2000项合规注册表

图像缺少 ALT 标签

图像缺少替代文本属性，使视觉内容对屏幕阅读器不可见。这是提交最多的 ADA 网页无障碍投诉，也是最容易在法庭上证明的。

颜色对比度不足

文本与背景的对比度低于正常文本所需的 4.5:1 最小比率。低视力用户无法阅读页面内容，这是一个可测量、可自动化的违规行为，经常在需求函中被引用。

键盘无法访问的交互元素

下拉菜单、模态框或自定义控件等交互元素无法仅通过键盘操作。无法使用鼠标的用户完全无法使用关键功能。

标题层级损坏

页面缺少 H1 元素或跳过标题级别（例如，从 H1 到 H3）。屏幕阅读器依赖标题结构进行页面导航；损坏的层级使内容难以扫描和理解。

安装了 ADA 覆盖小部件

安装了第三方无障碍覆盖小部件（例如，AccessiBe、UserWay）。这些覆盖被视为“流氓律师的危险信号”，不提供法律合规性，并已被残疾倡导组织和法院明确拒绝。

医疗预约页面上的 Meta Pixel

Facebook/Meta 跟踪像素在预约安排或医疗服务页面上触发，向 Meta 传输患者健康状况数据。HHS 已发布明确指导，指出这构成不允许的 PHI 披露。

缺少善意估算页面

网站未提供有关患者有权根据《无意外法案》获得预期费用善意估算的信息。自付和无保险患者必须在安排服务前被告知此权利。

与表单 SaaS 提供商缺少 BAA

患者入院或联系表单通过第三方 SaaS 平台（例如，Typeform、JotForm）处理，但没有签署商业伙伴协议。通过这些表单提交的所有患者数据都是不安全的 PHI 披露。

未加密的患者入院表格

患者入院表格通过未加密的HTTP连接提交或在静态时未加密存储。HIPAA要求对传输中和静态的电子PHI进行包括加密在内的技术保障。

跨州远程医疗服务无执照过滤

向提供者未获执照的州提供远程医疗服务，且未设置地理资格过滤器。公司行医法（CPOM）和州执照要求可能被违反。

缺少"不销售或分享"页脚链接

网站页脚缺少"不销售或分享我的个人信息"链接。CCPA要求此链接对加州消费者清晰、醒目且在每个页面可用。

第三方追踪器在Cookie同意前触发

分析、广告和社交媒体追踪脚本在用户提供同意前执行。根据CCPA/CPRA，用于跨上下文行为广告的第三方数据共享至少需要退出功能。

职业页面缺少申请人隐私通知

职业或求职申请页面在收集简历和个人数据时未提供申请人隐私通知。CPRA将隐私权扩展至求职者和员工，要求在收集点进行披露。

第三方数据共享未披露

个人信息与第三方广告、分析或数据丰富服务共享，但未在隐私政策中披露。每一次未披露的共享关系均构成单独违规。

自动选择加入营销通信

用户在创建账户或结账时自动选择加入营销电子邮件或短信，而未获得明确同意。预选营销同意框违反CCPA原则和CAN-SPAM要求。

虚假倒计时器（黑暗模式）

“限时优惠”倒计时器在页面重新加载时重置，揭示其为虚构的紧迫感。FTC 将虚假倒计时器归类为欺骗性黑暗模式，根据《联邦贸易委员会法》第 5 条进行执法。

虚假社会证明计数器

“现在有 X 人在查看”或“库存仅剩 Y 件”等计数器显示虚构或无法验证的数字。FTC 认为制造的社会证明属于欺骗性贸易行为。

订阅取消比注册更难

取消订阅需要比原始注册过程更多的步骤、电话或障碍。FTC 的《一键取消规则》要求取消应与注册一样容易。

未披露的付费推荐

显示客户或影响者推荐而未披露评论者收到报酬、免费产品或其他激励。每个未披露的付费背书可处以高达 50,000 美元的罚款。

免费试用自动转为付费而无披露

免费试用在消费者提供付款信息前，未明确显著披露转换条款、账单日期和金额即自动转为付费订阅。

联系表单缺少短信同意复选框

联系或潜在客户生成表单收集电话号码而无明确的短信通信选择加入复选框。A2P 10DLC 运营商要求和 TCPA 要求营销短信需事先书面同意。

营销短信中无 STOP 机制

营销短信未包含退出说明（如“回复 STOP 退订”）。CTIA 指南和 TCPA 要求每条营销短信包含明确的退出机制。

营销邮件无退订链接

商业邮件缺少有效的退订机制。CAN-SPAM 要求每条商业消息中包含清晰显著的退出方法，且退出请求必须在 10 个工作日内处理。

未获得TCPA明确同意的自动拨号器

使用自动电话拨号系统（ATDS）拨打电话或发送短信而未获得事先明确同意。TCPA禁止向手机发送未经请求的自动拨号或预录语音呼叫。

批量短信缺少STOP关键字处理程序

批量短信系统不会自动处理STOP关键字响应以立即停止发送消息。未能遵守退订关键字会使企业面临每条消息500–1500美元的TCPA集体诉讼责任。

Meta Pixel在Cookie同意前触发

Facebook/Meta跟踪像素在访客与Cookie同意横幅互动前加载并传输用户数据。根据GDPR，非必要跟踪需要事先、知情且肯定的同意。

Google Analytics未获得GDPR同意

Google Analytics在未获得事先同意的情况下收集欧盟用户的访客数据。多个欧盟数据保护机构已裁定Google Analytics传输构成非法处理和跨境数据传输。

