3. 核心法律法规解读（二）：CCPA/CPRA 的核心要点与 GDPR 异同
好，我们接着聊。上一章我们把 GDPR 拆了个七七八八，这一章咱们聚焦美国加州的 CCPA 和它的升级版 CPRA。
说实话，我刚接触 CCPA 的时候，第一反应是：“这不就是个美国版的 GDPR 吗？” 后来踩了几个坑才发现，两者差别其实挺大的。你想想看，欧洲人讲究的是“人权”，加州人更关心的是“你能不能拿我的数据去赚钱”。出发点不同，落地细节自然天差地别。
3.1 CCPA 的核心要点
CCPA 全称 California Consumer Privacy Act，2018 年通过，2020 年正式生效。它保护的是加州居民的隐私权——注意，是“居民”，不一定是公民。只要你在加州住着，就受保护。
3.1.1 谁要遵守？
不是所有公司都适用。CCPA 的门槛是这样的：
- 年总收入超过 2500 万美元；
- 或者每年买卖、接收、分享 5 万条以上加州居民的个人信息；
- 或者年收入 50% 以上来自出售个人信息。
嗯，这里有个坑。我遇到过一家做 SaaS 的公司，年收入不到 2500 万，但他们的客户数据里有大量加州用户的邮箱和浏览记录。一算，好家伙，刚好超过 5 万条。那就得合规。
3.1.2 消费者有哪些权利？
CCPA 给了消费者几个核心权利，我列一下：
- 知情权：企业必须告诉消费者，你收集了什么数据、用来干嘛、跟谁分享了。
- 删除权：消费者可以要求你删掉他的个人信息。注意，这里不包括某些法定豁免场景，比如完成交易必需的。
- 选择退出权：消费者有权说“我不允许你卖我的数据”。这个“卖”的定义比你想的宽——连跟第三方共享用于定向广告，也算“卖”。
- 平等服务权：企业不能因为消费者行使了隐私权，就歧视他，比如涨价、降级服务。
我个人觉得，最容易被忽视的是“平等服务权”。有一次我帮客户做审计，发现他们的会员体系里，如果用户选择退出数据出售，系统会自动降级到基础版。这其实就违规了。
3.1.3 企业要做什么？
简单说，三步走：
- 披露：在隐私政策里写清楚你收集了什么、怎么用、跟谁共享。
- 响应：消费者提出请求后，企业必须在 45 天内回复。可以延期一次，但最多再延 45 天。
- 验证：你得确认提出请求的人确实是本人。这个环节我吃过亏——有用户冒充别人要求删除数据，我们没验证就删了，后来真用户投诉了。
3.2 CPRA 的升级点
CPRA 是 CCPA 的修正案，2020 年通过，2023 年生效。说白了就是加州的隐私法又进化了。
CPRA 主要加了几个东西：
- 敏感个人信息：单独列了一类，比如社保号、精确地理位置、种族、性取向等。处理这些数据需要更严格的同意。
- 数据最小化：企业只能收集“合理必要”的数据。这个跟 GDPR 的理念很像了。
- 纠正权：消费者可以要求更正不准确的个人信息。
- 自动化决策：如果企业用算法做决策（比如信用评分、招聘筛选），消费者有权知道逻辑。
- 成立新机构：加州隐私保护局（CPPA）专门负责执法。以前是检察长管，现在有专职机构了，罚款力度肯定更大。
我记得 CPRA 刚出来的时候，很多公司都在改隐私政策。最头疼的是“敏感个人信息”的定义——以前 CCPA 没这个分类，大家一股脑全当普通数据处理。现在不行了，得单独标识、单独管理。
3.3 CCPA/CPRA 与 GDPR 的异同
好，重头戏来了。这两个法规到底哪里像、哪里不像？我直接画个表，你一看就明白。
| 维度 | GDPR | CCPA/CPRA |
|---|---|---|
| 适用范围 | 处理欧盟居民数据的任何企业（无论在哪） | 在加州经营且满足收入/数据量门槛的企业 |
| 法律基础 | 需要合法依据（同意、合同、合法利益等） | 默认可以收集，但消费者有权选择退出 |
| 同意机制 | 默认 opt-in，必须主动同意 | 默认 opt-out，消费者可以拒绝出售数据 |
| 数据定义 | 个人数据范围很广，包括 IP、Cookie | 个人信息，但排除公开可获取的信息 |
| 敏感数据 | 特殊类别数据，需明确同意 | CPRA 新增敏感个人信息，需额外限制 |
| 删除权 | 被遗忘权，条件较严格 | 删除权，但有更多豁免（如完成交易） |
| 数据可携带权 | 有，且要求机器可读格式 | 有，但只限于收集的数据 |
| 罚款上限 | 2000 万欧元或全球年营收 4% | 每次违规 2500 美元，故意违规 7500 美元 |
| 执法机构 | 各国数据保护机构（DPA） | 加州隐私保护局（CPPA） |
你看，最核心的区别在于 “默认机制”。GDPR 是“你不说同意，我就不能碰你的数据”。CCPA 是“你不说不同意，我就默认可以碰，但你不能卖”。
为什么会这样？说白了，欧洲把隐私当人权，美国把隐私当消费者权益。出发点不同，逻辑就不同。
3.3.1 实操中的常见误区
我见过不少公司，把 GDPR 的合规方案直接搬到 CCPA 上。结果呢？
- GDPR 要求 opt-in，CCPA 要求 opt-out。你如果给加州用户弹窗说“请同意我们收集数据”，用户可能直接关掉。但 CCPA 要求的是“请选择是否允许我们出售数据”。
- GDPR 的删除权几乎没有豁免，CCPA 的删除权有很多例外。比如为了完成交易、检测安全事件、调试系统等，都可以不删。
- GDPR 对“出售”的定义很窄，CCPA 的定义很宽。连跟第三方共享用于定向广告，也算“出售”。
3.4 我的建议
最后，给几个实操建议：
- 先做数据映射：不管 GDPR 还是 CCPA，第一步永远是搞清楚你有哪些数据、从哪来的、给谁用了。没有数据地图，后面全是空谈。
- 区分用户群体：如果你的用户既有欧洲人又有加州人，建议在登录或注册时识别用户所在地，然后走不同的合规流程。
- 设计统一的请求处理系统：虽然法规不同，但消费者请求的流程可以复用。比如删除请求、数据导出请求，底层逻辑是一样的，只是响应时间和豁免条件不同。
- 别忽视 CPRA 的敏感数据：我最近帮一家健康类 App 做合规，发现他们收集了用户的心率数据。这在 CCPA 下算普通数据，但在 CPRA 下算敏感个人信息。如果不重新分类，罚款风险很高。
嗯，CCPA/CPRA 这块就先聊到这儿。下一章我们讲中国的《个人信息保护法》，那个又是另一套逻辑了。到时候你会发现，全球隐私法规虽然各有不同，但核心思路其实越来越像——把数据控制权还给用户。