二、关键术语定义：个人信息、敏感个人信息、消费者、企业、服务提供商、第三方、数据销售、数据分享
好，咱们进入第二个章节。说实话，CCPA 里这些术语定义，是很多人踩坑的重灾区。我刚开始做合规审计那会儿，也经常被绕晕。你想想看，一个词理解偏了，整个合规框架可能就搭错了。
今天我就把这些关键术语，一个一个掰开揉碎了讲。每个词我都会结合项目里的真实案例，帮你把坑填平。
2.1 个人信息（Personal Information）
CCPA 对个人信息的定义，比 GDPR 要宽泛得多。它不只是姓名、身份证号这些。
核心定义：任何能直接或间接识别到特定消费者或家庭的信息。
我个人习惯把 CCPA 的个人信息分成三类：
- 直接标识符：姓名、别名、地址、邮箱、社保号、驾照号、护照号
- 间接标识符：IP 地址、设备 ID、Cookie ID、浏览器指纹
- 推断信息：消费偏好、行为习惯、健康状况推断、信用评分
重点来了：CCPA 把「家庭」也纳入了保护范围。这意味着你收集的家庭地址、家庭收入、家庭成员信息，都算个人信息。这一点和 GDPR 很不一样，我在做跨国企业审计时经常需要特别提醒团队。
我的经验：有一次审计一家电商平台，他们只把「用户注册信息」当个人信息，却忽略了「浏览行为数据」和「购物车放弃记录」。结果这些数据被用于广告投放，消费者投诉后直接被 AG 调查。记住：只要数据能关联到人，就按个人信息管。
2.2 敏感个人信息（Sensitive Personal Information）
2023 年 CPRA 修正案新增了这个概念。说白了，就是那些一旦泄露，后果特别严重的信息。
CCPA 定义的敏感个人信息包括：
- 社保号、驾照号、护照号
- 金融账户信息（含登录凭证）
- 精确地理位置（GPS 坐标，精度在 1/4 英里内）
- 种族、民族、宗教、性取向
- 通信内容（邮件、短信正文）
- 基因数据、生物识别信息
- 健康信息
- 未满 16 岁儿童的信息
避坑指南：我曾经见过一家公司，把用户的位置数据「四舍五入」到城市级别，就认为不是敏感信息了。但 AG 的执法标准是：只要你能通过其他数据反推出精确位置，就算敏感信息。所以别耍小聪明。
敏感个人信息的处理，有额外的合规要求：
- 必须提供「限制使用敏感信息」的权利
- 处理前需要更明确的告知
- 不能用于推断消费者特征（除非有例外）
2.3 消费者（Consumer）
CCPA 里的「消费者」，定义比字面意思广得多。
包括三类人：
- 加州居民：这是最核心的群体，不管你在不在加州，只要你是加州居民就受保护
- 设备用户：任何使用联网设备的人，哪怕只是路过你的门店连了 WiFi
- 家庭成员：消费者的家庭成员、同住人，也享有部分权利
注意：CCPA 不保护「员工数据」和「B2B 联系人数据」——至少在 2023 年之前是这样。但 CPRA 已经逐步把这些纳入保护范围了。我建议你现在就按统一标准管，别等执法来了再改。
2.4 企业（Business）
不是所有公司都叫「企业」，CCPA 有明确的门槛。
满足以下任一条件，就算 CCPA 定义的企业：
| 条件 | 具体标准 |
|---|---|
| 年收入 | 年总收入超过 2500 万美元 |
| 数据量 | 每年买卖或分享 10 万条以上消费者/家庭/设备数据 |
| 收入来源 | 年收入中 50% 以上来自销售消费者个人信息 |
嗯，这里要注意：10 万条这个门槛，是「买卖或分享」的总和，不是单纯的收集。我见过很多创业公司，觉得自己数据量小没事，结果因为做数据变现，不知不觉就过了线。
2.5 服务提供商（Service Provider）
服务提供商，说白了就是帮你处理数据的外部公司。但 CCPA 对它有严格限制。
核心要求：
- 只能按照企业的书面指令处理数据
- 不能把数据用于自己的商业目的
- 不能「保留、使用、披露」数据，除非为了履行服务
- 必须签订书面合同，明确数据使用边界
我的建议：合同里一定要写清楚「服务提供商不得将个人信息用于训练 AI 模型」。我遇到过一家 SaaS 公司，把客户数据拿去优化自己的推荐算法，结果被认定为「第三方」而非「服务提供商」，合规成本直接翻倍。
2.6 第三方（Third Party）
第三方就是「既不是企业，也不是服务提供商」的实体。说白了，只要数据传给了没有合同约束的实体，那就是第三方。
判断标准很简单：
- 有书面合同且限制数据用途 → 服务提供商
- 没有合同，或者合同没限制 → 第三方
- 数据被用于合同外的目的 → 自动变成第三方
避坑指南：我曾经审计过一家广告技术公司，他们和 50 多家数据合作方签了合同，但合同里只写了「不得转售」，没写「不得用于自身分析」。结果所有合作方都成了第三方，数据销售和分享的合规义务全部触发。记住：合同条款要写死，留一点口子就是一颗雷。
2.7 数据销售（Sale of Personal Information）
CCPA 对「销售」的定义，比字面意思宽得多。不只是「用钱换数据」才算销售。
销售包括：
- 用数据换钱
- 用数据换其他有价值的东西（比如广告位、服务折扣）
- 允许第三方通过你的平台收集数据（比如嵌入第三方 SDK）
- 共享数据用于跨场景行为广告
不属于销售的情况：
- 用户主动要求你分享数据
- 数据分享给服务提供商（有合同约束）
- 数据用于合并、收购、破产等场景
- 数据用于法律合规或安全目的
重点：很多公司觉得「我没收钱就不算销售」。错！你让第三方在你的网站上放追踪代码，他们拿走了用户数据，你获得了广告服务——这就是销售。我见过太多公司因为这个定义栽跟头。
2.8 数据分享（Sharing of Personal Information）
CPRA 新增的概念，专门针对「跨场景行为广告」。
数据分享的定义：将个人信息分享给第三方，用于跨场景行为广告。不管你有没有收钱，只要数据被用于广告定向，就算分享。
举个例子：
- 你在电商网站浏览了鞋子
- 网站把浏览数据分享给广告平台
- 广告平台在社交媒体上给你推鞋子的广告
- 这就是「数据分享」
数据分享触发的义务：
- 必须在隐私政策中披露
- 必须提供「选择退出分享」的权利（全球隐私控制信号）
- 未成年人数据需要「选择加入」
我的经验：数据销售和数据分享，有时候边界很模糊。我建议你统一按最严格的标准来管。如果你不确定某个场景算不算分享，那就当分享处理。因为 AG 执法时，不会因为你「不知道」就放过你。
小结
好了，这八个术语讲完了。说实话，CCPA 的术语体系确实复杂，但核心逻辑就一条：数据从哪来、到哪去、谁在用、怎么用。你只要把每个数据流都画清楚，把每个参与方的角色定义清楚，合规框架就搭起来了。
下一章，我会讲消费者权利的具体实现。到时候咱们再细聊。