关于 delaware-dppa
面向在 Delaware 处理消费者数据的组织，概述 Delaware Personal Data Privacy Act（DPPA）的适用范围、权利和义务。重点包括消费者权利请求、敏感数据与未成年人规则，以及通用退出信号。
主要功能
- 01说明适用门槛与豁免
- 02汇总六项消费者权利及响应期限
- 03介绍隐私告知与数据最小化要求
- 04涵盖敏感数据和未成年人规定
- 05说明 DPIA 与处理者义务
适用场景
- 01判断组织是否受 DPPA 约束
- 02规划消费者权利请求处理流程
- 03审查敏感数据或未成年人数据处理
- 04准备高风险处理活动的 DPIA
安装
复制下面的命令，在终端中运行。
npx skills add https:/安装后在 Claude Code 中输入/delaware-dppa确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
assets/template.mdreferences/standards.mdworkflows.mdscripts/process.py详细介绍
特拉华州个人数据隐私法（DPPA）
概述
特拉华州个人数据隐私法（DPPA）编入《特拉华州法典》第 6 编第 12D 章（6 Del. C. §§12D-101 through 12D-111），由州长 John Carney 于 2023 年 9 月 11 日签署成为法律（HB 154）。DPPA 于 2025 年 1 月 1 日生效。特拉华州的显著之处在于，它的适用门槛是美国各州综合隐私法中最低的——只要求控制者处理 35,000 名特拉华州消费者的个人数据（且没有销售收入门槛）——因此，它的适用范围是截至 2023 年颁布的州隐私法中最广的。
DPPA 的主要区别特征：
- 最低消费者门槛：35,000 名消费者（无需满足销售收入的替代门槛）
- 没有补救期限：与许多州不同，DPPA 不规定强制补救期限；总检察长可自行决定
- 敏感数据定义宽泛：包括移民／公民身份
- 认可通用退出机制：自 2026 年 1 月 1 日起必须认可
- 未成年人保护：对已知儿童数据处理（未满 18 岁）提出更严格的要求
- 面向未成年人的定向广告须获同意：对于已知年龄为 13–17 岁的消费者，必须明确选择加入
适用范围（§12D-103）
DPPA 适用于在特拉华州开展业务，或生产面向特拉华州居民的产品或服务的主体，并且在上一日历年满足以下任一条件：
- 控制或处理至少 35,000 名特拉华州消费者的个人数据（不包括仅为完成支付交易而处理的数据）；或
- 控制或处理至少 10,000 名特拉华州消费者的个人数据，并且从个人数据销售中获得的收入超过其总收入的 20%。
豁免（§12D-104）
主体级豁免：
- 州和地方政府机构
- 受 GLBA 约束的金融机构（主体级）
- HIPAA 适用实体和业务伙伴（主体级）
- 非营利组织
- 高等教育机构
- 国家证券交易所和根据 SEC 注册的实体
数据级豁免：
- 受 HIPAA 管辖的健康数据
- 受 GLBA 管辖的金融数据
- 受 FCRA 管辖的信用数据
- 受 FERPA 管辖的教育记录
- 受联邦 DPPA 管辖的驾驶员数据
- 受《农场信贷法》管辖的数据
- 临床试验和研究数据（附带条件）
- 就业数据（在就业场景中处理）
- 在 B2B 场景中使用的业务联系数据
Liberty Commerce Inc. 评估： Liberty Commerce Inc. 处理约 52,000 名特拉华州消费者的个人数据。由于广告收入中有 12% 来自数据销售活动，Liberty Commerce Inc. 超过门槛（1），并认定自身完全受 DPPA 约束。
消费者权利（§12D-106）
六项消费者权利
- 访问权（§12D-106(a)(1)）：确认控制者是否正在处理个人数据，并访问该数据
- 更正权（§12D-106(a)(2)）：更正个人数据中的不准确之处
- 删除权（§12D-106(a)(3)）：删除消费者提供的或关于消费者获取的个人数据
- 可携带权（§12D-106(a)(4)）：以可携带且易于使用的格式获取个人数据
- 退出权（§12D-106(a)(5)）：退出以下活动：
- 定向广告
- 销售个人数据
- 为促成产生法律或类似重大影响的决定而进行的画像分析
