美国《2018年加州消费者隐私法案》中文译本

2018年7月6日

大会第375号法案

第55章

本法案就民法典有关隐私的第三篇第四部分增加第1.81.5章（自第1798.100节始）。

【2018年6月28日由州长批准。同日呈交国务卿备案。】

立法顾问提要

AB 375，Chau。隐私：个人信息：企业。

加利福尼亚州宪法赋予一项隐私权。现行法律明确各种情境下个人信息的保密性要求，并且规定企业或者个人在其含个人信息的计算机数据遭受安全侵害时按规定披露侵害事实。

本法案授颁《2018年加州消费者隐私法案》。自2020年1月1日起，本法案将赋予消费者一项权利：要求企业披露其所收集的消费者个人信息的类别和具体要素、信息的收集来源类别，收集或出售信息的企业目的以及信息共享第三方的类别。法案要求企业披露信息及其使用目的。法案赋予消费者要求删除个人信息以及要求企业收到正当请求后依规定删除的权利。法案赋予消费者一项权利，其有权要求出售或者为商业目的披露个人信息的企业披露其收集的信息类别以及出售或者披露的信息类别和所涉第三方身份。法案要求企业提供这些信息以回应消费者的正当性请求。法案明确消费者可以要求退出个人信息的企业销售，禁止企业因为消费者行使该权利而付诸歧视措施，包括对要求退出的消费者适用不同的价格或者向其提供不同质量的产品或者服务，除非该差异与消费者数据的价值合理相关。法案授权企业为收集个人信息提供财务激励。法案禁止企业出售16岁以下消费者的个人信息，除非按规定有明确的授权，是谓“选择进入权”。法案规定接收、处理和满足消费者请求的各项要求。法案为其目的规定各种定义，基于广泛的个人和商业性特质与行为的清单及其推演元素而界定“个人信息”。法案禁止上述规定限制企业遵守联邦、州或地方法律等规范的能力。

本法案的规定由州总检察长根据相关规范负责执行，并赋予诉讼私权以应对未经授权的访问和泄露、盗窃或披露消费者未加密或未编辑个人信息等特定行为。法案规定州总检察长诉讼收益的分配方法。法案在“一般基金”中设立“消费者隐私基金”，根据立法机关确定的比例，基金中的款项将用于支持法案的目的及其执行。法案规定将罚款存入基金。法案要求州总检察长推动公众参与以通过相关法规。法案将授权企业、服务提供者或第三方获得州总检察长有关如何遵守其规定的意见。法案可以根据其规定取消消费者权利的放弃。法案可以在特定动议撤回时限制自身的效力。

加利福尼亚州人民制颁如下规范：

第一节 本法案应被公布并引作《 2018年加州消费者隐私法案》。

第二节 立法机构认可并申明：

（a）1972年，加利福尼亚选民修改了《加利福尼亚州宪法》，将隐私权纳为全体人民“不可剥夺”的权利之一。该修正案赋予每位加利福尼亚州人法定且可执行的隐私权。个人就其个人信息的使用包括销售的控制能力对于该隐私权而言具有基础性意义。

（b）由于加利福尼亚选民批准了隐私权，加利福尼亚州立法机关采取特别机制以保护加利福尼亚人的隐私，其中包括《在线隐私保护法案》、《数字世界加利福尼亚未成年人隐私权法案》以及《阳光法案》，后者旨在向加利福尼亚人指明企业处理消费者个人信息过程中的“何人、何物、何地与何时”信息。

（c）此外，加利福尼亚州是新技术和相关产业发展的全球领先者之一。然而，个人信息的激增限制了加州人相应保护和保障其隐私的能力。没有个人信息共享，几乎无法实现求职、抚养孩子、驾车或者预约等活动。

（d）随着技术和数据在消费者日常生活中的作用日益突出，消费者与企业之间共享的个人信息数量也在增加。加利福尼亚州的法律没有跟上这些发展的步伐，回应个人信息收集、使用和保护对个人隐私的影响。

（e）许多企业收集加利福尼亚消费者的个人信息。他们可能知道消费者的居住地址、孩子数量、驾驶速度、人格、睡眠习惯、生物识别与健康信息、财务信息、准确的定位信息以及社交网络，等等。

（f）个人信息无授权披露和隐私损害可能对个人造成破坏性影响，包括财务欺诈、身份盗窃、对个人时间和财务的不必要成本、财产损害、骚扰、名誉损害、情感压力甚至可能的身体伤害。

（g）2018年3月，数千万人的个人数据被名为Cambridge Analytica的数据挖掘公司滥用。一系列国会听证强调，我们的个人信息在互联网上分享时极容易被滥用。因此，我们对数据业务中隐私控制和透明度的期待已有加强。

（h）人们期许隐私和其信息的更多控制。加利福尼亚消费者应当能够就其个人信息行使控制权，并且期待防治个人信息滥用的保护措施。企业可能在尊重消费者隐私的同时，就其企业活动提供高水平的透明度。

（i）因此，立法机关的意图是通过确保以下各项权利，为消费者控制其个人信息提供有效途径，从而进一步拓展加州人的隐私权：

（1）加利福尼亚人有权知晓其正在被收集的个人信息。

（2）加利福尼亚人有权知晓其个人信息是否被出售或者披露及其流向。

（3）加利福尼亚人有权拒绝个人信息的出售。

（4）加利福尼亚人有权访问其个人信息。

（5）加利福尼亚人有权享有平等服务与价格，即使其行使隐私权。

第三节 第1.81.5章（自第1798.100节以下）增列入《民法》第三篇第四部分中，内容如下：

1.81.5 2018年加利福尼亚消费者隐私法案

1798.100（a）消费者有权要求收集消费者个人信息的企业向其披露企业收集的个人信息的类别和具体要素。

（b）收集消费者个人信息的企业应当在收集时或者收集前告知消费者所收集个人信息的类别以及个人信息的使用目的。在未向消费者提供符合本节要求的告知情况下，企业不得收集其他类别的个人信息，或者将所收集个人信息用于其他目的。

