ccpa-cpra-privacy-expert

CCPA/CPRA 隐私专家

提供加州消费者隐私法案（CCPA）和加州隐私权法案（CPRA）合规工具与指导。

---

目录

• 工具
  • CCPA 合规检查器
  • CCPA 数据映射器
• 参考指南
• 工作流
• 法规概览

---

工具

CCPA 合规检查器

根据所有 CCPA/CPRA 要求评估组织的准备情况。验证隐私政策、消费者权利处理、技术保障措施和退出机制。

# Check compliance from a JSON profile
python scripts/ccpa_compliance_checker.py --input company_profile.json

# Generate a blank input template
python scripts/ccpa_compliance_checker.py --template > company_profile.json

# JSON output for automation
python scripts/ccpa_compliance_checker.py --input company_profile.json --json

# Export report to file
python scripts/ccpa_compliance_checker.py --input company_profile.json --output report.json

评估类别：

类别	关键检查项
适用性	收入门槛、消费者人数、数据出售收入
隐私政策	必需披露内容、更新频率、可访问性
消费者权利	请求处理、身份验证、时限
退出机制	“请勿出售”链接、GPC 信号、Cookie 同意
敏感 PI	SPI 类别、使用限制链接、处理控制措施
技术保障措施	加密、访问控制、安全措施
服务提供商	协议要求、数据处理条款
风险评估	年度审计、处理风险评估

输出：

• 总体合规评分（0-100）
• 各类别评分及通过/未通过/部分通过状态
• 附有法规引用的优先处理发现
• 补救建议

---

CCPA 数据映射器

映射个人信息类别、识别敏感个人信息，并追踪数据在收集、使用、共享和出售过程中的流向。生成数据清单报告。

# Map data from a JSON data inventory
python scripts/ccpa_data_mapper.py --input data_inventory.json

# Generate a blank inventory template
python scripts/ccpa_data_mapper.py --template > data_inventory.json

# Export mapping report
python scripts/ccpa_data_mapper.py --input data_inventory.json --output mapping_report.json

# Generate data flow diagram (text-based)
python scripts/ccpa_data_mapper.py --input data_inventory.json --flow-diagram

功能：

• 映射全部 11 类 CCPA 个人信息
• 根据 CPRA 定义识别敏感个人信息（SPI）
• 追踪数据流向：收集来源、业务目的、共享/出售接收方
• 将数据映射到服务提供商、承包商和第三方
• 生成符合 CCPA 要求的数据清单，用于隐私政策披露
• 标记跨境数据传输
• 检测数据保留方面的缺失

追踪的个人信息类别：

类别	CCPA 条款	示例
标识符	1798.140(v)(1)(A)	姓名、SSN、IP 地址、电子邮件
客户记录	1798.140(v)(1)(B)	财务信息、医疗信息
受保护类别	1798.140(v)(1)(C)	种族、性别、年龄、残障
商业信息	1798.140(v)(1)(D)	购买历史、倾向
生物特征信息	1798.140(v)(1)(E)	指纹、面部几何特征
互联网活动	1798.140(v)(1)(F)	浏览、搜索、互动
地理位置数据	1798.140(v)(1)(G)	精确位置
感官数据	1798.140(v)(1)(H)	音频、视觉、热感
职业信息	1798.140(v)(1)(I)	就业、教育
教育信息	1798.140(v)(1)(J)	非公开教育记录
推断信息	1798.140(v)(1)(K)	画像、偏好

---

参考指南

CCPA/CPRA 要求指南

references/ccpa-cpra-requirements-guide.md

涵盖完整法规要求，包括：

• 完整的 CCPA/CPRA 文本分析及条款引用
• 消费者权利实施指南（知情权、删除权、退出权、更正权、可携权、限制 SPI 使用权）
• 隐私政策内容要求和模板
• 服务提供商和承包商协议要求
• 与弗吉尼亚州 VCDPA、科罗拉多州 CPA、康涅狄格州 CTDPA 和 GDPR 的比较
• 执法和处罚机制

