CCPA / CPRA 加州隐私法：哪些出海企业会被覆盖，2026 年新规要求什么

哪些企业需要遵守 CCPA / CPRA？

在加州开展业务的营利企业，只要满足以下任一条件即适用：

“消费者”指加州居民，包括企业客户的员工和联系人，不仅是 C 端用户。

知情权、访问权、删除权、更正权、可携带权、拒绝出售或共享权、限制使用敏感个人信息权，以及不因行使权利受到歧视。企业需提供至少两种请求渠道，并在 45 天内响应（可延长一次）。

加州隐私保护局于 2025 年 9 月最终确定、2026 年 1 月 1 日生效的规则新增三类义务：

义务	适用对象	时间
网络安全审计	处理个人信息构成“重大风险”的企业，例如年收入达门槛且处理 25 万以上消费者个人信息或 5 万以上消费者敏感个人信息	按收入分段，2028–2030 年起每年 4 月 1 日前提交证明
风险评估	出售或共享个人信息、处理敏感个人信息、使用自动化决策技术做重大决定等	新规生效后开展；向 CPPA 提交摘要
自动化决策技术（ADMT）	用 ADMT 做出涉及就业、金融、住房、教育、医疗等重大决定	预先告知、选择退出与访问权

截至 2026 年，美国已有约 20 个州通过综合性消费者隐私法，门槛和细节各不相同。以加州为基准建立的流程，通常可以覆盖大部分州的核心要求，但敏感数据同意、未成年人保护等差异需要单独核对。

常见问题

我们公司在中国，没有美国实体，也适用吗？

可能适用。判断标准是是否“在加州开展业务”并满足门槛，与公司注册地无关。面向加州用户提供服务并收集其个人信息的境外企业需要认真评估。

我们没有卖数据，为什么说可能构成“出售或共享”？

CCPA 的“出售”包括为获得有价值对价而提供个人信息，“共享”包括为跨情境行为广告目的提供个人信息。网站和 App 中的广告 SDK、追踪像素常常会触发这些定义，需要提供“请勿出售或共享我的个人信息”的选择。

网络安全审计必须找 CPA 吗？

新规要求由合格、客观、独立的审计人员开展，可以是内部或外部人员，但须满足独立性要求。已有的 SOC 2 或 ISO 27001 审计工作可以被利用，但需对照新规要求补足。

本页为一般性信息，不构成法律、审计或认证意见。具体适用性、项目范围与专业责任须结合企业实际情况确认。