ccpa-cpra-compliance

CCPA/CPRA 合规

概述

经《加利福尼亚隐私权法案》（CPRA）修订的《加利福尼亚消费者隐私法案》（CCPA），依据《加利福尼亚州民法典》第 §1798.100-199 条，确立了全面的消费者隐私权。CPRA 于 2020 年 11 月 3 日经选民批准（第 24 号提案），对 CCPA 作出重大修订，自 2023 年 1 月 1 日起生效，并追溯适用于 2022 年 1 月 1 日起的期间。加利福尼亚隐私保护局（CPPA）由此成立，成为美国首个专门负责州级隐私执法的机构。

CPRA 以 CPPA 取代加利福尼亚州总检察长，成为主要执法机构；新增敏感个人信息类别；设立新的消费者权利（更正个人信息以及限制对敏感个人信息的使用）；扩大“共享”在跨情境行为广告中的定义；并引入数据处理协议要求。

适用范围（§1798.140(d)）

企业符合以下任一条件，即受 CCPA/CPRA 约束：

1. 上一日历年的年度总收入超过 25,000,000 美元（自 2024 年 1 月 1 日起由 CPPA 根据通货膨胀情况调整）
2. 每年购买、出售或共享 100,000 名或以上消费者或家庭的个人信息（CPRA 将门槛从 50,000 提高至此）
3. 年收入的 50% 或以上来自出售或共享消费者的个人信息

Liberty Commerce Inc. 评估： Liberty Commerce Inc. 的年收入为 48 百万美元，并通过其电子商务平台处理约 320,000 名加利福尼亚消费者的个人信息，达到门槛（1）和门槛（2）。根据 §1798.140(d)，Liberty Commerce Inc. 被归类为“企业”。

关键定义

个人信息（§1798.140(v)）

能够识别、关联、描述特定消费者或家庭，或可合理关联到特定消费者或家庭的信息；包括能够直接或间接合理关联到特定消费者或家庭的信息。类别包括：

类别	示例
标识符	真实姓名、别名、邮寄地址、唯一个人标识符、在线标识符、IP 地址、电子邮件、账户名称、SSN、驾驶执照、护照号码
商业信息	个人财产、已购买、已获得或考虑购买的产品或服务的记录
生物识别信息	用于确认个人身份的生理、生物或行为特征（指纹、面部、声音、虹膜、击键模式）
互联网／网络活动	浏览历史、搜索历史、与网站、应用程序或广告互动的相关信息
地理位置数据	实际位置或移动轨迹
感官数据	音频、电子、视觉、热学、嗅觉或类似信息
职业／就业信息	当前或过去的工作相关信息
教育信息	根据 FERPA（20 U.S.C. §1232g）定义的非公开教育记录
推断信息	反映偏好、特征、心理趋势、倾向、行为、态度、智力、能力、才干的画像
敏感个人信息（CPRA）	SSN／驾驶执照／护照、带密码的账户登录信息、精确地理位置、种族／族裔来源、宗教／哲学信仰、工会会员资格、邮件／电子邮件／短信内容、遗传数据、用于身份识别的生物识别数据、健康信息、性生活／性取向数据

出售（§1798.140(ad)）

企业为了获得金钱或其他有价值的对价，向第三方以口头、书面、电子或其他方式出售、出租、发布、披露、传播、提供、转让或以其他方式传达消费者的个人信息。

共享（§1798.140(ah)）— CPRA 新增

企业为跨情境行为广告之目的，向第三方共享、出租、发布、披露、传播、提供、转移或以其他方式传达消费者的个人信息，无论是否获得金钱或其他有价值的对价，包括未发生金钱交易的情形。

服务提供商与承包商（§1798.140(ag)、§1798.140(j)）

方面	服务提供商	承包商
定义	根据书面合同代表企业处理个人信息	根据书面合同处理企业提供的个人信息
合同要求	书面协议禁止出售或共享，并将使用范围限制在指定目的内	书面协议包含相同的禁令，另须确认已理解相关要求，并授予合规审计权
分包	可与分包商签订书面合同	可与分包商签订书面合同，并须通知企业
合规审计	法规未明确要求	企业有权审计承包商的合规情况

消费者权利

1. 知情权（§1798.100、§1798.110、§1798.115）

消费者可以要求企业披露：

• 收集的个人信息类别
• 信息来源类别
• 收集、出售或共享信息的业务或商业目的
• 向其披露个人信息的第三方类别
• 收集的关于该消费者的具体个人信息

回溯期限： 请求提出前的 12 个月（企业可以自愿提供更长时间范围的信息）。

Liberty Commerce Inc. 的实施方式： Liberty Commerce Inc. 在 privacy.libertycommerce.com/know 提供“Know My Data”门户，经过验证的消费者可在此请求披露上述五类信息。系统会在 10 个工作日内生成结构化的机器可读报告（JSON）和人类可读报告（PDF）。