无72小时违规通知流程

组织没有在意识到个人数据泄露后72小时内通知监管机构的文件化程序。未能通知是单独的、可独立罚款的违规行为。

YouTube嵌入泄露视频观看数据

标准YouTube嵌入结合跟踪像素会造成类似VPPA违规的视频观看数据泄露。YouTube的标准嵌入在获得同意前与Google共享观看习惯。

未发布数据保留政策

隐私政策未指定个人数据保留时长或确定保留期限所使用的标准。GDPR要求在收集时透明地告知保留期限。

缺少 Content-Security-Policy 标头

该网站未设置 Content-Security-Policy HTTP 标头，使其容易受到跨站脚本 (XSS) 和数据注入攻击。CSP 是防止未经授权脚本执行的关键防御层。

支付表单未使用令牌化

信用卡号直接收集到商户服务器的表单字段中，而非通过符合 PCI 的令牌化服务（如 Stripe Elements、Braintree）。这将整个站点置于 PCI-DSS 范围内。

HTTPS 页面存在混合内容

页面通过 HTTPS 提供服务，但子资源（图像、脚本、样式表）通过不安全的 HTTP 加载。混合内容破坏了 HTTPS 的安全保障，可能被用于中间人攻击。

XML-RPC 端点已启用

WordPress XML-RPC 端点 (xmlrpc.php) 可公开访问并响应请求。该端点是已知的暴力破解放大攻击和 DDoS 滥用向量。

第三方脚本缺少 SRI

外部 JavaScript 文件加载时未使用子资源完整性 (SRI) 哈希。如果第三方 CDN 或脚本主机被入侵，恶意代码可能被注入页面而无法检测。

CIPA：聊天机器人未经同意进行录音

第三方聊天机器人记录并存储对话记录，而未告知用户并获得同意。根据加州《隐私入侵法》(CIPA)，这构成非法窃听，每次对话罚款 5,000 美元。

犹他州 AI 法案：AI 聊天机器人未披露 AI 身份

AI 驱动的聊天机器人或虚拟助手在用户直接询问时未能表明其为人工智能。犹他州 AI 政策法案要求 AI 系统在被询问时披露其非人类性质。

65 号提案：缺少有毒物质警告

运往加利福尼亚州的产品含有 65 号提案所列化学品，但未附带要求的“已知可致癌或生殖危害”警告。违规行为每天每项违规可处以 2,500 美元罚款。

受限产品的年龄验证不足

酒精、电子烟或CBD产品的年龄验证仅依赖简单的“我已满21岁”按钮，而无真实身份验证。多个州要求对受限产品销售进行超出自我声明的严格年龄验证。

NY SHIELD法案：数据安全不足

企业在收集纽约居民的私人信息时，未实施SHIELD法案要求的合理数据安全保障措施。必须记录行政、技术和物理保障措施。

GLBA：通过不安全电子邮件传输敏感财务文件

企业通过标准未加密电子邮件接受敏感财务文件（纳税申报表、银行对账单、SSN）。GLBA的保障规则要求金融机构为客户数据实施安全传输方法。

FINRA：投资通信使用个人电子邮件

投资顾问或经纪自营商使用个人Gmail或未存档的电子邮件进行客户通信，而非受监督、存档的企业电子邮件系统。FINRA要求保留和监督所有业务通信。

无DMCA代理或删除政策

网站未在美国版权局注册DMCA代理，也未发布DMCA删除政策页面。没有这些，企业将失去用户生成内容的避风港保护。

退货政策未显著展示

加州法律要求在销售点显著展示无退货或有限退货政策。如果未展示，消费者有权在30天内获得全额退款，无论商家的原定政策如何。

投资顾问缺少SEC Form CRS

注册投资顾问的网站未按SEC最佳利益规定发布Form CRS（客户关系摘要）。Form CRS必须交付给零售投资者并公开可用。

缺少 DMARC 记录

该域名缺少 DMARC（Domain-based Message Authentication, Reporting & Conformance）DNS 记录。没有 DMARC，Gmail、Yahoo 和其他执行 DMARC 政策的主要提供商越来越会拒绝或将邮件归入垃圾邮件文件夹。

指向过期域名的出站链接损坏

网站包含指向已过期、停放或潜在恶意域名的链接。损坏的出站链接会损害 SEO 权威，如果过期域名被恶意行为者重新注册，还可能将用户重定向到网络钓鱼或恶意软件站点。

缺少 DKIM 电子邮件身份验证

该域名未发布用于电子邮件身份验证的 DKIM（DomainKeys Identified Mail）记录。没有 DKIM，接收邮件服务器无法验证电子邮件内容在传输过程中是否被篡改，从而降低送达率。

