C特邀专家身份参与多个W3C小组。