该论文针对《加州消费者隐私法案》(CCPA) 生效五年后缺乏规模化合规审计手段这一问题, 提出了一套名为 PrivAudit 的自动化审计框架。作者指出, 既有研究多依赖人工、个案式的执法与检查, 无法系统性地覆盖网站面向用户的两个关键合规信号: 隐私披露内容与前端用户追踪行为。PrivAudit 采用“双镜片”设计: 其一, 基于大语言模型对隐私政策文本进行解析, 并将分析锚定在 CCPA 的具体条款之上, 判断政策是否披露了退出机制 (opt-out)、数据共享实践与用户权利等信息; 其二, 通过自动化浏览器测量, 在多种隐私配置 (如不同地区、不同同意选择状态) 下记录网站写入 cookie 的行为, 从而观察用户可感知的数据收集活动。作者将框架应用于 998 个网站, 得到两组主要结论。第一, 法律确实与更强的隐私披露相关: 受 CCPA 约束的政策更倾向于公开退出机制、数据共享做法和用户权利。第二, 基于 cookie 的追踪依然普遍, 受约束与不受约束的网站合计写入了 6,392 个定向 (targeting) cookie, 其中 49% 为第三方写入; 而且这些 cookie 对隐私信号与用户同意选择的响应程度仅为有限到中等, 即便网站在政策中声称会尊重相关选择。研究因此强调, 需要将政策文本分析与行为证据相结合的多层次、可扩展审计方法; PrivAudit 可大规模产出可供人工复核的可操作信号与模式, 作者已开源该框架并与监管机构合作推动落地。

本文针对美国数据经纪商行业在加州消费者隐私法案（CCPA）下的合规性进行了系统性研究。数据经纪商大量收集美国成年消费者的个人信息，且通常未经消费者知情或同意，这些数据可被出售给雇主、房东、保险公司、政府乃至恶意行为者，从而引发歧视、监控、身份盗窃和跟踪等风险。CCPA赋予消费者选择退出（opt-out）数据分享或出售、删除个人信息以及获取信息副本的权利。研究者使用合成消费者身份，向所有在加州注册的数据经纪商提交了选择退出和删除请求，并追踪其响应情况。结果显示，虽然多数数据经纪商看似合规，但仍有相当比例未回应或未确认请求，部分要求侵入性的身份验证（这明确被CCPA禁止），且请求提交流程差异巨大，给消费者带来沉重的负担。作者呼吁对消费者接口进行简化和标准化、加强执法并对持续不合规行为施以有意义的后果。本研究为理解当前数据经纪生态的隐私合规现状提供了实证依据，对政策制定者、消费者权益倡导者和法律合规专业人士具有重要参考价值。