扫描网站的CCPA和CPRA合规问题。验证您的"禁止出售"链接、数据类别披露、消费者权利门户等。对于拥有加州客户的企业至关重要。
CCPA/CPRA合规远不止网站层面。以下组织性措施对降低监管风险、建立消费者信任至关重要。
CCPA § 1798.100要求披露过去12个月内收集的所有个人信息类别。全面的数据清单映射每一项数据元素——在哪里收集、存储、共享和删除。没有数据清单，就无法准确响应消费者请求或披露数据实践。
CPRA要求企业确保服务提供商和承包商遵守数据处理要求。需定期进行供应商评估，涵盖数据访问权限、安全控制、子处理方关系和合同义务。任何一个不合规的供应商都可能暴露您的整条数据供应链。
随着CPRA的B2B和员工豁免于2023年1月1日到期，从员工、承包商和商业联系人处收集的个人信息现已完全纳入保护范围。这意味着人力资源系统、薪资服务商和招聘平台都需要符合CCPA的通知和数据处理流程。
虽然CCPA并未明确强制要求，但隐私影响评估是最佳实践，且加州隐私保护局（CPPA）越来越重视。PIA在新产品、功能或处理活动上线前评估隐私风险，有助于在违规发生前预防问题。
加州数据泄露通知法（民法典§ 1798.82）要求及时通知受影响的居民。文件化的应急响应计划——明确角色分工、取证调查流程、通知模板和监管沟通协议——对于降低法律责任和声誉损害至关重要。
CCPA要求隐私政策至少每12个月更新一次，以反映当前数据实践。建立正式的年度审查流程，覆盖新的数据收集实践、供应商变更、法规更新和消费者请求统计。
《加州消费者隐私法》（CCPA）是一部里程碑式的州级隐私法律，于2020年1月1日生效，赋予加州居民对其个人信息前所未有的控制权。《加州隐私权法》（CPRA）于2023年1月1日生效，大幅扩展了CCPA——新增权利、强化要求，并设立加州隐私保护局（CPPA）作为专门执法机构。
CCPA/CPRA适用于收集加州消费者个人信息且满足一定收入或数据量门槛的营利性企业。故意违规处罚可达每次7,500美元。加州拥有超过3900万居民和全球第五大经济体，其隐私法律实际上为美国数据保护设定了标准。
CCPA适用于收集加州消费者个人信息的营利性企业，且满足以下条件之一：年收入超过2500万美元；买卖或共享10万+消费者的个人信息；或超过50%的年收入来自出售个人信息。
根据CCPA/CPRA，您必须在主页提供明显的「禁止出售或共享我的个人信息」链接，允许加州消费者选择退出其个人信息的出售或共享。
故意违规：每次违规最高7500美元。非故意违规：每次违规最高2500美元。加州总检察长可提起执法诉讼。此外，CPRA还设立了加州隐私保护局（CPPA）。
根据2023年1月1日生效的CPRA，B2B和员工豁免已到期。CCPA/CPRA现在适用于从员工、承包商和商业联系人处收集的个人信息。
CPRA引入了多项重大变化：新增更正不准确个人信息的权利、限制使用敏感个人信息的权利、扩大了涵盖跨场景行为广告的退出权、强制数据最小化要求，以及设立CPPA作为新的执法机构。B2B和员工数据豁免也已到期。
虽然CCPA没有明确要求建立数据清单，但没有数据清单几乎不可能做到合规。您需要了解收集了哪些个人信息、来自谁、用途是什么、与谁共享——这些都是CCPA § 1798.100和§ 1798.110要求的披露内容。数据清单是每个合规隐私项目的基础。
