快速回答： 加利福尼亚隐私权法案（CPRA）对原加利福尼亚消费者隐私法案（CCPA）进行了实质性修订，引入了新的消费者权利、专门的执法机构、更严格的处罚以及全新的敏感个人信息类别。对于网站运营商而言，CCPA与CPRA：加利福尼亚网站运营商的变化并不是一个理论性的问题，而是直接转化为更新隐私政策、新的同意机制和与第三方供应商的扩展合同义务。
关键要点
- CPRA于2023年7月1日全面生效，取代并扩展了CCPA框架。
- 新的“敏感个人信息”（SPI）类别要求在收集该数据的网站上提供专门的选择退出链接。
- 消费者获得了更正不准确个人数据的权利，而这一权利在原CCPA下并不存在。
- 适用门槛从50,000消费者或家庭提高到100,000，免除了部分小型运营商。
- 为跨上下文行为广告而“共享”个人数据现在被视为“销售”，需要选择退出机制。
- 网站运营商必须尊重全球隐私控制（GPC）信号，视其为有效的选择退出请求。
- 自2025年1月1日起，行政罚款增加至每次无意违规2,663美元，故意违规7,988美元。
- 加利福尼亚隐私保护局（CPPA）现在拥有独立的执法权，独立于检察长。
- 自动决策透明度要求将于2027年1月1日生效。
- 风险评估和网络安全审计现在是高风险数据处理活动的强制要求。
CCPA与CPRA之间的区别是什么？
CCPA于2020年1月1日生效，赋予加利福尼亚消费者对其个人数据的基本权利：知情权、删除权和选择退出其信息销售的权利。CPRA于2020年11月由加利福尼亚选民通过，并于2023年7月1日全面可执行，并没有完全取代CCPA，而是对其进行了修订和显著扩展[1]。
主要结构差异包括：
| 特征 | CCPA（原版） | CPRA（修订版） |
|---|---|---|
| 执法机构 | 加利福尼亚检察长 | CPPA + 检察长 |
| 敏感数据类别 | 未定义 | 正式定义（SPI） |
| 更正权 | 不包括 | 包括 |
| “销售”定义 | 以价值交换数据 | 包括用于广告的“共享” |
| 适用门槛 | 50,000消费者/家庭 | 100,000消费者/家庭 |
| 风险评估 | 不要求 | 高风险处理需要求 |
| GPC信号合规 | 不强制 | 强制 |
对网站运营商的实际影响是，CPRA与CCPA的合规不仅仅是文书更新，它需要对同意流程、隐私政策和供应商合同进行架构性更改[2]。
CPRA何时生效并取代CCPA？
CPRA的实质性权利和义务适用于2022年1月1日或之后收集的数据，执法始于2023年7月1日。为期一年的执法宽限期在该日期结束，这意味着加利福尼亚隐私保护局可以在没有事先警告的情况下开始处以罚款[4]。
对于在2026年仍在CCPA时代政策下运营的网站运营商而言，风险是真实且直接的。
消费者在CPRA下获得了哪些新权利，而这些权利在CCPA中并不存在？
CPRA增加了两个在原CCPA框架中缺失的消费者权利：
更正权： 消费者现在可以请求企业更正其持有的关于他们的不准确个人信息。网站运营商必须建立可验证的请求流程，并在45天内对更正请求采取行动[2]。
限制使用敏感个人信息的权利： 消费者可以限制企业在原始收集目的之外使用其SPI。该权利要求在网站上提供一个单独的、明确标记的选择退出机制[1]。
这些新增权利与现有的知情权、删除权、选择退出销售权和非歧视权并列，为任何收集用户数据超出基本分析的网站创造了更复杂的合规要求。
CPRA下的更正权是什么？
更正权是CPRA中最具操作性要求的新增内容之一。当消费者提交经过验证的更正请求时，企业必须尽商业合理努力更正不准确的个人信息，并指示任何接收该数据的服务提供商或承包商进行相同的更正[2]。
对于网站运营商而言，这意味着：
- 建立更正请求接收机制（网页表单、电子邮件流程或账户门户）。
- 记录更正并通知下游数据处理者。
- 在45天内回应，如果必要，可以允许一次45天的延长。
常见错误： 许多运营商假设更正权仅适用于账户资料数据。实际上，它扩展到企业持有的任何个人信息，包括行为数据、推断的偏好和购买历史。
