加州消费者隐私法案及条例(条文及说明)
2020/1/7 14:46:36  点击率[29]  评论[0]
【法宝引证码】
    【学科类别】消费者权益保护法与产品质量法
    【出处】微信公号号:法学学术前沿
    【写作时间】2020年
    【中文摘要】译者说明:本译稿包括两部分:《加州消费者隐私法案》(California Consumer Privacy Act)和《加州消费者隐私法案条例》(California Consumer Privacy Act Regulation)。其中《加州消费者隐私法案》的译文版本为综合若干修正案整理的版本,译文中的节即为《加州民法典》中的节。这一译文版本为截止2019年12月31日的版本,未来这一法案还可能会因为修正案的通过而变化。《加州消费者隐私法案条例》是为了贯彻《加州消费者隐私法案》而制定的,译文中的节即为《加州规制法典》中的节。除非存在法律冲突,违反《加州消费者隐私法案条例》,即构成对《加州消费者隐私法案》的违反。
    【中文关键字】加州消费者隐私法案;加州消费者隐私法案条例
    【全文】

      加州消费者隐私法案

      第1798.100节
     
      (a)   对于收集消费者个人信息的企业,消费者有权要求该企业披露收集的其个人信息的类别和具体部分。
     
      (b)   收集消费者个人信息的企业应在收集时或收集之前告知消费者将要收集的个人信息类别和使用目的。如果企业未按照本节规定向消费者进行告知,企业不得收集其他类别的个人信息,或将收集的个人信息用于其他目的。
     
      (c)   企业只有在收到可核实的消费者请求时,才能向消费者提供(a)小节中规定的信息。
     
      (d)   企业在收到可核实的消费者要求查阅个人信息的请求时,须迅速免费向消费者披露及交付本节所规定的个人信息。个人信息可以通过邮件或电子方式提供,如果以电子方式提供,个人信息的格式应为可携带的、在技术可行的范围内易于使用的、且允许消费者无障碍地将该信息传递给另一实体的。企业可以随时向消费者提供个人信息,但不得应消费者请求12个月内向其提供两次以上的个人信息。
     
      (e)   如果个人信息是为了一次性交易,而且此类信息不是由企业出售或维护的,也不是为了重新标识,或以其他方式关联到未被以个人信息的方式保存的信息,则本节规定并不要求该企业对其进行保留。
     
      第1798.105节
     
      (a)   对于从消费者处收集的有关消费者的任何个人信息,消费者有权要求企业删除。
     
      (b)   收集消费者个人信息的企业,应根据第1798.130节规定,告知消费者其具有要求删除消费者个人信息的权利。
     
      (c)   根据本节第(a)小节的规定,收到消费者可核实的删除其个人信息请求的企业,应删除其记录中的消费者个人信息,并指示所有服务提供商从其记录中删除消费者的个人信息。
     
      (d)   企业或服务提供者如出于以下目的而有必要保存消费者的个人信息,则无须应消费者请求删除其个人信息:
     
      (1)为了完成交易而收集个人信息,履行根据联邦法律进行的书面保        证或产品召回条款,提供消费者要求的或在企业与消费者的持续业务关系范围内合理预期的商品或服务,或者履行企业与消费者之间的合同。
     
      (2)发现安全事件,为了防止恶意、欺骗、欺诈或非法活动;或为了起诉对这些活动有责任的人。
     
      (3)为了识别和修复损害已有预期功能的错误而进行的除错调试。
     
      (4)为了行使言论自由权,保障其他消费者行使该消费者言论自由的权利,或者行使法律规定的其他权利。
     
      (5)根据《刑法》第2部分第12编第3.6章(从第1546节开始)的要求,为了遵守《加利福尼亚电子通信隐私法》。
     
      (6)从事符合所有其他适用道德和隐私法的公共或同行评审的科学、历史或统计研究,如果企业删除个人信息可能导致无法继续进行或严重损害此类研究,且消费者已经在充分知情的情形下做出了同意。
     
      (7)为了企业内部使用,且根据消费者与企业的关系,该使用完全符合消费者的期望。
     
      (8)为了履行法定义务。
     
      (9) 以其他方式在企业内部合法使用消费者的个人信息,使用方式与消费者提供个人信息的语境相一致。
     
      第1798.110节
     
      (a)   对于收集消费者个人信息的企业,消费者有权要求其向消费者披露以下信息:
     
      (1)收集的消费者个人信息类别。
     
      (2)收集的消费者个人信息的来源类别。
     
      (3)收集、出售消费者个人信息的企业或者商业目的。
     
      (4)与企业共享消费者个人信息的第三方类别。
     
      (5)收集的有关该消费者个人信息的具体部分。
     
      (b)   根据第1798.130节第(a)小节第(3)段,收集消费者个人信息的企业应在收到消费者可核实的请求后,向消费者披露第(a)小节中规定的信息。
     
      (c)   收集消费者个人信息的企业应根据第1798.130节(a)小节第(5)段(B)款披露以下信息:
     
      (1)收集的消费者个人信息类别。
     
      (2)收集的消费者个人信息的来源类别。
     
      (3)收集、出售消费者个人信息的企业或者商业目的。
     
      (4)与企业共享消费者个人信息的第三方类别。
     
      (5)收集的有关该消费者个人信息的具体部分。
     
      (d)   本节并不要求任何企业做出以下事项:
     
      (1)     正常经营过程中未保留消费者的个人信息,保留的消费者的个人信息仅为一次性交易中所收集的消费者的个人信息。
     
      (2)     重新识别或以其他方式关联到正常经营过程中未被以个人信息的方式保存的任何数据。
     
      第1798.115节
     
      (a)   对于出售消费者个人信息或为商业目的披露消费者个人信息的企业,消费者有权要求其向消费者披露以下信息:
     
      (1)     收集的个人信息类别。
     
      (2)     出售的个人信息类别,以及根据个人信息类别区分的出售个人信息的第三方类别。
     
      (3)     企业出于商业目的披露的消费者个人信息类别。
     
      (b)   根据第1798.130节第(a)小节第(4)段的规定,出售消费者个人信息或出于商业目的披露消费者个人信息的企业,应在收到消费者可核实的请求后,向消费者披露第(a)小节中规定的消费者个人信息。
     
      (c)   根据第1798.130节第(a)小节第(5)段第(C)款的规定,出售消费者个人信息或出于商业目的披露消费者个人信息的企业应披露:
     
      (1)     出售的消费者个人信息的种类,如果企业未出售消费者个人信息,应当披露这一事实。
     
      (2)     出于商业目的而披露的消费者个人信息的种类,如果企业没有出于商业目的披露消费者个人信息,应当披露这一事实。
     
      (d)   第三方不得出售企业已经出售给第三方的消费者个人信息,除非消费者已收到明确通知,并有机会根据第1798.120节行使退出权。
     
      第1798.120节
     
      (a)   对于向第三方出售其个人信息的企业,消费者有权随时要求其不得出售其个人信息。这项权利可以称为选择退出的权利。
     
      (b)   向第三方出售消费者个人信息的企业,应根据第1798.135节第(a)小节的规定,向消费者发出通知,说明该信息可能被出售,而且消费者有权“选择退出”出售其个人信息的行为。
     
      (c)   尽管有(a)小节的规定,但如果企业实际知悉消费者未满16岁,则企业不得出售消费者的个人信息,除非消费者已满13岁且未满16岁,或未满13岁的父母或监护人已经明确授权销售其个人信息。故意无视消费者年龄的企业,视为实际知悉消费者年龄。这项权利可以称为“选择加入的权利”
     
