1. CCPA概述：立法背景、核心目标、适用范围与关键定义

大家好，我是这次课程的主讲。今天咱们聊聊CCPA——加州消费者隐私法案。说实话，我第一次接触这个法规时，第一反应是“又来了个GDPR的翻版”？但深入项目后才发现，它俩差别还挺大。

CCPA是2018年通过的，2020年正式生效。为什么加州要搞这么个东西？说白了，就是数据太值钱了，但消费者却完全不知道自己的数据被谁拿走了、拿去干嘛了。我参与过一家电商公司的合规改造，当时他们光梳理数据流向就花了三个月——嗯，这活儿真不轻松。

1.1 立法背景：为什么是加州？

加州是全球第五大经济体，硅谷就在这儿。Facebook、Google、Apple这些巨头全扎堆在加州。你想想看，这些公司每天处理多少用户数据？

2018年剑桥分析事件爆发后，公众对数据隐私的担忧达到了顶点。加州立法者坐不住了——他们觉得联邦层面动作太慢，干脆自己先干。我个人觉得，这其实是个“鲶鱼效应”：加州先立法，其他州跟着学，最后倒逼联邦出统一法案。

我在项目中遇到过一家初创公司，他们以为CCPA只针对大企业，结果被用户投诉后才发现自己也在管辖范围内。避坑指南：别以为小公司就能豁免，后面我会讲具体门槛。

1.2 核心目标：给消费者三把“钥匙”

CCPA的核心目标其实很简单——让消费者重新掌控自己的数据。我习惯把它总结成三把钥匙：

1. 知情权：企业必须告诉你收集了什么数据、为什么收集、给了谁。
2. 删除权：你可以要求企业删掉你的数据（当然有例外）。
3. 选择退出权：企业不能强迫你同意数据出售才能使用服务。

你可能会问：“这不就是GDPR那套吗？” 其实有个关键区别：CCPA特别强调“数据出售”这个概念。GDPR管的是“处理”，CCPA更关注“卖数据”这个行为。我在做合规方案时，光定义“出售”就开了三场会——因为有些数据共享不算出售，但有些看似免费的交换其实算。

1.3 适用范围：你的公司中招了吗？

CCPA不是所有公司都适用。它只针对“营利性企业”，而且必须满足以下条件中的至少一项：

条件	具体标准
年收入	超过2500万美元
数据量	每年购买、接收、出售或共享5万条以上消费者数据
收入来源	年收入50%以上来自出售消费者数据

注意，这里有个坑：“消费者”包括B2B场景中的联系人。我曾经帮一家SaaS公司做合规，他们以为只管C端用户就行，结果发现企业客户的员工信息也受CCPA保护。嗯，这让他们多改了不少代码。

另外，CCPA有地域限制吗？答案是：只要消费者在加州，不管你的服务器在哪。哪怕你公司在上海，只要服务了加州居民，就得遵守。我见过不少国内出海企业在这上面栽跟头。

1.4 关键定义：别搞混这些术语

CCPA里有些定义特别容易混淆。我挑几个重点说说：

• 消费者：加州居民（包括临时居住的，比如留学生）。不限于自然人，也包括家庭。
• 个人信息：范围很广，包括姓名、邮箱、IP地址、设备ID、浏览记录、购买历史等。甚至推断出的偏好也算（比如“这个用户可能喜欢买运动鞋”）。
• 出售：不只是卖钱。只要“以口头、书面或电子方式”将数据提供给第三方，换取“金钱或其他有价值的对价”，就算出售。注意“其他有价值的对价”——这词儿弹性很大。
• 企业：前面说的营利性实体，包括母公司、子公司、关联公司。
• 服务提供商：帮企业处理数据的第三方（比如云服务商）。他们不能把数据用于自己的目的。

我记得有一次审计，发现某公司把用户数据传给分析平台做报表，合同里只写了“用于提供服务”，没写“不得用于其他目的”。结果分析平台偷偷用这些数据训练了自己的模型——这就算违规了。

1.5 实操建议：从理解到落地的第一步

如果你现在要开始CCPA合规，我建议按这个顺序来：

1. 数据盘点：搞清楚你收集了哪些数据、存在哪、谁在用。
2. 分类分级：哪些是敏感数据？哪些是公开数据？
3. 流程梳理：用户请求（查询、删除、退出）怎么处理？
4. 合同审查：和第三方签的协议有没有CCPA条款？
5. 技术实现：API、SDK、Cookie管理这些要改代码。

别想着一步到位。我见过最成功的项目，都是先做最小可行合规（MVC），再逐步迭代。毕竟，CCPA本身也在不断更新——CPRA就是最好的例子。

下一章我会讲CCPA的核心权利——知情权、删除权和选择退出权的具体实现。到时候会带代码示例，咱们直接上手。