快速回答： 加利福尼亚消费者隐私法案（CCPA）赋予加利福尼亚居民选择退出出售或共享其个人信息的权利。从2026年1月1日起，修订后的法规要求企业尊重选择退出偏好信号（如全球隐私控制），清晰确认这些信号已被处理，并确保选择退出流程不比选择加入流程复杂。未遵守可能导致每次故意违反最高可达7500美元的民事罚款。
关键要点
- CCPA适用于满足特定收入、数据量或数据销售阈值的营利性企业，而不是在加利福尼亚运营的每家公司。
- 从2026年1月1日起，企业必须在识别和尊重选择退出偏好信号（如全球隐私控制）时显示明显的确认。[3]
- 选择退出机制必须与选择加入流程一样易于使用；2026年修正案明确禁止使用黑暗模式来阻碍选择退出。[7]
- 企业在收到消费者选择退出请求后必须在15个工作日内予以尊重。[2]
- CCPA下的“个人信息”定义广泛：包括IP地址、浏览历史、地理位置数据、从消费者行为中得出的推论等。
- CCPA和GDPR在基本的同意模型上存在根本差异，选择退出与选择加入，许多企业必须同时遵守两者。
- 未更新隐私政策以反映CCPA权利本身就是一个合规缺口，与技术选择退出失败是不同的。
- 像Biscotti CMP这样的同意管理平台可以自动化信号检测、选择退出确认显示和偏好记录保存。
CCPA是什么，为什么对您的企业重要
加利福尼亚消费者隐私法案是一项州级隐私法，赋予加利福尼亚居民对企业如何收集、使用和出售其个人数据的特定权利。这很重要，因为加利福尼亚是世界第五大经济体，任何接触加利福尼亚消费者的企业，无论其总部位于何处，都可能在法律上被要求遵守。
CCPA最初于2018年颁布，2020年通过加利福尼亚隐私权法案（CPRA）得到加强，并在2025年9月22日由加利福尼亚行政法办公室批准的法规中再次实质性更新，自2026年1月1日起生效。[1][5] 这些2026年修正案增加了关于自动决策技术（ADMT）、风险评估的新的职责，尤其是对于大多数企业而言，选择退出机制的设计和确认要求。[1][7]
理解CCPA的解释：如何管理加利福尼亚消费者的选择退出不再是覆盖企业的可选项。监管底线已经提高，执法也随之而来。
我如何知道CCPA是否适用于我的公司
CCPA适用于在加利福尼亚开展业务并满足至少一个以下阈值的营利性企业：
- 年总收入超过2500万美元
- 每年购买、出售、接收或共享100,000个或更多加利福尼亚消费者或家庭的个人信息
- 从销售或共享加利福尼亚消费者的个人信息中获得50%或更多的年收入[4][6]
CCPA是否适用于某个收入以下的小企业？ 通常不适用。如果企业低于所有三个阈值，则不属于CCPA覆盖的企业。然而，代表覆盖企业处理数据的服务提供商和承包商，即使它们独立不符合条件，也受到合同CCPA义务的约束。[2]
边缘案例：一家年收入低于2500万美元的小型SaaS公司，但拥有大量免费用户，可能在不知情的情况下轻松超过100,000消费者数据的阈值。
在CCPA下什么算作个人信息
根据CCPA，个人信息被广泛定义为任何能够识别、与特定消费者或家庭相关、描述或合理地与之关联的信息。这远远超出了姓名和电子邮件地址。
覆盖的类别包括：
| 类别 | 示例 |
|---|---|
| 识别符 | 姓名、电子邮件、IP地址、设备ID |
| 商业信息 | 购买历史、浏览行为 |
| 生物识别数据 | 指纹、面部识别数据 |
| 互联网活动 | Cookies、搜索历史、网站互动 |
| 地理位置 | 来自移动设备的精确位置 |
| 推论 | 从行为数据构建的个人资料 |
| 敏感个人信息 | 社会安全号码、健康数据、精确地理位置 |
从消费者数据中得出的推论以创建关于偏好、特征或行为的个人资料被明确包括在内。[4] 这对广告技术、分析和个性化管道至关重要。
CCPA选择退出与选择加入的区别是什么
CCPA采用选择退出模型：企业默认可以收集和使用消费者数据，但消费者有权要求其数据不被出售或共享。选择加入同意仅在特定情况下需要，例如处理16岁以下消费者的个人信息时。[4][6]
这是与GDPR的根本结构差异，GDPR采用选择加入模型，在大多数数据处理开始之前需要明确同意。在CCPA下，沉默不是同意，但也不是处理的障碍。在GDPR下，沉默不是同意，处理不能在没有同意的情况下开始。
