最近，一家位于加州的独立审计机构发布了一份最新报告。报告显示，过去几年里铺天盖地出现在各种网站上、号称让用户自己选择是否被广告跟踪的那些Cookie同意弹窗，在很多情况下其实形同虚设。就算用户明确点了“拒绝”，包括谷歌、微软和Meta在内的大型广告技术公司，照样会给你种上跟踪Cookie。对它们来说，就算可能面临数十亿美元的罚款，也被看作是“成本更低”的选择。



这份由审计机构webXray发布的2026年3月报告指出，科技巨头在加州用户访问网站时，普遍无视用户的Cookie拒绝信号，继续用跨站点Cookie跟踪用户行为。谷歌、微软和Meta都对这一结论提出了异议。这些Cookie弹窗本来是为了响应欧洲的隐私法规才出现的，法规要求网站在投放广告或使用跟踪Cookie之前，必须先获得用户的明确同意。

在用户多年抱怨弹窗内容晦涩难懂、诱导点击，而且大家基本看都不看直接点同意之后，欧洲监管机构最近开始推动简化Cookie规则。但webXray的最新审计发现，实际情况依然不容乐观。在对加州用户的样本测试中，55%的网站会在用户点击“拒绝”后照样设置Cookie，而78%的Cookie同意弹窗在技术上根本没有真正执行用户的选择，只是摆在那里做样子。webXray估算，如果严格按照现行规则来执行，这些广告技术公司可能需要支付大约58亿美元的罚款，但它们似乎更愿意“先跟踪再说，罚款就当成本了”。

审计结果显示，在使用谷歌或微软广告网络的网站上，就算系统明确收到了用户拒绝的信号，广告技术组件仍然会发出指令，在用户设备上投放Cookie。webXray通过公开的网络流量记录追踪这一行为，认为这些公司几乎没怎么刻意掩饰，而是直接在明面上继续跟踪。具体数据方面，微软旗下的广告网络大概忽略了半数的“拒绝”信号，并且在35%的客户网站上持续跟踪用户，估算罚款大约3.9亿美元。

谷歌的情况更严重：审计称它无视了86%的拒绝请求，并且在77%的网站上继续记录用户行为，对应的潜在罚款达到23.1亿美元。与此同时，Meta的实现方式被指为“干脆不看拒绝信号”——它的跟踪代码在技术层面似乎根本没有检查用户的统一退出指示。在那些会检测退出信号的网站中，仍有69%选择忽略，21%继续进行跟踪。webXray估算，Meta可能已经为此支付过高达93亿美元的罚款。

webXray的创始人兼CEO之前在谷歌当过隐私工程师。他在接受采访时说，在他任职期间，公司高层往往不太区分“税”和“罚款”，也就是说在某些商业决策中，罚款被看作是预期内、可以接受的运营成本，而不是必须极力避免的合规风险。

面对这份审计结论，三大公司都进行了反驳，说报告“误解了”它们的技术实现方式。微软表示，有些Cookie对网站功能至关重要，不能简单算作广告跟踪工具。Meta则强调，在某些技术配置下，网站自身能够覆盖或修改统一退出信号，暗示部分责任在于网站运营者，而不是它们自己的平台代码。但在webXray看来，目前的实际执行结果跟监管初衷之间明显有落差，也意味着就算用户耐心看完弹窗并选择了“拒绝”，自己的隐私权利还是很难真正得到保障。