CPRA涵盖了哪些CCPA未涵盖的新数据类别？
CPRA正式将“敏感个人信息”（SPI）定义为一个独特的、更高保护的数据类别。CCPA没有等效的分类[1]。
CPRA下的SPI包括：
- 社会安全号码和政府签发的身份证件
- 财务账户凭证（登录及安全代码）
- 精确的地理位置数据
- 种族或民族来源、宗教信仰和工会会员资格
- 私人通信的内容（邮件、电子邮件、短信）
- 用于身份识别的遗传和生物识别数据
- 健康信息和性生活或性取向
收集这些类别的任何网站运营商必须提供一个“限制使用我的敏感个人信息”的链接，功能上类似于CCPA下已要求的“请勿出售我的个人信息”链接[1]。
CPRA与CCPA：哪个适用于我的业务？
截至2026年，CPRA框架适用于在加利福尼亚开展业务的营利性企业，并且满足以下任一门槛[7]：
- 年总收入超过2500万美元。
- 每年购买、销售、接收或共享100,000个或更多加利福尼亚消费者或家庭的个人信息（从CCPA的50,000提高）。
- 年收入的50%或更多来自销售或共享消费者的个人信息。
选择CPRA合规如果： 你的网页服务于加利福尼亚居民，并且满足上述任一标准。如果你之前符合CCPA的50,000消费者门槛，但每年处理的记录少于100,000，则可能不再直接适用，但与更大合作伙伴的合同义务仍可能要求遵守。
边缘案例： 非营利组织和纯B2B运营商通常免于此要求，但为受覆盖企业提供服务的服务提供商和承包商承担自己的CPRA义务[3]。
CPRA如何影响我网站的隐私政策？
仅符合CCPA的隐私政策已不再足够。CPRA要求网站运营商更新其隐私政策，以反映[2][3]：
- 新的SPI类别和限制其使用的权利。
- 更正不准确个人信息的权利。
- 扩展的“销售”定义，包括用于跨上下文行为广告的“共享”。
- 企业如何响应GPC信号。
- 收集的每一类别个人信息的数据保留期限。
- 是否使用自动决策以及消费者如何选择退出。
隐私政策必须至少每12个月审查一次，并更新以反映当前的数据实践。描述CCPA时代权利而没有CPRA新增内容的过时政策是常见的执法触发因素。
我需要更新我的同意表单以符合CPRA吗？
是的。根据CCPA足够的同意机制需要针对CPRA进行有意义的更新。具体而言，网站运营商必须[3][5]：
- 如果网站收集SPI，则添加“限制使用我的敏感个人信息”的选择退出链接。
- 尊重GPC浏览器信号作为有效的选择退出销售和共享，这不能要求用户采取额外步骤。
- 在出售或共享16岁以下消费者的个人信息之前获得明确的选择加入同意。
- 确保跨上下文行为广告（重定向、与广告平台共享受众）的同意与其他数据使用明确区分。
同意管理平台可以帮助自动化GPC检测和偏好记录。Biscotti CMP (www.biscotti-cmp.com)专为处理这些CPRA特定要求而构建，包括SPI选择退出流程和GPC信号合规，而无需网站运营商进行自定义开发。
不遵守CPRA的处罚是什么？
自2025年1月1日起，CPRA框架下的行政罚款为[5]：
- 2,663美元每次无意违规。
- 7,988美元每次故意违规。
- 7,988美元每次违规（三倍）针对涉及16岁以下消费者个人信息的违规。
这些数字会定期根据通货膨胀进行调整。罚款是按违规次数评估的，这意味着单一不合规的数据实践影响数千消费者可能会产生数百万的总责任。CPPA有独立的权力在没有检察长转介的情况下启动执法行动[4]。
重要： CPRA取消了CCPA下大多数违规行为的30天补救期，移除了许多运营商依赖的安全网。
网站在CPRA合规中常犯的错误是什么？
根据扩展的要求，最常见的合规失败包括[3][6]：
- 忽视GPC信号： 未能检测和尊重浏览器级别的选择退出信号是CPPA明确的执法优先事项之一。
- 缺少SPI选择退出链接： 仅添加“请勿出售”链接，而没有在收集SPI时添加单独的“限制SPI使用”链接。
- 过时的供应商合同： 未更新与服务提供商的数据处理协议，以包括CPRA要求的条款。