CCPA 实施手册

references/ccpa-implementation-playbook.md

分步实施指南：

• 6 个月实施路线图
• 数据映射方法和模板
• 隐私政策起草指南
• 退出机制实施（网站、GPC、通用退出）
• 消费者请求工作流设计及 SLA 追踪
• 员工和供应商培训计划大纲
• 年度网络安全审计规划
• 持续合规监控

---

请先明确

开始评估前，请先确认以下输入。如果某项缺失或含糊，且会影响结果，请先询问；如果不会影响结果，请采用合理的默认值，并说明所用默认值。

• **适用性：**企业是否达到 CCPA 门槛（收入 2,500 万美元、消费者/家庭数量达到 10 万或以上，或 50% 或以上收入来自出售/共享 PI）（这决定相关义务是否适用）。
• **实体角色：**企业、服务提供商、承包商或第三方（这决定适用哪一组义务）。
• **评估目标：**合规准备情况、数据映射、消费者请求处理或隐私政策审查（这决定所选工具和工作流）。

针对当前请求，询问最重要的两三项输入，而非整份清单。如果用户希望立即得到结果，请直接给出结果，并在开头说明假设。

工作流

工作流 1：CCPA/CPRA 初步合规评估

Step 1: Determine applicability
        → Check $25M revenue, 100K+ consumers, 50%+ PI revenue thresholds
        → Review exemptions (HIPAA, GLBA, employment data)

Step 2: Generate compliance profile template
        → python scripts/ccpa_compliance_checker.py --template > profile.json
        → Fill in organizational details

Step 3: Run compliance assessment
        → python scripts/ccpa_compliance_checker.py --input profile.json

Step 4: Review scores and findings
        → Address critical gaps first (opt-out link, privacy policy)
        → Plan remediation by category

Step 5: Create data inventory
        → python scripts/ccpa_data_mapper.py --template > inventory.json
        → Document all PI categories collected
        → python scripts/ccpa_data_mapper.py --input inventory.json

Step 6: Develop implementation plan
        → See references/ccpa-implementation-playbook.md

工作流 2：消费者权利请求处理

Step 1: Receive consumer request
        → Identify request type (Know, Delete, Opt-Out, Correct, Portability, Limit SPI)

Step 2: Acknowledge within 10 business days (confirm receipt)
        → Document request in tracking system

Step 3: Verify consumer identity
        → Match 2+ data points for standard requests
        → Match 3+ data points for sensitive data requests
        → No verification needed for opt-out requests

Step 4: Fulfill request within 45 calendar days
        → Extension: up to 45 additional days with notice
        → Search all systems using data inventory
        → python scripts/ccpa_data_mapper.py --input inventory.json

Step 5: Deliver response
        → Provide information in portable format if requested
        → Document completion and response

Step 6: Monitor compliance
        → Track response times and completion rates
        → Generate quarterly compliance reports

工作流 3：隐私政策更新周期

Step 1: Review current privacy policy against requirements
        → python scripts/ccpa_compliance_checker.py --input profile.json
        → Check privacy_policy category score

Step 2: Update data inventory
        → python scripts/ccpa_data_mapper.py --input inventory.json
        → Verify all PI categories are disclosed

Step 3: Verify required disclosures
        → Categories of PI collected (past 12 months)
        → Sources of PI
        → Business/commercial purposes
        → Categories of third parties
        → Consumer rights description
        → "Do Not Sell or Share" link
        → "Limit the Use of My Sensitive PI" link

Step 4: Update and publish
        → Annual update at minimum
        → Update within 30 days of material changes
        → Maintain prior version archive

---

法规概述

CCPA/CPRA 时间线

日期	里程碑
2020 年 1 月 1 日	CCPA 生效
2020 年 7 月 1 日	总检察长开始执法
2020 年 11 月 3 日	CPRA 通过（第 24 号提案）
2023 年 1 月 1 日	CPRA 修正案生效
2023 年 7 月 1 日	CPPA 开始执行 CPRA
2026 年	审查就业和 B2B 数据豁免状态