2. 删除权（§1798.105）

消费者可以要求删除从其处收集的个人信息。收到经验证的请求后，企业必须删除个人信息，并指示服务提供商和承包商删除该消费者的个人信息。

例外情况（§1798.105(d)）： 完成交易、保障安全、修复错误、言论自由（Cal. Civ. Code §1798.105(d)(4)）、与消费者预期合理一致的内部用途、履行法律义务，以及与收集情境相符的内部用途。

Liberty Commerce Inc. 的实施方式： Liberty Commerce Inc. 通过级联删除工作流处理删除请求，并在 45 个日历日内将请求传递给所有服务提供商（支付处理商、配送合作伙伴、分析服务提供商）。因符合法律要求而保留的数据（根据 26 U.S.C. §6001 保留的税务记录）会记录具体的法律依据。

3. 更正权（§1798.106）— CPRA 新增

消费者可以要求更正不准确的个人信息。企业必须采取商业上合理的措施更正该信息。

Liberty Commerce Inc. 的实施方式： Liberty Commerce Inc. 允许消费者直接在账户中自行更正个人资料数据（姓名、地址、电子邮件、电话）。对于后端系统中的数据（购买历史更正、忠诚度积分），经验证的请求由隐私团队处理，并记录更正情况。

4. 选择退出出售／共享的权利（§1798.120）

消费者有权要求出售或共享其个人信息的企业停止出售或共享该信息。企业必须尊重这一要求。

关键要求：

• 在主页提供“请勿出售或共享我的个人信息”链接
• 必须将全球隐私控制（GPC）信号视为有效的选择退出请求（CPPA Regulations §7025）
• 选择退出后 12 个月内不得再次征求同意
• 不得歧视选择退出的消费者（§1798.125）

Liberty Commerce Inc. 的实施： Liberty Commerce Inc. 在每个页面的页脚中显示一个持久的“请勿出售或共享我的个人信息”链接。系统通过 Sec-GPC: 1 HTTP 标头和 navigator.globalPrivacyControl JavaScript API 检测 GPC 信号，自动将选择退出状态应用于浏览会话，并在消费者已通过身份验证时将其关联到该消费者的账户。

5. 限制使用敏感 PI 的权利（§1798.121）——由 CPRA 新增

消费者可以要求企业将敏感个人信息的使用限制在特定目的范围内（履行服务／提供商品、防止安全事件、抵御恶意／欺骗行为、确保安全、短期临时使用、代表企业履行服务、验证／维护质量、升级／增强服务）。

Liberty Commerce Inc. 的实施： Liberty Commerce Inc. 在选择退出链接旁显示“限制使用我的敏感个人信息”链接。激活该链接后，系统会限制对敏感 PI 类别（精确地理位置、调查收集的种族／族裔来源数据、交易处理以外的支付卡详情）的处理，仅限于列明的许可用途。

6. 不受歧视的权利（§1798.125）

企业不得因消费者行使 CCPA 权利而歧视消费者，包括：

• 拒绝提供商品或服务
• 收取不同的价格或费率
• 提供不同级别或质量的商品或服务
• 暗示消费者将获得不同的价格或质量

财务激励计划是允许的，但前提是消费者已收到通知并选择加入，激励与消费者数据价值合理相关，且企业能够说明估值方法。

企业义务

隐私声明（§1798.100(a)、§1798.130(a)(5)）

隐私声明必须至少每 12 个月更新一次，并包含：

• 过去 12 个月内收集的 PI 类别
• 收集的敏感 PI 类别
• 各类别的使用目的，以及是否出售或共享
• 各类别的保留期限（或确定保留期限的标准）——由 CPRA 新增
• 来源类别
• PI 披露对象的第三方类别
• 提交消费者请求的说明
• 企业是否出售或共享 PI，以及涉及的类别
• 为业务目的披露的 PI 类别

Liberty Commerce Inc. 的实施： Liberty Commerce Inc. 在 privacy.libertycommerce.com/california 发布其加州隐私声明，每年 1 月更新。该声明采用分层格式，先提供摘要表，再列出详细章节。每种数据类别均注明保留期限（例如，交易记录：根据税务要求保留 7 年；浏览数据：保留 13 个月；账户数据：在账户有效期内保留，并在账户终止后保留 30 天）。

