1. CCPA概述：立法背景、核心目标、适用范围与关键定义
大家好，我是你们这堂课的法律顾问兼数据隐私合规老兵。今天咱们聊聊CCPA——加州消费者隐私法案。说实话，我刚开始接触这个法案时，第一反应是“又一部GDPR的翻版”？但深入做项目后才发现，它有自己的脾气。
CCPA的全称是California Consumer Privacy Act。2018年通过，2020年正式生效。嗯，这里要注意，它不是联邦法律，是州法。但加州经济体量摆在那儿，全球很多公司都得跟着它走。
1.1 立法背景：为什么会有CCPA？
说白了，就是数据太值钱了，但消费者太被动了。你想想看，我们每天上网、购物、刷视频，产生的数据被企业拿去分析、交易、甚至卖给第三方。但消费者呢？根本不知道自己的数据被谁用了、用在哪了。
我个人习惯把CCPA的诞生归结为三个导火索：
- 数据泄露事件频发：2017-2018年，Equifax、Facebook等巨头接连爆出大规模数据泄露。我记得当时有个项目，客户的数据被第三方违规出售，直接导致品牌信任崩塌。
- 消费者意识觉醒：大家开始问“你们凭什么拿我的数据？” 这种声音越来越大。
- GDPR的示范效应：欧盟的GDPR在2018年生效，加州立法者一看，行，我们也得搞一个。
所以，CCPA的核心目标就四个字：还权于民。让消费者重新掌握对自己数据的控制权。
核心目标总结：
- 透明度：企业必须告诉消费者，你收集了什么数据、为什么收集、给谁用了。
- 控制权：消费者有权说“不”，有权要求删除，有权知道数据去向。
- 问责制：企业违规？罚你没商量。
1.2 适用范围：你的公司需要遵守吗？
这个问题我几乎在每个项目里都会被问到。很多客户觉得“我在中国/欧洲/亚洲，跟加州没关系”。别急，CCPA的适用范围比你想的宽。
它适用于任何营利性企业，只要满足以下条件之一：
| 条件 | 具体标准 |
|---|---|
| 年总收入 | 超过2500万美元（约1.8亿人民币） |
| 数据量 | 每年购买、接收、出售或共享5万条及以上加州居民的个人信息 |
| 收入来源 | 年收入的50%以上来自出售加州居民的个人信息 |
嗯，这里要注意：“出售”的定义很宽。不只是直接卖钱，包括用数据换服务、换广告、换任何有价值的东西，都算。我曾经有个客户，他们做的是免费App，靠广告变现。他们觉得“我又没卖数据”，但CCPA认为你把用户数据给广告平台，这就是“出售”。
避坑指南：我曾经见过一家做电商数据分析的公司，他们只服务B端客户，觉得不直接接触消费者就没事。结果呢？他们从第三方购买的数据里包含了加州居民的信息，年数据量超过5万条。嗯，被罚了。
1.3 关键定义：你必须搞清楚的几个词
CCPA里有些定义很绕，我挑几个最关键的讲。
1.3.1 个人信息
CCPA对“个人信息”的定义非常宽。不只是姓名、邮箱、电话。还包括：
- 设备标识符：IP地址、Cookie ID、设备指纹
- 商业信息：购买记录、消费习惯
- 生物信息：指纹、面部识别数据
- 网络活动：浏览历史、搜索记录
- 推断信息：基于以上数据推测出的偏好、特征、行为
说白了，只要跟某个消费者或设备能关联上的，基本都算。我个人的经验是：宁可多算，不要漏算。因为一旦漏了，被查出来就是违规。
1.3.2 消费者
这里的“消费者”不是指“买东西的人”。CCPA的定义是：任何居住在加州的自然人。注意，是“居住”，不是“公民”。哪怕你只是去加州出差、旅游、上学，只要你在加州有临时住所，你的数据就受CCPA保护。
1.3.3 出售
这个前面提过，再强调一次。CCPA对“出售”的定义是：以口头、书面或电子方式，将个人信息提供给第三方，以换取金钱或其他有价值的对价。
“其他有价值的对价”是关键。比如你用用户数据换广告服务、换数据分析工具、换云服务折扣，都算出售。我曾经帮一个客户梳理数据流，发现他们把用户数据传给第三方做模型训练，对方免费给他们用模型。嗯，这就是“出售”。
1.3.4 企业
CCPA对“企业”的定义也很有特点。除了前面说的收入和数据量门槛，还包括：
- 控制或被控制：如果你被一家符合条件的企业控制，或者你控制着这样一家企业，你也得遵守。
- 品牌共享：如果你跟符合条件的企业共用品牌名称（比如“Google”和“YouTube”），你也算。
所以，集团化公司要特别注意。子公司可能单独不达标，但母公司达标了，子公司也得跟着走。
我的小建议：做合规评估时，别只看自己公司。把母公司、子公司、关联公司、品牌共享方都拉进来一起看。我曾经有个项目，客户是家初创公司，年收入才500万，但他们母公司是上市公司。嗯，CCPA直接适用。
1.4 小结：CCPA到底想干嘛？
一句话总结：让消费者知道、让消费者选择、让消费者控制。
它不像GDPR那样要求“同意”作为所有处理的基础，而是给了消费者更多的“选择退出”权利。你想想看，这其实更符合美国人的性格——我不拦着你做生意，但消费者有权说“不”。
好了，这一章就到这里。下一章我们会深入聊聊CCPA赋予消费者的具体权利，以及企业该怎么应对。嗯，那部分内容更实操，我有很多踩坑经验可以分享。