美國法律與CCPA

CCPA 解釋：如何管理加州消費者的選擇退出

2026年7月7日 · 16 分鐘閱讀

快速回答： 加州消費者隱私法（CCPA）賦予加州居民選擇退出其個人信息的銷售或共享的權利。自 2026 年 1 月 1 日起，修訂後的規定要求企業尊重選擇退出偏好信號（例如全球隱私控制），明確確認這些信號已被處理，並確保選擇退出流程不比選擇加入流程更複雜。不遵守可能導致每次故意違規最高可處以 7,500 美元的民事罰款。

主要要點

CCPA 適用於符合特定收入、數據量或數據銷售門檻的營利性企業，而不是每個在加州運營的公司。
自 2026 年 1 月 1 日起，企業必須在識別並尊重選擇退出偏好信號（例如全球隱私控制）時顯示明顯的確認。[3]
選擇退出機制必須與選擇加入流程一樣容易使用；根據 2026 年的修正案，明確禁止使用暗黑模式來阻礙選擇退出。[7]
企業在收到消費者的選擇退出請求後有 15 個工作日的時間來尊重該請求。[2]
CCPA 下的「個人信息」定義廣泛：包括 IP 地址、瀏覽歷史、地理位置數據、從消費者行為中得出的推斷等。
CCPA 和 GDPR 在基本的同意模型上運作不同，分別是選擇退出與選擇加入，許多企業必須同時遵守兩者。
未能更新您的隱私政策以反映 CCPA 權利本身就是一個合規缺口，與技術性選擇退出失敗是不同的。
像 Biscotti CMP 這樣的同意管理平台可以自動化信號檢測、選擇退出確認顯示和偏好記錄。

CCPA 是什麼，為什麼對您的業務重要

加州消費者隱私法是一項州級隱私法，賦予加州居民對企業如何收集、使用和銷售其個人數據的特定權利。這很重要，因為加州是世界第五大經濟體，任何接觸加州消費者的企業，不論其總部位於何處，都可能在法律上需要遵守。

CCPA 最初於 2018 年頒布，2020 年由加州隱私權法（CPRA）加強，並於 2025 年 9 月 22 日由加州行政法辦公室批准的規定進行了實質性更新，於 2026 年 1 月 1 日生效。[1][5] 這些 2026 年的修正案增加了有關自動決策技術（ADMT）、風險評估的義務，並且對於大多數企業而言，選擇退出機制的設計和確認要求也變得至關重要。[1][7]

了解 CCPA 解釋：如何管理加州消費者的選擇退出不再是受保企業的選擇。監管底線已經提高，執法也隨之而來。

我如何知道 CCPA 是否適用於我的公司

CCPA 適用於在加州經營並滿足 至少一項 以下門檻的營利性企業：

年總收入超過 2500 萬美元
每年購買、銷售、接收或共享 100,000 或更多 加州消費者或家庭的個人信息
每年從銷售或共享加州消費者的個人信息中獲得 50% 或更多 的收入 [4][6]

CCPA 是否適用於某一收入以下的小型企業？ 一般來說，不適用。如果企業低於所有三個門檻，則不屬於 CCPA 規範的企業。然而，代表受保企業處理數據的服務提供商和承包商，即使它們不會獨立符合條件，也必須遵守合同 CCPA 的義務。[2]

邊緣案例：一家年收入低於 2500 萬美元的小型 SaaS 公司，但擁有大量免費用戶，可能在不知情的情況下輕易超過 100,000 消費者數據的門檻。

CCPA 下什麼算作個人信息

根據 CCPA，個人信息的定義非常廣泛，任何識別、與之相關、描述或可以合理地與特定消費者或家庭聯繫的資訊均屬於此範疇。這超出了姓名和電子郵件地址的範疇。

涵蓋的類別包括：

類別	示例
識別符	姓名、電子郵件、IP 地址、設備 ID
商業信息	購買歷史、瀏覽行為
生物識別數據	指紋、面部識別數據
網絡活動	Cookies、搜索歷史、網站互動
地理位置	來自移動設備的精確位置
推斷	根據行為數據建立的個人資料
敏感個人信息	社會安全號碼、健康數據、精確地理位置

從消費者數據中得出的推斷以建立有關偏好、特徵或行為的個人資料明確包括在內。[4] 這對於廣告技術、分析和個性化管道至關重要。

CCPA 的選擇退出與選擇加入有何不同

CCPA 運作於 選擇退出模型：企業可以默認收集和使用消費者數據，但消費者有權要求其數據不被出售或共享。只有在特定情況下，例如處理 16 歲以下消費者的個人信息時，才需要選擇加入的同意。[4][6]

這是與 GDPR 的根本結構性差異，後者運作於 選擇加入模型，在大多數數據處理開始之前需要明示同意。在 CCPA 下，沉默不是同意，但也不是處理的障礙。在 GDPR 下，沉默不是同意，且在沒有同意的情況下無法開始處理。

