美国CCPA加州消费者隐私法解读

美国CCPA加州消费者隐私法解读

2018年6月28日，加州消费者隐私法案由加州州长签署成为法律，2020年1月1日正式生效。CCPA是美国联邦层面数据保护立法的先行者，为美国其他州的隐私立法提供了参考框架。2020年11月，加州选民通过了加州隐私权法案，进一步强化和扩展了CCPA的内容。修正后的法律体系通常被称为CCPA/CPRA，于2023年1月1日全面生效。

CCPA的适用范围具有明确的商业导向。该法适用于在加州开展业务的营利性实体，且满足以下条件中至少一项：年总收入超过2500万美元；每年购买、接收、出售或共享10万或以上加州居民家庭或设备的个人信息；年收入的50%或以上来自出售或共享个人信息。与GDPR不同，CCPA更侧重于商业实践中个人信息的收集和使用行为。

CCPA赋予消费者多项核心权利。知情权是最为基础的权利。消费者有权要求企业披露收集的个人信息类别、具体信息内容、信息收集来源、收集或使用信息的目的以及与消费者信息共享的第三方类别。删除权允许消费者要求企业删除从消费者处收集的个人信息，但有例外情形，例如为完成交易、检测安全事件、调试修复错误、行使言论自由或遵守法律义务等。选择退出权保障消费者有权要求企业不得将其个人信息出售或共享给第三方。根据CCPA的定义，出售不仅仅是金钱交易，还包括以有价值对价交换个人信息的行为。选择加入权针对16岁以下消费者，企业在出售或共享该等消费者的信息前需获得其明确授权。

CCPA引入了禁止歧视条款。企业不得因消费者行使CCPA权利而对其提供不同价格、费率或服务水平的待遇。企业可以提供财务激励，只要该激励与消费者数据向企业提供的价值合理相关，且消费者已明确知晓并同意。财务激励计划需要向加州隐私保护局提交报告。

CCPA对个人信息采用了较为宽泛的定义。个人信息是指直接或间接识别、关联、描述、能够关联或可合理关联到特定消费者或家庭的信息。包括但不限于姓名、地址、邮箱地址、社保号码、IP地址、浏览器历史记录、地理位置数据、就业相关信息以及从上述信息中推断出的消费者偏好和特征。CCPA明确排除了公开可获取的信息、去识别化的消费者信息以及汇总的消费者信息。

CCPA对数据出售的规定值得企业重点关注。CCPA对出售采用了广义解释，不仅包括金钱交易，也包括以有价值对价交换个人信息的行为。这意味着将用户数据提供给数据分析公司、广告商或数据中介均可能构成出售行为。企业需在其隐私政策中明确披露是否出售个人信息，并为消费者提供选择退出机制。自CPRA生效后，企业还需要明确区分出售和共享两种行为。

企业隐私政策的合规披露是CCPA的明确要求。隐私政策需要告知消费者收集的个人信息类别、收集来源、收集目的以及共享信息的第三方类别。隐私政策还需说明消费者享有的CCPA权利及行使方式，包括至少两个专门用于接收消费者请求的渠道，例如免费电话和在线提交表单。隐私政策每月更新一次。

消费者请求的处理流程是企业合规运营的重要组成部分。企业需要在收到可验证消费者请求后的45天内予以回应。如需要延长时间，可在说明原因后将期限延长至90天，并在初始45天内通知消费者。企业无需对消费者请求收取费用，除非请求过多、重复或明显缺乏依据。对于明显无依据或过度的请求，企业可以收取合理费用或拒绝处理，但需向消费者说明原因。

CCPA与就业相关数据的处理具有特殊规则。CCPA对就业场景中的个人信息处理提供了有限豁免。企业从求职者、员工、承包商和代理人处收集的个人信息在就业场景范围内的处理，享有临时豁免。CPRA扩展了部分豁免，但要求企业在收集时向员工提供隐私通知。就业场景中的个人信息同样需遵循合理的安全保障义务。

数据安全义务是CCPA对企业的基础要求。企业需实施并维护合理的安全程序和实践，以保护个人信息免受未经授权的访问、销毁、使用、修改或披露。数据安全措施应与信息性质相称。CCPA为数据泄露事件设立了个人诉权。如果企业因未能维护合理安全措施导致个人信息泄露，消费者可就泄露事件提起民事诉讼，要求法定赔偿金。

CCPA的执行机制具有多个层次。加州总检察长负责CCPA的行政执法，每次违规可处以2500美元的民事罚款；每次故意违规可处以7500美元的民事罚款。CPRA设立了专门的加州隐私保护局，进一步增强了执法能力。消费者个人诉权在数据泄露场景下开放。CCPA授予消费者在数据泄露时寻求法定赔偿的权利，赔偿金额为每人每次事件100美元至750美元，或实际损害赔偿额，以较高者为准。

CCPA与GDPR的关系是跨国企业需要理解的关键问题。CCPA和GDPR在某些要求上重叠，但在概念和操作层面存在显著差异。GDPR基于同意和正当利益的框架，CCPA基于选择退出的框架。GDPR的数据主体权利范围更广，包括被遗忘权和数据可携权，CCPA虽然也包含可携权，但整体适用范围相对集中。中国企业在美国市场同时面临CCPA和GDPR的合规要求时，建议采用较高标准，即同时满足两部法律中的较严格条款。

CCPA对中国出海企业的影响不容忽视。中国互联网企业、跨境电商平台和物联网设备制造商在服务加州居民时需遵守CCPA。合规重点包括分析是否落入CCPA管辖范围、更新隐私政策以包含CCPA要求的披露内容、建立消费者权利请求处理机制、部署选择退出机制以及加强个人信息安全保障措施。

北京企密安提供CCPA合规咨询与落地服务。服务内容包括管辖权分析、隐私政策审查与重写、消费者请求处理流程设计、数据安全差距评估以及CPRA过渡方案。如需具体方案，欢迎联系北京企密安：010-63711822，或访问baomiwang.com了解详情。

FAQ

问：CCPA适用于哪些企业？ 答：在加州开展业务的营利性实体，满足以下条件中至少一项即适用：年收入超过2500万美元；每年购买、接收、出售或共享10万或以上加州居民或设备的个人信息；年收入的50%或以上来自出售或共享个人信息。

问：消费者如何行使CCPA权利？ 答：消费者可以通过企业公布的隐私政策中列明的渠道提交请求，通常包括免费电话号码和在线提交表单。企业需在收到可验证请求后45天内回应，并可在说明原因后延长至90天。