TL;DR
Granskningsresultat: En oberoende granskning av 7 000 webbplatser i Kalifornien fann att Google, Microsoft och Meta ignorerar lagstadgade signaler om integritetsopt-out. Priser för bristande efterlevnad: Google misslyckades med att respektera Global Privacy Control-signaler 87 procent av tiden, Meta 69 procent och Microsoft 50 procent. Tekniska bevis: Google åsidosätter aktivt opt-out-rubriker, Metas kod innehåller ingen kontroll för dem, och Microsoft tillämpar dem inkonsekvent. Tillämpningskontext: Google har hittills betalat 2,318 miljarder dollar i sekretessböter och Meta 9,304 miljarder dollar, men spårningsmetoderna fortsätter.
Google, Microsoft och Meta ignorerar rutinmässigt användarnas lagstadgade signaler om integritetsopt-out, har en oberoende granskning publicerad den 14 april avslöjat. En rättsmedicinsk granskning av nätverkstrafiken på mer än 7 000 webbplatser i Kalifornien visade att 55 procent av webbplatserna satte reklamcookies i användarnas webbläsare även efter att de fått en signal om Global Privacy Control (GPC) för att stoppa.
Enligt Global Privacy Control
opt-out-signaler 87 procent av tiden, Meta ignorerade dem 69 procent och Microsoft 50 procent. En talesperson för Google kallade rapporten för ett”grundläggande missförstånd”och förklarade att företaget respekterar opt-outs som krävs enligt lag.
en webbläsare,-specacy. integritetssignal som kalifornisk lag kräver att företag behandlar som en bindande begäran om undantag, som fungerar som en universell mekanism för att inte spåra under California Consumer Privacy Act. Stora webbläsare inklusive Firefox, Brave och DuckDuckGo stöder GPC inbyggt, och användare av Chrome kan aktivera det genom tillägg.
Hur Tech Giants kringgår integritetskontroller
Rättstekniska bevis i granskningen avslöjar exakt hur varje företag ignorerar GPC på kodnivå. När en webbläsare skickar en Sec-GPC: 1-rubrik som signalerar en opt-out, svarar Googles annonsserver uttryckligen med ett kommando för att skapa en reklamcookie med namnet IDE, vilket direkt motsäger användarens begäran. Istället för att leta efter sekretesssignalen och avböja att ställa in en cookie, fortsätter Googles infrastruktur som om ingen opt-out mottogs.
Som ett resultat påverkar misslyckandet med att respektera GPC användare på nästan alla webbplatser de besöker, eftersom Googles annonsnätverk är inbäddat på de allra flesta webbplatser genom tjänster som Google Ads, Analytics,
till och med DoubleMeta-metoden.
trubbig. Dess spårningskod, som granskningen fann att utgivare distribuerar på sina webbplatser, innehåller ingen kontroll för GPC-signaler alls. Den laddas ovillkorligt, aktiverar en spårningshändelse och ställer in en cookie oavsett sekretesspreferenser. Till skillnad från Google, som tar emot signalen och ignorerar den, har Metas system ingen mekanism för att upptäcka bortfallet i första hand.
Däremot antyder Microsofts inkonsekvens ett delvis implementerat system. På hälften av webbplatserna där dess reklamkod körs, respekterar Microsofts servrar GPC-signalen och avstår från att sätta cookies. På andra halvan gör de det inte. Huruvida detta återspeglar en stegvis teknisk utrullning som fortfarande pågår, selektiv tillämpning baserat på geografi eller webbplatskategori, eller inkonsekvent integration mellan dess olika nätverk av annonspartners är fortfarande oklart från enbart granskningsdata.
Tillsammans ger tre distinkta tekniska tillvägagångssätt samma resultat för användarna: deras begäran om borttagning ignoreras och spårningen fortsätter. Google åsidosätter aktivt signalen, Meta letar inte efter den alls, och Microsoft tillämpar den selektivt. En sådan variation i metod antyder att bristande efterlevnad inte är resultatet av en gemensam teknisk barriär utan av individuella företagsbeslut om huruvida de ska investera i integritetskontroller.
Dessutom skulle efterlevnad kräva minimal teknisk insats från varje företags sida. Enligt granskningen krävs en enda kodändring på serversidan för att hedra GPC: när en annonsserver tar emot trafik med GPC-huvudet ska den returnera en HTTP 451-status (inte tillgänglig av juridiska skäl) och inte ställa in någon cookie. Inget av de tre företagen har implementerat denna korrigering fullt ut, vilket tyder på att bristande efterlevnad är ett val snarare än en teknisk begränsning.
Utöver sin egen reklaminfrastruktur, driver Google även CMP Partner Program som certifierar samtyckeshanteringsplattformar, de cookie-samtyckesbanners som användare möter på webbplatser. När webXray testade tre Google-certifierade CMP-företag fann man en opt-out-felfrekvens på 77, 91 och 90 procent. Med andra ord misslyckas även de verktyg som Google stöder för att hantera integritetssamtycke överväldigande att respektera de signaler som de är designade för att bearbeta.