适用范围

符合以下任一条件的企业受 CCPA/CPRA 约束：

• 年度总收入超过 2,500 万美元
• 每年购买、出售或共享 10 万名或以上消费者或家庭的 PI
• 年收入的 50% 或以上来自出售或共享消费者的 PI

实体类型：

实体	定义	义务
企业	确定处理的目的和方式	全面遵守 CCPA/CPRA
服务提供商	根据合同代表企业处理 PI	限制使用、履行删除义务
承包商	根据书面合同处理 PI（CPRA 新增）	认证、限制使用、审计权利
第三方	以非服务提供商/承包商身份接收 PI	受退出权约束

豁免：

• 受 HIPAA 约束的实体：受 HIPAA 管辖的健康数据豁免
• GLBA：受 GLBA 管辖的金融数据豁免
• 就业数据：员工/求职者 PI（豁免状态审查持续至 2026 年）
• B2B 数据：B2B 交易中的商业联系人 PI（豁免状态审查持续至 2026 年）
• FCRA：受《公平信用报告法》管辖的数据

消费者权利

权利	CCPA 条款	说明	时限
知情权	§1798.100，§1798.110	了解收集的 PI 类别和具体内容	45 天
删除权	§1798.105	删除从消费者处收集的 PI	45 天
退出权	§1798.120	退出出售或共享 PI	立即
不受歧视权	§1798.125	不得因行使权利而进行报复	持续有效
更正权	§1798.106	更正不准确的 PI（CPRA）	45 天
限制 SPI 使用权	§1798.121	限制敏感 PI 的使用（CPRA）	立即
数据可携权	§1798.130	以可携格式接收 PI（CPRA）	45 天

敏感个人信息（CPRA）

CPRA §1798.140(ae) 规定需加强保护的 SPI 类别：

• 社会安全号码、驾驶执照、州身份证、护照号码
• 账户登录凭据（用户名 + 密码/安全问题）
• 带有访问凭据的金融账户号码
• 精确地理位置（1,850 英尺范围内）
• 种族或民族出身
• 宗教或哲学信仰
• 工会会员身份
• 邮件、电子邮件和短信的内容（除非企业是预期接收方）
• 遗传数据
• 用于身份识别的生物识别数据
• 健康信息
• 性生活或性取向数据

执法与处罚

违规类型	处罚	执法机构
无意违规	每次违规 2,500 美元	CPPA / AG
故意违规	每次违规 7,500 美元	CPPA / AG
涉及未成年人（未满 16 岁）的违规	每次违规 7,500 美元	CPPA / AG
数据泄露（私人诉讼）	每位消费者每起事件 100 至 750 美元	消费者（法院）

执法机构：

• 加州隐私保护局（CPPA）：根据 CPRA 负责主要执法工作（2023 年开始运作）
• 加州总检察长：保留执法权
• 私人诉讼权：仅限因未能维持合理安全措施而导致的数据泄露

CCPA 与 GDPR 对比

方面	CCPA/CPRA	GDPR
适用范围	加州消费者	欧盟/欧洲经济区数据主体
法律依据	选择退出模式	选择加入（同意或法律依据）
涵盖的数据	个人信息	个人数据
敏感数据	SPI，享有受限使用权	特殊类别数据，需明确同意
泄露通知	通知 AG，允许私人诉讼	72 小时内通知 DPA
DPO 要求	无	某些处理活动必须设立
处罚	每次违规 2,500 至 7,500 美元	最高可达全球营收的 4% 或 2,000 万欧元
私人诉讼权	仅限数据泄露	因成员国而异
跨境传输	无限制	充分性决定、SCC、BCR
儿童数据	未满 16 岁需选择加入，未满 13 岁需家长同意	未满 16 岁需家长同意（因情况而异）

基础设施隐私控制

Cookie 同意管理：

• 为非必要 Cookie 实施 Cookie 同意横幅
• 尊重 Global Privacy Control（GPC）浏览器信号（法律要求）
• 维护 Cookie 清单，并注明保留期限
• 对 Cookie 分类：严格必要、功能性、分析、广告