（c）企业应当仅在收到可验证消费者请求后才向消费者提供本节（a）条中规定的信息。

（d）企业从可验证消费者处收到要求访问个人信息的请求后，应立即采取措施向消费者免费披露和提供本节所要求的个人信息。个人信息的提供可通过信件或电子方式，如果以电子方式提供，信息应以便携方式提供并且在技术可行限度内采用易于使用的形式，以允许消费者无障碍地将此信息传输给其他单位。企业可以随时向消费者提供个人信息，但不应被要求在12个月期间内向消费者提供两次以上个人信息。

（e）本节不得要求企业留存为单次的、一次性交易所收集的任何个人信息，前提是这些信息不会被企业用于出售或保留，或者不会再识别或以其他方式联结到不被视为以个人信息方式保存的信息。

（1）如果信息未被企业出售或保留，则留存为单次的、一次性交易所收集的任何个人信息。

（2）再识别或以其他方式联结到在普通业务过程中不被视为以个人信息方式保存的任何数据。

1798.105。（a）消费者有权要求企业删除从该消费者处收集的个人信息。

（b）收集消费者个人信息的企业应根据第1798.130节第（a）条项下第（5）款 （A）项的要求，告知消费者要求删除其个人信息的权利。

（c）根据本节第（a）条的规定，收到消费者要求删除其个人信息的可验证请求的企业应当从其记录中删除消费者的个人信息，并指示所有服务提供者从其记录中删除该消费者的个人信息。

（d）如果企业或服务提供者有必要维护消费者个人信息的，其不应被要求遵守消费者请求删除其个人信息的规定，以便：

（1）完成收集个人信息的交易，提供消费者要求的商品或服务，或者在企业与消费者正在进行的业务关系场景中可合理地预期，或以其他方式履行企业与消费者之间的合同义务。

（2）检测安全事件，防止恶意的、欺骗的、虚假的或非法活动;或起诉那些对此活动负责的人。

（3）调试以识别和修复因损害现有预期功能而产生的错误。

（4）行使言论自由，确保其他消费者行使言论自由的权利，或行使法律规定的其他权利。

（5）遵守《刑法》第2部分第12标题项下第3.6章（从第1546节开始）《加州电子通信隐私法》。

（6）参与公开的或有同行评审的科学、历史或统计研究符合所有适用的道德和隐私法律的公共利益，如果企业删除信息可能导致研究成果难以实现或遭到严重损害的（消费者已提供了知情同意）。

（7）仅仅用于企业内部，该使用是根据消费者与企业的关系，使消费者拥有该等合理期待。

（8）遵守法定义务。

（9）在内部以其他合法方式使用消费者的个人信息，该方式与消费者提供其信息的场景相匹配。

1798.110（a）消费者有权要求收集消费者个人信息的企业向消费者披露以下信息：

（1）该企业收集的关于该消费者个人信息的类别。

（2）收集个人信息的来源类别。

（3）收集或出售个人信息的企业或商业目的。

（4）与企业共享个人信息的第三方类别。

（5）收集的有关该消费者的具体个人信息。

（b）收集消费者个人信息的企业，在收到消费者的可核实请求后，应根据第1798.130节第（a）条第（3）款向消费者披露第（a）条中规定的信息。

（c）收集消费者个人信息的企业应根据第1798.130条第（a）款第（5）款第（B）项披露：

（1）该企业收集的关于该消费者个人信息的类别。

（2）收集个人信息的来源类别。

（3）收集或出售个人信息的企业或商业目的。

（4）与企业共享个人信息的第三方类别。

（5）企业收集的关于该消费者的具体个人信息内容。

（d）本节不要求企业做以下事情：

（1）如果在正常业务过程中不保留有关消费者的信息，则保留为单次的一次性交易而收集的任何有关消费者的个人信息。

（2）重新识别或以其他方式连结在日常业务过程中不会被视为个人信息方式维护的任何数据。

1798.115（a）消费者有权要求出售消费者个人信息或因商业目而披露消费者个人信息的企业向该消费者披露：

（1）该企业收集的有关该消费者的个人信息类别。

（2）通过对某一类或者某几类个人信息出售给任一第三方，企业出售的消费者个人信息类别以及买售消费者个人信息的第三方类别。

（3）企业为商业目的而披露的个人信息类别。

（b）出售消费者个人信息或出于商业目的披露消费者个人信息的企业，在收到消费者的可核实请求后，应根据第1798.130节第（a）条第（4）款向消费者披露第（a）条中规定的信息。

（c）出售消费者个人信息或为商业目的披露消费者个人信息的企业，应根据第1798.130节第（a）条第（5）款第（C）项向消费者披露：

（1）其出售的消费者个人信息的类别，或者企业未曾出售消费者的个人信息，则应披露该事实。

（2）其为商业目的披露的消费者个人信息的类别，或者企业尚未因商业目的披露消费者的个人信息，则应披露该事实。

（d）除非消费者已收到明确通知并且有机会根据第1798.120节行使退出选择权，否则第三方不得再出售从前手处购买的消费者个人信息。

1798.120（a）消费者有权在任何时候指示一个欲将消费者个人信息出售给第三方的企业不得出售该消费者的个人信息。这项权利可以被称为“选择退出”权。

（b）向第三方出售消费者个人信息的企业应根据第1798.135节第（a）条的规定向消费者发出通知，告知消费者该信息可能会被出售并且消费者有权选择不出售他们的个人信息。

（c）如果一家企业从消费者那里收到指示不得出售其个人信息，或者出售小部分消费者的个人信息没有得到该部分消费者同意的情况下，根据第1798.135节第（a）条第4款的规定，出售这部分消费者信息的行为应该被禁止，直到收到消费者指示后方可进行，除非消费者随后明确授权可出售其个人信息。

