一、CCPA概述：法案背景、核心定义与GDPR对比
1.1 为什么会有CCPA？——法案背景
说实话，CCPA的诞生，很大程度上是被「逼」出来的。
2018年，Facebook数据泄露事件闹得沸沸扬扬。8700万用户数据被滥用，美国国会听证会上扎克伯格被轮番轰炸。我当时就在想，这事情肯定要催生点什么。果然，加州立法机构坐不住了。
加州消费者隐私法案（California Consumer Privacy Act），2018年6月通过，2020年1月1日正式生效。它被称为美国「最严隐私法」。为什么是加州？因为加州有硅谷，有Facebook、Google、Apple这些数据巨头。加州的立法者认为，GDPR虽然好，但管不到美国企业。他们需要自己的武器。
我个人觉得，CCPA的意义在于——它打破了美国没有联邦层面综合隐私法的僵局。虽然只是州法，但加州经济体量摆在那里，实际上倒逼了全美企业跟进。
核心要点：CCPA不是凭空出现的。它是数据滥用事件、消费者维权运动、以及GDPR全球示范效应共同作用的结果。
1.2 三个你必须搞懂的核心定义
做安全架构，最怕定义不清。定义不清，边界就模糊。边界模糊，合规就无从谈起。CCPA里这三个定义，我建议你一字不差地记住。
1.2.1 个人数据（Personal Information）
CCPA对个人数据的定义，比GDPR更「实在」。它不玩虚的，直接列清单。
包括但不限于：
- 标识符：真实姓名、别名、邮政地址、唯一个人标识符、在线标识符、IP地址、电子邮件地址、账户名、驾驶证号码、护照号码等
- 商业信息：购买、获取或考虑的产品或服务的记录
- 生物特征信息：指纹、声纹、面部识别数据
- 互联网活动：浏览历史、搜索历史、与网站的交互信息
- 地理位置数据：精确的GPS坐标
- 音频、电子、视觉、热力、嗅觉或类似信息：没错，连气味数据都算
- 职业或就业相关信息：工作经历、绩效评估
- 教育信息：非公开的个人可识别教育信息
- 推断：从上述信息中推导出的偏好、特征、心理倾向等
避坑指南：我曾经在项目中遇到一个坑——CCPA对「公开可用信息」有豁免。但「公开可用」的定义非常窄，仅指政府记录或媒体公开发布的信息。别以为爬了社交媒体公开数据就万事大吉，那不算。
1.2.2 消费者（Consumer）
CCPA里的「消费者」，定义比GDPR的「数据主体」更窄。它特指：
- 加州居民（按照加州税法定义）
- 以个人或家庭身份行事的人
注意，这里排除了「在商业交易中作为雇员或代表」的场景。也就是说，你收集员工数据，CCPA的消费者权利不完全适用。但别高兴太早，加州后来又出了个CPRA，把员工数据也拉进来了。
为什么会这样？我猜立法者最初想保护的是「普通人在日常生活中的隐私」，而不是「职场中的隐私」。但后来发现，员工数据泄露同样严重，所以补上了。
1.2.3 企业（Business）
CCPA对「企业」的定义，直接决定了你的公司要不要合规。满足以下任意一条，你就是CCPA眼中的「企业」：
| 条件 | 具体标准 |
|---|---|
| 年总收入 | 超过2500万美元 |
| 数据量 | 每年购买、接收、出售或共享5万条及以上消费者、家庭或设备的个人信息 |
| 收入来源 | 年收入的50%以上来自出售消费者个人信息 |
嗯，这里要注意。第三条「出售个人信息」的定义，CCPA给得非常宽。你把用户数据给第三方做定向广告，哪怕没收钱，也算「出售」。我见过不少创业公司，觉得自己没卖数据就没事，结果被这条卡住了。
1.3 CCPA vs GDPR：一张表说清楚
做跨国业务的朋友，这两个法规都得伺候。我习惯把它们放在一起对比，这样架构设计时能一次搞定。
| 对比维度 | CCPA | GDPR |
|---|---|---|
| 管辖范围 | 加州居民（地理+居民身份） | 欧盟境内数据主体（属地+属人） |
| 权利基础 | 消费者隐私权（偏向消费者保护） | 基本人权（偏向人格尊严） |
| 核心权利 | 知情权、删除权、选择退出权、非歧视权 | 知情权、访问权、更正权、删除权（被遗忘权）、限制处理权、数据可携带权、反对权 |
| 同意机制 | 选择退出（Opt-out）为主 | 选择加入（Opt-in）为主 |
| 数据出售 | 明确定义并严格限制 | 没有单独概念，但受「同意」约束 |
| 处罚力度 | 每次违规最高7500美元（故意）或2500美元（非故意） | 全球年营收的4%或2000万欧元（取高者） |
| 数据保护官 | 未强制要求 | 特定场景下强制要求 |
| 数据泄露通知 | 无统一通知义务（但有其他加州法律覆盖） | 72小时内通知监管机构 |
重要提醒：别以为CCPA比GDPR「轻」就掉以轻心。CCPA的「选择退出」机制，在架构设计上其实比GDPR的「选择加入」更难实现。为什么？因为你要默认收集数据，同时给用户一个随时退出的入口。这个「随时退出」对数据流的设计挑战很大。我做过一个项目，为了支持「一键退出所有数据出售」，重构了整整三个微服务。
1.4 我的架构视角：CCPA对安全架构的直接影响
讲完定义和对比，我想聊聊实际落地。CCPA对安全架构师来说，意味着三件事：
- 数据分类必须做细：CCPA的个人数据清单比GDPR更「枚举化」。你不能只贴一个「PII」标签就完事。我建议按CCPA的11个类别做标签体系，每个字段都要能映射到具体类别。
- 数据流图必须画清：「出售」的定义太宽了。你给第三方SDK传了用户ID，算不算出售？算。所以你的数据流图里，每个出站接口都要标注「是否涉及个人信息出售」。
- 用户请求处理通道必须存在：CCPA给了消费者「要求企业披露收集了哪些个人信息」的权利。这意味着你的系统必须能快速响应这类请求。我见过最糟糕的情况——用户发邮件来问，公司IT手动翻数据库找。这不行，必须自动化。
说白了，CCPA不是法务部门的事，是架构师的事。你设计的数据管道、存储方案、API接口，直接决定了合规的难易程度。
个人经验：我建议在系统设计初期，就把CCPA的「选择退出」标志位设计成数据模型的一等公民。每个用户记录里加一个 opt_out_sale: boolean 字段。所有数据消费方在读取数据前，先检查这个标志。虽然会增加一点查询开销，但比事后打补丁省心一百倍。
好了，CCPA的概述就到这里。下一章我们深入聊聊CCPA赋予消费者的具体权利，以及这些权利在安全架构中如何落地。你想想看，一个「删除权」请求过来，你的数据库该怎么处理？硬删？软删？还是标记？这里面门道不少。