康涅狄格州总检察长与TaxAct达成27.5万美元和解：未经告知向第三方广告工具共享纳税人敏感财务数据

被披露的财务明细包括四舍五入后的调整后总收入、退税金额与应纳税额、受抚养人数，以及纳税人是否申报了慈善捐赠、投资收益、住房抵押贷款利息或学生贷款利息。这些信息虽非完整纳税申报表，但已足以勾勒出申报人的收入结构与财务行为画像，属于高度敏感的个人信息。

监管方还指出，TaxAct与第三方供应商之间的合同未对这些供应商使用或进一步共享数据设定任何限制，而其隐私声明却承诺保护消费者信息。告知与实际做法之间的落差，以及对外包处理方的合同约束缺失，是本案被认定为不当处理的两项关键事实。

本案是州总检察长在税务申报场景强化个人信息执法的又一例证。报税服务同时涉及财务数据与身份标识符，第三方追踪脚本的引入往往超出用户对“报税”场景的合理预期；企业除需在隐私政策中充分告知外，还应在供应商合同中设定使用目的限制与再披露禁止，并对追踪代码的部署建立上线前审批。