      (d)   若企业已收到消费者拒绝出售消费者个人信息的要求,或未收到出售未成年人个人信息的同意,应根据第1798.135节第(a)小节第(4)段的规定,在收到消费者的要求后应当禁止其出售消费者个人信息,除非消费者随后明确授权出售消费者个人信息。
     
      第1798.125节
     
      (a)   (1)企业不得因消费者行使本编所规定的权利而使用包括但不限于如下的方式歧视消费者:
     
      (A)  拒绝向消费者提供商品或服务。
     
      (B)  对货物或服务收取不同的价格或费率,包括通过使用折扣或其他好处或施加惩罚。
     
      (C)  向消费者提供不同水平或质量的商品或服务。
     
      (D)  暗示消费者将获得不同的商品或服务价格或费率,或获得不同水平或质量的商品或服务。
     
      (2)企业向消费者收取不同的价格或费率,或向消费者提供不同水平或质量的商品或服务时,如果该差值与消费者数据向企业提供的价值合理相关,本小节的任何规定均不禁止企业的此类行为。
     
      (b)   (1)企业可为收集个人信息、出售个人信息或删除个人信息提供经济激励,包括向消费者支付补偿金。如果商品或服务的价格或差异与消费者数据提供给企业的价值直接相关,企业也可以向消费者提供不同的价格、费率、水平或质量。
     
      (2)企业根据本小节提供任何经济激励,应根据第1798.130节的规定,将经济激励通知消费者。
     
      (3)只有企业根据第1798.130节在清楚地描述了经济激励计划的实质性条款,消费者做出了选择加入的同意,而且消费者可以随时撤销的情况下,企业才可以让消费者加入经济激励计划。
     
      (4)企业不得使用不公正、不合理、胁迫性或具有高利贷性质的经济激励措施。
     
      第1798.130节
     
      (a)   为符合第1798.100、1798.105、1798.110、1798.115及1798.125节的规定,企业须以消费者可访问的形式进行如下行为:
     
      (1)     (A)根据第1798.110及1798.115节规定按消费者请求提供个人信息时,应向消费者提供两种或两种以上指定的提出请求的方式,其中须包括通过免费电话提出请求的方式;根据第1798.110及1798.115节规定按消费者请求提供个人信息时,如该企业仅在网上经营且与收集个人信息的消费者有直接关系,只需提供一个电子邮件地址。
     
      (B)根据第1798.110及1798.115节规定按消费者请求提供个人信息时,如该企业设有互联网网站,须向消费者提供互联网网站网址。
     
      (2)     企业在收到消费者可以核实的请求后45日内,应免费向消费者披露并提供所需信息。企业应立即采取措施确定该请求是否为可核实的消费者请求,但这不应延长企业在收到消费者请求后45天内披露和提供信息的期限。提供所需信息的期限可在合理必要时延长45天,但前提是消费者在前45天内收到延期通知。披露的信息范围应涵盖企业收到可核实的消费者请求之前的12个月,如果消费者在企业中开设账户,则应以书面形式作出并通过消费者在企业中的账户提供;如果消费者没有在企业中开设账户,可以选择通过邮件或电子方式提供,个人信息的格式应为易于使用的、且允许消费者无障碍地将该信息传递给另一实体的。企业可要求消费者根据所要求的个人信息的性质进行合理的认证,但不得要求消费者在企业中创建账户以核实消费者的请求。如果消费者在企业中开设账户,企业可以要求消费者通过该账户提交核实请求。
     
      (3)     就第1798.110节(b)小节而言:
     
      (E)  为了识别消费者,将消费者在可核实的消费者请求中提供的信息,与企业先前收集的关于消费者的任何个人信息相关联。
     
      (F)   参照(c)小节中列举的一个或多个最能准确描述收集的个人信息的类别,识别在过去12个月内收集的有关消费者个人信息。
     
      (4)     就第1798.115节(b)小节而言:
     
      (A)  为了识别消费者,将消费者在可核实的消费者请求中提供的信息,与企业先前收集的关于消费者的任何个人信息相关联。
     
      (B)  参照(c)小节中列出的一个或多个最能准确描述出售的个人信息的类别,识别在过去12个月内出企业出售的消费者个人信息,并提供在在过去12个月内,参照(c)小节中列举的一个或多个最能准确描述出售的个人信息的类别。企业应在一份与为(C)款的而编制的清单分开的清单中披露信息。
     
      (C)  参照(c)小节中列出的一个或多个最能准确描述为商业目的而披露的个人信息的类别,识别在过去12个月内出企业为商业目的而披露的个人信息,并提供在在过去12个月内,参照(c)小节中列举的一个或多个最能准确描述所披露个人信息的类别。企业应在一份与为(B)款的而编制的清单分开的清单中披露信息。
     
      (5)     如果企业有在线隐私政策,企业应当在其隐私政策中披露以下信息;在任何对加州消费者隐私权的具体描述中,或者如果企业不遵守这些政策,企业应当在其网站上披露以下信息,并至少每12个月更新一次:
     
      (A)  根据第1798.100、1798.105、1798.110、1798.115和1798.125节对消费者权利的描述,以及一种或多种提交请求的指定方法。
     
      (B)  就第1798.110节第(c)小节而言,参照(c)小节中列举的一个或多个最能准确描述过去12个月内收集的个人信息的类别清单。
     
      (C)  就第1798.115节(C)小节第(1)段和第(2)段而言,两份单独的清单:
     
      (i)              参照(c)小节中列举的一个或多个最能准确描述过去12个月内收集的个人信息的类别清单。如果该企业在过去12个月内没有出售消费者的个人信息,企业应披露这一事实。
     
      (ii)            参照(c)小节中列举的一个或多个最能准确描述过去12个月内企业出于商业目的而披露的个人信息的类别清单。如果该企业在过去12个月内没有披露消费者的个人信息,企业应披露这一事实。
     
      (6)     所有负责处理消费者咨询企业隐私实践或企业的本法合规情况的个人,需保证其熟悉第1798.100、1798.105、1798.110、1798.115和1798.125节以及本节中的要求,以及如何引导消费者行使其在这些条款下的权利。
     
      (7)     企业从消费者处收集的核实消费者要求的个人信息,只能用于核实目的。
     
      (b)   企业没有义务在12个月内向同一消费者提供两次以上第1798.110节和第1798.115节规定的信息。
     
      (c)   根据第1798.110及1798.115节须予披露的个人信息类别,须遵从第1798.140节对个人信息的定义。
     
      第1798.135节
     
      (a)   企业须按照第1798.120节,以消费者可合理访问的形式:
     
      (1)     在企业的互联网主页上,提供标题为“请勿出售我的个人信息”的清晰、显眼的网站链接,使消费者或消费者授权的人能够选择不出售消费者的个人信息。企业不得以不出售消费者的个人信息为条件要求消费者开立账户。
     
      (2)     包括根据第1798.120节对消费者权利的描述,以及“请勿出售我的个人信息”互联网网页的单独链接:
     
      (A)  其在线隐私政策,如果企业有在线隐私政策。
     
      (B)  加州对消费者隐私权的所有具体描述。
     
      (3)     所有负责处理消费者咨询企业隐私实践或企业遵守本法规定的个人,需保证其熟悉第1798.120节以及本节中的要求,以及如何引导消费者行使其在这些条款下的权利。
     
      (4)     对于行使选择退出权,选择不出售消费者个人信息的消费者,企业不得销售其收集的消费者个人信息。
     
      (5)     对于选择不出售消费者个人信息的消费者,在请求消费者授权出售消费者个人信息之前,应理解为消费者选择了至少12个月不出售的决定。
     
      (6)     使用从消费者处收集的与提交消费者选择退出请求有关的任何个人信息,应仅用于遵从选择退出请求的目的。
     
      (b)   如果公司维护一个包括所需链接和文本的单独附加主页,专门针对加利福尼亚州消费者,并且采取合理步骤,确保加利福尼亚州消费者直接指向加利福尼亚州消费者的主页,而不是向一般公众提供的主页,那么遵守本条款中的内容,不得解释为要求企业通过在其向一般公众提供的主页上包含所需的链接和文本,
     