如果您处理未成年人（16岁以下）的数据或处理根据加利福尼亚法律需要明确同意的敏感个人信息类别，请选择选择加入逻辑。
如果您处理成年人的标准消费者数据并且是CCPA覆盖的企业，请选择选择退出逻辑。
我如何设置“请勿出售或共享我的个人信息”链接
每个出售或共享个人信息的覆盖企业必须在其主页和隐私政策中提供一个标题为“请勿出售或共享我的个人信息”的清晰显著链接。[4][6]
逐步设置：
- 审核您的数据流，以确定您的企业是否出售或共享CCPA定义的个人信息。
- 将所需链接添加到您的网站页脚和移动应用设置菜单中。
- 配置您的同意管理平台以捕获和时间戳选择退出请求。
- 确保选择退出流程所需步骤不超过选择加入流程，2026年法规明确禁止不对称摩擦。[7]
- 如果您的企业处理基于浏览器的数据，则自动尊重全球隐私控制（GPC）信号。
- 显示明显的确认，表明选择退出已被识别，例如，显示“选择退出偏好信号已被尊重”的横幅或切换状态。[3]
像Biscotti CMP这样的平台可以自动化步骤3到6，包括GPC信号检测和合规确认显示。
我有多长时间来响应消费者的选择退出请求
企业必须在收到消费者的选择退出请求后在15个工作日内予以尊重。[2] 这与适用于其他消费者权利请求（如访问或删除）的45天响应窗口不同。
一旦尊重，企业还必须通知在前90天内出售或共享消费者数据的任何第三方，指示他们停止使用该数据。[6] 这种下游通知义务常常被忽视，代表了一个常见的合规缺口。
客户选择退出后我还可以使用数据吗
在消费者选择退出出售或共享后，企业不得再出售或共享该消费者的个人信息。然而，企业仍然可以使用这些数据用于与消费者与企业的关系一致的内部目的。[4]
选择退出后明确禁止的行为：
- 将数据出售或共享给第三方进行跨上下文行为广告
- 以与收集数据的上下文不兼容的方式使用数据
选择退出后仍然允许的行为：
- 履行消费者请求的交易或服务
- 内部分析和欺诈预防
- 遵守法律义务
常见错误： 假设选择退出意味着完全删除数据。并不是这样。消费者必须提交单独的删除请求以触发该权利。
CCPA与GDPR：我需要遵循哪个
如果您的企业同时服务于加利福尼亚居民和欧盟居民，您可能需要同时遵守两者。CCPA和GDPR并不相互排斥，合规要求的差异足够大，以至于单一政策很少能同时满足两者。
| 因素 | CCPA | GDPR |
|---|---|---|
| 同意模型 | 选择退出（允许默认处理） | 选择加入（首先需要同意） |
| 地理范围 | 加利福尼亚居民 | 欧盟/欧洲经济区居民 |
| 涉及对象 | 满足阈值的营利性企业 | 处理欧盟居民数据的任何实体 |
| 罚款 | 每次故意违反最高7500美元 | 全球年营业额的4% |
| 删除权 | 是 | 是（删除权） |
| 数据可携带性 | 是 | 是 |
实际意义：符合GDPR的同意横幅并不自动符合CCPA，因为CCPA要求特定的选择退出机制，而不是同意门。
如果我不遵守CCPA要求会发生什么
不合规使企业面临最高2500美元的非故意违反和7500美元的故意违反的民事罚款，由加利福尼亚隐私保护局（CPPA）执行。[4][6] 涉及未成年人数据的违规行为默认被视为故意。
消费者还拥有因企业未能实施合理安全措施而导致的数据泄露的私人诉讼权，法定损害赔偿范围为每位消费者每次事件100美元至750美元。[4]
2026年修正案扩大了CPPA的审计权，意味着受风险评估要求约束的企业可能面临主动的监管审查，而不仅仅是被动的执法。[1][7]
我需要更新我的隐私政策以符合CCPA吗
是的。覆盖企业必须维护一份隐私政策，至少披露：
- 收集的个人信息类别及其收集目的
- 是否出售或共享个人信息，以及涉及的第三方类别
- 根据CCPA可用的消费者权利（选择退出、删除、访问、更正、可携带性）
- 消费者如何提交请求以行使这些权利
- 每类个人信息的保留期限[4][6]
隐私政策必须至少每12个月更新一次。在数据实践发生重大变化后（例如添加新的分析供应商）未更新政策本身就是合规违规。
我如何验证消费者的选择退出请求是否合法
对于选择退出请求，CCPA不要求企业验证提出请求的消费者的身份。[2] 这是故意的：要求选择退出的身份验证会造成摩擦，从而削弱这一权利。
