CCPA加州隐私法：数据合规要求

可视化演示

展示系统处理流水线、实时性能指标曲线及多方案对比分析，包含数据流转、吞吐延迟监控与方案评估。

适用范围：谁家的门规管得着谁

小区门口的公约不是对所有人都生效。保安只拦三种访客：个子特别高、带的东西特别多、以及靠倒卖别人物品为生的人。CCPA 的逻辑完全一致——它不打算管全世界的所有公司，只盯住那些“体量大、动作多”的企业。

法律把这些“体量”翻译成了三条硬性门槛：年总收入不低于 2500 万美元；或每年购买、接收、出售 10 万及以上加州居民（或家庭）的个人信息；或出售个人信息的收入占全年总收入的一半以上。三条任意命中一条，公司就得按 CCPA 办事。这就是典型的“或”关系，像进小区只需要满足保安三个条件中的一个。

还要注意“居民”和“个人信息”的定义都比你想象中宽。加州居民不但包括在加州有长期住所的人，也包括临时来出差、旅游的人；个人信息则涵盖姓名、邮箱、社保号、地理位置、浏览历史、购物习惯，甚至“能推断出个人特征”的画像。地理上，判断标准是“在加州做生意 + 处理加州居民数据”，而不是服务器放在哪个国家。

保安手里的清单就是这三条。公司只要命中其中一条，就得到物业处领一本“合规手册”，从此认真对待每一位加州房东。

消费者权利：房东的四张王牌

现在房东手里攥着四张王牌，随时可以打给上门拜访的访客。第一张叫知情权：房东问“你翻了我家哪些抽屉、拿走了哪些东西？”访客必须列一份清单。第二张叫删除权：房东说“把这几件还回来”，访客就得当着面从账本里划掉。第三张叫选择不出售：房东在物品上贴“不外卖”标签，访客不得转手给第三方。第四张叫非歧视权：房东拒绝出售后，访客不能因此涨价、降级服务或给脸色看。

落到技术上，企业收到消费者验证过的请求后，必须在 45 天内响应；如果请求复杂（如需要从多个系统检索），可以再延长 45 天，但必须通知消费者。企业披露“知情权”时，通常只给数据“类别”而不给逐条原始数据，这既保护消费者，也降低企业的泄露风险。

删除权并不是无条件的。法律明确列出了豁免场景：为了完成交易、保障安全、行使言论自由、配合科学研究等，商家可以保留部分数据。所以删除范围的精确描述是“收集的全部数据，减去法律允许保留的那部分”。

四张王牌给了房东主动权，但法律也留了一把“工具锁”——豁免条款保证企业还能保留完成服务必需的数据，不让删除权变成破坏合同的武器。

合规义务：访客要立的规矩

访客想进小区，得先到物业处登记：要碰哪些物品、拿去干什么、会不会转手，都写清楚。CCPA 把这张“登记表”叫做隐私通知（Privacy Notice），必须在收集前或收集时告知消费者，内容包括数据类别、使用目的、是否出售/分享，以及消费者如何行使权利。

登记之外还有响应机制。企业必须提供至少两种请求渠道（比如免费电话和网页表单），消费者提交后，企业要先验证身份——验证强度要和请求的敏感度匹配，不能借机收集一堆无关信息。验证通过后开始计时 45 天，处理完要给出书面回执。整个过程都要记录在案，形成台账，供加州总检察长（AG）随时调阅。

如果访客请了搬家公司帮忙搬数据，那家公司就是“服务商”（Service Provider）。CCPA 要求企业与服务商签订合同，明确服务商只能按企业指令处理数据，不得“为自己目的”使用这些数据。换句话说，帮手也得守规矩，合同就是把规矩钉死的那颗钉子。

登记、响应、合同、留档——物业处那一整套流程，CCPA 全都要，只不过把“纸质表格”换成了“隐私政策页面 + API 接口 + 审计日志”。访客想安安静静地做客，就得先把这套规矩焊进自己的系统里。

