一、CCPA概述与适用范围
1.1 立法背景：为什么会有CCPA？
说实话，在2018年之前，美国在数据隐私这块一直是个「蛮荒之地」。欧盟有GDPR，我们加州呢？啥也没有。
2018年3月，Facebook爆出了剑桥分析丑闻——8700万用户数据被滥用，用来影响美国总统选举。这件事彻底炸了锅。我那时候正在帮一家社交平台做合规评估，客户连夜打电话问我：「咱们的数据会不会也出事？」嗯，说实话，我当时心里也没底。
加州作为全球科技中心，硅谷就在这儿。立法者坐不住了：你们这些科技公司天天收集用户数据，赚得盆满钵满，用户却连自己的数据被谁卖了都不知道？这不行。
于是，CCPA（California Consumer Privacy Act）在2018年6月火速通过，2020年1月1日正式生效。它被称为「美国最严格的隐私法」，也是美国第一部全面保护消费者数据隐私的州级法律。
核心目标就三个：
- 让消费者知道企业收集了哪些数据
- 让消费者有权删除自己的数据
- 让消费者有权选择不出售自己的数据
说白了，就是把数据控制权还给用户。你想想看，以前你注册个APP，人家把你电话、地址、浏览记录全拿走，你连个「不」字都没法说。CCPA就是要改变这个局面。
1.2 适用企业标准：你的公司需要合规吗？
很多客户第一次来问我：「我们公司要不要做CCPA合规？」我的回答永远是：先看三条线，只要满足任意一条，你就跑不掉。
| 标准 | 具体门槛 | 我的经验 |
|---|---|---|
| 年营收 | 超过2500万美元 | 很多初创公司卡在2000万左右，以为没事。但别忘了，营收是看上一财年的，而且包括所有关联实体。 |
| 数据量 | 每年购买、接收、出售或分享5万条以上消费者、家庭或设备信息 | 注意是「或」不是「且」。我见过一家公司只有2万用户，但设备信息有8万条，照样中招。 |
| 数据交易 | 年收入的50%以上来自出售消费者数据 | 这条主要是针对数据经纪商。我审计过一家做用户画像的公司，90%收入靠卖数据，妥妥的合规对象。 |
⚠️ 避坑指南：
我曾经遇到一个客户，年营收只有1000万，但他们在做精准广告投放时，把用户数据卖给了第三方广告平台。结果呢？年收入的60%来自数据交易。直接触发第三条标准。所以别只看营收，数据交易这条很容易被忽略。
1.3 豁免情形：哪些情况可以松口气？
不是所有企业都要做CCPA合规。我整理了几类常见的豁免情形，你在做合规评估时可以对照一下。
1.3.1 非营利组织
CCPA只适用于「营利性企业」。红十字会、教会、慈善机构这些，不适用。但注意：如果非营利组织设立了营利性子公司，子公司还是要合规的。我在审计时见过一个基金会，下面有个卖纪念品的公司，年营收3000万，照样要合规。
1.3.2 小型企业
三条标准都不满足的企业，可以豁免。但这里有个坑：数据量标准是「5万条」，不是5万个用户。你想想，一个用户可能有手机号、邮箱、设备ID、浏览记录，这就4条了。1.25万个用户就能凑够5万条。很多小公司不知不觉就超标了。
1.3.3 特定行业
受其他联邦法律严格监管的行业，部分数据可以豁免。比如：
- 医疗行业：受HIPAA保护的健康信息，不适用CCPA
- 金融行业：受GLBA（Gramm-Leach-Bliley Act）保护的金融信息，部分豁免
- 征信机构：受FCRA（Fair Credit Reporting Act）规范的数据，豁免
💡 我的建议：
别一看到豁免就高兴太早。我审计过一家医疗科技公司，他们以为所有数据都受HIPAA保护，结果发现用户注册时填的姓名、邮箱、信用卡信息，根本不在HIPAA范围内。这些数据照样要遵守CCPA。所以，豁免的是「特定数据」，不是「整个公司」。
1.3.4 员工数据与B2B数据
这个比较特殊。CCPA最初版本对员工数据和B2B联系人有临时豁免。但2023年1月1日起，员工数据的豁免已经到期了。B2B数据的豁免也在2023年1月1日到期。所以现在，员工信息和商业伙伴信息，都要纳入合规范围。
我记得2022年底，一家客户的人力资源总监找到我，说：「我们员工的工资数据要不要做CCPA合规？」我当时就告诉他：明年1月1号开始，必须做。他一脸懵，说之前不是豁免吗？我说：到期了兄弟。
1.4 适用范围的地理边界
很多非加州的企业觉得跟自己没关系。错。
CCPA的适用范围是：只要你的业务涉及收集加州居民的个人信息，不管你的公司注册地在哪，都要合规。
举个例子：你是一家纽约的电商公司，卖东西到加州，有加州客户的姓名、地址、信用卡信息。那你就要做CCPA合规。我审计过一家注册在特拉华州的公司，服务器在弗吉尼亚，团队在纽约，就因为客户里有20%是加州人，照样被要求合规。
一句话总结：
CCPA看的是「数据主体在哪里」，不是「企业在哪里」。只要你的数据池里有加州居民，你就跑不掉。
1.5 实操建议：如何快速判断是否需要合规？
我一般给客户一个三步自查法，你也可以用：
- 第一步：算营收——上一财年总收入是否超过2500万美元？是→合规；否→进入第二步
- 第二步：数数据——每年处理的数据条数是否超过5万条（消费者/家庭/设备）？是→合规；否→进入第三步
- 第三步：看收入结构——出售数据带来的收入是否超过年收入的50%？是→合规；否→恭喜，暂时豁免
💡 一个小提醒：
这个判断是动态的。我见过一家公司今年豁免，明年营收突破2500万，立刻就要合规。所以建议每季度做一次自查，别等到被起诉了才想起来。
好了，CCPA的概述和适用范围就讲到这里。下一节我们会深入讲消费者的具体权利，以及企业该怎么落地。有什么问题，欢迎随时交流。