如果您處理未成年人（16 歲以下）的數據或處理根據加州法律需要明示同意的敏感個人信息類別，請選擇選擇加入邏輯。

如果您處理成年人的標準消費者數據並且是 CCPA 規範的企業，請選擇選擇退出邏輯。

我如何設置「不出售或共享我的個人信息」鏈接

每個銷售或共享個人信息的受保企業必須在其首頁和隱私政策中提供一個標題為「不出售或共享我的個人信息」的清晰且顯眼的鏈接。[4][6]

逐步設置：

審核您的數據流，以確定您的企業是否按照 CCPA 的定義銷售或共享個人信息。
將所需的鏈接添加到您的網站頁腳和移動應用設置菜單中。
配置您的同意管理平台以捕獲和時間戳選擇退出請求。
確保選擇退出流程所需的步驟不比選擇加入流程多，2026 年的規定明確禁止不對稱摩擦。[7]
如果您的企業處理基於瀏覽器的數據，則自動尊重全球隱私控制（GPC）信號。
顯示明顯的確認，表明選擇退出已被識別，例如，顯示「選擇退出偏好信號已被尊重」的橫幅或切換狀態。[3]

像 Biscotti CMP 這樣的平台可以自動化第 3 到第 6 步，包括 GPC 信號檢測和合規確認顯示。

我有多長時間來回應消費者的選擇退出請求

企業必須在收到消費者的選擇退出請求後 在 15 個工作日內 予以尊重。[2] 這與適用於其他消費者權利請求（例如訪問或刪除）的 45 天回應窗口是不同的。

一旦尊重該請求，企業還必須通知在前 90 天內向其出售或共享消費者數據的任何第三方，指示他們停止使用該數據。[6] 這一下游通知義務經常被忽視，並且代表了一個常見的合規缺口。

客戶選擇退出後我還能使用數據嗎

在消費者選擇退出銷售或共享後，企業不得再出售或共享該消費者的個人信息。然而，企業仍然可以使用該數據，用於與消費者與企業之間的關係一致的內部目的。[4]

選擇退出後明確禁止的行為：

將數據出售或共享給第三方以進行跨上下文的行為廣告
以與收集該數據的上下文不相容的方式使用該數據

選擇退出後仍然允許的行為：

履行消費者請求的交易或服務
內部分析和防止欺詐
遵守法律義務

常見錯誤： 假設選擇退出意味著完全刪除數據。並非如此。消費者必須提交單獨的刪除請求以觸發該權利。

CCPA 與 GDPR：我需要遵循哪一個

如果您的企業同時服務於加州居民和歐盟居民，您可能需要同時遵守兩者。CCPA 和 GDPR 不是互斥的，合規要求的差異足夠大，以至於單一政策很少能同時滿足兩者。

因素	CCPA	GDPR
同意模型	選擇退出（默認處理允許）	選擇加入（需先獲得同意）
地理範圍	加州居民	歐盟/EEA 居民
涵蓋對象	符合門檻的營利性企業	任何處理歐盟居民數據的實體
罰款	每次故意違規最高可達 7,500 美元	全球年營業額的 4% 最高
刪除權	是	是（刪除權）
數據可攜性	是	是

實際意義：符合 GDPR 的同意橫幅並不自動符合 CCPA，因為 CCPA 要求特定的選擇退出機制，而不是同意門檻。

如果我不遵守 CCPA 要求會發生什麼

不合規使企業面臨每次 2,500 美元的非故意違規 和 7,500 美元的故意違規 的民事罰款，由加州隱私保護機構（CPPA）執行。[4][6] 涉及未成年人數據的違規默認被視為故意。

消費者還擁有因企業未能實施合理安全措施而導致數據洩露的私人訴訟權，法定賠償金範圍從每位消費者每次事件 100 美元到 750 美元不等。[4]

2026 年的修正案擴大了 CPPA 的審計權限，這意味著受風險評估要求約束的企業可能面臨主動的監管審查，而不僅僅是被動的執法。[1][7]

我需要更新我的隱私政策以符合 CCPA 嗎

是的。受保企業必須維護一份隱私政策，至少披露：

收集的個人信息類別及其收集目的
是否出售或共享個人信息，以及涉及的第三方類別
根據 CCPA 可用的消費者權利（選擇退出、刪除、訪問、更正、可攜性）
消費者如何提交請求以行使這些權利
每類個人信息的保留期限 [4][6]