      (c)   消费者可授权他人仅代表消费者选择不出售其个人信息,企业应根据总检察长所通过的规章,遵守消费者授权代表消费者行事的人提出的不出售请求。
     
      第1798.140节
     
      就本编而言:
     
      (a)    “汇总的消费者信息”是指与一组或一类消费者有关的信息,个人消费者身份已从这些信息中去标示,这些信息与任何消费者或家庭(包括通过设备)没有联系或合理联系。聚合消费者信息并不意味着一个或多个已去标示的个人消费者记录。
     
      (b)    “生物识别信息”是指包括个人的脱氧核糖核酸(DNA)在内的个人生理、生物或行为特征,可单独使用或与其他识别数据结合使用以确定个人身份的信息。生物识别信息包括但不限于虹膜、视网膜、指纹、面部、手部、手掌、静脉模式和语音记录的图像,从中可以提取识别模板,例如脸纹、细节模板或声纹,以及击键模式或节奏、步态模式或节奏、睡眠、健康,或包含识别信息的练习数据。
     
      (c)    “企业”是指:
     
      (1)     满足如下条件的个人独资企业、合伙企业、有限责任公司、公司、协会或其他法律实体:为其股东或收集消费者个人信息的其他所有者的利益或财务利益而组织或经营的,或代表其收集信息,并单独或与他人共同确定处理消费者个人信息的目的和方法的,在加利福尼亚州开展业务的,并满足以下一个或多个基本条件的公司:
     
      (A)  根据第1798.185节第(a)小节第(5)段调整后,年总收入超过2500万美元。
     
      (B)  为商业目的,每年单独或合并购买、接收、出售或共享50000条或更多消费者、家庭或设备的个人信息。
     
      (C)  年收入的50%或以上为销售消费者个人信息所得。
     
      (2)     任何控制或被第(1)段所界定的业务所控制并与该业务有共同品牌的实体。“控制”或“受控”是指对企业任何类别有表决权证券的已发行股票享有50%以上的所有权或表决权;以任何方式对企业过半数董事或行使类似职能的个人的选举享有控制权;或对企业管理层有控制性影响。“共同品牌”是指共享名称、服务标志或商标。
     
      (d)    “商业目的”是指将个人信息用于商业目的,或用于服务提供商的运营目的,或其他已经告知的目的,但为了实现收集或处理个人信息的运营目的,或者为了实现与收集个人信息的语境相适应的其他运营目的,个人信息的使用应是合理必要和符合比例的。商业目的是:
     
      (1)     与当前与消费者的互动和并发交易相关的审计,包括但不限于向唯一访问者计数广告印象,验证广告印象的定位和质量,以及审计是否符合本规范和其他标准。
     
      (2)     发现安全事件,防止恶意、欺骗、欺诈或非法活动,并起诉活动负责人。
     
      (3)     调试以识别和修复损害现有预期功能的错误。
     
      (4)     短期、暂时性使用,前提是个人信息未披露给另一第三方,且不用于建立消费者的个人资料或在当前互动之外以其他方式改变个人消费者的体验,包括但不限于,广告的上下文定制显示为同一交互的一部分。
     
      (5)     代表企业或者服务提供者提供服务,包括维护或者提供账户服务、提供客户服务、处理或者履行订单和交易、核实客户信息、处理付款、提供融资、提供广告或者营销服务、提供分析服务,或代表企业或服务提供商提供类似服务。
     
      (6)     为了技术开发和示范的内部研究。
     
      (7)     对本企业拥有、自己制造、为他人制造或控制的服务或设备进行质量或者安全验证或者维护,对本企业拥有、自己制造、为他人制造或控制的服务或设备进行改进、升级或者改进的活动。
     
      (e)    “收集”、“已收集”或“收集集合”是指以任何方式购买、出租、收集、获取、接收或访问与消费者有关的任何个人信息。这包括主动或被动地从消费者那里接收信息,或者通过观察消费者的行为来接收信息。
     
      (f)      “商业目的”是指增进一人的商业或经济利益,例如劝说另一人购买、出租、租赁、加入、认购、提供或交换产品、货物、财产、信息或服务,或直接或间接促成或实施商业交易。“商业目的”不包括从事州或联邦法院认定为非商业目的的演讲,包括政治演讲和新闻报道。
     
      (g)    “消费者”是指不论以何种方式识别的作为加利福尼亚州居民的自然人,包括以任何唯一标示符识别的,加利福尼亚州居民的定义参照《加利福尼亚州法规法典》第18编第17014节(按2017年9月1日的规定)。
     
      (h)    “去标示的”是指不能合理地确定、关联、描述能够与某一特定消费者相联系,或直接或间接与该消费者相关联的信息,如果企业使用的是去标示的信息,那么该企业:
     
      (1)     已经实施了技术保障措施,禁止对可能与信息关联的消费者重新进行身份识别。
     
      (2)     已经实施了专门禁止重新识别信息的业务流程。
     
      (3)     已经实施了防止意外散布去标示信息的业务流程。
     
      (4)     不试图重新确认信息。
     
      (i)      “提交请求的指定方法”是指邮寄地址、电子邮件地址、互联网网页、互联网门户网站、免费电话号码或其他适用的联系信息,消费者可以根据本条款提交请求或指示,以及经总检察长根据第1798.185节批准的任何新的、方便消费者的商业联系方式。
     
      (j)      “设备”是指所有能够直接或间接连接到因特网或另一设备的物理对象。
     
      (k)    “医疗保险信息”是指消费者的保险单号或订户识别号、医疗保险人用于识别消费者的任何唯一标识符,或消费者的申请和索赔历史记录中的任何信息,包括任何申诉记录,如果信息是由企业或服务提供商与消费者或家庭(包括通过设备)关联或合理关联的。
     
      (l)      “主页”是指因特网网站的介绍页和收集个人信息的任何因特网网页。对于在线服务,例如移动应用程序,主页是指应用程序的平台页面或下载页面、应用程序内的链接,例如来自应用程序配置、“关于”、“信息”或设置页面,以及允许消费者审查第1798.135节第(a)小节要求的告知的任何其他位置,这包括但不限于下载程序之前。
     
      (m)  “推断”或“推断结论”是指从事实、证据或其他信息或数据来源推导出信息、数据、假设或结论。
     
      (n)    “人”是指个人、独资企业、商号、合伙企业、合资企业、财团、商业信托、公司、集团公司、有限责任公司、协会、委员会和任何其他一致行动的组织或团体。
     
      (o)   (1)“个人信息”是指直接或间接地识别、关联、描述、能够合理地与某一特定消费者或家庭相关联或可以合理地与之相关联的信息。个人信息包括但不限于以下直接或间接地识别、关联、描述、能够合理地与某一特定消费者或家庭相关联或可以合理地与之相关联的信息:
     
      (A)  识别码,例如实名、别名、邮政地址、唯一个人识别码、在线识别码、互联网协议地址、电子邮件地址、帐户名称、社会保险号码、驾驶执照号码、护照号码或其他类似识别码。
     