出售与分享：“卖”与“借”的界定

“出售”这个词在 CCPA 里是个“大词”，远不止收钱卖数据。比如访客把房东的购物记录交给广告公司，换回免费的广告投放服务——没有一毛钱现金，但法律照样算“出售”。因为对价可以是金钱，也可以是“其他有价值的东西”，积分、服务、广告位都算。

法律文本把出售定义为：向第三方“出售、出租、发布、披露、传播、提供、转让”个人信息，以获得金钱或其他有价值对价。另有一个“分享”概念，特指为跨语境行为广告（根据你在不同网站的行为做定向投放）而披露数据。换句话说，出售是“换东西”的转让，分享是“打广告”的投喂，两者都要给消费者一个叫停的开关。

这个开关就是企业网页上的"Do Not Sell or Share My Personal Information"链接。消费者点击后，企业不得再出售/分享其数据，也不得因为消费者点了退出就涨价或降级服务。针对未成年人，规则更严：未满 16 岁需获得家长同意（13 到 16 岁可自行同意），且默认禁止出售。

你以为只有“标价出售”才算卖，但 CCPA 把“物物交换”也纳入了买卖。所以那个退出链接必须做大、做醒目，不能藏在小字里骗房东点击。

执法处罚：违规的代价

小区管理员不是摆设。加州总检察长（Attorney General）就是那位拿罚单本的管理员，负责巡查企业的数据台账。CCPA 给它设计了一个“先警告、后罚款”的流程：发现违规后，AG 会先通知企业，并给出 90 天纠正期；如果企业到期仍然不改，才开始按次计罚。

罚款按“每位消费者每次违规”累计：非故意违规每次罚款 2500 美元，故意违规每次 7500 美元。假设一家公司违规出售了 10 万名消费者的数据，每次按 2500 美元算，罚单总额就是 2.5 亿美元——这就是“按次叠加”的可怕之处。

另一个特殊场景是数据泄露：如果因企业安全疏漏导致未加密、未脱敏的个人信息被窃取，消费者可以直接提起私人诉讼，法定赔偿 100 到 750 美元每人每次。这是 CCPA 中少有的“个人可以直接告公司”的通道，其余违规行为都只能等 AG 出面执法。

就像停车场按次贴条，CCPA 的罚单是按“每个消费者乘每次违规”来叠的。对于手握几亿条数据的 AI 公司，一次批量数据滥用就可能叠出天文数字的罚金。

GDPR对比：两套物业公约

同一栋楼里，加州和欧洲各有一套物业公约。欧洲那套叫 GDPR，管得更宽更细；加州这套 CCPA 则是“美国式务实清单”。两套公约并存，公司如果同时服务欧美用户，就得同时揣两本手册。

最明显的差异在管辖逻辑。GDPR 只要“处理欧盟境内个人的数据”就适用，没有任何营收门槛——哪怕你是个只有 5 个人的小公司，只要用户中有欧洲人就得守规矩。CCPA 则是“生意 + 门槛”双条件，达不到三条门槛之一的小公司可以松一口气。权利清单也不同：GDPR 有知情、删除、更正、限制处理、数据可携带、反对等一整套权利；CCPA 原始版本只有知情、删除、选择不出售、非歧视四张王牌。

处罚逻辑更是天壤之别。GDPR 的罚款上限是 2000 万欧元或全球年营业额的 4%，取较高者，而且没有“90 天纠正期”的缓冲。CCPA 则是每次违规 2500/7500 美元，先给 90 天整改窗口。合规思路上，GDPR 偏“同意优先”——处理数据要有合法基础；CCPA 偏“退出优先”——默认允许收集，但消费者可以随时喊停。

可以说，GDPR 是“进门先签同意书”的严格管家，CCPA 是“进门可随时叫停”的美式邻居公约。两套公约虽然都保护隐私，但适用门槛、权利按钮和罚单写法完全不同，不能互相替代。