（d）尽管有第（a）条规定，如果企业实际明知消费者年龄小于16岁，企业不应出售该消费者的个人信息，除非消费者的年龄是在13至16岁之间，或父母或监护人已明确授权企业可以出售年龄小于13岁的消费者个人信息。企业任何故意忽视消费者年龄的行为应被视为其已明确知晓该消费者年龄。这一权利可以被称为“选择加入”权。

1798.125（a）（1）企业不得因为消费者行使本标题下任何消费者的权利而歧视消费者，包括但不限于：

（A）拒绝向消费者提供者品或服务。

（B）对商品或服务收取不同的价格或费率，包括通过给予不同的折扣、其他福利或处罚。

（C）如果消费者行使本标题项下消费者的权利，向消费者提供不同等级或质量的商品或服务。

（D）提示消费者将获得不同价格或费率的商品或服务，或者将向消费者提供不同水平或质量的商品或服务。

（2）如果企业通过消费者的数据向消费者提供的商品或者服务，其价格是有差异的但差异是合理的情况下，本款并不禁止企业向消费者收取不同的价格或费率，或向消费者提供不同级别或质量的商品或服务。

（b）（1）企业可以为个人信息的收集、出售或者删除提供财务激励，包括向消费者支付赔偿金。企业还可以以不同的价格、费率、水平或质量向消费者提供者品或服务，如果价格或差异与消费者通过提供其数据而产生的价值直接相关。

（2）企业应根据第1798.135节的规定通知消费者第（a）条中的规定以提供任何财务激励。

（3）只有当消费者根据第1798.135节（该节明确规定了财务激励计划的实质性条款并可以由消费者随时撤销）在事先选择同意的情况下，企业才可以将消费者纳入财务激励计划中。

（4）企业不得采用任何不正当、不合理、强制或有高利贷性质的财务激励措施。

1798.130（a）为了遵守第1798.100、1798.105、1798.110、1798.115和1798.125节的规定，企业应该以一种消费者可以合理访问的形式：

（1）向消费者提供两种或更多种指定方法，用于提交根据第1798.110和1798.115节的要求来披露信息的请求，包括，至少有一个可以免费拨打的电话号码，以及如果该企业有维护互联网网站的，那么应有一个它的网站地址。

（2）在收到消费者的请求且经核实后45天内向消费者免费披露并向其提供所需信息。企业应立即采取措施确定该请求是否可经验证，但这不因此延长企业在收到消费者请求后的45天内披露和提供信息的义务。只有在合理必要的情况下，企业提供消费者所需信息的时间段可再延长45天，但前提是在第一个45天期限内企业向消费者发出了延期通知。披露应涵盖企业收到经核实的请求之前的12个月，并应以书面形式提交，如果消费者持有该企业的用户账户，则应通过消费者的用户账户来交付，如果消费者未开设该企业的用户账户的，则通过邮件或其他消费者自行选择的电子方式来交付，但无论如何都应有一种便捷有效的方式允许消费者在不受阻碍的情况下将这些信息从一个实体传输到另一个实体。企业不应以提出需经核实请求为由，要求消费者创建该企业的用户账户。

（3）第1798.110节第（b）条的目的：

（A）将消费者在其经核实的请求中提供的信息与企业先前收集的有关消费者的任何个人信息相结合，识别消费者。

（B）通过参考第（c）条（最详细描述收集个人信息的条款）中列举的某一类或多个类别，识别过去12个月内收集的与消费者相关的个人信息。

（4）第1798.115节第（b）条的目的：

（A）将消费者在其经核实的请求中提供的信息与企业先前收集的关于消费者的任何个人信息相结合，识别消费者。

（B）通过参考第（c）条（最详细描述个人信息的条款）中列举的某一类或多个类别，识别企业在过去12个月内出售的消费者的个人信息，并通过参考第（c）条（最详细描述出售个人信息的条款）中列举的某一类或多个类别，提供企业在过去12个月内将消费者的个人信息出售给第三方的类别。企业应将所披露的信息生成一个清单，该清单与因第（C）款之目的而生成的清单不同。

（C）通过参考第（c）条（最详细描述个人信息的条款）中所列举的某一类或多个类别，识别企业在过去12个月内为商业目的而披露的消费者个人信息，并通过参考第（c）条（最详细描述披露个人信息的条款）中列举的某一类或多个类别，提供企业在过去12个月内为商业目的而将消费者个人信息披露给第三方的类别。企业应将所披露的信息生成一个清单，该清单与因第（B）款之目的而生成的清单不同。

（5）如果企业有在线隐私政策的，则企业应当在其隐私政策中或者任何关于加利福尼亚州消费者隐私权的具体描述中披露以下信息；或者倘若企业对其网站上的这些政策不做维护的情况下，至少每12个月需要更新一次信息：

（A）根据第1798.110、1798.115和1798.125节的规定，应对消费者的相关权利和指定一个或多个提交请求的方法进行描述。

（B）根据第1798.110节第（c）条的目的，通过参考第（c）条（最详细描述收集个人信息的条款）中列举的某一类或多个类别，列出企业在过去12个月内收集有关消费者个人信息的类别清单。

（C）根据第1798.115节第（c）条第（1）和（2）款的目的，列出两个单独的清单：

（i）通过参考第（c）条（最详细描述出售个人信息的条款）中列举的某一类或多个类别，制作企业在过去12个月内所出售的消费者个人信息的类别清单，或者如果该企业在过去12个月内尚未出售消费者个人信息的，企业亦应披露该事实。

（ii）通过参考第（c）条（最详细描述批露个人信息的条款）中列举的类别，制作企业在过去12个月中出于商业目的而披露的有关消费者个人信息的类别清单，或者如果企业在过去12个月内未出于商业目的而披露消费者个人信息的，则企业亦应披露该事实。

（6）确保所有负责处理消费者有关企业隐私实践或企业在本标题项下合规做法之问询的个人均已经知道第1798.110、1798.115、1798.125节和本节中的所有要求，以及知道如何引导消费者行使其在这些条款下的权利。