      (B)  第1798.80节(e)小节所描述的所有类别的个人信息。
     
      (C)  加州法律或联邦法律下受保护类别的特征。
     
      (D)  商业信息,包括购买、获取或考虑过的个人财产、产品或服务的记录,或其他购买或消费历史或趋势。
     
      (E)  生物识别信息。
     
      (F)   因特网或其他电子网络活动信息,包括但不限于浏览历史、搜索历史和关于消费者与因特网网站、应用程序或广告的互动的信息。
     
      (G)  地理位置数据。
     
      (H)  音频、电子、视觉、热量、嗅觉或类似信息。
     
      (I)     专业或就业相关信息。
     
      (J)   教育信息,也就是《家庭教育权利和隐私法》(20 U.S.C. Sec. 1232g; 34 C.F.R. Part 99)中定义的不能公开获取的个人可识别信息。
     
      (K)  从本小节确定的任何信息中得出的,以创建关于一位消费者的用户画像的推论,用户画像可能反映消费者的偏好、特征、心理趋势、倾向、行为、态度、智力、能力和才能。
     
      (2)“个人信息”不包括可公开获取的信息。在本款中,“可公开获取”的信息是指从联邦、州或地方政府记录中合法获得的信息。“可公开获取”的信息不包括企业在消费者不知情的情况下收集的关于消费者的生物特征信息。
     
      (3)“个人信息”不包括去标示化的或者汇总的消费者信息。
     
      (p)    “概率性识别符”是指对消费者或设备的识别,其确定程度高于不基于个人信息定义中所列或类似的任何类别的个人信息。
     
      (q)    “处理”是指对个人数据或对一组个人数据执行的任何操作或一组操作,不论是否通过自动化手段。
     
      (r)     “假名处理”或“假名化”是指以如下这种方式处理个人信息:在不使用附加信息的情况下,个人信息不能再被关联到特定消费者,但附加信息应单独保存,并应采取技术和组织措施确保个人信息不能再被关联到已识别或可识别的消费者。
     
      (s)    “研究”是指科学的、系统的研究和观察,包括符合公共利益并遵守所有其他可适用伦理和隐私法的基础研究或应用研究,或在公共卫生领域为公共利益进行的研究。在消费者因为其他目的与企业服务或设备进行互动的过程中,从消费者那里收集到的个人信息,对其的研究应:
     
      (1)     与收集个人信息的商业目的相符。
     
      (2)     其后假名化和去标示化,或者在汇总信息中去标示化,使得该信息不能合理地识别、关联、描述、能够与某一特定消费者相联系,或直接或间接与该消费者相联系。
     
      (3)     遵守技术保障措施,禁止对可能与信息有关的消费者进行重新识别。
     
      (4)     遵守专门的业务流程,禁止重新识别信息。
     
      (5)     遵守业务流程,防止不小心泄露去标示化的信息。
     
      (6)     防止任何再次识别。
     
      (7)     仅用于与个人信息收集语境相适应的研究目的。
     
      (8)     不得用于任何商业目的。
     
      (9)     受进行研究的企业的额外安全控制,只有企业中执行研究目的所必需的个人可以访问这些研究数据。
     
      (t)     (1)“出售”、“出售中”、“销售”或“已出售”是指企业以金钱或其他有价值的对价,通过口头、书面、电子或其他方式,向一家企业或第三方出售、出租、发布、披露、传播、提供、转让消费者的个人信息。
     
      (2)就本编而言,在下列情况下,企业并非出售个人信息:
     
      (A)  在第三方也不出售个人信息的前提下,消费者使用或指示企业有意披露个人信息,或借助企业有意与第三方互动,除非该披露符合本编的规定。当消费者试图通过一次或多次有意互动与第三方交互时,就会发生有意互动。若消费者搁置、减少、暂停或停止提供给定内容,不构成消费者与第三方互动的意图。
     
      (B)  对于已选择不出售其个人信息的消费者,企业使用或共享其标识符以提醒第三方,消费者已选择不出售其个人信息。
     
      (C)  企业使用或与服务提供商共享消费者的个人信息,如果满足以下两个条件,则这些信息是实现商业目的所必需的:
     
      (i)              该企业已提供符合第1798.135节的条款和条件中所规定的使用或共享该信息的告知。
     
      (ii)            服务供应商不进一步收集、出售或使用消费者的个人信息,除非为实现商业目的所必需的。
     
      (D)  企业将消费者的个人信息作为资产转让给第三方,作为合并、收购、破产或第三方接管全部或部分业务的其他交易的一部分,前提是信息的使用或共享符合第1798.110和1798.115节的规定。第三方对消费者个人信息的使用、共享方式发生重大改变,与收集时的承诺具有实质性不同时,应当事先将新的或者变更的实践通知消费者。通知应充分突出和实用,以确保现有消费者可以方便地行使第1798.120节所规定的选择权。本款并不授权企业以一种可能违反《不公平与欺骗实践法案》(《商业和职业法》第7分编第2部分第5章(从第17200节开始))的方式对其隐私政策进行实质性、追溯性的更改或其他更改。
     
      (u)    “服务”或“多项服务”是指工作、劳动和服务,包括与销售或维修商品有关的服务。
     
      (v)    “服务提供商”是指为股东或其他所有者的利益或财务利益而组织或经营的、代表企业处理信息并根据书面合同出于商业目的向其披露消费者个人信息的独资企业、合伙企业、有限责任公司、公司、协会或其他法律实体,但前提是合同禁止接收信息的实体出于任何目的保留、使用或披露个人信息,除了业务履行合同中规定的服务的特定目的或本编允许的其他目的,包括出于商业目的而保留、使用或披露个人信息,但不包括提供与企业签订的合同中规定的服务。
     
      (w)   “第三方”是指下列主体以外的其他主体:
     
      (1)     根据本编向消费者收集个人信息的企业。
     
      (2)     (A)根据书面合同,企业出于商业目的向其披露消费者个人信息的人,但该合同:
     
      (i)              禁止接收个人信息的人:
     
      (I)              出售个人信息。
     
      (II)            为履行本合同规定的服务以外的任何目的保留、使用或披露个人信息,包括为提供本合同规定的服务以外的商业目的保留、使用或披露个人信息。
     
      (III)           保留、使用或披露该人与业务之间直接业务关系以外的信息。
     
      (ii)            包含一份由接收该个人信息的人作出的证明,证明该人明白(A)款的限制,并会遵从该等限制。
     
      (B)本段所涵盖的任何人违反本编规定的任何限制,均应承担违约责任。在以下情形中,依照本编规定向本段所涵盖的人披露个人信息的业务,如果接收个人信息的人违反本编规定的限制使用该信息,不承担本编规定的责任:披露个人信息时,该企业不知道或没有理由相信该人打算实施此类违法行为。
     
      (x)    “唯一标识符”或“唯一个人标识符”是指可用于识别消费者、家庭或与消费者,或随着时间推移和提供多种服务后可以关联到消费者或家庭的设备,包括但不限于设备标识符;互联网协议地址;cookie、信标、像素标签,移动广告标识符或类似技术;客户号码、唯一假名或用户别名;可用于识别特定消费者或设备的电话号码或其他形式的持久或概率标识符。在本小节中,“家庭”是指监护父母或监护人,以及父母或监护人监护的任何未成年子女。
     
      (y)    “可核实的消费者请求”是指消费者、代表其未成年子女的消费者、自然人或在州务卿登记的人提出的请求,经消费者授权代表消费者行事,且企业能够依据总检察长根据第1798.185节第(a)小节第(7)段通过的法规合理核实提出请求的消费者是企业收集个人信息的消费者。如果企业不能依据总检察长根据第1798.185节第(a)小节第(7)段通过的法规合理核实提出请求的消费者是企业收集个人信息的消费者,或者是消费者授权代表消费者行事的人,则企业没有义务根据第1798.100、1798.105、1798.110和1798.115节向消费者提供信息。
     