- 没有数据保留计划： CPRA要求企业披露并遵守保留期限；许多隐私政策仍然省略这一点。
- 假设补救期仍然适用： 等待通知后再修复违规的运营商可能面临立即罚款。
- 忽视更正权： 仅建立删除工作流程而不处理更正请求。
小企业有不同的CPRA要求吗？
适用门槛从50,000消费者提高到100,000消费者直接减少了小型网站运营商的合规负担[7]。一个每年服务于少于100,000名加利福尼亚消费者的小型电子商务网站或SaaS产品，年收入低于2500万美元且没有数据销售收入，超出了CPRA的直接适用范围。
然而，小企业应注意：
- 如果它们作为受覆盖企业的服务提供商，则无论规模如何，都继承合同CPRA义务。
- 企业客户越来越期望自愿合规，这可以成为竞争差异化因素。
- 其他州已制定类似法律，联邦隐私立法在2026年仍在积极讨论中。
成为CPRA合规的成本是多少？
没有固定的合规成本，因网站数据生态系统的复杂性而异。一般成本驱动因素包括：
- 隐私政策更新： 如果内部完成成本较低；如果使用法律顾问则为500美元至3,000美元以上。
- 同意管理平台： 持续的SaaS订阅；定价因流量和功能集而异。
- 技术实施： 开发者时间用于添加选择退出链接、GPC检测和更正请求工作流程。
- 供应商合同审查： 对所有第三方处理者的数据处理协议进行法律审查。
- 风险评估： 对于高风险处理，正式评估可能需要外部顾问。
对于大多数中型网站运营商，初始合规整改的费用在几千美元的范围内，后续的政策维护和同意管理的运营成本。考虑到每次违规的罚款，不合规的成本远远超过投资。
我如何知道CPRA是否适用于我的网站访客？
CPRA的适用性基于消费者的居住地，而不是企业的位置。如果一个网站有加利福尼亚居民的访客，并且运营商满足任一业务门槛，则CPRA义务适用于从这些访客收集的数据[7][8]。
CPRA可能适用的实际指标：
- 网站接受来自美国用户的订单、注册或广告定位，而没有对加利福尼亚进行地理屏蔽。
- 企业使用第三方广告网络进行跨上下文行为广告。
- 网站从用户收集任何形式的SPI（健康问卷、财务数据、精确位置）。
在不确定的情况下，保守且法律上可辩护的立场是将所有美国网站访客视为可能受CPRA覆盖，并相应实施合规的同意流程。
强制风险评估、网络安全审计及未来发展
CPRA要求从事高风险处理的企业进行定期风险评估和网络安全审计。详细规定这些要求的法规于2025年最终确定，并于2026年生效[6]。高风险活动包括大规模处理SPI、为重大决策进行消费者画像，以及与大量第三方出售或共享数据。
此外，涵盖就业、信贷、住房和类似重大决策的自动决策透明度要求计划于2027年1月1日生效[6]。使用算法推荐引擎、信用评分工具或行为画像的网站运营商应立即开始合规规划。
结论
理解CCPA与CPRA：加利福尼亚网站运营商的变化对任何大规模服务加利福尼亚居民的企业而言都是必不可少的。CPRA引入了实质性的新义务、敏感数据类别、更正权、GPC信号合规、扩展的供应商要求以及具有实际罚款权力的专门执法机构，这些都要求采取具体的操作响应，而不仅仅是政策更新。
2026年网站运营商的可行后续步骤：
- 审核当前的数据收集实践与SPI类别列表，并在适用时添加所需的选择退出链接。
- 更新隐私政策以反映CPRA权利、数据保留时间表和扩展的“销售”定义。
- 实施GPC信号检测，这是执法优先事项，不能延迟。
- 审查并更新与服务提供商和承包商的所有数据处理协议。
- 在现有删除流程的基础上建立更正请求工作流程。
- 如果你的网站涉及高风险处理，在监管机构为你启动之前，委托进行正式风险评估。
- 评估像Biscotti CMP (www.biscotti-cmp.com)这样的同意管理解决方案，以自动化选择退出流程、GPC合规和偏好记录。
CPRA在2026年的执法轨迹使得主动合规成为唯一合理的策略。
常见问题
问：CPRA与CCPA 2.0是一样的吗？ CPRA通常被称为“CCPA 2.0”，因为它修订而不是取代CCPA。它增加了新的权利、新的执法机构和新的数据类别，同时保留了原CCPA框架。
