美国隐私立法 | 加州《CCPA实施条例》全文翻译（DPO社群出品）

编者按：

围绕着美国方面的个人信息保护立法，本公号发表了以下文章：

近日，《加州消费者隐私法案实施条例》终于问世，DPO社群的热心小伙伴翻译了全文，贴出来与大家分享。

译文序言

美国《加州消费者隐私法案》（CCPA）已于2020年1月1日正式生效，这一法案是继GDPR之后全球最有影响的隐私保护立法。虽然甫一出台就广受关注，但这部法案因其诞生较为仓促，虽经多次修正却一直存在很多待澄清、难落地的地方。幸好，CCPA赋予了加州总检察长（California Attorney General）制定具体实施条例的权力，以期更好地实现立法目的。

基于这样的背景，加州总检察长于2019年10月制定并提交了首版CCPA实施条例的草稿，并于2020年3月发布了修订版的条例、2020年6月向加州行政法制办公室（California Office of Administrative Law，OAL）提交了“最终建议版”条例，随后又于2020年7月29日针对该“最终建议版”条例递交了若干额外的修改意见[1]。2020年8月14日，经过修改后的最终版本《加州消费者隐私法案实施条例》（“《实施条例》”）获得加州行政法制办公室核准，即时生效。

总体来看，《实施条例》包含六条、共计三十八款规定。第一条主要规定了《实施条例》的适用范围及效力、特殊术语定义；第二条则具体规定了不同场景下对消费者的通知要求；第三条规定了处理消费者请求的具体商业实践；第四条则规定了如何验证消费者请求；第五条则为针对16岁以下消费者的特殊规定；第六条则为反歧视规定。

无疑，《实施条例》的这些内容对于CCPA相关规定的落地实施给出了更加详细、明确的规定，使得企业在落实CCPA合规要求时获得了更清晰、更具实操性的指引，其中的要点可以概况为以下几个方面：

1、引入了新的术语定义

除了CCPA第1798.140款规定的定义外，《实施条例》引入了一些新的术语定义，涉及为提供通知、消费者请求及进行消费者验证等环节，包括明确授权、州总检察长、授权代表、个人信息来源类别、第三方类别、家庭、收集时的通知、隐私政策、删除请求、知悉请求、选择加入请求、验证等。

2、细化了消费者通知的要求

《实施条例》分别对个人信息收集时的通知、出售个人信息时的选择退出权的通知、财务激励通知、以及隐私政策的内容进行了细化规定。虽然各类通知的提供方式、内容和例外情形各有不同，但基本原则保持一致，即通知的设计和呈现方式应使消费者易于阅读和理解，包括：

使用简洁明了的语言，避免使用技术或法律术语；使用吸引消费者注意力的格式并使得通知易读；提供该企业在加州进行日常业务活动中涉及的合同、免责声明、销售通告以及其他信息所使用的语言版本；使得残障消费者能够合理访问。

3.    优化了处理消费者请求的流程

• 消费者提交申请的方式：CCPA允许企业为消费者指定两种及以上提交要求的方式，而《实施条例》规定，消费者通过非指定方式向企业提交要求时，企业也必须准确接收或告知消费者其所指定的提交方式，以便其重新提交请求。

• 企业响应消费者请求的时间：《实施条例》明确规定，企业必须在收到消费者知悉请求或删除请求后10个工作日内确认收到该请求，并提供企业将如何处理请求的信息。企业回应消费者的请求的期限为45天，如有必要可延长45天。

• 企业披露的信息：《实施条例》禁止企业披露某些敏感类型的信息，如身份证件号码、金融账号、健康保险信息和生物特征数据等，以控制敏感数据的泄露风险。

• 服务提供者：《实施条例》规定服务提供者不得将从消费者或其服务企业收到的个人信息用于向第三人或实体提供服务。消费者可以直接向服务提供者提出知悉或删除请求，服务提供者应代表企业回应该要求，或者拒绝并通知消费者直接向企业提交要求。

• 消费者选择退出请求：《实施条例》明确“选择退出”（Opt-out）的链接要求统一命名为“不要出售我的个人信息”（Do Not Sell My Personal Information）。同时，开拓性规定了消费者在选择退出出售个人信息后可以再次选择加入。

• 培训和记录保存：《实施条例》规定所有负责处理消费者请求或企业合规事宜的个人须接受关于CCPA的培训。企业需保留至少24个月的消费者提起的请求及企业如何回应请求的记录。

4.     明确了如何验证用户的要求

企业原则上应该避免向消费者索要额外信息用于验证，不应就验证事项要求消费者支付费用，且应实施合理安全的措施监测虚假身份验证行为并防止消费者个人信息不被授权地访问或者删除。

《实施条例》将验证方式分为“密码保护账号的验证”、“非账号持有者的验证”。在对非账号持有者进行验证时，企业应以“合理程度的确定性”（reasonable degree of certainty）核实提出要求的消费者的身份。但对于敏感性较高的个人数据或未经授权删除对消费者所造成的伤害风险较高的情形，企业应采用 “相当高的确定性”（a reasonably high degree of certainty）标准。