      第1798.145节
     
      (a)   本编赋予企业的义务不应限制企业的如下能力:
     
      (1)     遵守联邦、州或地方法律。
     
      (2)     遵守联邦、州或地方当局的民事、刑事或监管调查、调查、传票或传唤。
     
      (3)     就企业、服务提供商或第三方合理且善意地认为可能违反联邦、州或地方法律的行为或活动,与执法机构进行的合作。
     
      (4)     行使或者辩护法律主张。
     
      (5)     收集、使用、保留、出售或者披露去标示化的或者汇总的消费者的个人信息。
     
      (6)     收集或出售消费者的个人信息,如果该商业行为的所有要素都完全发生在加利福尼亚州以外。就本编而言,如果该公司在消费者不在加州的时候收集了这些信息,所有消费者个人信息的销售都不在加州,而且在消费者不在加利福尼亚州的情况下收集的个人信息没有被出售,那么商业行为完全发生在加利福尼亚州以外。当消费者在加利福尼亚州境内时,本款不允许企业存储(包括在设备上存储)关于该消费者的个人信息;当消费者及存储的个人信息在加利福尼亚州境外时,不允许收集该个人信息。
     
      (b)   第1798.110至1798.135节(含)对企业规定的义务,不适用于企业遵守所有权会违反加州法律规定的证据特权的情况,对于根据加利福尼亚州法律享有作为特权通信一部分的证据特权的人,也不得阻止企业向其提供消费者的个人信息。
     
      (c)   (1)本编不适用于下列情况:
     
      (A)  受《医疗信息保密法》(第1部分第2.6部分(从第56节开始)管辖的医疗信息,或受隐私、安全和违反通知规则管辖的受保护实体或商业伙伴收集的受保护的医疗信息,这些规则由美国卫生和公众服务部根据1996年《健康保险可携带性和责任法案》(第104-191号公法)和《健康信息技术促进经济和临床健康法案》(第111-5号公法)制定的《联邦法规》第45编第160和164部分发布。
     
      (B)  受《医疗信息保密法》(第1部分第2.6部分(从第56节开始)管辖的医疗服务提供商,或受美国卫生和公众服务部发布的隐私、安全和违反通知规则、联邦法典第45编第160和164部分管辖的受管辖实体,这些规则由美国卫生和公众服务部根据1996年《健康保险可携带性和责任法案》(第104-191号公法)制定的《联邦法规》第45编第160和164部分发布。如果提供者或受管辖实体以与本节(A)项所述医疗信息或受保护健康信息相同的方式维护患者信息。
     
      (C)  作为临床试验的一部分,根据《为了保护人类主体的联邦政策》,也被称为《共同规则》所收集的信息,符合国际协调理事会发布的良好临床实践指南,或美国食品和药物管理局的人体受试者保护的信息。
     
      (2)就本小节而言,“医疗信息”和“医疗保健提供者”应适用第56.05节中的定义,“商业伙伴”、“适用实体”和“受保护健康信息”应适用《联邦法规》第45编第160.103节中的定义。
     
      (d)   (1)本编不适用于涉及消费者报告机构、消费者报告、以及消费者报告使用者所收集、维护、披露、销售、交流或使用任何与消费者的信誉、信用状况、信用能力、性格、一般声誉、个人特征或生活方式有关的个人信息的活动;消费者报告机构由《美国法典》第15编第1681a节第(f)小节规定,消费者报告的信息由《美国法典》第15编第1681s-2节所述的信息提供者提供《美国法典》第15编第1681a节第(d)小节规定,消费者报告的使用者由《美国法典》第15编第1681b节规定。
     
      (2)第(1)段的规定,只有涉及该机构、供应商或用户收集、维护、披露、销售、通信或使用此类信息的活动受《美国法典》第15编《公平信用报告法》第1681节及以下规定的约束,才能够适用,而且此类信息除《公平信用报告法》授权外,不得使用、传达、披露或出售信息。
     
      (3)本小节不适用于第1798.150节。
     
      (e)   本编不适用于根据《联邦格莱姆-里奇-布莱利法案》(公法106-102)和实施条例,或《加州金融信息隐私法》(《金融法典》第1.4节(从第4050节开始))收集、处理、出售或披露的个人信息。本小节不适用于第1798.150节。
     
      (f)     本编不适用根据1994年《驾驶员隐私保护法》(《美国法典》第18编第2721节及以下)收集、处理、出售或披露的个人信息。本小节不适用于第1798.150节。
     
      (g)   (1)第1798.120节不适用于车辆法规第426节中定义的新机动车经销商和车辆法规第672节中定义的车辆制造商之间保留或共享的车辆信息或所有权信息,如果共享车辆或所有权信息是为了实现或预期实现根据《美国法典》第49编第30118至30120节(含)进行的车辆保修或召回所涵盖的车辆维修,但与该车辆信息或所有权信息共享的新机动车经销商或车辆制造商不得将该信息出售、共享或用于任何其他目的。
     
      (2)就本小节而言:
     
      (A)   “车辆信息”指车辆信息编号、品牌、型号、年份和里程表读数。
     
      (B)   “所有权信息”指登记所有人的姓名以及所有人的联系信息。
     
      (h)    (1) 本编不适用于下列情况:
     
      (A)  企业在自然人作为该企业的求职者、雇员、所有者、董事、高级职员、医务人员或承包商的过程中收集到的有关该自然人的个人信息,但前提是,该自然人的个人信息仅在该自然人作为或曾作为该企业的求职者、雇员、业主、董事、高级职员、医务人员或承包商的作用的范围内收集和使用。
     
      (B)  企业在自然人作为该企业的求职者、雇员、所有者、董事、高级职员、医务人员或承包商的过程中收集到的有关该自然人的紧急联系信息,但该个人信息的收集和使用仅限于有紧急联系记录。
     
      (C)  企业在自然人作为该企业的求职者、雇员、所有者、董事、高级职员、医务人员或承包商的过程中为了另一自然人的利益而收集的有关该自然人的个人信息,且该个人信息仅在为了自然人的利益时使用。
     
      (2)就本小节而言:
     
      (A)   “承包商”是指根据书面合同向企业提供任何服务的自然人。
     
      (B)   “董事”是指在公司章程中被指定为董事的自然人,或由公司创办人选举的自然人,以及被指定、选举或以任何其他名称或头衔任命为董事的自然人及其继任者。
     
      (C)   “医务人员”是指根据《商业和职业法典》第2节(从第500节开始)获得执照的执业医师和外科医生、牙医或足病医师,以及《健康和安全法典》第1316.5节定义的临床心理学家。
     
      (D)   “高级管理人员”是指董事会选举或任命的管理公司日常运营的自然人,如首席执行官、总裁、秘书或财务官。
     
      (E)   “所有者”是指符合下列条件之一的自然人:
     
      (i)              对企业任何类别有表决权证券的已发行股票享有50%以上的所有权或表决权。
     
      (ii)            以任何方式对企业过半数董事或行使类似职能的个人的选举享有控制权。
     
      (iii)           对企业管理层有控制性影响。
     
      (3)本小节不适用于第1798.100节第(b)小节或第1798.150节。
     
      (4)本小节将于2021年1月1日失效。
     
      (i)     企业有义务根据本编回应和履行消费者权利请求,但是:
     
      (1)     考虑到请求的复杂性和数量,企业回应任何已核实的消费者请求的时间可以在必要时延长90天。企业应在收到请求后45天内将任何此类延期通知消费者,并说明延期原因。
     
      (2)     如果企业没有根据消费者的请求采取行动,则该企业应立即,并最迟在本节准许的答复期限内,将不采取行动的理由及消费者可能对该企业的决定提出上诉的任何权利,通知消费者。
     