AI合规落地：给数据装门禁

把 CCPA 装进 AI 公司的流水线，就像给数据处理加一道门禁系统。门禁第一步是数据映射：把公司所有“数据房间”盘点清楚——哪个系统收集了什么个人信息、存在哪、是否被出售/分享、由谁负责。没有这份地图，消费者请求来了都不知道去哪找数据。

门禁第二步是请求流程自动化。一家 AI 公司可能同时运行几十个系统，人工翻数据库回邮件既不现实也不合规。合规团队会搭建一套权利请求引擎：消费者提交请求 → 自动验证身份 → 跨系统检索数据 → 执行删除或退出 → 生成回执和台账。整个流程要在 45 天的 SLA 内闭环，还要能应对 AG 的审计抽查。

门禁第三步最难，也最 AI 化：模型训练数据。训练集里如果含有加州居民的 PII，模型可能“记住”这些个人信息。消费者要求删除时，你不仅要删数据库，还要评估训练模型是否需要“机器遗忘”或重训。因此在数据进训练管道之前，就要做 PII 识别、脱敏，并维护一份“撤回同意用户”的黑名单。上线前还要做隐私影响评估（PIA），评估数据用途、风险和缓解措施，把文档留档备查。

门禁系统一旦建好，AI 项目上线就能自动“刷脸通过”，合规不再是事后补救的救命药，而是日常运营的基础设施。

AI 应用场景

Python 演示

# -*- coding: utf-8 -*-"""CCPA 合规沙盒 - 演示知情/删除/选择不出售三大核心流程"""from datetime import datetime, timedelta  class CCPAFulfillment:    """模拟一家处理加州居民数据的 AI 公司后台"""     def __init__(self, revenue=26000000, records_count=200000, sells_data=True):        self.revenue = revenue        self.records_count = records_count        self.sells_data = sells_data        self.store = {            "amy": ["email", "location", "purchase_history"],            "bob": ["email", "device_id"],            "cali": ["email", "location"],        }        self.no_sell_set = set()        self.requests_log = []     def in_scope(self):        return self.revenue >= 25000000 or (            self.records_count >= 100000 and self.sells_data        )     def _log_request(self, user_id, req_type):        self.requests_log.append({            "user": user_id,            "type": req_type,            "received": datetime.utcnow(),            "deadline": datetime.utcnow() + timedelta(days=45),        })     def request_to_know(self, user_id):        if not self.in_scope():            return {"error": "not covered by CCPA"}        self._log_request(user_id, "know")        return {"user": user_id, "categories": self.store.get(user_id, [])}     def request_to_delete(self, user_id):        if user_id not in self.store:            return {"error": "user not found"}        self._log_request(user_id, "delete")        removed = self.store.pop(user_id)        return {"user": user_id, "removed": removed}     def opt_out_of_sale(self, user_id):        self.no_sell_set.add(user_id)        self._log_request(user_id, "do_not_sell")        return {"user": user_id, "no_sell": True}     def summary(self):        return {            "covered": self.in_scope(),            "active_users": len(self.store),            "no_sell_count": len(self.no_sell_set),            "open_requests": len(self.requests_log),        }  if __name__ == "__main__":    svc = CCPAFulfillment()    print("覆盖判断:", svc.in_scope())    print("知情:", svc.request_to_know("amy"))    print("删除:", svc.request_to_delete("bob"))    print("禁售:", svc.opt_out_of_sale("cali"))    print("现状:", svc.summary())

1. def in_scope(self):用三条门槛判断企业是否受 CCPA 管辖，就像保安检查访客条件。
2. if not self.in_scope():不受管辖时直接拒绝请求，避免过度响应带来的隐私风险。
3. self.requests_log.append({...})每一次请求都留档，并写入 45 天后的 deadline，对应审计要求。
4. self.store.pop(user_id)执行删除权：直接从数据字典中移除用户记录。
5. self.no_sell_set.add(user_id)把用户加入“禁止出售”名单，后续任何出售逻辑都要先查这个集合。
6. print("现状:", svc.summary())汇总展示覆盖状态、剩余用户、禁售人数与未处理请求数。

常见误区

面试题