2. 消费者权利：知情权、访问权、删除权、选择退出权、可携带权
好，咱们直接进入正题。CCPA 给了消费者五把「尚方宝剑」，分别是知情权、访问权、删除权、选择退出权和数据可携带权。这五个权利，说白了就是让用户能管住自己的数据。
我刚开始接触 CCPA 时，觉得这跟 GDPR 差不多嘛。后来真做项目才发现，细节上差别挺大。比如「选择退出权」，CCPA 玩得特别花哨。咱们一个一个拆开讲。
2.1 知情权：用户得知道你在搞什么
知情权是基础。用户有权知道：你收集了哪些个人信息？用来干嘛？卖给谁了？
嗯，这里要注意。CCPA 对「收集」的定义很宽泛。你想想看，用户在网站上点了个按钮，你记录了他的 IP 地址——这就算收集。哪怕你只是临时存一下，也算。
核心要求：企业必须在收集数据时或之前，向用户提供清晰的「通知」。这个通知不能藏在隐私政策里，得让用户一眼能看到。
我在项目中遇到过这种情况：客户把知情权通知放在网站底部的小字里，结果被审计直接打回。后来我们改成了弹窗 + 横幅，才算过关。
2.2 访问权：用户想看，你就得给
访问权，就是用户有权要求企业提供：
- 收集了哪些个人信息
- 这些信息的来源
- 用这些信息干嘛了
- 有没有分享给第三方
说白了，用户问「你手里有我的什么数据？」，你得老老实实列出来。
我个人习惯是，在系统设计时就预留一个「数据导出接口」。这样用户一请求，后台自动打包，省得人工翻数据库。我曾经见过一家公司，用户请求访问数据，他们花了三周才手动整理出来——这效率，合规检查肯定过不了。
小技巧：CCPA 要求企业在 45 天内响应访问请求。但实际操作中，我建议控制在 30 天内。为什么？因为万一出点差错，你还有缓冲时间。
2.3 删除权：用户想删，你就得删
删除权，也叫「被遗忘权」。用户有权要求企业删除其个人信息。
但这里有个坑：CCPA 的删除权不是绝对的。比如，数据用于完成交易、检测安全事件、配合执法等场景，企业可以拒绝删除。
避坑指南：我曾经遇到一个案例——用户要求删除数据，但该数据同时用于法律诉讼的证据保全。这种情况下，企业不能直接删。正确的做法是：先冻结数据，等法律程序结束后再处理。
另外，删除权还涉及第三方。如果你把数据分享给了其他公司，用户要求删除时，你不仅要删自己的，还得通知那些第三方也删掉。嗯，这个链条管理起来挺麻烦的。
2.4 选择退出权：CCPA 的「杀手锏」
这个权利，我个人认为是 CCPA 里最「狠」的一条。用户有权选择退出「出售」个人信息的行为。
注意，CCPA 对「出售」的定义非常宽泛。不只是收钱才算卖。你把数据分享给第三方用于广告定向，哪怕没收费，也算「出售」。
企业必须在网站首页提供一个清晰的「Do Not Sell My Personal Information」链接。用户点一下，你就不能再卖他的数据了。
| 场景 | 是否算「出售」 | 需要提供退出权吗？ |
|---|---|---|
| 把用户邮箱卖给广告商 | 是 | 是 |
| 用用户数据训练 AI 模型，然后卖模型 | 是 | 是 |
| 把数据分享给第三方做数据分析 | 视情况而定 | 可能需要 |
| 把数据分享给支付处理商完成交易 | 否 | 不需要 |
你想想看，很多互联网公司靠卖数据赚钱。CCPA 这一条，直接动了他们的蛋糕。我建议企业尽早梳理数据流向，搞清楚哪些数据算「出售」，不然被投诉就麻烦了。
2.5 可携带权：数据跟着用户走
可携带权，就是用户有权要求企业把数据以「常用、机器可读」的格式提供给他。这样用户可以把数据带到其他平台。
说白了，用户想从 A 平台搬到 B 平台，数据得能带走。
我个人习惯用 JSON 或 CSV 格式。为什么？因为这两个格式通用性强，大多数系统都能解析。我曾经见过有人用 PDF 格式提供数据导出——嗯，这就不符合「机器可读」的要求了。
技术实现建议：
// 数据导出接口示例
GET /api/v1/consumer/data-export
Authorization: Bearer <user_token>
Response: {
"format": "json",
"data": {
"name": "张三",
"email": "zhangsan@example.com",
"purchase_history": [...]
}
}注意，可携带权只适用于用户主动提供的数据，以及企业通过用户行为观察到的数据。比如用户填的表单、浏览记录都算。但企业自己分析出来的「用户画像」，CCPA 没有强制要求提供。
2.6 五个权利的联动关系
这五个权利不是孤立的。你想想看：
- 用户先通过知情权知道你在收集数据
- 然后通过访问权查看具体数据
- 如果不想让你卖了，就行使选择退出权
- 如果想彻底消失，就要求删除
- 如果想搬家，就用可携带权把数据带走
我在项目中遇到过最典型的场景是：用户先要求访问数据，看完之后觉得不对劲，接着要求删除。这时候系统得能处理「串联请求」——不能用户刚访问完，你还没处理删除，数据就被备份到别处了。
建议：设计一个统一的「消费者权利请求处理中心」。所有请求都走同一个入口，系统自动判断优先级和冲突。比如，删除请求和访问请求同时到达，先处理访问，再处理删除。
好了，这五个权利就讲到这里。记住，CCPA 的核心逻辑是「把控制权还给用户」。企业要做的，就是搭建一套能快速响应这些权利的系统。下一章咱们聊聊具体的合规落地步骤。