独立站卖到加州没做隐私合规，罚单按人头开

深圳做配件出海的方总，独立站主投美国流量，加州订单占了三成。站点上线两年，一直忙着冲销量、压回款，隐私那块就放了个空白页，连条正经声明都没挂。他心想：小卖家，谁会盯上我。

二〇二六年五月，方总收到一封英文来函，落款是加州隐私保护局与州总检察长办公室，说他网站没挂隐私声明、也没响应消费者删除请求，要求限期说明并整改。他慌了，找人一问，才知道这封信不是吓唬人，是真能开罚单的。

方总算了笔吓人的账：他站点里攒了加州用户的姓名、地址、邮箱、购买记录，按加州规则，每一位消费者都算一个独立违规个体。如果认定违规，罚款是按人头累计的，不是按"一次违规"算。他后台两万多加州用户，光这一项就可能压垮整年利润。

很多做独立站的老板都踩同一个误区：以为合规是大平台的事，自己小本经营无所谓。其实加州的门槛并不高，营收或用户量碰线就适用，而罚单偏偏是按每位消费者来计数，用户越多、欠的账越大，出事时才知道怕。

一、先对照：加州合规关键节点

二、三种最容易踩的情形

情形一：网站压根没挂隐私声明，或挂了空白页。方总就是这类，站点上线两年隐私页一直是"建设中"。二〇二六年五月来函第一项就点名这个。加州规则下，未披露收集行为本身即构成违规，且从首次违规起算，两年内的每一条记录都可能被翻出来。

情形二：收集了邮箱电话，却没给删除与退出通道。杭州做服饰出海的唐总，站点用弹窗收了一万八千个加州邮箱做再营销，但没放退出出售的链接，也没处理用户的删除邮件。二〇二六年三月有用户连发三次删除请求石沉大海，这三条记录一旦被认定，就是按人头计的三笔违规。

情形三：把美国流量一刀切，误以为"不在加州设实体就不用管"。厦门做家居的邵总，人在国内、货发海外，觉得跟加州没半点属地关系。实际上规则看的是"加州消费者"，只要订单来自加州居民，哪怕你人在厦门，照样在管辖范围内。二〇二六年四月他收到类似问询时才明白，地域不是豁免理由。

三、完整案例：方总这单的处置过程

第一步，方总先把来函、网站现状、后台加州用户清单、历史删除请求邮件全部截图归档，确认自己确实缺隐私声明和退出通道，并记下收函日期，留出响应时限的缓冲，避免慌乱中漏掉关键证据。

第二步，他聘请当地合规顾问起草了一份真实对应的隐私声明，照实写清楚收集了哪些字段、用于什么目的、是否与第三方共享，并在首页和页脚都放上"禁止出售或共享"的醒目退出链接，补上了最容易被点名的两条硬伤。

第三步，他搭建了一个请求响应台账，把过往未处理的删除、知情请求逐一清掉，并设定四十五天办结的自动提醒。随后给监管回函附上整改证据，争取把"故意违规"降格为已纠正的一般情形，把单笔金额从七千五压到两千五量级。

四、现在就能做的四步

·动作。判断自己是否过线，把年营收、加州用户数、个人信息收入占比三项算一遍，碰任一门槛就按适用对待，别赌不被查。

·动作。挂一份真实对应的隐私声明，照实写收集字段、用途与共享方，别再留空白页或模板占位。

·动作。在首页和页脚都放"禁止出售或共享我的个人信息"退出链接，保证一键可达、可见可点。

·动作。建一个四十五天响应的请求台账，删除、知情、更正统一计时留痕，收到就处理，杜绝石沉大海。

写在最后

独立站做的是跨境信任的生意，隐私合规不是成本，是你能不能安心收加州订单的门票。罚款按人头累计这条，意味着用户越多、欠账越重，今天省下的那点功夫，明天可能要拿整年利润还。先把声明挂上，比收到来函再补救轻松十倍。

CHENXING GLOBAL

California Privacy. Comply or Pay.

【文末福利】评论区留言「加州隐私法」，领《加州合规自查清单》

清单里是：①是否触碰适用门槛；②隐私声明与退出通道是否齐全；③删除请求是否四十五天闭环。想让我按你的情况逐条回，留言写「加州隐私法+行业+成立年份」，我看到就回。

这篇建议先收藏，真出事时翻出来对一遍；觉得有用，点个「赞」和「在看」，让更多做出海的同行看到。

免责声明：本文为一般性信息分享，不构成针对任何具体情形的税务、法律或审计意见。各国及地区的政策、申报要求、费用标准与办理时效可能发生调整，实际操作应以当地现行法规、主管部门要求及专业机构核实结果为准。