越来越多经营商业网站的企业收到律师函或诉前索赔函，声称网站所使用的普通技术，包括 Cookie、广告追踪像素（tracking pixel）、网站分析工具、session replay 软件以及其他第三方程序，在未经用户有效同意的情况下收集或传输了用户信息，因此违反加州或联邦隐私法律。
这类案件在实际操作上具有某些“批量索赔”的特点：索赔人访问网站，利用技术工具检查网站与哪些第三方服务器发生通讯，然后据此提出隐私侵权主张并要求和解。
但是，第三方服务器收到数据，并不等于网站必然违法。
具体责任取决于使用了什么技术、传输了什么数据、何时传输、第三方公司扮演什么角色、用户是否同意，以及索赔人究竟依据哪一部法律。
常见的网站追踪技术有哪些？
目前受到挑战的技术包括：
- 广告及转化追踪像素；
- 网站分析 Cookie；
- Session Replay 用户操作回放工具；
- 在线客服或聊天插件；
- 浏览器或设备识别码；
- 广告归因及营销技术；以及
- 将用户访问行为传送至第三方公司的程序。
判断风险时，一个重要问题是：到底传了什么？
单纯的 IP 地址、浏览器类型或技术路由信息，与包含用户搜索内容、访问商品、填写表格内容或其他具体行为信息的完整 URL，在法律分析上可能完全不同。
联邦 Wiretap Act 所称的 “intercept”，原则上涉及取得电子通讯的 contents（内容）；法律将 contents 定义为与通讯的实质、意思或含义有关的信息。
CIPA 第 631 条：加州“窃听”理论
California Invasion of Privacy Act，简称 CIPA，是加州刑法中的隐私保护法规。
California Penal Code 第 631 条禁止某些未经授权截取或取得通讯的行为，其中包括在通讯传输过程中未经授权取得通讯的“内容或含义”。
近年来，原告开始主张：如果网站安装第三方追踪程序，并在用户访问网站时同步将其通讯传给第三方公司，该行为可能落入第 631 条。
用户同意及时间点可能影响案件分析
在网站隐私诉讼中，用户是否同意可能是一个重要问题。但是，网站存在 Privacy Policy 或 Cookie Consent Banner，并不当然解决全部法律问题。
在 Javier v. Assurance IQ, LLC 一案中，第九巡回上诉法院认为，就 CIPA 第 631 条而言，如果被指控的截取行为已经发生，之后才取得的同意不能当然追溯授权之前的行为。
因此，案件可能集中争议以下问题：
- 网站究竟取得或传输了什么资料；
- 资料在什么时间被取得；
- 用户当时看到什么披露；
- 被指控行为发生以前是否存在法律上有效的同意。
这些问题均需要根据具体事实判断。网站使用 Cookie 或第三方技术本身，并不能单独证明存在或者不存在有效同意。
CIPA 第 638.50 与 638.51 条：Pen Register 索赔
近年来另一类诉讼依据的是 CIPA 关于 pen register 和 trap-and-trace device 的规定。
Penal Code 第 638.50 条所定义的 pen register，主要涉及记录或解码 dialing、routing、addressing 或 signaling information 的设备或程序，而不是通讯内容本身。
第 638.51 条原则上禁止未经法院命令安装或使用此类工具，但法律同时规定若干例外。
一些原告开始主张，网站上的 Cookie、IP 地址追踪技术或设备识别程序也属于法律所称的“process”，因此可能构成 pen register。
目前 CIPA 的民事救济条款允许符合条件的原告主张每次违法 5,000 美元或实际损失三倍中较高者，而且并不要求原告首先证明实际经济损失。
这也是为什么有些看似金额很小的网站隐私争议，会产生相当高的诉前和解要求。
联邦 ECPA 与 Wiretap Act
很多索赔函并不仅依据 CIPA。
原告也可能依据联邦 Electronic Communications Privacy Act（ECPA）及其 Wiretap Act 条款，即 18 U.S.C. 第 2510 至 2520 条。
联邦法与 CIPA 并不完全相同。
18 U.S.C. 第 2511(2)(d) 条原则上规定，如果截取通讯的人本身就是通讯的一方，或者其中一方事先同意，该截取行为可能落入法定例外。
但是，该规则又存在一个重要例外：如果截取通讯的目的，是为了实施其他犯罪或侵权行为，则该保护可能不适用。
这通常称为 crime-tort exception（犯罪或侵权目的例外）。
“Crime-Tort Exception”并不是自动成立
这点对于商业网站案件特别重要。
第九巡回上诉法院已经明确指出，仅仅主张“截取本身违法”，并不足以当然触发 crime-tort exception。