隱私政策必須至少每 12 個月更新一次。未能在數據實踐發生重大變更後更新政策，例如添加新的分析供應商，則本身就是合規違規。

我如何驗證消費者的選擇退出請求是否合法

對於選擇退出請求，CCPA 不要求企業驗證提出請求的消費者的身份。[2] 這是故意的：要求對選擇退出進行身份驗證會產生摩擦，從而削弱該權利。

然而，企業可以使用合理的手段確認請求不是欺詐，例如確認與帳戶相關的電子郵件地址。選擇退出驗證的標準故意低於刪除或訪問請求，因為這些請求涉及披露或銷毀數據。

邊緣案例： 如果選擇退出請求通過自動信號（GPC）到達，則不需要或不允許額外的驗證步驟，該信號本身構成有效請求。[3][7]

移動應用與網站上的選擇退出機制如何運作

在網站上，選擇退出機制必須在頁腳中包含「不出售或共享我的個人信息」鏈接，並必須尊重瀏覽器級的 GPC 信號。[3][7] 在移動應用中，要求功能上等效，但實施有所不同：

移動應用 必須在應用的設置菜單或隱私偏好部分中包含選擇退出選項。
通過應用商店分發的應用必須遵守任何額外的平台級隱私要求（例如 iOS 上的應用追蹤透明度），但這些平台要求並不能替代 CCPA 的合規性。
如果企業處理該數據，則必須以與基於瀏覽器的 GPC 信號相同的方式尊重來自移動操作系統的自動信號。

2026 年的規定明確指出，渠道（網頁與應用）並不改變基本義務，只有技術實施有所不同。

企業在 CCPA 合規中常犯的錯誤

即使是出於良好意圖的企業也經常犯以下錯誤：

將選擇退出視為選擇加入： 要求消費者通過多個步驟明確確認其選擇退出，這違反了 2026 年修正案中的對稱要求。[7]
忽視 GPC 信號： 未配置其技術堆棧以檢測和尊重全球隱私控制瀏覽器信號，這些信號現在被視為有效的選擇退出請求。[3]
未能顯示選擇退出確認： 2026 年的規則要求明顯確認信號已被處理，後端日誌條目不足以滿足要求。[3]
忽視下游供應商： 在收到選擇退出後未通知第三方數據接收者。
靜態隱私政策： 未能每年更新政策或在數據實踐發生重大變更後更新。
混淆服務提供商與第三方： 根據合同處理數據的服務提供商與為自身目的接收數據的第三方有不同的義務。

常見問題

CCPA 是否適用於非營利組織？ 不適用。CCPA 僅適用於營利性企業。非營利組織不屬於受保企業，但可能受其他加州隱私法規的約束。

什麼是全球隱私控制（GPC），我必須尊重它嗎？ GPC 是一種瀏覽器級信號，自動傳達消費者的選擇退出偏好。自 2026 年 1 月 1 日起，處理瀏覽器數據的受保企業必須尊重 GPC 信號作為有效的選擇退出請求，並顯示信號已被處理的確認。[3][7]

企業可以對選擇退出的消費者收取不同的價格嗎？ 一般來說不可以。CCPA 禁止企業對行使其隱私權利的消費者進行歧視，包括收取不同的價格，除非差異與消費者數據的價值合理相關。[4]

選擇退出記錄必須保留多久？ CCPA 沒有規定選擇退出記錄的通用保留期限，但企業應保留記錄足夠長的時間，以便在審計或執法行動中證明合規性，通常至少 24 個月被視為合理的基準。[6]

Cookie 橫幅是否滿足 CCPA 的選擇退出要求？ 僅僅一個 Cookie 橫幅是不足夠的。CCPA 要求提供專門的「不出售或共享我的個人信息」鏈接，並且 2026 年的修正案要求企業獨立於任何 Cookie 同意互動來尊重和確認 GPC 信號。[3][7]

根據 CCPA，「銷售」和「共享」之間有什麼區別？ 「銷售」涉及以金錢對價交換個人信息。「共享」涵蓋為跨上下文的行為廣告披露個人信息，即使沒有支付。兩者都觸發選擇退出權利。[4]

我需要為每個數據類別設置單獨的選擇退出機制嗎？ 不需要。涵蓋銷售和共享的單一選擇退出機制就足夠了，儘管企業必須在其隱私政策中清楚描述涵蓋的數據類別。

根據 2026 年 CCPA 修正案，風險評估是什麼？ 處理以方式呈現重大隱私風險的個人信息的企業，包括使用自動決策技術，必須在開始該處理之前進行並記錄風險評估。[1][7]

結論

CCPA 解釋：如何管理加州消費者的選擇退出是一個不斷變化的目標，而 2026 年的修正案大幅提高了標準。核心義務，包括提供清晰的選擇退出機制、在 15 個工作日內尊重消費者請求以及更新您的隱私政策，仍然是基礎。但有關 GPC 信號確認、禁止暗黑模式和 ADMT 風險評估的新要求需要比靜態頁腳鏈接更系統化的方法。

受保企業的可行後續步驟：