      (3)     如果消费者的请求明显没有根据、非常过分或高度重复,企业可以收取合理的费用。考虑到提供信息或通信或采取消费者所请求的行动的管理费用,企业也可以拒绝按照消费者的请求采取行动,并通知消费者拒绝请求的原因。企业应承担举证责任,证明任何经核实的消费者请求明显没有根据或过分。
     
      (j)     根据本编,如果企业向服务提供商披露个人信息时确实不知情或无理由相信服务提供商有意实施此类违规行为,该企业对接收个人信息的服务提供商违反本编中规定使用该个人信息的行为不承担责任。同理,服务提供商对企业的提供的服务同样不用承担本编所规定的责任。
     
      (k)   本编不得解释为要求企业收集其在正常业务过程中不会收集的个人信息,保留个人信息的时间不得长于其在正常业务过程中保留此类信息的时间,或重新识别,或以其他方式关联未被视为个人信息的信息。
     
      (l)     本编赋予消费者的权利和对企业规定的义务,不得对其他消费者的权利和自由产生不利影响。
     
      (m) 本编赋予消费者的权利和向企业施加的义务,不适用于《加利福尼亚州宪法》第一条第2节(b)小节所述的个人或实体的非商业活动的情况。
     
      (n)   (1)第1798.100、1798.105、1798.110、1798.115、1798.130及1798.135节向企业施加的义务,不适用于反映企业与消费者之间的书面或口头沟通或交易的个人信息,如果消费者是作为公司、合伙企业、独资企业、非营利组织或政府机构的雇员、所有人、董事、高级职员或承包商的自然人,而且其与企业的交流或交易仅发生在对该公司、合伙企业、独资企业、非营利组织或政府机构进行尽职调查的业务范围内,或向它们提供或接收产品或服务的业务范围内。
     
      (2)就本小节而言:
     
      (A)   “承包商”是指根据书面合同向企业提供任何服务的自然人。
     
      (B)   “董事”是指在公司章程中被指定为董事的自然人,或由公司创办人选举的自然人,以及被指定、选举或以任何其他名称或头衔任命为董事的自然人及其继任者。
     
      (C)   “高级管理人员”是指董事会选举或任命的管理公司日常运营的自然人,如首席执行官、总裁、秘书或财务官。
     
      (D)   “所有人”是指符合下列条件之一的自然人:
     
      (i)              对企业任何类别有表决权证券的已发行股票享有50%以上的所有权或表决权。
     
      (ii)            以任何方式对企业过半数董事或行使类似职能的个人的选举享有控制权。
     
      (iii)           对企业管理层有控制性影响。
     
      (3)本小节于2021年1月1日失效。
     
      第1798.150节
     
      (a)   (1)第1798.81.5节第(d)小节第(1)段(a)款所定义的未加密和未编校的个人信息,因企业违反执行和维护与信息性质相适应的合理安全程序和做法以保护个人信息义务,而致使消费者的个人信息受到未经授权的访问和泄漏、盗窃,或披露的,消费者可以提起如下民事诉讼:
     
      (A)  主张100美元到750美元的损害赔偿金或实际损害赔偿金,以数额较大者为准。
     
      (B)  主张法院发布禁止令或确认赔偿请求。
     
      (C)  法院认为适当的任何其他救济。
     
      (2)法院在评估法定损害赔偿额时,须考虑案件各方提出的任何一项或多项有关情况,包括但不限于不当行为的性质及严重程度、违法行为的数目、不当行为的持续性、不当行为发生所持续的时间长短,被告不当行为的有意性,以及被告的资产、负债和净值。
     
      (b)   如果消费者在以个人或集体为基础对企业提起任何法定损害赔偿诉讼之前,提前30天向企业发出书面通知,说明消费者声称已经或正在违反本编的具体规定,则消费者可根据本节提起诉讼。在可以补救的情形中,如果在30天内,企业实际补救了所发现的违规行为,并向消费者提供了一份明确的书面声明,说明违规行为已得到补救,不再发生违规行为,那就不得对企业提起个人或集体的法定损害赔偿诉讼。个人消费者仅就因涉嫌违反本编而遭受的实际金钱损失提起诉讼,无需在此之前发出任何通知。如果企业违反本条款规定的向消费者提供的明示书面声明,继续违反本编规定,消费者可以对该企业提起诉讼,强制执行该书面声明,并可以对每一次违反明示书面声明的行为,以及在书面声明后的任何其他违反本编的行为,追究法定赔偿金。
     
      (c)   本节确定的诉讼事由仅适用于(a)小节中定义的违法行为,不得基于违反本编任何其他章节的行为。本编的任何内容均不得解释为任何其他法律规定的私人诉讼权的依据。这不应解释为免除任何一方根据其他法律或美国或加利福尼亚州宪法所施加的任何责任或义务。
     
      第1798.155节
     
      (a)   任何企业或第三方都可征求总检察长的意见,就如何遵守本编的规定寻求指导。
     
      (b)   如果一家企业在接到被指控的不合规通知后30天内,未能纠正任何被指控的违反行为,则该企业违反本编规定。任何企业、服务提供商或其他违反本编的人应受到禁令的约束,并应承担每次违规不超过2500美元、每次故意违规不超过7500美元的民事罚款,由总检察长以加利福尼亚州人民的名义提起的民事诉讼中予以评估和追偿。本节规定的民事处罚应在总检察长以加利福尼亚州人民的名义提起的民事诉讼中单独评估和追缴。
     
      (c)   因违反本编而被评估的任何民事处罚,以及根据(b)小节提起的诉讼的任何和解所得,应存入根据第1798.160节第(a)小节在普通基金内设立的消费者隐私基金,以支付州法院和总检察长所花费的与本编有关的所有费用。
     
      第1798.160节
     
      (a)   即此在国库普通基金内设立一个称为“消费者隐私基金”的特别基金,在立法机关拨款后,可用于支付州法院因执行本编提诉讼而产生的所有费用,以及总检察长在履行本编规定的职责时所产生的所有费用。
     
      (b)   转移到消费者隐私基金的资金,应专门用于支付州法院和司法部长与本编有关的任何费用。这些资金不得由立法机关为任何其他目的拨款或转移,除非财政部长确定这些资金超过了充分支付州法院和总检察长与本编有关的费用所需的资金,在这种情况下,立法机关可以将多余的资金用于其他目的。
     
      第1798.175节
     
      本编旨在进一步加强宪法性隐私权,并补充有关消费者个人信息的现行法律,包括但不限于第22章(从第22575节开始)的《商业和行业法规》第8节1.81编(从第1798.80节开始)。本编的规定不限于以电子方式或通过互联网收集的信息,适用于所有企业从消费者处收集和出售的个人信息。只要有可能,与消费者个人信息有关的法律,都应解释为符合本编的规定,如果其他法律与本编的规定发生冲突,应以对消费者隐私权提供最大保护的法律规定为准。
     
      第1798.180节
     
      本编规定的问题关系整个加利福尼亚州,本编取代并优先于市、县、郡、自治区、或地方机构就企业收集和销售消费者个人信息所采用的所有规则、规章、法规、条例和城市所通过的其他法律。
     
      第1798.185节
     
      (a)   在2020年7月1日或之前,总检察长应广泛征求公众的意见,通过法规来深化本编的意义,这包括但不限于以下领域:
     
      (1)     根据需要,更新第1798.130节第(c)小节和第1798.140节第(o)小节中列举的其他类别的个人信息,以解决技术、数据收集实践、实施障碍和隐私问题方面的变化。
     
