加州消费者隐私法案

一句话解释： 加州消费者隐私法案（CCPA）是美国加州的一项隐私法律，赋予加州居民查看、删除和拒绝出售其个人信息的权利，并要求达到门槛的企业在收集和使用数据时履行告知与配合义务。

生活化类比

把 CCPA 想成一家大型商场的“会员数据服务台”：

- 你办会员卡时，商场要告诉你收集了哪些信息、用途是什么。

- 你可以要求查看商场手里关于你的资料。

- 你可以要求删除这些资料。

- 如果商场把你的消费记录卖给第三方广告公司，你可以说“别卖我的信息”。

- 如果你因为行使这些权利被区别对待，商场可能违规。

对跨境电商来说，只要你的独立站面向加州用户，并且达到适用门槛，就不能只把隐私政策当摆设，而要把“数据请求处理流程”真正做起来。

核心概念/公式

CCPA 的适用通常看三个门槛，企业满足其一即可能受约束：

1. 年度总收入超过 2,500 万美元；

2. 每年处理 10 万名以上加州消费者或家庭的个人信息；

3. 50% 以上年收入来自出售加州消费者个人信息。

核心权利可概括为：

知情权 + 删除权 + 拒绝出售权 + 不得歧视权 + 更正权（CPRA 扩展）

其中，“出售”在 CCPA 下定义很宽。不是只有直接卖名单才叫出售，很多广告技术场景也可能被认定为“出售”或“共享”，例如：

- 把像素数据发给广告平台用于再营销；

- 使用第三方受众定向工具；

- 将邮件列表提供给合作方做联合营销。

一个实用判断公式：

是否收集加州用户个人信息？ → 是否达到适用门槛？ → 是否用于出售/共享？ → 是否提供 opt-out 和请求入口？

与相关术语对比

术语	地区	核心特点	与 CCPA 的关系
CCPA	美国加州	知情、删除、拒绝出售、不得歧视	本文主体
CPRA	美国加州	修订并扩展 CCPA，新增更正权、限制敏感信息使用权	CCPA 的升级版，常合称 CCPA/CPRA
GDPR	欧盟	强调合法性基础、数据主体权利、跨境传输	更全面，但适用逻辑不同
PIPL	中国	个人信息处理规则、告知同意、跨境提供	中国版个人信息保护框架
CalOPPA	美国加州	要求网站披露隐私政策	更早、更轻量，CCPA 更严格

应用场景

场景一：独立站收集邮箱做弃购召回

某 Shopify 独立站面向美国市场，月访问 30 万，其中加州用户约占 12%，即约 3.6 万加州用户/月。若其年收入超过 2,500 万美元，或年处理加州用户信息超过 10 万，就可能落入 CCPA。

它需要：

- 在隐私政策中说明收集邮箱、设备信息、浏览行为；

- 提供“Do Not Sell or Share My Personal Information”链接；

- 在用户请求删除时，协调邮件服务商、CRM、广告平台一起处理。

场景二：使用 Meta Pixel 和 Google Ads 再营销

如果独立站把用户浏览和购买事件发给广告平台，用于建立相似受众或再营销，这可能构成“共享”甚至“出售”。此时应提供 opt-out 机制，并尊重 Global Privacy Control 等浏览器信号。

场景三：消费者提交删除请求

加州用户要求删除个人信息。商家不能只删后台订单备注，还要检查：

- 邮件营销系统；

- 客服工单；

- 分析工具；

- 广告平台受众；

- 第三方物流或支付服务商。

若未在合理期限内响应，可能面临监管风险。CCPA 对故意违规可处每次最高 7,500 美元民事罚款；数据泄露情形下，消费者还可主张每次事件 100 至 750 美元或实际损失的法定赔偿。

常见误区

误区一：只有大公司才需要管 CCPA。

不一定。收入没到 2,500 万美元，但年处理 10 万名以上加州消费者信息，也可能适用。

误区二：没有卖数据就不用管。

CCPA 不只管“出售”，还管知情、删除、更正、限制敏感信息使用等义务。

误区三：隐私政策写一段就行。

不够。需要可操作的请求入口、身份验证、内部处理流程和供应商配合机制。

误区四：用户行使权利后可以拉黑他。

不得歧视。除非有法律允许的例外，不能因为用户要求删除或拒绝出售就拒绝服务或提高价格。

误区五：CCPA 等于 GDPR。

两者有重叠，但适用门槛、法律基础、罚则和权利细节不同，不能直接套用同一套模板。