Global Privacy Control（GPC）：

• 企业必须将 GPC 信号视为有效的选择退出请求（§1798.135）
• 技术实现：检测 Sec-GPC: 1 标头或 navigator.globalPrivacyControl
• 将选择退出应用于 PI 的出售和共享
• GPC 无需重新验证身份

隐私设计：

• 数据最小化：仅收集为已披露目的所必需的 PI
• 目的限制：仅将 PI 用于收集时已披露的目的
• 存储限制：仅在必要期限内保留 PI
• 默认安全：对静态和传输中的 PI 进行加密

数据清单与映射：

• 维护涵盖所有系统的全面 PI 清单
• 绘制数据流：收集 → 处理 → 共享 → 删除
• 按 PI 类别记录保留计划
• 跟踪跨境数据传输

自动化决策：

• 披露自动化决策技术的使用情况
• 为会产生法律或重大影响的画像分析提供选择退出选项
• CPRA 法规可能要求提供自动化决策逻辑的访问权限

合规路线图

第 1-2 个月：发现与评估

• 确定 CCPA/CPRA 是否适用
• 开展数据清单编制与映射
• 对照要求开展差距分析
• 指定合规责任人

第 3-4 个月：实施

• 起草/更新隐私政策
• 实施“Do Not Sell or Share”链接
• 实施“Limit Use of SPI”链接
• 部署 GPC 信号检测
• 建立消费者请求受理与履行工作流
• 起草服务提供商/承包商协议

第 5-6 个月：投入运营

• 对员工开展隐私义务培训
• 端到端测试消费者请求工作流
• 开展初步风险评估
• 制定年度网络安全审计计划
• 建立持续监控与指标体系
• 记录合规计划，以应对监管审查

---

故障排除

问题	可能原因	解决方案
隐私政策更新后，合规评分仍意外偏低	政策披露不完整——缺少 SPI 类别、保留期限或出售／共享类别	运行 ccpa_compliance_checker.py --input profile.json 并查看各类别评分；对照隐私政策，检查是否涵盖 17 项以上的必需披露要素
数据映射器标记了跨境传输，但组织仅在美国运营	数据清单包含处理位置在美国境外的云服务	检查数据清单中的云服务提供商数据处理位置；根据服务提供商协议记录所有子处理方的位置
消费者权利请求始终超过 45 天的响应期限	采用人工处理流程，且没有跟踪系统或责任归属不明确	使用 ccpa_data_mapper.py 映射所有系统中的 PI；部署带有自动期限提醒的请求跟踪系统；为各系统指定数据负责人
GPC 信号检测不起作用	应用未检查 Sec-GPC: 1 标头或 navigator.globalPrivacyControl	实现服务端标头检测和客户端 JavaScript 检查；使用支持 GPC 的浏览器（Firefox、Brave）进行测试；记录检测事件
收到 CPPA 执法调查	监管巡查或消费者投诉发现了潜在的合规缺口	立即开展全面合规评估；优先处理关键缺口（退出链接、GPC、隐私政策）；咨询隐私法律顾问；记录补救时间表
供应商合同缺少 CCPA 要求的条款	服务提供商协议签订于 CPRA 修订案生效之前	根据 CCPA 对服务提供商／承包商的要求，审核所有供应商协议；更新合同，加入认证、有限使用、审计权和数据删除义务
风险评估要求不明确	新的 CPRA 法规（于 January 1, 2026 生效）要求对六类处理活动进行风险评估	对照六类“重大风险”类别审查处理活动；按照 CPPA 监管模板记录风险评估；为 April 2028 的证明截止日期做好准备

