# CCPA / CPRA 加州隐私法：哪些出海企业会被覆盖，2026 年新规要求什么

> 面向美国消费者的 App、游戏和电商最常遇到加州隐私法。先用三个门槛判断是否适用，再看“出售或共享”个人信息的定义是否覆盖你的广告与 SDK 数据流。

来源页面: https://assurelane.ai/frameworks/ccpa-cpra/
更新: 2026-10-10 · 来源核验: 2026-10-10

## 要点速览

- 全称: California Consumer Privacy Act，经 California Privacy Rights Act 修订
- 发布/监管方: 加州隐私保护局（CPPA）与加州总检察长
- 成果: 法律义务；部分企业需年度网络安全审计并向 CPPA 提交证明
- 适用对象: 在加州开展业务并满足收入或数据量门槛之一的营利企业
- 地区: 美国加州（另有约 20 个州出台综合隐私法）
- 典型周期: 基础合规项目常见 1–3 个月
- 有效期: 持续义务；隐私政策至少每 12 个月更新一次

## 关键时间线

- 2020-01-01: CCPA 生效
- 2023-01-01: CPRA 修订生效
- 2026-01-01: CPPA 网络安全审计、风险评估与自动化决策技术新规生效
- 2028-04-01: 年收入超 1 亿美元企业首次提交网络安全审计证明

## 哪些企业需要遵守 CCPA / CPRA？

在加州开展业务的营利企业，只要满足以下**任一**条件即适用：

1. 上一年度全球年总收入超过经通胀调整的门槛（2025 年起为 26,625,000 美元，每两年调整）
2. 每年购买、出售或共享 10 万名以上加州消费者或家庭的个人信息
3. 年收入的 50% 以上来自出售或共享个人信息

“消费者”指加州居民，包括企业客户的员工和联系人，不仅是 C 端用户。

## CCPA / CPRA 赋予消费者哪些权利？

知情权、访问权、删除权、更正权、可携带权、拒绝出售或共享权、限制使用敏感个人信息权，以及不因行使权利受到歧视。企业需提供至少两种请求渠道，并在 45 天内响应（可延长一次）。

## 2026 年起的新规

加州隐私保护局于 2025 年 9 月最终确定、2026 年 1 月 1 日生效的规则新增三类义务：

| 义务 | 适用对象 | 时间 |
| --- | --- | --- |
| **网络安全审计** | 处理个人信息构成“重大风险”的企业，例如年收入达门槛且处理 25 万以上消费者个人信息或 5 万以上消费者敏感个人信息 | 按收入分段，2028–2030 年起每年 4 月 1 日前提交证明 |
| **风险评估** | 出售或共享个人信息、处理敏感个人信息、使用自动化决策技术做重大决定等 | 新规生效后开展；向 CPPA 提交摘要 |
| **自动化决策技术（ADMT）** | 用 ADMT 做出涉及就业、金融、住房、教育、医疗等重大决定 | 预先告知、选择退出与访问权 |

## 出海企业的准备路径

1. **数据地图**：收集哪些加州消费者数据、来源、用途、与谁共享，特别是广告与分析 SDK
2. **判断门槛与角色**：是企业（business）、服务提供者（service provider）还是承包商
3. **更新隐私政策和告知**：收集时告知、隐私政策、“请勿出售或共享”链接、全球隐私控制（GPC）信号识别
4. **建立权利请求流程**和身份核验
5. **与供应商签订合同**：服务提供者合同须包含法定条款
6. **评估新规**：是否需要网络安全审计和风险评估，并提前规划

## 不止加州

截至 2026 年，美国已有约 20 个州通过综合性消费者隐私法，门槛和细节各不相同。以加州为基准建立的流程，通常可以覆盖大部分州的核心要求，但敏感数据同意、未成年人保护等差异需要单独核对。

## 常见问题

### 我们公司在中国，没有美国实体，也适用吗？

可能适用。判断标准是是否“在加州开展业务”并满足门槛，与公司注册地无关。面向加州用户提供服务并收集其个人信息的境外企业需要认真评估。

### 我们没有卖数据，为什么说可能构成“出售或共享”？

CCPA 的“出售”包括为获得有价值对价而提供个人信息，“共享”包括为跨情境行为广告目的提供个人信息。网站和 App 中的广告 SDK、追踪像素常常会触发这些定义，需要提供“请勿出售或共享我的个人信息”的选择。

### 网络安全审计必须找 CPA 吗？

新规要求由合格、客观、独立的审计人员开展，可以是内部或外部人员，但须满足独立性要求。已有的 SOC 2 或 ISO 27001 审计工作可以被利用，但需对照新规要求补足。

## 参考来源

- [California Attorney General — CCPA](https://oag.ca.gov/privacy/ccpa)
- [California Privacy Protection Agency — Regulations](https://cppa.ca.gov/regulations/)
- [Ropes & Gray — California’s CCPA cybersecurity audit rule takes effect (2026)](https://www.ropesgray.com/en/insights/alerts/2026/01/californias-ccpa-cybersecurity-audit-rule-takes-effect-what-businesses-need-to-know)

---
本页为一般性信息，不构成法律、审计或认证意见。AssureLane 不出具 SOC 2 报告或 ISO 证书。