缺少 robots.txt 和站点地图

网站缺少 robots.txt 文件和/或 XML 站点地图。没有这些，搜索引擎可能会低效地抓取网站、索引敏感页面或完全遗漏重要内容，直接影响有机搜索可见性。

联系表单无速率限制

联系表单没有速率限制、蜜罐或滥用预防机制。未受保护的表单经常被用于垃圾邮件注入、网络钓鱼中继和针对表单处理程序的拒绝服务攻击。

产品/服务缺少无障碍信息

受EAA监管的数字服务未在其数字界面中提供清晰的无障碍信息和功能，违反了欧盟指令2019/882对电子商务和银行的要求。

非法收集儿童个人信息

网站在未获得可验证的父母同意的情况下收集13岁以下用户的个人数据（姓名、电子邮件、跟踪Cookie），违反COPPA法规。

个人数据收集目的不明确

表单字段在收集时或之前未明确说明收集的具体且有限目的，不符合PIPEDA要求。

缺少有效的处理法律依据

网站处理个人数据时未列出每项处理活动的明确法律依据（如同意、合法利益），不符合LGPD要求。

跨境数据传输披露不合法

南非网站向南非境外传输个人数据时，未确保接收国具备充分数据保护法律或向用户披露，违反规定。

缺少匿名/假名交互选项

网站在非实际或法律必要的情况下强制用户提供身份信息进行一般咨询，违反澳大利亚隐私原则2。

不合理条款强制个人数据同意

网站要求同意收集超出提供产品或服务合理范围的个人数据，违反PDPA同意要求。

缺少AI用户交互披露

网站使用AI系统（如客户支持聊天机器人）与自然人交互时未告知其正在与AI交互，违反透明度要求。

缺少当局单一联系点

数字服务提供商未发布与欧盟当局沟通的直接、电子且易于访问的单一联系点。

欺骗性设计鼓励儿童数据共享

网站使用暗黑模式诱导儿童提供超出必要范围的个人信息，违反加州AB 2273要求。

缺少敏感数据处理选择同意

网站在未获得科罗拉多或弗吉尼亚居民明确选择同意的情况下处理敏感个人数据（如精确地理位置、健康数据、种族信息）。

未实施私人数据保护措施

针对纽约的网站未维护个人信息的行政、物理和技术保护措施，违反NY SHIELD法案。

ICT第三方风险披露不充分

金融实体未维护与其ICT第三方服务提供商合同安排的全面信息登记册，违反DORA指南。

未根据欧洲无障碍法案发布无障碍声明

面向欧盟消费者的电子商务或数字服务网站缺少公开可访问的无障碍声明，该声明应说明与EN 301 549 / WCAG 2.1 AA的一致性状态。欧洲无障碍法案（指令2019/882）自2025年6月28日起强制执行，要求提供覆盖服务的私营企业发布无障碍声明。

健康数据共享未遵守FTC健康数据泄露通知规则

非HIPAA健康网站或应用（健康、健身、症状检查器）收集可识别的健康信息，并将其传输给第三方分析/广告平台，但未显示泄露通知政策。FTC健康数据泄露通知规则（2024年7月修订）将未经授权共享健康数据视为泄露。

未获得选择加入同意即使用未成年人的数据进行定向广告（CTDPA）

网站面向未成年人（18岁以下）提供内容或收集表明未成年用户存在的数据，但继续触发定向广告像素而未获得明确的选择加入同意。康涅狄格州SB 3（修订CTDPA）禁止在未获得明确同意的情况下处理未成年人的数据用于定向广告或画像。

高风险AI系统缺少公开透明度披露（科罗拉多州AI法案）

网站使用AI驱动系统进行后果性决策（招聘、贷款、保险、住房），但缺少公开可访问的声明，披露部署了哪些高风险AI系统以及如何管理算法歧视风险。科罗拉多州SB 24-205要求部署者维护此类披露。

面向韩国用户在获得同意前设置非必要Cookie

面向韩国用户的网站在获得明确、知情同意前设置跟踪或广告Cookie。韩国PIPA要求在收集包括行为跟踪数据在内的个人信息前获得事先选择加入同意。违规可处以最高3%的总收入罚款。

电子签名同意流程缺少ESIGN法案要求的披露

网站使用电子签名或协议进行交易，但未能提供要求的预同意披露，包括：接收纸质副本的权利、撤回同意的权利及程序，以及访问记录所需的硬件/软件要求。

电子收据上显示完整信用卡号（FACTA违规）

网站在电子订单确认、收据或账户页面上显示信用卡/借记卡号超过最后五位数字，或显示有效期。FACTA要求将卡号截断为不超过五位数字，并禁止在电子打印收据上打印有效期。

在未获得选择加入同意的情况下触发非必要Cookie（泰国PDPA）

面向泰国用户的网站在通过合规同意横幅获得明确选择加入同意前触发非必要Cookie（分析、广告、社交）。泰国PDPA要求在处理包括Cookie在内的个人数据前获得明确、主动的选择加入同意。预选框明确不合规。

缺少数据控制者注册通知（土耳其KVKK）

处理土耳其居民个人数据的网站未披露数据控制者的身份、VERBIS（数据控制者登记处）注册号，或提供符合KVKK要求的隐私声明，说明处理目的、第三方传输和数据主体权利。

隐私声明缺少明尼苏达州MCDPA要求的数据保留期限

面向明尼苏达州消费者的网站隐私政策未披露所收集个人数据的数据保留期限或政策。明尼苏达州消费者数据隐私法（2025年7月31日起生效）特别要求在隐私声明中披露保留政策。

金融网站缺少AML/KYC客户识别通知

在线开设账户的金融机构、金融科技或货币服务业务网站未显示要求的客户通知，说明正在收集个人信息以遵守联邦身份验证（CIP）要求（根据USA PATRIOT Act/BSA）。

印度数据主体缺少申诉救济机制

从印度用户收集个人数据的网站未提供指定申诉官员的联系方式或数据主体的投诉机制。印度DPDP法案2023要求数据受托人在其网站上建立可访问的申诉救济机制。

未经事先通知和同意收集生物识别信息 (Texas CUBI)

网站在未事先通知个人且未获得其明确同意的情况下，收集生物识别标识符（例如虚拟试穿或照片中的面部几何扫描，或声纹），违反了德克萨斯州 CUBI 法案。

网站上缺少数据保护官 (DPO) 联系方式 (Quebec Act 25)

收集魁北克居民个人信息的网站未在网站上公布负责保护个人信息的人员（DPO/负责人）的职务 and 联系方式，违反了魁北克第 25 号法案第 3.1 条。

首页缺少消费者健康隐私政策链接 (WA MHMDA)