然而，企业可以使用合理的手段确认请求不是欺诈性的，例如确认与账户关联的电子邮件地址。选择退出验证的标准故意低于删除或访问请求，因为这些请求涉及披露或销毁数据。
边缘案例： 如果选择退出请求通过自动信号（GPC）到达，则不需要或允许额外的验证步骤，信号本身构成有效请求。[3][7]
移动应用与网站上的选择退出机制如何工作
在网站上，选择退出机制必须在页脚中包含“请勿出售或共享我的个人信息”链接，并必须尊重浏览器级别的GPC信号。[3][7] 在移动应用中，要求功能上等效，但实现方式有所不同：
- 移动应用必须在应用的设置菜单或隐私偏好部分中包含选择退出选项。
- 通过应用商店分发的应用必须遵守任何额外的平台级隐私要求（例如iOS上的应用追踪透明度），但这些平台要求并不能替代CCPA合规。
- 如果企业处理这些数据，则必须以与基于浏览器的GPC信号相同的方式尊重来自移动操作系统的自动信号。
2026年法规明确指出，渠道（网站与应用）并不会改变基本义务，只有技术实现有所不同。
企业在CCPA合规中常犯的错误
即使是出于良好意图的企业也经常犯以下错误：
- 将选择退出视为选择加入： 要求消费者通过多个步骤明确确认其选择退出，这违反了2026年修正案中的对称要求。[7]
- 忽视GPC信号： 未配置其技术堆栈以检测和尊重全球隐私控制浏览器信号，这些信号现在被视为有效的选择退出请求。[3]
- 未能显示选择退出确认： 2026年规则要求明显确认信号已被处理，后端日志条目不足以满足要求。[3]
- 忽视下游供应商： 在收到选择退出后未通知第三方数据接收者。
- 静态隐私政策： 未能每年更新政策或在数据实践发生重大变化后更新。
- 混淆服务提供商与第三方： 根据合同处理数据的服务提供商与为自身目的接收数据的第三方有不同的义务。
常见问题
CCPA适用于非营利组织吗？ 不适用。CCPA仅适用于营利性企业。非营利组织不属于覆盖企业，但可能受到其他加利福尼亚隐私法规的约束。
什么是全球隐私控制（GPC），我必须尊重它吗？ GPC是一种浏览器级信号，自动传达消费者的选择退出偏好。从2026年1月1日起，处理浏览器数据的覆盖企业必须尊重GPC信号作为有效的选择退出请求，并显示信号已被处理的确认。[3][7]
企业可以对选择退出的消费者收取不同的价格吗？ 通常不可以。CCPA禁止企业对行使其隐私权的消费者进行歧视，包括通过收取不同的价格，除非差异与消费者数据的价值合理相关。[4]
选择退出记录必须保留多久？ CCPA没有规定选择退出记录的普遍保留期限，但企业应保留记录足够长的时间，以在审计或执法行动中证明合规，通常至少24个月被视为合理基准。[6]
Cookie横幅是否满足CCPA选择退出要求？ 仅仅一个Cookie横幅是不够的。CCPA要求提供专门的“请勿出售或共享我的个人信息”链接，2026年修正案要求企业独立于任何Cookie同意互动尊重和确认GPC信号。[3][7]
在CCPA下，“出售”和“共享”有什么区别？ “出售”涉及以金钱对价交换个人信息。“共享”涵盖为跨上下文行为广告披露个人信息，即使没有支付。两者都触发选择退出权利。[4]
我需要为每类数据设置单独的选择退出机制吗？ 不需要。一个覆盖销售和共享的单一选择退出机制就足够了，但企业必须在其隐私政策中清楚描述所涵盖的数据类别。
根据2026年CCPA修正案，风险评估是什么？ 以显著隐私风险的方式处理个人信息的企业，包括使用自动决策技术，必须在开始该处理之前进行并记录风险评估。[1][7]
结论
CCPA解释：如何管理加利福尼亚消费者的选择退出是一个不断变化的目标，2026年修正案大大提高了标准。核心义务，包括提供清晰的选择退出机制、在15个工作日内尊重消费者请求以及更新隐私政策，仍然是基础。但关于GPC信号确认、黑暗模式禁止和ADMT风险评估的新要求需要比静态页脚链接更系统的方法。
覆盖企业的可行后续步骤：
- 审核您当前的选择退出流程与2026年对称要求的符合性：计算选择退出的步骤并与选择加入的步骤进行比较。
- 验证您的网站和移动应用是否检测并尊重全球隐私控制信号，并在收到信号时显示明显的确认消息。
- 审查您的第三方供应商列表，确认在选择退出后数据流的下游通知程序是否到位。
- 更新您的隐私政策，以反映当前的数据实践、保留期限和消费者权利的完整列表。