（7）仅为了核实的目的，需要验证消费者的请求，而使用从消费者处收集的任何个人信息。

（b）企业没有义务在12个月内向同一消费者提供两次以上根据第1798.110和1798.115节所要求的信息。

（c）根据第1798.110和1798.115条要求而披露的个人信息类别应遵循第1798.140节中个人信息的定义。

1798.135（a）需要遵守第1798.120节规定的企业，应采取消费者可合理获取的形式：

（1）在其互联网主页上提供一个清晰且明显的，命名为“不得出售我的个人信息”的链接，使消费者或经消费者授权的人可以选择不出售消费者的个人信息。企业不应为了指示不出售消费者的个人信息而要求消费者创建用户账户。

（2）根据第1798.120节的规定，制作关于消费者权利的描述，同时在如下界面中有一个单独的“不得出售我的个人信息”的链接：

（A）如果企业拥有在线隐私政策的话，则在线隐私政策中要有链接。

（B）在任何加利福尼亚州对消费者隐私权的具体描述中要有链接。

（3）确保所有负责处理消费者有关企业隐私实践或本企业在本标题项下合规做法之问询的个人均已经知道第1798.120节和本节中所有要求，以及知道如何引导消费者行使其在这些条款下的权利。

（4）对于选择行使不出售其个人信息权利的消费者，该企业不得出售收集的关于该消费者的个人信息。

（5）对于已经选择不出售个人信息的消费者，企业需尊重消费者选择退出的决定，至少在其选择后的12个月内不得再要求消费者授权出售其个人信息。

（6）仅为遵守退出要求的目的，使用与消费者发送退出请求相关的从消费者处收集的任何个人信息。

（b）如果企业维护着一个独立且额外的网页来专用于加州消费者并且含有被要求的链接和文本，并且企业采取合理的措施确保加州消费者会被引导至这一为加州消费者单独设置的主页（而不是面向一般公众的主页），则本标题中的任何内容均不得解释为要求企业在面向一般公众的企业主页上插入所要求的链接和文字来遵守本标题。

（c）根据州总检察长通过的规定，消费者可授权别人代表消费者不出售消费者的个人信息，并且企业应遵守该消费者的授权代表以消费者的名义发出的退出请求。

1798.140这个标题的目的是：

（a）“总和消费者信息”是指涉及个体消费者身份被删除的且无法（包括使用设备在内）与任何消费者或其家庭进行连结或合理关联的消费者群体或类别的信息。 “总和消费者信息”并不意味着一个或多个已被去标识化的个体消费者记录。

（b）”生物信息” 是指个人的生理、生物或行为特征，包括个人的脱氧核糖核酸（DNA），这些可以单独或组合使用或与其他识别数据一起使用，以建立个人身份。生物特征信息包括但不限于虹膜、视网膜、指纹、脸部、手掌、静脉图案和语音记录的图像，从其识别模板（例如面部印记、细节模板或声纹）可以被提取，以及包含识别信息的点击模式或节奏、步态模式或节奏以及睡眠、健康或运动数据。

（c）“企业”是指：

（1）为股东或其他所有人的利润或经济利益而组织或经营的独资企业、合伙企业、有限责任公司、公司、协会或其他法律实体。这些实体收集消费者的个人信息或代表其收集了这些信息，并且单独或与他人共同确定处理消费者个人信息的目的和方法，这些实体在加利福尼亚州从事经营活动并且满足以下一个或多个阈值：

（A）根据第1798.185节第（a）条第（5）款的规定调整后，年度总收入超过2500万美元。

（B）为了商业目的，每年单独或组合购买、收取、出售或共享50,000人甚至更多的消费者、家庭或设备的个人信息。

（C）通过销售消费者的个人信息获得其年收入的50％甚至更多。

（2）任何如第（1）款所定义的，控制或受企业控制的和与企业共享共同品牌的任何实体。“控制”或“被控制”是指对企业任何一类有投票权的股票中已发行股票有超过50％的所有权或投票权;以任何方式控制大多数董事的选举或行使类似职能的个人;或者有对公司管理层施加影响力的权力。 “共同品牌”是指共享名称，服务标记或商标。

（d）“商业目的”是指为商业或服务提供者的经营目的或其他通知目的使用个人信息，前提是个人信息的使用应是合理必要且成比例的，以实现个人信息被收集或处理，或用于与收集个人信息的情境得以兼容的另一个经营目的。商业目的是指：

（1）与当前企业与消费者的交互和同步交易相关的审核，包括但不限于计算针对独立访客的广告展示次数，核验广告展示的定位和质量以及审查是否遵守了本规范和其他标准。

（2）检测安全事件，防止恶意的、欺骗的、虚假的或非法活动，并对那些违法活动的负责人进行起诉。

（3）调试以识别和修复因损害现有预期功能而产生的错误。

（4）短期的、短暂的使用，前提是未透露给其他第三方，或未对消费者进行“画像”，也未改变除当前交互之外个体消费者的体验，包括但不限于在同一交互页面上根据界面内容显示场景化定制广告。

（5）代表业务或服务提供者提供服务，包括维护或服务账户、提供客户服务、处理或履行订单和交易、验证客户信息、处理付款、提供融资、提供广告或营销服务、提供分析服务或者代表商业或服务提供者提供类似的服务。

（6）开展技术开发和示范的内部研究。

（7）开展活动以验证或维持由企业拥有、制造、生产或控制的服务或设备的质量或安全，并改进、升级或增强由该企业拥有、制造、生产或控制的服务或设备。

（e）“收集”、“被收集”或“收集的信息”是指以任何方式购买、出租、收集、获取、接收或访问与消费者有关的任何个人信息。这包括主动或被动地以及通过监测消费者的行为来接收来自消费者的信息。