收集消费者健康数据（例如搜索症状、生殖健康追踪器、健身注册）的网站未在其首页页脚或页眉显示标题为 "Consumer Health Privacy Policy" 的独立、明显链接，违反了华盛顿州 MHMDA 的要求。

用户界面中的暗黑模式/操纵性设计 (EU DSA Article 25)

网站使用欺骗性设计技术或暗黑模式，歪曲、损害或操纵用户做出自由和知情决定的能力（例如，取消订阅的难度明显高于注册），违反了欧盟《数字服务法》(DSA) 第 25 条。

受监管内容年龄验证不足 (UK OSA)

网站发布对儿童有害的内容（如成人内容、赌博或高度敏感的暴力内容），但未实施严格的年龄验证，而是依赖简单的 "我已满18岁" 点击式年龄门槛，违反了英国《在线安全法》。

未成年用户默认启用地理定位 (CA AADC)

可能被未成年人访问的网站默认未禁用精确的地理定位跟踪，违反了加利福尼亚州《适龄设计规范法案》。

处理敏感数据缺少同意 (Oregon OCPA)

针对俄勒冈州消费者的网站在未经事先主动同意的情况下处理敏感数据，违反了俄勒冈州《消费者隐私法》。

敏感数据同意违规 (Texas TDPSA)

针对德克萨斯州消费者的网站在未获得德克萨斯州《数据隐私和安全法案》规定的明确事先选择性同意的情况下，收集敏感个人数据（包括生物识别或基因标识符）。

未能披露人脸识别监控 (Florida FDBR)

根据《佛罗里达州数字权利法案》的要求，网站或相关 Web 应用程序使用主动人脸识别或监控软件，但未提供清晰、显著的前端通知并获得选择性同意。

消费者画像通知不充分 (Nebraska NDPA)

针对内布拉斯加州消费者的网站在就业、金融或住房方面使用自动决策或画像，但未在其隐私通知中披露画像逻辑。

数据可携性请求格式不可访问 (GDPR)

网站的数据下载工具以专有或非结构化格式（如 PDF 报告）输出个人数据，而不是 GDPR 要求的结构化、常用且机器可读的格式（如 JSON 或 CSV）。

缺少广告存储库和透明度日志 (EU DSA)

向欧盟用户展示广告的在线平台未能提供包含搜索过滤器、广告主身份和定位参数的公开可访问广告库，违反了 DSA 第 39 条。

强行捆绑守门人平台数据 (EU DMA)

作为守门人的在线平台在未获得用户明确、单独同意的情况下，将从核心平台服务收集的个人数据与其他服务的数据进行捆绑，违反了 DMA 第 5(2) 条。

缺少同意状态记录和审计跟踪 (GDPR)

收集个人数据的网站未能记录、登记和维护 Cookie 同意协议的确切时间戳、同意版本和用户行为的审计跟踪，违反了 GDPR 第 7(1) 条。

缺少运营韧性披露 (EU DORA)

金融实体或关键第三方服务商的网站未能披露网络安全运营风险管理框架和紧急联络途径，违反了 DORA 第 30 条。

数据销毁标准违规 (Australia Privacy Act)

保存澳大利亚居民个人数据的网站未能实施自动脚本或计划，以永久去标识化或销毁不再需要的数据，违反了 APP 11.2。

数据保护官联系方式未公开 (Singapore PDPA)

针对新加坡用户的网站未能公布指定的的敏感数据保护官的联系信息（如直接电子邮件地址），违反了新加坡 PDPA 第 20 条。

缺少同意管理器接口集成 (India DPDP Act)

网站未能支持或链接到授权的“同意管理器”，以允许印度数据主体通过自动化门户给予、管理、查看和撤回同意，违反了 DPDP 法案第 6(7) 条。

缺少隐私官联系链接 (New Zealand Privacy Act)

网站收集新西兰居民的数据，但未能展示其指定隐私官的联系方式，违反了新西兰《隐私法案》第 201 条。

敏感数据缺少本地数据保护官 (Vietnam Decree 13)

收集越南居民敏感个人数据（如位置、健康、财务）的网站未能按照第 13 号法令的要求设立本地数据保护部门或任命 DPO。

缺少数据主体权利门户链接 (Brazil LGPD)

网站未能在其主页上显示清晰、独立的链接，以允许巴西居民直接提交访问、更正、删除或匿名化其个人数据的请求，违反了 LGPD 第 18 条。

直接营销缺少选择性同意 (Saudi Arabia PDPL)

针对沙特阿拉伯居民的网站在未获得事先明确选择性同意的情况下，发送促销信息或出于广告目的跟踪行为，违反了 PDPL 第 28 条。

直接营销缺少单独同意 (Dubai DIFC)

在 DIFC 管辖区下运营的网站收集个人数据，并将营销或画像同意与一般条款捆绑在一起，违反了 DIFC 《数据保护法》第 12 条。

未经授权跨境传输健康数据 (Kenya DPA)

网站收集肯尼亚居民的敏感健康或医疗记录，并在未获得明确批准和同意的情况下将其存储在肯尼亚境外的服务器上，违反了肯尼亚 DPA 第 50 条。

未经授权的国际数据传输 (Morocco Law 09-08)

网站收集摩洛哥居民的个人数据并在未获得 CNDP 事先书面授权的情况下将其传输到摩洛哥境外，违反了摩洛哥第 09-08 号法律。

金融客户信息传输不安全 (FTC Safeguards)