关于“验证”用户身份的规定虽然不是直接针对消费者权益，但是却对于企业和消费者而言都非常贴心和实用。事实上，我国的个人信息保护相关法律也在逐渐完善用户的查阅、复制、更正、删除和注销账号等权利，但相应的行权过程中如无身份验证则可能造成假冒他人身份窃取个人信息，如有过强身份验证则构成过度收集个人信息或带来行权障碍，企业常面临而法律上如能规定适当的前置验证流程和义务，则会大大有助于减少这个环节的风险和企业、用户权益的不确定性。

5.     关于16岁以下消费者的特别规定

13岁以下消费者：企业如果实际知道其出售13岁以下消费者的个人信息的，应建立、记录并遵守合理的程序，以确定肯定地授权出售关于该儿童的个人信息的人是该孩子的父母或监护人。这种肯定的授权是除了COPPA要求的任何可验证的父母同意之外的。换句话说，对于U13的消费者而言，企业获得了COPPA项下的监护人同意，并不意味着就完成了CCPA所需要的出售儿童个人信息所需的监护人授权。

13-15岁消费者：企业如果实际知道其出售已满13岁且未满16岁的消费者的个人信息的，应建立、记录并遵守合理的程序，以允许这些消费者选择加入出售其的个人信息。

6.     关于非歧视的规定

在保障消费者行使隐私权而不受歧视方面，《实施条例》明确了“财务激励”及“价格或服务差异的”概念，并规定如果企业无法基于善意评估消费者数据价值，或者无法展示财务激励或价格服务的差异是与消费者数据价值合理相关的，则不得提供财务激励或价格服务的差异。另外，提供财务激励或价格服务差异的企业应使用并记录一种合理和善意的方法来计算消费者数据的价值。

综上，2020年8月生效的CCPA《实施条例》为CCPA的各种义务引入了新的术语，很可能构成美国隐私法律术语的核心范畴，此外就企业实施CCPA合规措施提供了实用性建议和更为明确的合规要求，涉及消费者通知、处理消费者请求的做法、核实消费者要求的方式、未成年人用户的监护人授权以及管理非歧视做法的规则等落地做法。

同时，在更广泛的意义上，《实施条例》的批准生效是CCPA漫长立法进程中关键性的一步，虽然未来还可能会有进一步的变化，但CCPA、CCPA修正案以及CCPA实施条例共同搭建起了加州消费者隐私法律的完整法律框架提醒，并促成“全美最严格的隐私法案”最终落地。可以预见，CCPA及其实施条例，将与GDPR及EDPB发布的指南一样，都会对全球范围内数据隐私保护的立法和实践产生广泛的影响。

---

[1]相比较前期的版本，《条例》最终版做出了以下几点主要更新：

•  “选择退出”（Opt-out）的链接要求统一命名为“不要出售我的个人信息”（Do Not Sell My Personal Information）。前期的版本允许使用“不要出售我的个人信息”或“不要出售我的信息”（Do Not Sell My Info）两种命名方式。

• 对“授权代理请求”（Authorized Agent Requests）规则的要求有局部变动。前期的版本明确要求：在消费者通过授权代理提交知情或删除请求（第999.326款（c）项）或提交选择退出请求（第999.315款（f）项）的场景中，授权代理须向企业提供证据证明其已获得了消费者的授权、有权代表消费者，否则企业有权拒绝该等授权代理所提出的请求。而最终的版本则删除了在消费者通过授权代理提交知情或删除请求的场景中有关“允许企业拒绝那些无法提供证据证据其已获得消费者授权、有权代表消费者的授权代理所提出的请求”的规定表述，但保留了在消费者通过授权代表提交选择退出请求的场景中该等规定表述。

• 不再要求企业在对消费者个人信息进行实质性不同于收集目的的使用时获得消费者的明示同意。前期的版本规定（原第999.305款（a）(5）项），企业在对消费者个人信息进行使用时，如果该等使用与收集信息时向消费者说明的目的实质性不同的，则企业应当向消费者获取明示同意。而最终的版本删除了这一规定。

• 不再要求企业在与消费者有实质性离线交互的场景中提供关于“选择退出权利”的离线通知，但其他离线通知的义务仍然保留，例如：当企业离线收集数据时，《条例》仍建议企业在“消费者进入任何导致其个人信息被收集的场景”时通过使用标志或纸质表单的方式向消费者提供收集通知。

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过300人。关于DPO社群和沙龙更多的情况如下：

DPO社群成果

线下沙龙实录见：

美国联邦隐私保护立法草案研究

传染病疫情防控与个人信息保护系列文章

美国电信行业涉及外国参与的安全审查系列文章

中国的网络安全审查系列文章：

美国的出口管制制度系列文章：

自动驾驶系列文章：

欧盟“技术主权”进展跟踪系列文章：

第29条工作组/EDPB关于GDPR的指导意见：

数据安全法系列文章：

人脸识别系列文章：

数据跨境流动系列文章：

关于TIKTOK和WECHAT总统令和审查相关的文章：

CFIUS审查相关文章：

金融数据相关文章：