（f）“商业目的”是指促进某人的商业或经济利益，例如诱使他人购买、出租、租赁、加入、订阅、提供或交换产品、货物、财产、信息或服务，或者直接或间接地达成或实现商业交易。 “商业目的”不包括参与被州或联邦法院认定为非商业言论的目的，包括政治言论和新闻。

（g）“消费者”系指加利福尼亚州居民的自然人，如加利福尼亚州法规第18篇第17014部分所定义的那样，该部分在2017年9月1日阅读，但包括任何独特的标识符。

（h）“去标识”系指不能合理识别、涉及、描述、能够直接或间接与某一特定消费者相关联的信息，但前提是使用了已识别信息的企业：

（1）已实施了技术保障措施，禁止重新识别信息所属的消费者。

（2）已实施了明确禁止重新识别信息的业务流程。

（3）已实施业务流程以防止无意中发布已识别的信息。

（4）不尝试重新识别信息。

（i）“提交请求的指定方法”系指邮寄地址、电子邮件地址、因特网网页、因特网门户网站、免费电话号码或其他适用的联系信息，消费者从而可提交本标题项下的请求或指示，以及根据第1798.185节由总检察长批准的任何消费者友好型的联系企业的方式。

（j）“设备”系指能够直接或间接连接到互联网或其他设备的任何物理客体。

（k）“健康保险信息”系指消费者的保险单号码或用户识别号码，健康保险公司用于识别消费者的任何唯一标识符，或消费者申请和索赔历史中的任何信息，包括任何上诉记录，只要企业或服务提供者通过该等信息已连结或可合理地连结（包括通过设备）到消费者或家庭。

（l）“主页”系指收集个人信息的互联网网站和任何互联网网页的介绍性页面。对于在线服务（如移动应用程序），主页指应用程序的平台页面或下载页面、应用程序中的链接，例如应用程序配置、“关于”、“信息”或设置页面以及允许消费者在下载应用程序之前查看第1798.145条第（a）条所要求之通知的任何其他位置，包括但不限于下载应用之前。

（m）“推断”或“推论”系指，从事实、证据或其他信息或数据来源推导出信息、数据、假设或结论。

（n）“人”系指个人、私有企业、公司、合伙、合资企业、辛迪加、商业信托，公司、集团公司、有限责任公司、协会、委员会以及任何其他一致行动的组织或团体。

（o）（1）“个人信息”系指直接或间接地识别、关系到、描述、能够相关联或可合理地连结到特定消费者或家庭的信息，包括但不限于以下内容：

（A）诸如真实姓名、别名、邮政地址、唯一的个人标识符、在线标识符、互联网协议地址、电子邮件地址、帐户名称、社会安全号码、驾驶证号码、护照号码的标识符或其他类似标识符。

（B）第1798.80节（e）条中描述的任何类别的个人信息。

（C）加州或联邦法律下受保护的分类的特征。

（D）商业信息，包括购买、获得或考虑过的个人财产，产品或服务的记录，或其他采购或消费的历史或倾向。

（E）生物信息。

（F）因特网或其他电子网络活动信息，包括但不限于浏览历史、搜索历史和关于消费者与因特网网站、应用程序或广告交互的信息。

（G）地理位置数据。

（H）音频、电子、视觉、热量、嗅觉或类似信息。

（I）专业或就业相关信息。

（J）教育信息界定为“家庭教育权利和隐私法案”（20 U.S.C. 1232g，34 C.F.R.第99部分）中所定义的非公开的个人可识别信息。

（K）从本条中已识别的任何信息中得出的推论，以创建反映消费者偏好、特征、心理倾向、偏好、倾向、行为、态度、智力、能力和资质的画像。

（2）“个人信息”不包含公开可得信息。出于这些目的，“公开可得”系指从联邦、州或地方政府记录中可合法获取到的信息，如果符合与此类信息相关的任何条件。 “公开可用”并不意味着企业在没有消费者的知识的情况下收集的关于消费者的生物信息。如果这些数据的用途与政府记录中公布的或其公开维护的数据的目的不相符，则信息并非“公开可用”。 “公开可用”不包括去标识化的消费者信息或综合消费者信息。

（p）“概率标识”系指对消费者或设备的识别能达到一定的确定性，这种识别更可能不是基于个人信息定义所列举的类别中包含的或与之类似的任何类别的个人信息。

（q）“处理”系指对个人数据或个人数据集进行的任何操作或一组操作，无论是否通过自动化手段。

（r）“假名”或“假名”系指处理个人信息的一种方式，在这种方式中如果不使用附加信息则不能把个人信息归于特定消费者，前提是附加信息单独保存并受技术和组织措施，以确保个人信息不归于已识别或可识别的消费者。

（s）“研究”系指科学的、系统的研究和观察，包括符合公共利益的基础研究或应用研究，并遵守所有其他适用的道德和隐私法律或为公共卫生领域公共利益开展的研究。在消费者与商业服务或设备进行其他目的的互动过程中，为其他目的而可能从消费者处收集个人信息的研究应为：

（1）与收集个人信息的商业目的相符。

（2）随后被假名化和去标识化，或者被识别并且总体上使得信息不能直合理识别出、关系到、描述、能够相关联或直接或间接地连结到特定消费者。

（3）制定技术保护措施，禁止重新识别信息所涉及的消费者。

（4）受到明确禁止重新识别信息的业务流程的约束。

（5）根据业务流程制定，以防止无意地发布了去标识化的信息。

（6）防止重新识别的意图。

（7）仅用于与收集个人信息的场景相兼容的研究目的。

（8）不得用于任何商业目的。

（9）由进行研究的企业采取额外的安全控制，将研究数据的访问权限仅限于业务中进行研究目的所需的个人。

（t）（1）“销售”，“销售”，“出售”或“被出售”系指以一个企业以口头、书面或电子形式者其他方式来出售、出租、发布、披露、传播、提供、转让消费者的个人信息给另一企业或第三方，以获得金钱或其他有价值的对价。

