一、CCPA概述：加州消费者隐私法案的立法背景、核心目标与适用范围

1.1 为什么会有CCPA？——立法背景

说实话，我刚接触CCPA的时候，第一反应是：这不就是加州的GDPR吗？

但深入了解后才发现，两者差别还挺大的。CCPA的诞生，说白了是被一连串数据丑闻推着走的。2018年Facebook的剑桥分析事件，让全美老百姓突然意识到——自己的数据正在被悄无声息地利用。我有个客户当时就在加州做电商，他跟我说，那段时间用户投诉量暴涨了三倍，都是问「你们把我的数据卖给了谁」。

加州作为全球第五大经济体，科技公司扎堆的地方，立法自然走在前头。2018年6月，CCPA正式签署，2020年1月1日生效。嗯，这里要注意，它给了企业18个月的缓冲期，但真正落地时，很多公司还是手忙脚乱。

1.2 CCPA到底想干什么？——核心目标

我个人习惯把CCPA的核心目标总结成一句话：让消费者重新拿回自己数据的控制权。

你想想看，以前你的数据被收集了，你根本不知道，更别说控制了。CCPA给了消费者四把「钥匙」：

权利类型	具体内容	我见过的坑
知情权	企业必须告诉你收集了什么数据、用来干嘛、卖给谁了	很多公司连自己有哪些数据都说不清
删除权	消费者可以要求删除自己的个人信息	删除不等于彻底清除，备份系统里可能还有
选择退出权	消费者可以拒绝企业出售自己的数据	「出售」的定义比你想的宽泛得多
平等服务权	企业不能因为消费者行使权利就歧视对待	价格歧视的边界很难把握

我在项目中遇到过一家做智能家居的公司，他们以为CCPA只针对卖数据的行为。结果一查，他们通过SDK收集用户行为数据给第三方做广告优化，这其实也属于「出售」的范畴。嗯，这个坑踩得挺疼的。

1.3 谁在CCPA的管辖范围内？——适用范围

这个问题，我建议你记住一个简单的判断逻辑：你在加州做生意吗？你的数据涉及加州居民吗？

CCPA的适用范围其实比很多人想的要广。它不看你公司注册在哪，而是看你的业务是否触及加州消费者。具体来说，满足以下任意一条就要受管辖：

• 年收入门槛：年总收入超过2500万美元
• 数据量门槛：每年购买、接收、出售或共享5万条及以上加州居民的个人信息
• 收入占比门槛：年收入中50%以上来自出售加州居民的个人信息

还有一个容易忽略的点：「企业」的定义。CCPA里的「企业」不仅包括公司本身，还包括控制、被控制或共同控制的实体。说白了，如果你母公司年收入过亿，你这个小子公司也得跟着合规。

1.4 哪些数据受保护？——个人信息定义

CCPA对「个人信息」的定义，我个人觉得比GDPR还要宽泛。它不只是姓名、邮箱、电话这些传统信息，还包括：

• 设备标识符：IP地址、Cookie ID、设备指纹
• 商业信息：购买记录、消费习惯
• 生物信息：指纹、面部识别数据
• 网络活动：浏览历史、搜索记录
• 地理位置：精确的GPS定位数据
• 推断信息：基于以上数据得出的个人偏好、特征等

1.5 例外情况——不是所有数据都适用

当然，CCPA也不是万能的。有些数据它管不着：

• 公开信息：政府公开的、媒体公开的、消费者主动公开的信息
• 去标识化数据：无法再识别到个人的数据
• 员工数据：这个比较特殊，CCPA对员工数据的保护力度弱一些
• B2B数据：企业间往来的联系人信息，有一定豁免

我记得有一次，一个客户问我：「我们收集的用户公开社交媒体信息，算不算CCPA管辖？」我说：「算，但有个前提——你不能把这些公开信息跟其他非公开信息结合起来用。」说白了，单独看是公开的，但一组合就可能变成隐私数据了。

1.6 小结：CCPA的核心逻辑

讲了这么多，我帮你理一下CCPA的核心逻辑：

1. 谁在管？——在加州做生意、触及加州居民的企业
2. 管什么？——能识别到个人的各种信息
3. 怎么管？——给消费者知情权、删除权、选择退出权、平等服务权
4. 为什么管？——让数据控制权回到消费者手里

你想想看，这个逻辑其实挺朴素的。数据是你产生的，凭什么别人想用就用、想卖就卖？CCPA就是要把这个平衡找回来。

下一章，我会详细讲CCPA的「同意管理」到底怎么做。嗯，那才是真正考验技术功底的地方。