法院关注的是：在取得信息时，被告是否已经具有一个独立于截取行为本身之外的犯罪或侵权目的。
在 Sussman v. American Broadcasting Companies, Inc. 中，第九巡回法院强调，应当关注取得信息的“目的”，而不是简单因为取得信息的方法本身可能违法，就自动构成该例外。
在 Planned Parenthood Federation of America, Inc. v. Newman 中，第九巡回法院再次要求，犯罪或侵权目的必须独立于录音或截取行为本身，并且在截取发生时已经存在。
但近期涉及商业网站的联邦地区法院对此如何适用并不完全一致。
例如，在 Smith v. Rack Room Shoes, Inc. 中，原告不仅主张零售网站安装追踪工具，还主张网站取得具有识别性的用户通讯，并且计划将这些资料用于针对性广告，而该行为据称与网站自己的隐私承诺不一致。法院在诉状阶段允许部分联邦 Wiretap Act 主张继续进行。
因此，这仍然是一个正在发展的法律领域，而不是“网站没有 Cookie Banner 就一定承担联邦责任”。
联邦法的 10,000 美元也不是“每个 Cookie 10,000 美元”
18 U.S.C. 第 2520 条允许符合条件的原告提出民事请求，并可能涉及律师费、适当情况下的惩罚性赔偿以及法定赔偿。
对于通常的 Wiretap Act 民事案件，法律规定法院可按照实际损失加违法收益，或以下法定赔偿两者中较高者计算：每天 100 美元，或者 10,000 美元。
因此，如果索赔函简单将每一次 Cookie 触发、每一个网络请求或每一次网页浏览都直接乘以 10,000 美元，其计算方式应当受到仔细审查。
SB 690 会不会让这类案件消失？
答案是：不会全部消失。
SB 690 的早期版本原本考虑对商业网站提供较广泛的保护，但 2026 年的版本已经被大幅缩小。
根据 2026 年 7 月 2 日的现行版本，SB 690 只修改 Penal Code 第 637.2 条。
如果针对私人主体的第 638.51 条 pen-register 或 trap-and-trace 主张源于网站、网络应用或手机应用，SB 690 拟规定只有 California Attorney General 才可以依据第 637.2 条提起该类民事诉讼。
法案还明确规定，在一定范围内可以追溯适用于已经正在审理的案件。
但是最重要的限制是：SB 690 并不会按照目前的文本消灭 CIPA 第 631 条的诉讼，也不会修改或消灭联邦 ECPA 及 Wiretap Act 的请求。
截至 2026 年 9 月，SB 690 已获加州议会通过并提交州长 Gavin Newsom，但尚未正式签署成为法律。相关讨论可参阅加州通过 SB 690：CIPA 网站隐私诉讼可能发生什么变化？
企业收到索赔函后应该调查什么？
收到网站隐私索赔函后，企业首先应当确认对方究竟依据哪些法律以及哪些具体事实提出请求。
律师可能需要审查：
- 索赔人所指出的 Cookie、Pixel、软件或其他第三方技术；
- 据称实际取得或传输了什么信息；
- 该信息属于通讯内容、技术性 metadata，还是其他类型的数据；
- 信息取得或传输发生的时间及方式；
- 第三方技术供应商在其中扮演的角色；
- 当时有效的 Privacy Policy、Terms 及相关披露；
- 双方对于用户同意或未同意的具体主张；
- 对方是否能够满足 CIPA、ECPA 或其他法律的全部构成要件；以及
- 对方所主张的法定赔偿或实际损失是否具有法律依据。
在对相关网站配置进行重大修改以前，也应当注意保存与争议有关的技术证据。
实务结论
网站隐私索赔函之所以具有压力，是因为原告可能引用高额法定赔偿并威胁提出集体诉讼。
但是，没有 Cookie 同意窗口，并不等于企业当然违反 CIPA 或联邦 ECPA。
案件价值往往取决于非常具体的技术事实，包括传输的是通讯内容还是技术数据、是否属于同步截取、是否存在有效同意、第三方公司的作用以及收集资料的真正目的。
企业收到此类索赔函后，可以考虑尽快咨询熟悉加州商业诉讼及隐私争议的律师，对索赔依据、技术证据和潜在抗辩进行评估，并决定应当抗辩、谈判还是通过适当方式解决争议。
主要法律依据
- California Penal Code 第 631、637.2、638.50、638.51 条
- 18 U.S.C. 第 2510、2511、2520 条
- Javier v. Assurance IQ, LLC
- Sussman v. American Broadcasting Companies, Inc.
- Planned Parenthood Federation of America, Inc. v. Newman
- Smith v. Rack Room Shoes, Inc.
- SB 690（2025–2026 立法会期）