（2）就本标题而言，企业在下列情况下并不出售个人信息：

（A）消费者使用或指导企业有意披露个人信息或使用企业有意与第三方交互，前提是第三方也不出售个人信息，除非披露信息符合本规定标题。有意的交互发生在消费者打算通过一个或多个故意的交互与第三方进行互动时。悬停、静音、暂停或关闭某段内容不构成消费者与第三方交互的意图。

（B）对于已选择退出销售其个人信息的消费者，企业使用或共享了消费者的标识符，目的是为了提醒第三方这一消费者已选择退出销售个人信息。

（C）如果满足以下两个条件，业务使用或与服务提供者共享用于执行业务目的所需的消费者个人信息：服务提供者代表业务执行的服务，前提是服务提供者也不会出售个人信息。

（i）在符合第1798.135节规定的企业条款和条件中，企业已告知了信息会被使用或共享。

（ii）服务提供者不会进一步收集、出售或使用消费者的个人信息，除非为履行商业目的之必要。

（D）业务将个人信息作为合并、收购、破产或其他交易的一部分的资产向第三方转让，在此交易中第三方取得对该信息的全部或部分控制权，前提是信息的使用或共享与第1798.110和1798.115节的规定一致。如果第三方实质上改变其使用或分享消费者的个人信息的方式，与收集时所作承诺存在实质性不一致，则第三方应向消费者提前通知新的或改变的做法。通知应足够突出和健全，以确保现有消费者可以轻松地按照第1798.120节的要求作出他们的选择。本小段没有授权企业以违反“不公平和欺诈行为法”（第5章（从17200开始）第7部分“商业和专业守则”第2部分）的方式对其隐私政策进行重大的、追溯性修改或其他修改。

（u）“服务”或“服务”系指工作、劳动和服务，包括与销售或修理商品有关而提供的服务。

（v）“服务提供者”系指为其股东或其他所有权人的利润或经济利益而组织或经营的独资、合伙、有限责任公司、公司、协会或其他法律实体，这一实体代表企业处理个人信息并且企业根据书面合同向这一实体披露消费者个人信息，但前提是，该合同禁止接收信息的实体保留、使用或披露个人信息以用于任何目的，除非为了履行业务合同规定的服务或本标题所允许的其他目的，包括保留、使用或披露个人信息用于提供业务合同规定的服务之外的商业目的。

（w）“第三方”是指非以下任何一方的人：

（1）根据此标题收集消费者的个人信息的企业。

（2）根据书面合同，企业为了商业目的而披露消费者个人信息的人，前提是该合同：

（A）禁止接收个人信息的人：

（i）出售个人信息。

（ii）为了履行合同规定之服务外的其他特定目的而保留、使用或披露个人信息，包括为了提供合同规定的服务之外的商业目的而保留、使用或披露个人信息。

（iii）保留、使用或披露某人与企业之间直接业务关系之外的信息。

（B）包括接收个人信息的人所做的证明，证明该人理解（A）项中的限制并且将遵守这些限制。

第（2）款涵盖的人违反本标题中规定的任何限制的，均应对该等违反承担责任。如果是收到个人信息的人违反本标题中规定的限制而使用信息，则依照第（2）款向第（2）款涵盖的人披露个人信息的企业不应承担责任，条件是在披露个人信息时，该企业没有真实的知识或理由相信该人有意于实施此类违反行为。

（x）“唯一标识符”或“唯一个人标识符”系指持久性标识符，该标识符可用于识别消费者、家庭或者随时间推移并跨越不同服务而连结到消费者或家庭的设备，包括但不限于设备标识符；互联网协议地址；cookies、beacons，像素标签，移动广告标识符或类似技术；客户号码，唯一假名或用户别名；电话号码或可用于识别特定消费者或设备的其他形式的持久或概率标识符。就本条而言，“家庭”系指监护人父母或监护人以及受父母或监护人监护的任何未成年儿童。

（y）“可核实的消费者要求”系指由如下主体提出的请求：消费者、消费者代表其未成年子女，或自然人或在州政府秘书长处注册并经消费者授权采取行动的人，以及企业可以根据总检察长依第1798.185节（a）条第（7）款的规定合理地核实该企业收集其个人信息的消费者。如果企业无法，根据本条或总检察长依第1798.185节（a）条第（7）款采用的规定，核实提出请求的消费者是企业收集其信息的消费者或者是消费者授权代表该消费者行事的人，则企业没有义务根据第1798.110和1798.115节向消费者提供信息。

1798.145（a）本标题下对企业施加的义务不应限制企业的如下能力：

（1）遵守联邦、州或地方法律。

（2）遵守联邦、州或地方当局的民事、刑事或监管调查、调查、传票或传票。

（3）对于可合理且真诚地认企业、服务提供者或第三方可能违反联邦、州或地方法律的行为或活动，与执法机构合作。

（4）行使或抗辩法律主张。

（5）收集、使用、保留、出售或披露已去标识化的或综合消费者信息中的消费者信息。

（6）如果商业行为的各个方面完全在加利福尼亚境外发生，则企业收集或出售消费者的个人信息。就本标题而言，如果商家在加利福尼亚境外收集消费者的信息，加利福尼亚境内没有销售消费者个人信息的任何部分，且当消费者在加利福尼亚时已收集的其个人信息没有被销售，则该商业行为完全在加利福尼亚境外发生。当消费者在加利福尼亚州时，本款不允许企业存储（包括在设备上）关于消费者的个人信息，也不允许企业当消费者和存储的个人信息在加利福尼亚州以外时收集该个人信息。

（b）第1798.110至1798.135节（包括第1798.135节）对企业施加的义务不适用于企业违反加利福尼亚州法律规定的证据特权，且不得阻止企业将消费者个人信息，作为特权通信的一部分，提供给加利福尼亚州法律下享有证据特权的人。