      (2)     根据需要,更新唯一标识符的定义,以解决技术变化、数据收集、实施障碍和隐私关注,以及根据第1798.130节,为方便消费者从企业获取信息而提交请求的指定方法定义的附加类别。
     
      (3)     根据需要,在本编通过后的一年内以及此后,确立遵守州或联邦法律所需的任何例外,包括但不限于与商业秘密和知识产权有关的例外。
     
      (4)     制定下列规则和程序:
     
      (A)  协助及管理消费者提出的,根据第1798.120节规定的要求其选择不出售个人资料的意见。
     
      (B)  管理企业是否遵守消费者的退出请求。
     
      (C)  促进企业开发和使用一个可识别和统一的选择退出标志或按钮,以提高消费者对选择退出出售个人信息机会的意识。
     
      (5)     在每个奇数年的1月,调整第1798.140节(c)小节第(1)段(A)款中的最低金额,以反映消费物价指数的增长。
     
      (6)     制定规则、程序和所有必要的例外,以确保企业根据本编要求提供的告知和信息,以普通消费者容易理解,残障消费者容易获取、并主要以与消费者互动的语言的方式提供;这包括在本编通过后的一年内以及之后,根据需要制定有关财务激励产品的规则和指南。
     
      (7)     制定规则和程序,以促进第1798.110和1798.115节的目的,并促进消费者或消费者的授权代理人根据第1798.130节获取信息的能力,以尽量减轻消费者的管理负担,同时考虑到现有技术、安全关注点和企业负担,在本编通过后一年内以及按此后的需要,将通过客户在企业中维护的受密码保护的账户提交的请求视为可验证的客户请求,同时提供一种机制,使不在企业中维护账户的消费者通过企业对消费者身份的认证来请求信息。
     
      (b)   总检察长可通过下列附加规章:
     
      (1)     制定规则和程序,说明如何处理和遵守可核实的消费者对与家庭有关的特定个人信息的要求,以解决实施障碍和隐私问题。
     
      (2)     为深化本编的意义所必须。
     
      (c)   根据本节发布的最终条例公布后6个月或2020年7月1日(以较早者为准)之前,总检察长不得根据本编提起强制执行诉讼。
     
      第1798.190节
     
      如果一系列步骤或交易是一项交易的组成部分,而该项交易从一开始就旨在规避本编的规定,包括企业向第三方披露信息以规避销售的定义范围,为了实现本编的目的,法院应忽略中间步骤或交易。
     
      第1798.192节
     
      任何类型的合同或协议的任何条款,如意图以任何方式放弃或限制消费者在本编下的权利,包括但不限于获得补救或强制执行手段的任何权利,应被视为违反公共政策,认定为无效和不可执行。本节不应妨碍消费者拒绝向企业索取信息,或拒绝和选择退出企业出售消费者个人信息,或授权企业在消费者先前选择退出后出售其个人信息。
     
      第1798.194节
     
      本编应宽泛地解释,以实现其目的。
     
      第1798.196节
     
      本编旨在允许的范围内补充联邦法律和州法律,但如果联邦法律或美国或加利福尼亚州宪法已有规定或本编与之冲突,则本编不适用。
     
      第1798.198节
     
      (a)   除了第(b)小节和第1798.199节规定的限制,本编应于2020年1月1日生效。
     
      (b)   本编将会生效,除非根据《选举法》第9604节从投票中撤回第17-0039号倡议措施(2018年《消费者隐私权法案》)。
     
      第1798.199节
     
      尽管有1798.198节的规定,但1798.180节应在本法案添加该节的生效之日一并生效。
     
      加州消费者隐私法案条例

      第11编 法律
     
      第一部分 总检察长
     
      第二十章 加州消费者隐私法案条例
     
      第1条 一般规定
     
      第999.300节 编和范围
     
      (a)   本章应称为《加州消费者隐私法案条例》。本章将称为“本条例”。本条例适用于《加州消费者隐私法案》合规,本条例不限制消费者可能拥有的任何其他权利。
     
      (b)   违反本条例,即构成违反《加州消费者隐私法案》,并应遵守其中规定的救济措施。
     
      注:引用的权威:民法典第1798.185节。参考:民法典第1798.100-1798.199节。
     
      第999.301节 定义
     
      除《民法典》第1798.140节规定的定义外,就本条例而言:
     
      (a)    “肯定授权”是指表明消费者有意作出的同意出售其个人信息的行为。在父母或监护人代表13岁以下儿童行事的情况下,这意味着父母或监护人已同意按照第999.330节规定的方法出售儿童的个人信息。对于13岁及13岁以上的消费者,应通过两步程序加以证明,消费者应首先明确选择加入,然后再对选择加入进行确认。
     
      (b)    “总检察长”是指加州总检察长或加州司法部在加州总检察长授权下行事的任何官员或雇员。
     
      (c)    “授权代理人”是指符合第999.326节规定,在州务卿处登记的且已获得消费者授权的自然人或商业实体。
     
      (d)    “来源类别”是指企业从中收集消费者个人信息的实体类型,包括但不限于从消费者处直接收集、从政府实体处获取公共记录和从数据经销商处获取。
     
      (e)    “第三方类别”是指不直接从消费者收集个人信息的实体类型,包括但不限于广告网络、互联网服务提供商、数据分析提供商、政府实体、操作系统和平台、社交网络和数据经销商。
     
      (f)      “加州消费者隐私法案”是指2018年《加州消费者隐私法案》,民法典第1798.100节以下。
     
      (g)    “经济激励”是指因披露、删除或出售个人信息而向消费者支付的作为补偿的计划、福利或其他优惠。
     
      (h)    “家庭”是指居住在单一住宅中的个人或群体。
     
      (i)      “收集告知”是指根据《民法典》第1798.100(b)节的要求和本条例的规定,企业在向消费者收集个人信息时或之前向消费者发出的告知。
     
      (j)      “选择退出权利的告知”是指根据《民法典》第1798.120节和第1798.135节的要求以及本条例的规定,由企业发出的通知,告知消费者具有选择退出出售其个人信息的权利。
     
      (k)    “经济激励告知”是指根据《民法典》第1798.125(b)节的要求和本条例的规定,由企业发出的解释每项经济激励或价格或服务差异的告知。
     
      (l)      “价格或服务差异”是指(1)任何商品或服务向任何消费者收取的价格或费率的任何差异,包括通过使用折扣、付费或其他福利或处罚;或(2)向任何消费者提供的任何商品或服务的水平或质量的任何差异,包括拒绝提供商品或者为消费者提供服务。
     
      (m)  “隐私政策”是指《民法典》第1798.130(a)(5)节中提及的政策,是指企业应向消费者提供的声明,说明企业在网上和网下收集、使用、披露、出售个人信息的做法,以及消费者对其个人信息的权利。
     
      (n)    “知情请求”是指消费者请求企业根据《民法典》第1798.100、1798.110或1798.115节披露其拥有的关于消费者的个人信息,包括对以下任何或所有内容:
     
      (1)   企业掌握的有关消费者个人信息的特定部分;
     
      (2)   收集的消费者个人信息的种类;
     
      (3)   收集的消费者个人信息的来源类别;
     
      (4)   企业为经营目的出售或者披露的消费者个人信息的种类;
     
      (5)   为商业目的向其出售或者披露个人信息的第三方的类别
     
      (6)   收集、出售个人信息的业务或者商业目的。
     
      (o)    “删除请求”是指消费者请求企业根据《民法典》第1798.105节删除企业从消费者处收集的有关消费者的个人信息。
     
      (p)    “选择退出请求”是指根据《民法典》第1798.120(a)条,消费者请求企业不向第三方出售消费者的个人信息。
     
      (q)    “选择加入请求”是指《民法典》第1798.120(c)条规定,企业可由不满13岁的消费者的父母或监护人,或先前选择不出售其个人信息的消费者,出售有关该消费者的个人信息的肯定授权。
     