“I mitt tycke är det här inte komplicerat. Du säger,’ställ inte kakan.’De sätter kakan. Tillsynsmyndigheterna ser en räv som går in i hönshuset och jag räknar bara äggen, här säger jag inte ägget för att inte äta. kycklingar.’ Och de tar dem på ordet. De får dem inte att producera något offentligt register.”
Timothy Libert, grundare av webXray och tidigare Googles cookie policy lead (via independent-audio-an-4″Media)
Företagsförnekelser möter kriminaltekniska bevis
Bakom revisionen står inte en extern kritiker utan en branschinsider. Timothy Libert är en tidigare chef för Googles cookiepolicy som lämnade 2023 för att grunda webXray, ett oberoende sekretessteknikföretag som driver en sökmotor för sekretess. Hans bakgrund på Google gav honom direkt kunskap om hur infrastrukturen för reklamkakor fungerar, vilket gav revisionens tekniska resultat särskild trovärdighet.
Med utgångspunkt från den grunden har Libert sagt att han byggde webXray specifikt för att tillhandahålla den typ av oberoende, reproducerbar integritetsgranskning som tillsynsmyndigheter saknar verktygen för att utföra på egen hand.
Fantaterna i alla tre liknande villkor, trots det. Meta avfärdade revisionen som ett”marknadsföringstrick”och hävdade att GPC tillåter webbplatsoperatörer att åsidosätta opt-out-signaler och att dess funktion för begränsad dataanvändning begränsar data när den flaggas på rätt sätt av utgivare. Microsoft sa att de hedrar GPC-signaler för personlig reklam men erkände att vissa cookies förblir aktiva i”operativa syften.”
Mellan företagsuttalanden och nätverksbevis är dock klyftan stor. Google hävdar efterlevnad medan dess servrar ställer in reklamcookies som svar på rubriker för att välja bort. Meta skyller på webbplatsoperatörer när de skickar spårningskod som inte har någon mekanism för att leta efter opt-out-signaler. Microsoft medger att vissa cookies kvarstår trots signalen men framställer dem som operationellt nödvändiga, utan att specificera vilka cookies som är kvalificerade eller varför de kräver spårningsfunktioner.
Ett mönster av sekretessböter
Eskalerande tillämpning av integritetslagar ger en bakgrund för granskningens resultat och föreslår att tillsynsmyndigheter kan agera på dem. Enligt California Privacy Audit har Google hittills betalat 2,318 miljarder dollar i sekretessböter, inklusive en straffavgift för att spåra användare med funktionshindrade konton i september 2025 och en sekretessuppgörelse på 1,375 miljarder dollar i Texas i maj 2025 för dataspårning och ansiktsskanningar.
Under tiden har Meta, enligt samma granskning, betalat 4 miljarder dollar inklusive sekretessböter.”betala eller samtycka”-annonseringsmodell och för att ha blivit ertappad med att i hemlighet spåra Androids webbsurfaktivitet i juni 2025. I båda företagen är mönstret konsekvent: tillsynsmyndigheter avslöjar spårningsbeteende som bryter mot angivna integritetsåtaganden, böter tas ut och nya granskningar avslöjar att praxis fortsätter.
Dessutom måste riksåklagaren i Kalifornien omfattas av åklagaren. som en giltig konsumentbegäran om att stoppa försäljning eller delning av personlig information. Tillsynsställningen i staten har hårdnat under 2026, med rekordstora böter som specifikt inriktar sig på efterlevnad av opt-out. För Google, som redan har råkat ut för miljarder i sekretessstraff i flera jurisdiktioner, lägger granskningen till ytterligare ett dokumenterat fall av bristande efterlevnad som tillsynsmyndigheter kan hänvisa till i framtida förfaranden.
I kärnan ställer granskningen en strukturell fråga: om integritetsopt-out-mekanismer kan fungera när företagen som kontrollerar dem helt enkelt inte väljer majoriteten av onlineannonserna. Efterlevnad skulle kräva minimal teknisk ansträngning, men de tre största annonsteknikföretagen har inte gjort det.
Om GPC inte kan tvinga efterlevnad från Google, Microsoft och Meta, beror signalens värde som ett integritetsverktyg helt på om tillsynsmyndigheter är villiga att upprätthålla lagen bakom den. Utan meningsfulla påföljder kopplade specifikt till GPC-överträdelser riskerar det juridiska mandatet att bli symboliskt, en rättighet som finns på papperet men som inte ger något skydd i praktiken.
“Detta är Hormuzsundet i dataekonomin. Om du vill göra en förändring är det här du klipper bort det. Allt annat än det är det politiska inlägget från Timother.”webXray (via 404 Media)
För de miljontals kaliforniska invånare som har bekräftat att den opterade webbläsaren har gjort det möjligt för deras granskning ska förhindra: deras data samlas in oavsett. Huruvida statens tillsynsmyndigheter kommer att använda Liberts rättsmedicinska bevis för att tvinga efterlevnad är fortfarande den öppna frågan.