（c）本法不适用于受到如下管辖的涵盖实体所收集的受保护的或健康信息：“医疗信息保密法”（第2.6部分（从第1部分第56节开始），根据1996年健康保险流通性与可用性法案建立的联邦卫生和公众服务部颁布的隐私、安全和泄露通知规则，联邦法典第45标题下第160和164部分。为了本条的目的，应适用第56.05节中的“医疗信息”，并适用联邦隐私规则中“受保护的健康信息”和“涵盖实体”的定义。

（d）如果该信息要报告或用于生成联邦法典第15标题下第1681a节（d）条定义的消费者报告以及该信息的使用受到联邦公平信用报告法（15 USC Sec.1681 et seq.）的限制，则本标题不适用于向消费者报告机构出售或从消费者报告机构购买个人信息的情况。

（e）根据联邦Gramm-Leach-Bliley法案（公法106-102）及实施规则来收集、处理、销售或披露个人信息，如与本标题相抵触的，则不适用本标题。

（f）根据1994年驾驶员隐私保护法（18U.S.C.Sec。2721 et seq）来收集、处理、出售或披露个人信息，如与本标题相抵触的，则不适用本标题。

（g）尽管企业有义务根据本标题对消费者权利要求作出回应和承认：

（1）企业响应任何经过验证的消费者请求的时间段，可以在必要时考虑到请求的复杂性和数量，延长至最多90天。企业应在收到请求后的45天内将任何此类延期以及延期原因通知消费者。

（2）如果企业未根据消费者的要求采取行动，企业应立即通知消费者，并且最迟在本节允许回应的时间内通知消费者企业未采取行动的理由和消费者享有的对企业之决定提出诉求的权利。

（3）如果消费者的要求显然没有根据或过度，特别是由于要求的其重复性，企业考虑到提供信息或沟通或采取所要求的行动之行政成本，可以收取合理的费用，或者拒绝根据请求采取行动，并通知消费者拒绝请求的理由。企业应承担证明任何经核实的消费者要求明显没有根据或过度的责任。

（h）如果收到个人信息的服务提供者违反了标题中规定的限制，向服务提供者披露个人信息的企业不应承担责任，前提是在披露个人信息时企业没有实际知识或者没有理由相信，服务提供者意图采取这种违反的行为。服务提供者同样不需要对接受其服务的企业承担本标题规定的该企业的义务。

（i）本标题不得被解释为要求企业重新识别或以其他方式连结到未被认为是个人信息的信息。

（j）本标题下赋予消费者的权利和施加于企业的义务不应对其他消费者的权利和自由产生不利影响。

1798.150（a）（1）任何消费者如其在第1798.81.5节（d）条（1）款（A）项下所定义的未加密或未经处理的个人信息，由于企业违反义务而未实施和维护合理安全程序以及采取与信息性质相符的做法来保护个人信息，从而遭受了未经授权的访问和泄露、盗窃或披露，则消费者可因以下任何一项而提起民事诉讼：

（A）为每个消费者每次事件赔偿不少于一百美元（100美元）且不超过七百五十美元（750美元）的损害赔偿金或实际损害赔偿金，以数额较大者为准。

（B）禁止令或宣告性法律救济。

（C）法院认为适当的任何其他救济。

（2）在评估法定损害赔偿金额时，法院应考虑案件任何一方提出的任何一种或多种相关情况，包括但不限于不当行为的性质和严重性、违法行为数量，持续存在的不当行为，发生不当行为的时间长短，被告的不当行为的故意以及被告的资产、负债和净值。（b）如果满足以下所有要求，消费者可以根据本节采取的行动：

（1）在基于个人或全类别的法定损害发起针对企业的任何诉讼之前，消费者应提前30天提供书面通知，标名消费者声称企业已经或正在违反本标题之具体规定。在可以改正的情形下，如果在30天内企业实际上改正了被通知到的违规行为，并向消费者提供明确的书面声明，表明违规行为已经改正，并且不会再发生违规行为，则不会发生基于个人或全类别的法定损害赔偿诉讼。在个人消费者仅为因企业涉嫌违反本标题而针对其遭受的实际金钱损失而提起诉讼之前，不需要发出通知。如果企业违背本条规定的向消费者提供的明确书面声明而继续违反本条款的规定，消费者可以针对企业发起诉讼以执行该书面声明，并且可以追究违反明确书面声明的每一项法定损害赔偿金，以及任何其他违反本标题规定而延误书面声明的法定损害赔偿金。

（2）发起（c）条第（1）款界定之诉讼的消费者应在提起诉讼的30天内通知总检察长。

（3）总检察长在收到通知后应在30天内采取下列其中一项：

（A）通知消费者提起总检察长意图起诉违法行为之行动。如果总检察长在六个月内没有起诉，消费者可以采取行动。

（B）避免在30天内提起诉讼，并允许消费者继续采取诉讼。

（C）通知消费者提起消费者不应该继续诉讼的行动。

（D）本法中的任何内容均不得解释为任何其他法律规定的私人诉讼权利的依据。这不应被解释为免除任何一方根据其他法律或美国或加利福尼亚州宪法规定的责任或义务。

1798.155 任何企业或第三方均可就如何遵守本标题的规定以寻求总检察长的意见。

（a）如果企业在收到涉嫌违规的通知后30天内未能纠正涉嫌违规的行为，则该企业应违反了本标题的规定。任何企业、服务提供者或其他违反本标题的人应按照“商业和职业规范”第17206节的规定，在加州人民以总检察长名义提起的民事诉讼中承担民事处罚责任。本节规定的民事处罚应由检察总长以加州人民名义提起的民事诉讼进行专门评估和追讨。

（b）尽管有“商业和职业规范”第17206节的规定，任何故意违反本标题的个人，企业或服务提供者，每次违规行为可能要承担高达七千五百美元（7,500美元）的民事罚款。

