关于 ca-breach-notification
为依据《加州民法典》§1798.82 准备数据泄露通知的机构提供参考。内容说明受保护数据、通知时限、州检察长及个人通知要素、格式、替代通知和加密安全港。
主要功能
- 01适用数据判断标准
- 02通知时限指引
- 03州检察长及个人通知要求
- 04通知信格式规则
- 05替代通知条件
- 06加密安全港
适用场景
- 01判断是否触发加州通知义务
- 02准备个人及州检察长通知
- 03核对通知格式和替代通知资格
安装
复制下面的命令，在终端中运行。
npx skills add https:/安装后在 Claude Code 中输入/ca-breach-notification确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
assets/template.mdreferences/standards.mdworkflows.mdscripts/process.py详细介绍
执行加州数据泄露通知
概述
加州是美国第一个颁布数据泄露通知法的州（SB 1386，2003 年）。《加州民法典》第 1798.82 条规定，任何拥有或许可包含个人信息的计算机化数据的个人、企业或州政府机构，在未加密的个人信息已被（或有合理理由认为已被）未经授权的人员获取时，必须通知加州居民。若受影响的加州居民超过 500 人，则必须通知加州总检察长。
涉及的数据元素 —《加州民法典》第 1798.81.5(d) 条
当个人的名字或名字首字母与姓氏，连同以下任何未加密或未编辑的数据元素一起出现时，即触发泄露通知：
| 数据元素 | 类别 |
|---|---|
| 社会安全号码 | 政府标识符 |
| 驾驶执照号码或加州身份证号码 | 政府标识符 |
| 金融账户号码、信用卡号码或借记卡号码，以及任何所需的安全码、访问码或密码 | 金融 |
| 医疗信息 | 健康 |
| 健康保险信息 | 健康 |
| 独特的生物特征数据（指纹、视网膜、虹膜图像，或用于身份验证的其他独特身体或数字表征） | 生物特征 |
| 通过自动车牌识别系统收集的信息或数据 | 监控 |
| 遗传数据 | 遗传 |
| 用户名或电子邮箱地址，以及允许访问在线账户的密码或安全问题及答案 | 凭据 |
| 纳税人识别号码 | 政府标识符 |
注意：“个人信息”不包括根据联邦、州或地方政府记录依法向公众公开的信息。
通知时限 —“尽可能及时”
《加州民法典》第 1798.82(a) 条：通知必须“在尽可能及时的情况下，且不得无理拖延”。
什么情况构成“无理拖延”
- 法规没有规定具体天数。
- 加州总检察长办公室的指导意见将其解释为：调查进展充分、足以确定是否需要通知后，应尽快发出通知。
- 调查以及与执法部门协调被视为正当的延迟理由。
- 内部审批流程以及希望准备公关回应，均不是正当的延迟理由。
执法部门要求延迟 — §1798.82(c)
如果执法机构认定通知会妨碍刑事调查，可以延迟通知。执法机构认定通知不会影响调查后，必须“及时”发出通知。
向总检察长办公室报告 — §1798.82(f)
| 要求 | 详情 |
|---|---|
| 门槛 | 受影响的加州居民达到或超过 500 人 |
| 方式 | 电子提交至加州总检察长办公室（oag.ca.gov/privacy/databreach/reporting） |
| 内容 | 个人通知信的样本副本 |
| 时间 | 与向个人发出通知同时或之前 |
个人通知内容要求 — §1798.82(d)
通知必须包含：
- 发出通知的实体的名称和联系信息。
- 个人信息类型列表，列明已被或有合理理由认为已被泄露事件涉及的个人信息。
- 泄露事件发生日期（如已知）和通知日期。
- 通知是否因执法调查而延迟（如适用）。
- 如在发出通知时能够确定，则应提供泄露事件的一般描述。
- 主要信用报告机构的免费电话号码、地址和网站（如果泄露事件涉及社会安全号码、驾照号码或加州身份证号码）。
- 关于安全冻结可用性的声明（如果涉及 SSN）：说明根据 Cal. Civ. Code §1785.11.2 在信用档案上设置安全冻结的权利。
格式要求 — §1798.82(d)
加州对泄露通知信有具体的格式要求：
- 标题：“Notice of Data Breach”——必须醒目显示。
- 标题：必须使用以下标题（或实质上类似的标题）：
- “What Happened”
- “What Information Was Involved”
- “What We Are Doing”
- “What You Can Do”
- “For More Information”
- 字号：10 磅或更大。
- 语言：使用简明易懂的语言撰写。
替代通知 — §1798.82(j)
在以下情况下允许采用替代通知：
- 个别通知的费用超过 250,000 美元；或
- 受影响人数超过 500,000 人；或
- 实体没有足够的联系信息。
替代通知必须包含以下所有内容：
- 向有电子邮件地址的受影响人员发送电子邮件通知。
- 在实体的网站上醒目发布通知。
- 通知全州主要媒体。
加密安全港
如果符合以下条件，则加密的个人信息不受通知要求约束：
- 未经授权人员未获取加密密钥，且无合理理由认为该人员已获取加密密钥。
- 数据使用符合行业标准的算法（AES-128 或更高）进行加密。
与 CCPA/CPRA 的关系
经 CPRA 修订的《加州消费者隐私法》（CCPA）根据 Cal. Civ. Code §1798.150 规定了数据泄露的私人诉权：
- 适用于因企业未能实施合理安全措施，导致“未加密且未编辑的个人信息”遭未经授权访问和外传、盗窃或披露的情形。
- 法定赔偿：每名消费者每起事件 100 至 750 美元，或实际损失赔偿（以金额较高者为准）。
- 提起诉讼前必须提供 30 天的补救通知。
主要执法行动
- Hanna Andersson（2020 年）：因延迟通知影响加州消费者的 Magecart 网页信息窃取事件，达成 400,000 美元和解。州检察长指出，该公司未能“尽可能迅速地”发出通知。
- DoorDash（2020 年）：州检察长调查了一起影响 490 万人的泄露事件，并审查了通知是否充分、及时。
- T-Mobile（2022 年）：达成 3.5 亿美元的全国性集体诉讼和解，其中涉及大量加州消费者。州检察长办公室监督了其对加州特定通知要求的遵守情况。
AG 提交函示例
收件人：加利福尼亚州总检察长办公室 隐私执法部门 oag.ca.gov/privacy/databreach/reporting
主题：数据泄露通知——Stellar Payments Group 泄露日期：2026 年 3 月 13 日 受影响的加利福尼亚州居民：2,340 人
根据《加利福尼亚州民法典》第 1798.82(f) 条，Stellar Payments Group 特此通知，发生了一起影响 2,340 名加利福尼亚州居民的数据泄露事件。随函附上将发送给受影响个人的通知函样本。个人通知将于 2026 年 3 月 28 日发出。
联系人：Dr. Elena Vasquez，DPO，[email protected]，+1 (202) 555-0142。