---

成功标准

• 初次评估的总体合规评分达到 80 分以上——表明 CCPA/CPRA 基础控制措施已到位，各类别评分可指出需要针对性补救的领域
• 在 45 个日历日内完成所有消费者权利请求——在 10 个工作日内确认收到，并通过带有自动期限提醒的请求管理系统进行跟踪
• 至少每年更新一次隐私政策——每季度记录审查情况，披露收集的全部 11 类 PI、来源、用途、第三方共享情况以及全部七项消费者权利
• 自动尊重 GPC 信号——通过 Sec-GPC: 1 标头和 navigator.globalPrivacyControl 检测，并应用于 PI 的出售和共享，无需重新验证身份
• 维护完整的数据清单——使用 ccpa_data_mapper.py 将所有 PI 类别映射到收集来源、业务目的、共享接收方和保留计划
• 服务提供商和承包商协议包含 CCPA 要求的所有条款——包括有限使用认证、删除义务、审计权和子承包商链路记录
• 完成所有适用处理活动的风险评估——涵盖六类 CPRA 重大风险类别，并在 April 2028 截止日期前做好证明准备

---

适用范围与限制

适用范围：

• 确定 CCPA/CPRA 是否适用（收入、消费者数量、个人信息收入门槛）
• 根据所有必需披露内容评估隐私政策合规性
• 验证消费者权利准备情况（知情、删除、选择退出、更正、可携带性、限制 SPI 使用）
• 绘制涵盖全部 11 类 CCPA 个人信息的数据清单
• 根据 CPRA 定义识别敏感个人信息
• 评估技术保障措施（加密、访问控制、选择退出机制）
• 服务提供商和承包商协议要求

不适用范围：

• 法律建议或确定豁免是否适用（HIPAA、GLBA、FCRA、就业数据）——请咨询隐私法律顾问进行豁免分析
• 实施 Cookie 同意管理平台或 GPC 信号处理代码
• 针对 CCPA 私人诉权的抗辩（数据泄露诉讼）——请咨询法律顾问
• 除所提供的对比表之外的其他州隐私法（Virginia VCDPA、Colorado CPA、Connecticut CTDPA）——请参阅特定司法辖区的指导
• 根据 2027 年 1 月生效的 CPRA 规定处理自动化决策技术（ADMT）合规事宜——关注 CPPA 的规则制定进展，等待最终要求

重要说明：

• CPPA 在 2025-2026 年显著加强执法，个案罚款超过 130 万美元，并开展联合多州执法行动，重点打击 GPC 不合规行为
• 2026 年 1 月 1 日生效的新 CPRA 法规增加了风险评估、网络安全审计和更新后的合规要求——请据此规划实施工作

---

集成点

技能	集成方式	使用时机
gdpr-dsgvo-expert	建立同时满足 GDPR 和 CCPA 的统一隐私计划；跨框架隐私映射	组织同时在欧盟和加利福尼亚市场开展业务时
infrastructure-compliance-auditor	验证满足 CCPA 合理安全要求的技术保障措施（加密、访问控制、日志记录）	评估支持 CCPA 合规的基础设施控制措施时
information-security-manager-iso27001	支持 CCPA“合理安全”要求的安全控制措施	构建同时满足 ISO 27001 和 CCPA 要求的安全计划时
soc2-compliance-expert	将 SOC 2 控制措施映射到 CCPA 技术保障要求	SOC 2 审计证据可支持 CCPA 安全合规时

---

工具参考

ccpa_compliance_checker.py

根据 8 个评估类别中的所有 CCPA/CPRA 要求，评估组织的准备情况。

标志	必需	说明
--input <file>	是（除非使用 --template）	用于评估的 JSON 公司资料路径
--template	否	将空白输入模板生成到标准输出
--json	否	以 JSON 格式输出结果，供自动化处理
--output <file>	否	将报告导出到指定文件路径

输出： 总体合规评分（0-100）、各类别评分及通过/失败/部分通过状态、附有法规参考的优先级问题，以及整改建议。

ccpa_data_mapper.py

映射个人信息类别、跟踪数据流，并生成数据清单报告。

标志	必需	说明
--input <file>	是（除非使用 --template）	用于映射的 JSON 数据清单路径
--template	否	将空白清单模板生成到标准输出
--output <file>	否	将映射报告导出到指定文件路径
--flow-diagram	否	生成文本数据流图，展示收集、使用、共享和出售路径

输出： 涵盖全部 11 类 CCPA 类别的个人信息类别映射、SPI 识别、数据流分析（来源、目的、接收方）、跨境传输标记，以及数据保留缺口检测。