针对消费者的金融科技或金融门户网站通过未加密的渠道传输客户数据，或者未能强制在所有登录和 API 接口上使用 HTTPS，违反了 FTC《保障措施规则》。

缺少公司透明度披露 (CTA)

公司网站未能根据《公司透明度法案》的合规要求，提及或展示所需的实益拥有权报告通知或备案确认。

缺少 ICT 风险管理系统披露 (EU DORA)

欧盟金融实体或服务的网站未能展示网络安全认证或概述数字运营韧性机制的披露，违反了 DORA 第 6 条。

缺少 BrokerCheck 链接及监管披露 (FINRA)

投资顾问或自营商网站未能在其首页和个人资料页面上显示指向 FINRA BrokerCheck 工具的直接、显著链接，违反了 FINRA 规则 2210。

支付网关上缺少子资源完整性 (SRI) (PCI-DSS v4.0)

网站在引入外部 CDN 或第三方网关的支付表单或脚本时未利用子资源完整性 (SRI) 哈希，导致支付面临表单劫持的风险，违反了 PCI-DSS 要求 11.6.1。

操纵性取消流程/蟑螂旅馆 (FTC Section 5)

网站使用暗黑模式使订阅取消变得非常困难，与一键注册流程相比，需要多次打电话或复杂的导航路径。

确认羞辱式选择退出弹窗 (FTC Section 5)

网站显示营销或订阅选择退出选项，其中拒绝按钮使用情感操纵性语言（如“不，谢谢，我讨厌省钱”）来阻碍用户选择退出。

Web3 dApp 界面存在盲签漏洞 (NIST SP 800-95)

Web3 应用程序钱包集成在未在 Web 界面中渲染可读交易详情（函数、目标、参数）的情况下请求原始交易签名有效载荷，从而允许盲签。

高风险 AI 系统缺少日志记录功能 (EU AI Act)

高风险 AI 系统的部署者未能确保系统生成的日志自动保留至少六个月，以确保可追溯性和可审计性，违反了欧盟 AI 法案。

第三方数据处理商披露不充分 (Canada PIPEDA)

隐私政策未能详细说明处理用户个人数据的第三方 SaaS 处理商的的身份、角色和国家/地区，违反了 PIPEDA 透明度指南。

默认对未成年人启用社交媒体聊天 (Texas SCOPE)

社交网络或平台网站默认未对经核实或怀疑为未成年人的用户禁用直接消息和聊天功能，违反了德克萨斯州《SCOPE 法案》。

受限社交平台缺少年龄门槛 (Florida FDBR)

允许未成年人访问的社交媒体平台未能部署经认可的、安全的年龄验证机制，违反了《佛罗里达州数字权利法案》下关于年轻消费者安全的规定。

儿童敏感数据缺少同意验证 (Virginia VCDPA)

收集 13 岁以下儿童消费者敏感个人数据的网站在收集数据之前未能获得符合 COPPA 的父母验证，违反了 VCDPA。

缺少儿童影响评估披露 (Maryland AADCA)

可能被儿童访问的网站或应用程序未能就未成年人的风险进行并提交数据保护影响评估 (DPIA)，违反了马里兰州 AADCA。

儿童敏感数据缺少选择性同意 (Indiana CDPA)

针对印第安纳州消费者的网站收集 13 岁以下未成年人的敏感数据，但未获得符合 COPPA 要求的、事先的主动选择性同意，违反了印第安纳州《消费者数据隐私法案》。

电子邮件退订机制不可访问或延迟 (CAN-SPAM)

网站的营销退订链接未能立即处理，或者需要 10 个工作日以上才能将用户从列表中删除，违反了《CAN-SPAM 法案》规则。

缺少营销自动拨号电话的书面同意 (TCPA)

线索收集表单收集电话号码，并将其用于自动营销呼叫活动，但未获得包含所需 TCPA 披露内容的明确事先书面同意。

电子商务中缺少替代媒体格式 (EAA)

网站通过视频或音频媒体展示产品，但未提供字幕或音频说明，违反了欧洲《可访问性法案》下的电子商务可访问性规则。

模态对话框中的键盘焦点陷阱 (ADA Title III)

模态对话框或 Cookie 横幅禁锢了键盘焦点，防止用户通过 Tab 键返回主页面内容，违反了可访问性标准。

移动响应式布局上的同意绕过 (ePrivacy)

当在移动布局上不渲染或隐藏网站同意横幅时，跟踪脚本却执行了，以此绕过用户同意，违反了 ePrivacy 指令。

社交媒体聊天泄露患者 PHI (HIPAA)

医疗挂号或客户沟通门户接入了第三方社交媒体聊天组件（如 Facebook Messenger），从而传输了患者标识符，违反了 HIPAA 隐私规则。

信用数据在 LocalStorage 中的不安全存储 (PCI-DSS v4.0)

网站将主账号 (PAN)、持卡人姓名或 CVV 保存到浏览器的 LocalStorage 或 SessionStorage 中，违反了 PCI-DSS 数据存储指令。

敏感数据缺少医疗机构验证 (WA MHMDA)

网站收集华盛顿居民的敏感身体/心理健康数据，但未验证接收方是否为执业医疗机构，违反了 MHMDA。

缺少系统可用性披露 (SOC 2 Type II)

SaaS 门户未能提供公开可访问的状态或正常运行时间跟踪页面，违反了关于运营可用性的 SOC 2 信托服务标准。

缺少 ICT 事件报告功能 (EU DORA)

金融服务平台未能为用户提供用于报告运营性 ICT 事件的、安全的专用门户，违反了 DORA 第 17 条。

缺少消费者数据可携性格式选项 (Delaware DPDPA)