问：CPRA的执法何时开始？ 全面执法于2023年7月1日开始。CPPA可以对该日期之后发生的违规行为处以罚款，而无需大多数违规行为的事先补救期。
问：CPRA适用于加利福尼亚以外的企业吗？ 是的。任何从加利福尼亚居民收集个人信息并满足适用门槛的营利性企业都必须遵守，无论企业总部位于何处。
问：什么是GPC信号，为什么重要？ 全球隐私控制（GPC）是一个浏览器级别的设置，表示消费者的选择退出偏好。在CPRA下，网站运营商必须检测并尊重GPC信号作为有效的选择退出请求，忽视它们是合规违规。
问：CPRA适用于员工数据吗？ 是的。从2023年1月1日起，员工和B2B数据的临时豁免到期。员工个人信息现在受到CPRA的全面保护。
问：“销售”和“共享”在CPRA下有什么区别？ 在原CCPA下，“销售”需要以货币价值进行交换。CPRA将其扩展为包括与第三方共享个人数据用于跨上下文行为广告，即使没有直接支付。
问：根据CPRA，隐私政策必须多久更新一次？ 至少每12个月更新一次。每当数据实践发生实质性变化时，也必须更新。
问：非营利组织是否免于CPRA？ 通常是的，CPRA适用于营利性企业。然而，作为受覆盖企业的服务提供商的非营利组织可能有合同合规义务。
问：如果消费者提交更正请求而企业不同意，会发生什么？ 如果企业确定信息是准确的，可以拒绝更正，但必须记录决定并告知消费者拒绝的依据。
问：CPRA下是否存在私人诉讼权？ 对于涉及某些类别个人信息的数据泄露，存在有限的私人诉讼权。大多数其他违规行为由CPPA或检察长执行，而不是通过私人诉讼。
互动CPRA合规检查器
参考文献
[1] Cpra Explained Changes From Ccpa - https://www.legalbanner.com/blog/cpra-explained-changes-from-ccpa?utm_source=openai
[2] Ccpa Vs Cpra Key Differences - https://kukie.io/blog/ccpa-vs-cpra-key-differences?utm_source=openai
[3] Ccpa Vs Cpra What Changed And How To Comply In 2026 - https://dapripro.com/ccpa-vs-cpra-what-changed-and-how-to-comply-in-2026/?utm_source=openai
[4] Cpra Vs Ccpa - https://transcend.io/blog/cpra-vs-ccpa?utm_source=openai
[5] Ccpa And Cpra Cookie Compliance What Your Website Needs - https://www.clym.io/blog/ccpa-and-cpra-cookie-compliance-what-your-website-needs?utm_source=openai
[6] What Is Ccpa - https://www.recordinglaw.com/us-laws/data-privacy-laws/california-data-privacy-laws/what-is-ccpa/?utm_source=openai
[7] Ccpa Vs Cpra Key Differences And What They Mean For Your Business - https://www.consenteo.com/knowledge-hub/CCPA/ccpa_vs_cpra_key_differences_and_what_they_mean_for_your_business?utm_source=openai
[8] Ccpa Vs Cpra - https://nordlayer.com/learn/ccpa/ccpa-vs-cpra/?utm_source=openai