美国《加利福尼亚州消费者隐私法案》（CCPA）及其 2019 年修正案（如 AB1355、AB25、AB1564 等补充法案）是美国史上 “最全面且最严格” 的隐私立法，其核心是平衡消费者隐私保护与企业合规可行性。法案对消费者、企业、数据经纪商等不同主体均有明确作用，同时通过“豁免机制、权利细化、执行保障” 等设计，确保自身落地执行。
CCPA 的 “用户” 需广义理解为 “受法案约束或受益的主体”，包括加州消费者（核心受益方）、企业（合规义务方）、数据经纪商 / 服务提供者（专项约束方） 等，各主体的权益与义务明确区分：
（一）对加州消费者：赋予核心隐私权利，强化权益保障
CCPA 及修正案的核心目标是保护加州居民（定义为 “消费者”）的个人信息权益，具体作用体现在五大核心权利的明确与细化：
信息知情权与访问权
消费者有权要求企业披露：①收集的个人信息 “类型”与 “具体内容”；②信息来源（如第三方合作方、用户主动提交）；③收集 / 出售目的及共享的第三方类型（AB1355 修订的《民法典》1798.110、1798.115相关信息内容）。
企业需在 45 天内免费响应（可延长 45 天），且 12 个月内不超过 2 次向同一消费者提供信息，避免消费者滥用权利的同时保障其知情权。
信息删除权
消费者有权要求企业删除已收集的个人信息，但修正案明确“例外情形”：企业为履行书面保修条款或联邦法律规定的产品召回而必须留存的信息的情况下，可拒绝删除；此外，同属一家公司的员工信息、B2B 场景信息的删除权被豁免，避免过度影响企业正常运营。
“选择退出” 销售权（反对信息售卖）
消费者可随时要求企业停止向第三方出售其个人信息（“opt-out 权”）；对 16 岁以下未成年人，需 “选择加入”（“opt-in 权”）——13-16 岁需本人授权，13 岁以下需监护人授权，企业故意忽视年龄视为 “明知内容但不履行”。但仍存在例外情况：机动车经销商与制造商为“车辆维修、保修或召回” 共享的车辆信息（如 VIN 码、车主联系方式），不视为 “销售”，消费者无法行使 “选择退出” 权，车辆信息用来保障汽车售后核心服务。
不受差别对待权
企业不得因消费者行使隐私权利（如要求删除信息、选择退出销售）而歧视消费者（如拒绝服务、提高价格），但“合理差异” 除外 —— 若价格差异与 “消费者数据为企业带来的价值” 直接相关（如提供免费服务以换取数据使用权），企业可差异化定价，平衡企业商业利益与消费者权利。
数据泄露索赔权
若企业未实施“与信息性质匹配的合理安全措施”，导致消费者 “未加密 / 未编辑的个人信息”（如社保号、护照号）被未授权访问、泄露或盗窃，消费者可提起民事诉讼，获赔100-750万美元 / 次或实际损失（以高者为准），这一 “法定赔偿” 条款大幅强化了消费者对企业的监督动力。
（二）对企业：明确合规义务，通过豁免降低合理负担
对于企业来说CCPA 的适用阈值较低（企业年收入超 2500 万美元、每年处理 5 万 + 消费者信息、50% 收入来自信息销售，满足其一即适用），覆盖加州内及境外 “在加州开展业务” 的企业，其作用体现在 “义务界定 + 豁免平衡”：
明确合规义务，规范数据处理
信息收集前需告知“收集类型 + 使用目的”，不得超范围收集或变更用途；
线上企业需在隐私政策中披露消费者权利及请求方式，每 12 个月更新一次；
数据泄露后需扩展报告义务：若泄露“生物数据、税收身份证号、护照号” 等敏感信息，需触发加州数据泄露通知要求，强化企业数据安全责任。
通过豁免减轻合理合规负担
修正案针对“企业正常运营必需的场景” 设置豁免，避免过度监管：
员工信息豁免：企业收集的“求职者 / 员工信息”（如紧急联系人、职位信息），豁免 “访问权、删除权”，但员工仍有权知晓信息用途、数据泄露后提起诉讼（豁免为 “日落条款”，2021 年 1 月 1 日失效）；
B2B 场景豁免：个人以“企业雇员 / 代表” 身份提供的信息（如工作邮箱、联系电话），企业无需按 CCPA 提供 “通知、访问权、删除权”，仅需响应 “不销售” 请求，大幅降低金融、医疗等行业的 B2B 合规成本；
线上企业联络方式简化：仅在线运营、无线下实体的企业，无需提供“免费电话”，仅需提供有效邮箱供消费者提交请求，减少中小线上企业的运营成本；
数据最小化原则：企业无需“为合规而额外收集信息”（如正常业务不收集的信息），也无需超期限留存信息，避免合规成本转嫁为隐私风险。
合规保护机制
企业向“服务提供者”（如第三方服务商）披露个人信息时，若服务提供者违反约束（如擅自出售信息），企业 “不知情则不担责”；若消费者请求 “明显无依据或过度重复”，企业可收取合理行政费用或拒绝请求（需举证），平衡企业合规成本与消费者权利。
（三）对其他相关主体：专项约束，填补隐私监管空白
除消费者与企业外，CCPA 及修正案还针对数据经纪商、服务提供者、政府机构等主体设置专项规则：
数据经纪商：强制注册与披露
补充法案AB1202中将 “数据经纪商” 定义为 “有意收集并向第三方出售‘与自身无直接关系’的消费者信息的企业”（如聚合浏览记录、地理位置数据的机构），要求其：①向加州总检察长注册；②披露数据收集行为；③支付年度注册费，否则面临民事处罚。
这一规则填补了“数据中介” 的监管空白 —— 消费者通常不知晓数据经纪商处理其信息，法案通过 “注册披露” 保障消费者知情权。
服务提供者：限定信息使用范围
服务提供者（如为企业提供数据分析的第三方）仅可“为履行企业委托的业务目的” 使用个人信息，不得擅自收集、出售或超范围使用，若违规需独立担责，避免企业将合规风险转嫁第三方。
政府机构：公共信息豁免
从政府记录中合法获取的“公共信息”（如公开的工商登记信息），不受 CCPA 约束，但企业不得将 “公共信息用于与政府记录目的不符的场景”（如将公开的地址用于精准营销），平衡公共信息利用与隐私保护。
···
探索 · 专注 · 领先工匠精神 从始至终 探索之途 一往无前