针对特拉华州消费者的网站未能以可移植、技术上可行且易于使用的格式提供个人数据下载，违反了特拉华州 DPDPA。

缺少消费者访问权披露 (Kentucky KCDPA)

针对肯塔基州居民的网站未能概述消费者确认其数据是否被处理以及进行访问的清晰、易于访问的的流程，违反了 KCDPA。

缺少消费者数据销售选择退出链接 (Iowa ICDPA)

针对爱荷华州消费者的网站未能提供清晰、显著的链接以允许用户选择退出其个人数据的销售，违反了爱荷华州《消费者数据保护法案》。

金融门户网站缺少多因素身份验证 (NYDFS)

受 NYDFS 管辖的金融仪表板或客户端 Web 面板未能对所有 Web 登录强制执行多因素身份验证 (MFA)，违反了网络安全条例 23 NYCRR Part 500。

键盘焦点被固定定位元素遮挡 (WCAG 2.2)

网站布局允许固定定位的页眉、页脚或覆盖层在键盘导航期间遮挡活动输入字段或按钮的焦点指示器，违反了 WCAG 2.2 SC 2.4.11。

高风险 AI 缺少人类监督披露 (EU AI Act)

部署高风险 AI 决策系统（如候选人筛选、信用评估）的网站未能披露人类监督和干预的机制，违反了《AI 法案》第 14 条。

推荐系统缺少非画像选项 (EU DSA)

使用推荐系统的在线平台未能向用户提供至少一个不基于画像的选项（例如按时间顺序排列的信息流，而不是算法信息流），违反了 DSA。

缺少事件通知和联系渠道 (NIS2)

关键基础设施或数字服务商的网站未能展示清晰的的事件通知程序或报告网络事件的联系途径，违反了 NIS2 要求。

Cookie 有效期超过最大限制 (ePrivacy 指南)

网站同意机制设置的非必要跟踪 Cookie 的有效期超过 12 个月，且没有自动的同意续订提示，违反了 ePrivacy 指南。

缺少对合格电子签名的支持 (eIDAS 2.0)

要求欧盟公民签名的数字平台未能识别或支持通过欧盟信任列表验证的合格电子签名 (QES)，违反了 eIDAS 2.0。

缺少数据更正门户 (Argentina Law 25.326)

收集阿根廷居民数据的网站未能提供用于请求更正或销毁个人数据的专用路径或清晰说明，违反了第 25.326 号法律。

缺少独立的 ARCO 权利操作 (Mexico LFPDPPP)

收集墨西哥消费者数据的网站未能为用户行使其 ARCO（访问、更正、取消、反对）权利提供清晰、可操作的步骤，违反了 LFPDPPP。

默认选择性加入营销违规 (South Africa POPIA)

网站在未获得明确事先选择性同意的情况下，向南非居民发送电子直接营销，或者向从未同意的用户发送，违反了 POPIA 第 69 条。

隐私政策中缺少联系方式和访问程序详情 (Australia APP 1)

针对澳大利亚用户的隐私政策缺少关于个人如何访问其个人数据、寻求更正或投诉违反 APP 行为的详细信息，违反了 APP 1.4。

未经同意向保障不足的国家进行跨境传输 (Thailand PDPA)

网站在未获得明确同意的情况下，将泰国居民的个人数据传输到没有足够数据保护标准的第三国，违反了 PDPA 第 28 条。

未经同意欺骗性调高订阅价格 (FTC)

网站在未通知用户并在计费更新价格之前获得明确同意的情况下，以更高的费率执行自动订阅续订，违反了 FTC 规则。

未能维护内部“谢绝来电”(DNC) 登记册 (TCPA)

线索收集网站未能维护和记录内部“谢绝来电”(DNC) 列表以及管理营销联系请求的程序，违反了 TCPA 规则。

电子商务中无法访问的电子发票/收据输出 (EAA)

在线商店生成的订单确认页面或可下载的收据被格式化为扁平图像或无法访问的 PDF，阻碍了屏幕阅读器的访问，违反了 EAA。

文本缩放至 200% 时破坏页面布局 (ADA Title III)

当浏览器缩放设置为 200% 时，网站布局在没有辅助技术的情况下发生破坏、重叠或文本截断，违反了 WCAG 2.1 SC 1.4.4 缩放标准。

同意横幅 Cookie 设置阻碍键盘用户

Cookie 同意横幅及其“管理设置”面板无法完全关闭或通过键盘 TAB 键导航，导致网站在功能上不合规。

dApp 中代币交易缺少风险披露 (SEC)

促进代币兑换或金融交易的 Web3 界面未能在其兑换面板上展示关于代币波动性和监管状态的清晰风险披露。

在前端执行来自非授权域的脚本 (PCI-DSS v4.0)

结账或支付界面加载并运行托管在非白名单域上的 JavaScript 文件，违反了 PCI-DSS v4.0 下严格的支付界面安全规则。

缺少事件响应计划引用 (Cyber Insurance)

SaaS 系统界面未能向用户展示请求安全事件披露报告的机制，这是网络责任保险承保所必需的。

缺少风险评估日志披露 (FTC Safeguards)

金融或金融科技门户网站未能在其安全通知中发布或提及它对客户数据存储数据库进行定期风险评估。

缺少用户账户管理审计日志 (NIST SP 800-53)

网站客户端控制面板未能为用户账户创建、特权修改或删除操作生成审计跟踪，违反了 NIST 网络安全标准。

缺少消费者纠正不准确个人数据的权利 (Minnesota MCDPA)

网站隐私流程未能为明尼苏达州消费者提供更正其收集的个人数据中不准确之处的易用途径，违反了 MCDPA。

未成年人与非父母用户之间默认启用私信 (Utah SMRA)

