CCPA

CCPA是California Consumer Privacy Act的简称，通常译为《加州消费者隐私法》。该法于2018年通过，2020年开始实施。2020年通过的California Privacy Rights Act，即CPRA，对CCPA作出修订，新增的主要保护自2023年起适用。CPRA不是与CCPA完全分离的另一套法律，讨论现行CCPA时通常包含这些修订。

保护对象与适用企业

CCPA保护加州居民的个人信息，包括能够识别、涉及或合理关联到某个人或家庭的信息。姓名、电子邮件、购物记录、浏览活动及由这些记录推断的偏好，都可能进入个人信息范围。敏感个人信息属于其中具有特殊保护要求的一类，例如精确位置、部分身份及金融账户信息。

适用企业需要结合营利性质、是否在加州经营、是否决定个人信息处理目的和方式，以及法定规模门槛判断。按照加州隐私保护机构公布的规则，2025年起年度总收入门槛金额调整为2,662.5万美元；另外两项条件涉及买卖或共享至少10万名消费者或家庭的个人信息，以及至少一半年度收入来自出售或共享消费者个人信息。满足其中一项规模条件，不代表其余适用条件及例外可以忽略。

企业所在地不在加州，并不自动排除适用；同样，网站可以被加州访问，也不能单凭这一点推定全部经营均受到同样义务约束。服务提供商、承包商及其他接收方还可能承担与其处理角色有关的义务。

消费者能够行使的权利

现行CCPA主要涉及了解、删除、更正、拒绝出售或共享、限制敏感个人信息使用，以及不因行使权利受到不当差别待遇等权利。了解权关注收集了什么信息、如何使用和向谁披露；删除权并非要求企业在任何情况下删除所有记录，完成交易、履行法律义务及其他法定情形可能构成保留依据。

“共享”在相关规定中有特定含义，重点涉及跨情境行为广告，不能简单理解为一切数据传递。GPC，即Global Privacy Control，是用户表达拒绝出售或共享偏好的一种信号。适用企业需要正确处理此类偏好，而不是仅在隐私政策中放置一段声明。

电商网站的数据流程

电商的数据可能经过商品浏览、购物车、订单、支付、配送、客服及广告分析多个环节。订单交付需要的收件信息，与用于跨网站广告的浏览数据，在处理目的上并不相同。网站经营者需要理解实际收集来源、使用目的及接收方，才能形成有意义的告知和权利响应。

隐私告知与隐私政策也有不同作用。收集时告知向消费者说明当下收集的信息类别和用途，隐私政策则介绍企业较完整的数据实践与权利行使方式。接受一次购物订单、订阅邮件或点击广告，并不意味着消费者放弃法定权利。

在删除或更正请求处理中，企业需要适当识别请求涉及的数据与本人关系，同时保留依法需要的交易记录。对退出出售或共享的请求，则不能一概要求用户先注册新账户。内部订单系统、客服系统和广告工具若无法协调更新，单一页面显示退出成功也可能不能反映全部实际处理。

执法与规则更新

加州隐私保护机构与有关执法机关根据职责执行CCPA。行政执法、民事处罚及消费者私人诉讼是不同路径，不能把每一次隐私争议都写成消费者自动获得固定赔偿；私人诉权主要针对法律规定的特定数据泄露情形，并受相应条件限制。

2025年完成的新一轮实施规则自2026年1月1日起生效，涉及既有规则更新、部分企业风险评估和网络安全审计，以及自动化决策技术等事项。各项具体履行时间和适用范围需要分别判断，不能将法规生效日当作所有企业全部义务同日到期。已经采用GDPR措施的企业，也仍需按CCPA的定义和要求逐项对应。