10 月 25 日，IT之家引述微軟支援文件報導，Edge 瀏覽器已原生內建全球隱私控制（Global Privacy Control，簡稱 GPC）開關，使用者不必再靠第三方擴充功能，就能對造訪的網站發出「請勿出售或分享我的個人資料」的訊號。同一時間，谷歌雖然還沒在正式版 Chrome 提供這項功能，但已在 Canary 測試版中進行實驗。
先把這個功能講白。GPC 是萬維網聯盟（W3C）在 2020 年 10 月提出的技術規範，目的在落實《加州消費者隱私法案》（CCPA）與《通用資料保護條例》（GDPR）賦予使用者的權利。它的運作方式可以用「門口掛牌子」來理解：你在自家門口掛上「謝絕推銷」的牌子，照理說推銷員看到就應該跳過你家。開啟 GPC 之後，瀏覽器會在你連上每一個網站時自動附帶一個訊號，告訴對方：這位使用者不願意個人資料被出售，也不願意被用於定向廣告。
牌子掛了，推銷員會不會理，是另一回事。微軟在文件中明確提醒，即便 Edge 發出 GPC 訊號，網站仍可選擇遵守或無視，開啟不代表所有追蹤都會停止，也無法保證資料一定不被共享。此外，這項設定目前僅在美國地區上線，其他地區的使用者還得等。
為什麼是 Edge 先做，而且只先在美國
其實這條路上 Edge 是晚到的。火狐與 Brave 早已內建 GPC 且預設開啟，火狐近期還追加同類的隱私功能。Chrome 和 Edge 的使用者過去只能依賴第三方擴充功能，而擴充功能恰恰是隱私風險與效能負擔的常見來源，用一個可能讀取網頁內容的外掛來阻擋追蹤，本身就有些矛盾。
只在美國先上線也不難理解。CCPA 是目前把 GPC 訊號寫進法規解釋的代表性例子，在加州，網站收到 GPC 訊號後依法必須把使用者視為已行使「拒絕出售」權利。對微軟來說，先在法律依據最明確的市場推出，合規風險最低。歐洲的 GDPR 雖也涵蓋資料主體權利，但 GPC 訊號在各法域的法律效力並不一致，這也是為什麼同樣一個開關，各地的落地速度不同。
Chrome 那邊進行到哪裡
谷歌的進度落後一步，但已經在動。今年 1 月，一名 Chromium 開發人員發布原型開發意向文件，提出原生實作方案；7 月相關程式碼合入 Chromium 主分支。這套方案新增 Sec-GPC: 1 這個 HTTP 請求標頭，以及 navigator.globalPrivacyControl 的 JavaScript 屬性，讓網站能讀取使用者的隱私偏好。對應的內部設定項名為 enable_global_privacy_control，早期並沒有面向一般使用者的介面，目前谷歌已在 Chrome Canary 中測試這項退出追蹤的設定，但正式版仍不可用。
以 Chrome 在桌面瀏覽器約七成三的市佔來看，一旦正式推送，等於全球多數桌面使用者的隱私偏好將有一個標準化的出口。不過報導也點出，Chrome 目前仍缺少指紋防護（fingerprinting protection）這類更積極的隱私能力，GPC 補上的是「表態」這一環，不是完整的防護傘。
所以呢：開了有什麼用，沒開會怎樣
對一般使用者的實際意義可以這樣收斂。第一，如果你在美國、使用 Edge，開啟 GPC 是零成本的一步，尤其對加州使用者，法律效力最直接。第二，在臺灣或其他尚未上線的地區，這個開關目前與你無關，但訊號本身值得留意：當微軟與谷歌都把 GPC 收進原生功能，網站無視訊號的成本會慢慢上升，因為「沒收到」與「收到了假裝沒看到」在法律上越來越難混為一談。
第三，也別把 GPC 當成追蹤的解藥。它管的是資料的出售、共享與定向廣告用途，對 cookie 以外的指紋辨識、跨裝置比對等技術沒有約束力。掛上「謝絕推銷」的牌子，擋的是守規矩的推銷員；不守規矩的，還是要靠瀏覽器本身的防護機制與法規執法去處理。
隱私權利的設計邏輯，向來是「使用者先有表達偏好的標準管道，法律再跟上強制力」。GPC 從規範發布到兩大瀏覽器原生支援走了六年，速度不算快，但方向很清楚：個人資料的買賣，正在從「預設同意、退出要自己想辦法」，慢慢轉向「偏好由瀏覽器統一代送」。下一步值得觀察的訊號，是 Chrome 正式版何時推送，以及美國以外的法域會不會把這個訊號寫進法律義務。