- 申诉权（§12D-106(f)）：收到拒绝后，可在合理期限内对拒绝执行权利请求提出申诉
响应要求
| 参数 | 要求 |
|---|---|
| 响应期限 | 收到请求后 45 天内 |
| 延期 | 可额外延期一次，延长 45 天，并说明通知和理由 |
| 拒绝要求 | 告知消费者有权提出申诉 |
| 申诉响应 | 60 天内；必须告知消费者有权联系 AG |
| 费用 | 免费；每 12 个月内首次请求不收费 |
| 验证 | 进行合理的身份验证；不得要求创建账户 |
通用选择退出机制（§12D-106(a)(5)(c)）
自 2026 年 1 月 1 日 起，控制者必须识别通用选择退出偏好信号（例如 Global Privacy Control）。该信号必须被视为有效的退出销售和定向广告选择。控制者不得将未收到信号解释为同意。
控制者义务（§12D-105）
隐私声明要求
控制者必须提供易于访问、清晰的隐私声明，其中包括：
- 处理的个人数据类别
- 处理目的
- 消费者行使其权利的方式
- 与第三方共享的个人数据类别
- 与之共享数据的第三方类别
- 用于联系控制者的有效电子邮件地址或在线机制
数据最小化
控制者必须将数据收集限制在已披露目的所需的充分、相关且合理必要的范围内。
安全
控制者必须根据相关个人数据的数量和性质，建立、实施并维护合理的管理、技术和物理数据安全措施。
敏感数据同意（§12D-105(a)(4)）
处理敏感数据必须获得消费者同意。DPPA 所定义的敏感数据包括：
- 种族或族裔来源
- 宗教信仰
- 心理或身体健康诊断
- 性取向
- 公民身份或移民身份
- 用于识别个人的基因或生物识别数据
- 已知儿童（未满 13 岁）的个人数据
- 精确地理位置数据（范围在 1,750 英尺以内）
未成年人（§12D-105(a)(5)）
- 未满 13 岁：必须取得可验证的家长同意（适用 COPPA 标准）
- 13 至 17 岁：对于已知年龄在 13 至 17 岁之间的消费者，未经其主动同意，不得将其数据用于定向广告或销售
数据保护评估（§12D-105(b)）
对于可能带来较高伤害风险的处理活动，控制者必须开展并记录 DPIA，包括：
- 定向广告
- 个人数据销售
- 可能造成不公平或欺骗性对待、财务／身体／名誉损害或侵犯独处权的个人画像分析
- 处理敏感数据
- 将未成年人的个人数据用于非服务目的
处理者义务（§12D-107）
处理者必须：
- 遵循控制者的指示
- 协助处理消费者权利请求
- 应要求提供 DPIA 所需信息
- 仅在获得控制者授权且签订书面合同的情况下聘用子处理者
- 在服务完成后，根据控制者的指示删除或返还个人数据
- 向控制者提供开展评估所需的信息
处理合同必须包括：
- 处理指示
- 处理性质和目的
- 数据类型和消费者类别
- 处理期限
- 双方的权利和义务
- 子处理者协议要求
- 保密要求
执法（§12D-110）
- 执法机构：特拉华州司法部（总检察长）
- 整改期限：未强制规定（AG 可酌情给予整改机会）
- 民事罚款：每次违规最高 10,000 美元
- 无私人诉权
- AG 调查权力：CID 权限、传票权，以及向衡平法院提起诉讼的权力
与其他州隐私法的比较
| 特征 | Delaware DPPA | Connecticut CTDPA | Colorado CPA | Virginia VCDPA |
|---|---|---|---|---|
| 消费者门槛 | 35,000 | 100,000 | 100,000 | 100,000 |
| 收入替代门槛 | 10,000 + 20% | 25,000 + 25% | 25,000 + revenue | 25,000 + 50% |
| 补救期限 | 无（由 AG 酌情决定） | 60 天（截至 2024 年 12 月） | 60 天（截至 2025 年 1 月） | 30 天（截至 2025 年 1 月） |
| 通用退出机制 | 2026 年 1 月 1 日 | 2025 年 1 月 1 日 | 2024 年 7 月 1 日 | 无此要求 |
| 移民数据属于敏感数据 | 是 | 否 | 否 | 否 |
| 未成年人年龄门槛 | 未满 18 岁 | 未满 16 岁 | 未满 13 岁 | 未满 13 岁 |
| 每次违规罚款 | $10,000 | $5,000 | $20,000 | $7,500 |