- 评估像Biscotti CMP这样的同意管理平台，以自动化信号检测、选择退出确认和跨网页和移动渠道的偏好记录保存。
合规不是一次性项目。CPPA已表现出发出指导和追求执法的意愿，监管环境将继续发展。现在建立可重复、可审计的流程是覆盖企业可以采取的最有力的立场。
参考文献
[1] Navigating New Obligations Under The CCPA Updated Regulations - https://www.lw.com/en/insights/navigating-new-obligations-under-the-ccpa-updated-regulations
[2] Navigating California Consumer Privacy Act 30 Essential FAQs Covered Businesses Including Clarifying Regulations Effective 1/1/26 - https://www.jacksonlewis.com/insights/navigating-california-consumer-privacy-act-30-essential-faqs-covered-businesses-including-clarifying-regulations-effective-1126
[3] Show Me That You've Opted Me Out: New CCPA Rules Require Businesses To Prove Compliance - https://www.nelsonmullins.com/insights/alerts/fcc-download/all/show-me-that-you-ve-opted-me-out-new-ccpa-rules-require-businesses-to-prove-compliance
[4] CCPA Statute Effective 2026-01-01 - https://cppa.ca.gov/regulations/pdf/ccpa_statute_eff_20260101.pdf
[5] CCPA Updates - https://cppa.ca.gov/regulations/ccpa_updates.html
[6] CCPA Requirements 2026: Complete Compliance Guide - https://secureprivacy.ai/blog/ccpa-requirements-2026-complete-compliance-guide
[7] CCPA 2026: Navigating The Expanded Consumer Privacy Compliance Requirements For Businesses - https://www.lathropgpm.com/insights/ccpa-2026-navigating-the-expanded-consumer-privacy-compliance-requirements-for-businesses/
[8] CCPA in 2026: What's Changing in Consent, Consumer Rights, and AI Governance - https://www.onetrust.com/blog/ccpa-in-2026-whats-changing-in-consent-consumer-rights-and-ai-governance/
[9] New CCPA 2026 Regulations: Your Complete Compliance Action Guide - https://captaincompliance.com/education/new-ccpa-2026-regulations-your-complete-compliance-action-guide/
[10] CPPA Regulations - https://cppa.ca.gov/regulations/