数据处理协议（§1798.100(d)）——由 CPRA 新增

企业必须与服务提供商、承包商和第三方签订协议，协议应：

• 指明提供 PI 的业务目的
• 要求接收方遵守 CCPA／CPRA 义务
• 授予企业采取合理措施确保合规的权利
• 要求接收方在认定自身无法继续履行义务时发出通知
• 授予企业停止并补救未经授权使用 PI 的权利

数据最小化（§1798.100(c)）—由 CPRA 新增

企业对 PI 的收集、使用、保留和共享必须：

• 对收集或处理 PI 的目的而言合理必要且适度
• 不得以与这些目的不相容的方式进一步处理

消费者请求处理（§1798.130）

要求	详情
响应期限	自收到可验证请求之日起 45 个日历日
延期	最多额外延长 45 天（总计 90 天），并通知消费者
身份验证	使用合理方法验证身份；对于访问请求，至少匹配两项数据；对于特定信息请求，匹配三项数据
授权代理人	必须接受获得签名授权或持有授权委托书的授权代理人提出的请求
免费请求	每 12 个月至少提供两次免费请求
格式	以易于使用的机器可读格式交付（适用于可携带性请求）
免费电话号码	仅在仅在线运营的企业与消费者存在直接关系时才要求提供

记录保存（CPPA Regulations §7101）

购买、接收或出售 10,000,000 名或以上消费者 PI 的企业，必须汇总上一日历年的指标并披露：

• 收到的知情、删除、更正和选择退出请求数量
• 全部或部分遵从的请求数量
• 被拒绝的请求数量
• 响应天数中位数

执法

CPPA 执法（§1798.199.40-1798.199.100）

• 由 CPPA 实施行政执法行动
• 每次违规最高处以 $2,500 行政罚款；故意违规或涉及未满 16 岁未成年人的违规，每次最高处以 $7,500 罚款
• CPPA 有权制定法规、开展调查并采取执法行动
• CPRA 自 2023 年 1 月 1 日起取消了 30 天补救期

私人诉权（§1798.150）

仅限于数据泄露索赔：未加密且未删节的 PI（定义见 Cal. Civ. Code §1798.81.5(d)(1)(A)）因企业未能实施合理的安全措施而遭到未经授权的访问。

• 法定赔偿：每位消费者每起事件 $100-$750，或实际损失（以金额较高者为准）
• 禁令救济或确认性救济
• 法院认为适当的任何其他救济
• 提起诉讼前须提供 30 天通知和补救期

Liberty Commerce Inc. 实施路线图

阶段 1：评估（第 1-4 周）

1. 清查并绘制所有 PI 和敏感 PI 类别的数据
2. 识别所有数据流：收集、使用、出售、共享、披露
3. 梳理服务提供商、承包商和第三方
4. 根据 CPRA 要求评估现行隐私声明
5. 评估消费者请求处理工作流

阶段 2：法律框架（第 5-8 周）

6. 更新隐私声明，加入保留期限、敏感 PI 类别以及出售/共享披露
7. 为所有服务提供商和承包商起草/更新数据处理协议
8. 制定消费者请求身份验证程序
9. 建立接受授权代理人请求的程序
10. 创建财务激励计划估值方法（如适用）

阶段 3：技术实施（第 9-16 周）

11. 部署“Do Not Sell or Share My Personal Information”链接
12. 部署“Limit the Use of My Sensitive Personal Information”链接
13. 实施 GPC 信号检测与尊重机制
14. 构建带有身份验证功能的消费者请求受理门户
15. 实施级联删除工作流
16. 构建知情权报告生成工具（JSON 和 PDF）
17. 实施数据最小化控制和保留期限执行机制

阶段 4：运营（第 17-20 周）

18. 培训客服团队，了解 CCPA/CPRA 赋予消费者的权利
19. 建立消费者请求 45 天 SLA 监控机制
20. 按照 CPPA Regulations §7101 实施指标跟踪
21. 安排每年审查隐私声明
22. 针对消费者请求处理开展桌面演练

关键法规参考

• 《加利福尼亚州民法典》§1798.100-199（经 CPRA 修订的 CCPA）
• 《加利福尼亚州隐私权法案》（第 24 号提案，2020 年 11 月 3 日获批）
• CPPA 最终法规（2023 年 3 月 29 日生效；更新后的法规于 2024 年 3 月 29 日生效）
• CPPA 法规 §7001-7102（《加利福尼亚州法规汇编》第 11 编第 6 分部）
• Cal. Civ. Code §1798.81.5 — 数据泄露通知
• 总检察长执法行动：Sephora Inc.（2022 年 8 月达成 120 万美元和解）——首起公开的 CCPA 执法行动，起因是未尊重 GPC 退出信号
• CPPA 执法公告第 2024-01 号 — 同意界面中的暗黑模式