社交媒体 Web 应用程序未能默认对未成年人账户与未经验证的父母/监护人账户之间的直接消息功能进行拦截，违反了犹他州 SMRA。

出于商业目的对未成年人进行画像 (Connecticut SB 3)

针对康涅狄格州未成年人的网站在未获得未成年人或其监护人明确书面同意的情况下，收集个人画像用于定向营销或产品推荐。

针对儿童默认启用跟踪 (Maryland MODPA)

针对马里兰州居民的在线服务默认未能为识别为 18 岁以下的用户停用行为跟踪器，违反了 MODPA。

数据权利请求响应时间不合规 (Tennessee TIPA)

网站隐私流程未能保证并在规定的 45 天期限内执行对消费者隐私权利请求的响应，违反了 TIPA。

多步表单中需要重复输入数据 (WCAG 2.2)

多步注册或结账表单要求用户在同一会话中重新输入先前提供的信息，而未提供自动填充，违反了 WCAG 2.2 SC 3.3.7。

帮助和支持联系信息位置不一致 (WCAG 2.2)

网站在不同的页面上的不同位置展示支持联系人、聊天或 FAQ 路径（例如首页右上角，结账页左下角），违反了 WCAG 2.2 SC 3.2.6。

桌面端布局触发水平滚动 (WCAG 2.1)

当在 320 CSS 像素宽度下查看或缩放时，网站布局会强制水平滚动，阻碍了轻松阅读，违反了 WCAG 2.1 SC 1.4.10。

无法停止的自动播放媒体和轮播图 (WCAG 2.1)

网站包含自动播放的滑块、横幅或视频背景媒体，且用户无法暂停、停止或隐藏它们，违反了 WCAG 2.1 SC 2.2.2。

屏幕阅读器未播报状态消息 (WCAG 2.1)

动态状态更新（例如“保存成功”通知或内联验证消息）显示在 DOM 中，但没有 `role="status"` 或 `aria-live="polite"`，导致屏幕阅读器无法读取。

未披露已收集数据的加密标准 (GDPR)

网站隐私通知收集了敏感个人数据，但未能声明在存储和传输过程中使用的加密方法（例如 AES-256），违反了 GDPR 第 32 条。

用户缺少数据泄露缓解说明 (GDPR)

网站未能展示说明、直接电子邮件表单或联系详情来解释在发生个人数据泄露时如何通知用户以及他们应该采取什么行动。

缺少数据访问请求处理费用通知 (Canada PIPEDA)

针对加拿大居民的网站隐私通知未能说明正式个人数据访问请求是否存在相关的处理费用，违反了 PIPEDA。

超出必要期限非法保留个人数据 (New Zealand Privacy Act)

针对新西兰居民的网站缺少自动化的政策或披露，以具体说明个人数据的保留时间不会长于合法目的所需的期限，违反了 IPP 4。

未能披露向 DPA 投诉的程序 (Philippines DPA)

针对菲律宾消费者的网站隐私政策未能说明用户如何就数据泄露向国家隐私委员会 (NPC) 提出正式投诉。

缺少选择拒绝与非关联方共享数据的权利 (GLBA)

受 GLBA 管辖的金融科技或金融仪表板未能在与非关联第三方共享非公开个人信息之前，向用户提供选择退出的途径。

缺少外部软件组件清单 (PCI-DSS v4.0)

网站支付流程使用了外部软件库、框架或脚本，但未对所有软件组件进行活跃的、文档化的清单管理，违反了 PCI-DSS 要求 6.3.2。

缺少漏洞披露程序公告 (Cyber Insurance)

公司网站未能为白帽安全研究人员发布漏洞披露计划 (VDP) 或安全港政策，这是满足网络保险合规要求所必需的。

缺少员工安全培训引用 (FTC Safeguards)

金融仪表板隐私通知未能说明公司针对消费者数据保护进行年度员工安全培训，违反了 FTC《保障措施规则》。

缺少网络流量和入侵监控披露 (NIST SP 800-53)

数字平台的安全通知未说明其是否采用主动入侵检测或 Web 应用程序防火墙 (WAF) 来监控传入的网络流量，违反了 NIST SI-4。

针对儿童画像以投放定向广告 (Maryland MODPA)

针对马里兰州消费者的网站对已知在 18 岁以下的用户账户启用定向广告画像，违反了《在线数据隐私法案》。

对未成年人进行算法推荐 (Utah SMRA)

针对犹他州未成年人的社交媒体平台在未获得验证过的父母同意的情况下，在未成年人账户上利用预测算法或个性化推荐，违反了 SMRA。

未经同意出售地理定位数据 (Connecticut SB 3)

针对康涅狄格州消费者的网站在未获得事先明确选择性同意的情况下，出售从移动或 Web 界面收集的精确地理定位坐标。

禁止销售生物识别标识符 (Illinois BIPA)

网站出售或共享伊利诺伊州居民的生物识别数据（例如语音模板、人脸识别标记）以获取商业利润，这在 BIPA 下是被严格禁止的。

缺少合同条款保障摘要 (EU DORA)