（c）尽管有“商业和职业法”第17206节，但根据第17206节对违反本标题的行为进行的民事处罚，以及根据（a）条提起诉讼的达成任何和解的收益，应分配如下：

（1）百分之二十给予根据第1798.109节（a）条在普通基金内设立的消费者隐私基金，旨在完全抵销州法院和总检察长因此而支付的任何成本。

（2）百分之八十给予代表提起产生民事赔偿的之诉讼的司法管辖区。

（d）立法机关的意图是，第（c）条中规定的百分比应根据需要进行调整，以确保对违反本标题的民事处罚评估金额能够全额抵消州法院和总检察长产生的与本标题有关的成本，包括足够的金额以弥补上一个财政年度的任何赤字。

1798.160 （a）兹在州财政的普通基金内设立一个称为“消费者隐私基金”的特别基金，并可在立法机关拨款后用于抵消州法院就执行本标题所采取行动而产生的任何成本以及总检察长执行本标题项下职责所产生的任何成本。

（b）转移到消费者隐私基金的资金应专门用于抵消州法院和总检察长就本标题产生的任何成本。这些资金不应由立法机构拨款或转移用于任何其他目的，除非州财务总监确定资金超过了完全抵消州法院和总检察长承担的成本所需之资金，在这种情况下，立法机关可以将超额资金用于其他目的。

1798.175 此标题旨在进一步增强作为宪法性权利的隐私权，并补充有关消费者个人信息的现行法律，包括但不限于商业和专业法典第8部分第22章（从第22575节开始）和标题1.81（从1798.80节开始）。本标题的条款不限于以电子方式或通过互联网收集的信息，而是适用于企业从消费者处收集及企业出售的所有个人信息。只要有可能，与消费者个人信息有关的法律均应该被解释为与本标题下条款保持一致，但是如果其他法律与本标题下条款发生冲突，那么法律中最能够保护消费者隐私权的条款应当有控制权。

1798.180本标题属于全州范围内的问题，以接替和取代市、县、市和县、市政或地方机构就企业收集和销售消费者个人信息所采用的所有规则、法规、法案，法令和其他法律。

1798.185（a）2020年1月1日或之前，总检察长应广泛征求公众的参与，以通过法规来推进实现本标题的目的，其中包括但不限于以下方面：

（1）根据需要更新第1798.130节（c）条和第1798.140节（o）条列举的个人信息的其他类别，以解决技术、数据收集实践、实施障碍和隐私问题的变化。

（2）根据需要来更新唯一标识符的定义，以解决技术、数据收集实践、实施障碍和隐私问题的变化，以及更新消费者提交请求的额外方法，以增强消费者根据第1798.130节的规定获得企业信息的能力。

（3）在本标题通过后一年内以及此后根据需要，依据州或联邦法律制定任何必要的例外规定，包括但不限于有关商业秘密和知识产权的例外规定。

（4）在本标题通过后一年内以及此后根据需要，制定以下规则和程序：

（A）促进和管理消费者根据第1798.145节（a）条（1）款的规定提出停止销售个人信息的请求。

（B）管理企业采取符合消费者之选择退出请求的合规做法。

（C）所有企业开发和使用可识别的和统一的选择退出标志或按钮，以促进消费者意识到有机会选择退出个人信息销售。

（5）在每一奇数年的一月调整第1798.106节（b）条（1）款（A）项中的金额门槛，以反映消费物价指数的任何提升。

（6）设立规则、程序和任何必要的例外，以确保企业按照本标题要求应提供的通知和信息能以普通消费者容易理解的方式提供，且残疾消费者也可以获得，以及主要采用与消费者互动的语言提供，包括在本标题通过后一年内以及此后根据需要来建立有关提供财政激励的规则和指南。

（7）建立规则和程序以促进实现第1798.110节和1798.115节的目的，增强消费者或消费者的授权代理人根据第1798.130节获取信息的能力，目的是最大限度地减少消费者的行政负担，同时考虑可用的技术、安全问题和企业负担，并管理企业如何决定消费者收到的信息请求是可核实的请求，包括处理通过消费者维护的密码保护帐户提交的请求而消费者登录账户即作为可核实的请求，以及在本标题通过后一年内以及此后根据需要为未维持账户的消费者提供一种机制，以通过企业对消费者身份的认证来处理请求信息。

（b）总检察长可以根据需要采取额外的规定来进一步实现本标题的目的。

1798.190如果一系列步骤或交易是单一交易的组成部分，意图从一开始就避免触及本标题，包括企业向第三方披露信息以避免被定义为出售信息，法院应为实现本标题之目的而忽略中间步骤或交易。

1798.192旨在以任何方式放弃或限制消费者在本标题下之权利的合同或协议的任何规定，包括但不限于获得救济或强制执行的权利，均应被视为违反公共政策并且无效和不得执行。本节不应阻止消费者拒绝向企业索取信息，拒绝选择退出同意企业销售其个人信息，或在先前不再同意后又授权企业出售其个人信息。

1798.194本标题应被自由地解释为践行其目的。

1798.196如果允许，本标题旨在补充联邦和州法律，但如果此类申请被先占或与联邦法律或加州宪法发生冲突时则不适用。

1798.198（a）在（b）分节规定的限制下，本标题应于2020年1月1日生效。

（b）只有根据“选举法”第9604节的规定，“2018消费者隐私权法案”第17-0039号主动措施退出投票的情况下，本法案才能生效。

第4节．（a）本法案的规定是可以分割的。如果本法案的任何条款或其申请被认定无效，则该等无效将不会影响在没有该无效条款或申请的情况下仍可生效的其他条款或申请。

译者：

吴沈括 北京师范大学刑科院暨法学院副教授、中国互联网协会研究中心秘书长

孟 洁 出门问问信息科技有限公司总法律顾问

薛 颖 海尔电器产业集团高级法律顾问

赵小琳 出门问问信息科技有限公司律师助理

互联网刑事法治国际研究中心

北京师范大学刑事法律科学研究院

（文章来源：一点资讯）
注：内容均来源于互联网，版权归作者所有，如有侵权，请联系告知，我们将尽快处理。