金融仪表板未能披露其与关键 ICT 提供商的合同中包含强制性安全和数据可携性条款，违反了 DORA 第 30.2 条。

焦点外观（最小）违规

该网站的键盘焦点指示器缺乏最小面积或与相邻颜色的对比度，使得仅使用键盘的用户难以看清哪个元素处于活动状态，违反了 WCAG 2.2。

拖拽操作缺乏点击替代方案

拖拽手势（如滑块控制、看板）缺乏单点点击/触碰替代方案，给有运动障碍的用户带来障碍，违反了 WCAG 2.2。

表单数据冗余输入要求

表单要求用户重新输入在同一会话中先前提交过的信息，而不是自动填充或提供选择选项，违反了 WCAG 2.2。

焦点遮挡（增强级别）

在更严格的无障碍审计下，交互式元素在聚焦时完全可见，没有布局上的任何重叠，违反了 WCAG 2.2 AAA 标准。

缺少可访问的视频文本转录

包含教育或商业信息的嵌入式视频缺少同步或链接的全文文本转录，给视听障用户带来障碍，违反了 ADA Title III。

不安全的患者预约表单

在线预约界面在未加密的 URL 参数中传递受保护的健康信息（PHI，如病症或医生姓名），违反了 HIPAA 安全标准。

缺乏门户访问活动日志记录

健康门户数据库在加载敏感患者记录或化验结果时未能记录查看者身份、时间戳和操作，违反了 HIPAA 安全规则的审计要求。

不符合规范的健康数据删除流程

健康门户未能在华盛顿州《我的健康我的数据法案》（MHMDA）规定的 30 天法定窗口内执行用户删除所收集的非 HIPAA 健康追踪信息的请求。

不安全的处方上传文件存储

门户上传的处方或医生证明文件被放置在公共云目录中，或者可以通过易于猜测的 URL 访问，违反了 HIPAA 安全标准。

患者门户共享管理员凭据

医疗诊所工作人员使用共享的通用登录 ID 访问患者门户后台，导致无法对记录更改进行审计，违反了 HIPAA 关于唯一用户的要求。

征求同意退出链接中的暗黑模式

合规要求的“不销售或共享我的个人信息”选项链接在排版上难以点击，或者被设计成与同意按钮相比呈未激活状态，违反了 CCPA。

缺少财务激励通知

电子商务弹窗以提供折扣为条件换取用户订阅简报（收集电子邮件），却没有提供可链接的、详细的“财务激励通知”，违反了 CCPA。

未披露敏感数据保留期限

隐私政策未能声明所收集的每类敏感个人信息的具体保留期限（或用于确定该期限的准则），违反了加州民事法典。

隐式敏感地理位置定位追踪

该 Web 应用程序在未提出明确提示以限制使用敏感个人信息的情况下，追踪 1,850 英尺半径内的精确坐标，违反了 CCPA。

缺少隐私请求年度指标

处理 1000 万以上加州消费者个人信息的企业未能汇编和公布所收到及处理的请求的年度统计数据，违反了 CCPA 法规。

订阅欺骗性自动续订取消障碍

网页结账流程将用户纳入循环计费，但未能提供简单的客户端在线取消按钮，违反了 ROSCA 和 FTC 的执法指南。

预先勾选的非必要营销同意

注册或结账页面预先勾选了让用户订阅非必要促销或二级合作伙伴通信的复选框，违反了 FTC 第 5 条关于欺骗性行为的标准。

欺骗性的结账垃圾费用

在线支付流程隐瞒服务费、交易附加费或隐藏的行政成本，直到最终交易确认屏幕才显示，违反了 FTC 第 5 条标准。

金融门户缺乏多因素身份验证

提供消费者信用信息访问的 Web 控制台未能强制要求内部员工访问必须使用多因素身份验证（MFA），违反了 FTC《保障规则》。

健康搜索中的广告像素数据共享

非 HIPAA 医疗健康平台通过追踪器将用户的疾病搜索、查询或选择传输给广告网络，违反了 FTC《健康数据泄露通知规则》。

预先勾选的 SMS 同意输入

注册表单预先勾选了订阅促销 SMS 的复选框，违反了 TCPA 关于事先明确书面同意的要求。

缺少移动运营商披露

SMS 提交输入框省略了关于运营商责任、隐私保护和支持获取指令的明确说明，违反了 CTIA 运营规范。

外发电子邮件中缺少物理地址

门户注册自动发送的营销电子邮件未能在底部显示该组织的有效实体物理地址，违反了 CAN-SPAM。

电子邮件退订处理超出法定限制

数据库系统未能在 10 个工作日的法定窗口内将已退订的电子邮件从活动促销列表中移除，违反了 CAN-SPAM 规则。

缺乏 Do Not Call (DNC) 请求记录留存

电话营销数据库未能从提交之日起，将消费者的 Do Not Call (DNC) 请求记录保存至少 5 年的法定最低限期，违反了 TCPA。

加载时预先勾选非必要 Cookie

在收到欧盟访问者的积极、明确同意之前，该网站就写入了非必要的分析或广告 Cookie，违反了 ePrivacy 和 GDPR。

缺少数据保护官（DPO）公开联系信息

该网站的隐私披露文件未能在显著位置展示根据 GDPR 要求指定的数据保护官（DPO）的官方联系信息。

缺乏安全的个人数据访问请求（SAR）渠道

该平台未能提供用于处理个人数据访问请求（SAR）的安全且经过身份验证的渠道，导致意外泄露个人记录的风险，违反了 GDPR。

隐私设置默认处于开放状态

用户个人资料控制台在注册后默认与其它用户或合作伙伴分享个人资料、位置文件或使用历史，违反了 GDPR 的默认隐私保护规则。

未能执行必要的 DPIA 评估

对大规模行为数据进行追踪的 Web 应用程序未能完成并记录“数据保护影响评估”（DPIA），违反了 GDPR 要求。

在数据库中保留 CVV 数据

支付数据库在支付授权完成后归档卡片验证码（CVV/CVC）号码，构成了严重的 PCI DSS 违规。