      (r)     “第三方身份验证服务”是指由独立的第三方提供的安全程序,该第三方验证用于验证向企业提出请求的消费者的身份。第三方身份验证服务,须遵守第4条关于知情请求和删除请求的规定。
     
      (s)    “典型消费者”是指居住在美国的自然人。
     
      (t)      “网址”代表统一的资源定位器(Uniform Resource Locator),是指特定网站的网址。
     
      (u)    “验证”是指确定提出知情或删除请求的消费者与企业收集信息的消费者为同一消费者。
     
      注:引用的权威:民法典第1798.185节。参考:民法典第1798.100-1798.199节。
     
      第2条 告知消费者
     
      第999.305节 个人信息收集告知
     
      (a)   宗旨和一般原则
     
      (1)   收集时告知的目的是在收集消费者个人信息时或者收集前,告知消费者收集的个人信息的种类和使用目的。
     
      (2)   收集时告知应当以普通消费者易于阅读和理解的方式设计并向消费者出示。告知应:
     
      a.    使用简单明了的语言,避免使用技术或法律术语。
     
      b.    使用能吸引消费者注意的告知,并使用易读的格式,包括在可行的情形下在较小的屏幕上进行告知。
     
      c.     使用正常业务过程中向消费者提供合同、免责声明、销售公告和其他信息的语言。
     
      d.    使得残障消费者可以访问。至少应提供信息,告诉残障消费者如何以其他格式访问告知。
     
      e.    处在收集任何个人信息之前可见或可访问的位置。例如,当企业在线上收集消费者的个人信息时,告知可以以链接形式出现在企业的网站主页或移动应用程序的下载页上,或在收集个人信息的所有网页上的醒目位置。当企业在线下收集消费者的个人信息时,告知可以出现在企业收集个人信息的纸质版表格上,企业也可以提供醒目的标牌,将消费者引导到包含告知链接的网址。
     
      (3)   企业不得将消费者的个人信息用于收集时告知披露的用途以外的其他用途。企业将消费者的个人信息用于收集告知中未披露的用途的,应当直接将新用途告知消费者,并征得消费者的明确同意。
     
      (4)   除收集时告知披露的个人信息外,企业不得收集其他类别的个人信息。如果企业打算收集其他类别的个人信息,企业应在收集时提供新的告知。
     
      (5)   企业未在收集消费者个人信息时或收集前向消费者发出收集告知的,不得向消费者收集个人信息。
     
      (b)   企业收集时的告知应包括以下内容:
     
      (1)   拟收集消费者个人信息的类别清单。每一类个人信息的命名方式,应使消费者清楚地理解所收集的信息。
     
      (2)   每一类个人信息将用于的业务或商业目的。
     
      (3)   如果企业出售个人信息,则提供第999.315(a)节要求的标题为“请勿出售本人个人信息”或“请勿出售本人信息”的链接,或者如果是线下告知,则提供其链接到的网页的网址。
     
      (4)   指向企业隐私政策的链接,或在线下告知的情况下,则提供指向企业隐私政策的网址。
     
      (c)   如某企业在线上向消费者收集个人信息,则可提供链接至包含有(b)款所规定信息的该企业隐私政策的一节,向消费者发出收集告知。
     
      (d)   不直接向消费者收集信息的企业,无需在向消费者收集信息时提供告知,但在出售消费者的个人信息之前,企业应采取下列任一行动:
     
      (1)   直接与消费者联系,提供企业出售消费者个人信息的告知,并按照第999.306条向消费者提供退出权告知
     
      (2)   联系个人信息来源以:
     
      a.    确认信息来源按照(a)和(b)款向消费者提供了收集告知;以及
     
      b.    获取包含信息来源签名的证明,证明信息来源是如何在收集时发出告知的,并包括告知的示例。该证明应由企业保存至少两年,并应要求提供给消费者。
     
      注:引用的权威:民法典第1798.185节。参考:民法典第1798.100、1798.115和1798.185节。
     
      第999.306节 选择退出出售个人信息权利的告知
     
      (a)   宗旨和一般原则
     
      (1)   选择退出出售个人信息权利的告知,其目的是告知消费者,他们有权指示出售(或可能在未来出售)其个人信息的企业停止出售其个人信息,并在未来不这样做。
     
      (2)   选择退出权利多告知,其设计和呈现方式应便于普通消费者阅读和理解。告知应:
     
      a.    使用简单明了的语言,避免使用技术或法律术语。
     
      b.    使用能吸引消费者注意的告知,并使易读的格式,包括在可行的情形下在较小的屏幕上进行告知。
     
      c.     使用正常业务过程中向消费者提供合同、免责声明、销售公告和其他信息的语言。
     
      d.    使得残障消费者可以访问。至少应提供信息,告诉残障消费者如何以其他格式访问告知。
     
      (b)   出售消费者个人信息的企业,应向消费者提供以下选择退出权利的告知:
     
      (1)   企业应当在网站主页或者移动应用下载、登陆页面点击“请勿出售本人个人信息”或者“请勿出售本人信息”链接后,在消费者所浏览的互联网网页上发布选择退出权利多告知。告知应包括(c)小节列举的信息,或者链接到包含相同信息的企业隐私政策部分。
     
      (2)   与消费者进行实质性线下互动的企业,还应当通过线下方式向消费者提供告知,方便消费者了解自己的选择退出权利。这些方法包括但不限于,将告知打印在收集个人信息的纸质表格上,向消费者提供告知的纸质版本,并张贴标示,将消费者引导到可以找到告知的网站。
     
      (3)   不经营网站的企业应建立、记录并遵守另一种方法,即告知消费者其有权要求出售其个人信息的企业停止出售其个人信息。该方法应符合第(a)(2)款规定的要求。
     
      (c)   企业应在其选择退出权利的告知中包括以下内容:
     
      (1)   消费者选择退出出售其个人信息的权利说明;
     
      (2)   根据第999.315(a)节的要求,消费者可以线上提交选择退出请求的网络表单,或者如果企业不经营网站,消费者可以线下提交选择退出请求;
     
      (3)   消费者提出选择退出请求的其他方式的说明;
     
      (4)   消费者使用授权代理人行使选择退出权利时所需的任何证明,或者如果是含有告知的纸质版表格,则提供消费者可以找到授权代理人信息的网页、线上位置或网址
     
      (5)   指向企业隐私政策的链接或网址,或者如果是包含告知的纸质版表格,则为消费者可以访问隐私政策的网页的网址。
     
      (d)   在下列情况下,企业可免于提供选择退出权利的告知:
     
      (1)   对于未张贴选择退出权利的告知期间收集的个人信息,不出售、未来也不会出售
     
      (2)   在其隐私政策中声明,现在没有并且未来也不会出售个人信息。在未张贴选择权告知的情况下收集个人信息的消费者应被视为已有效提交了选择权请求。
     
      (e)   选择退出的按钮或标志
     
      (1)   除张贴选择退出权利告知外,亦可使用下列选择退出按钮或标志,但不得代替张贴该告知。[在修改后的条例中,将增加按钮或标志,并供公众评论。]
     
      (2)   此退出按钮或标志,应链接到包含第999.306(c)节规定信息的网页或在线位置,或链接到企业隐私政策的包含相同信息的部分。
     
      注:引用的权威:民法典第1798.185节。参考:民法典第1798.120、1798.135和1798.185节。
     
      第999.307节 经济激励告知
     
      (a)   宗旨和一般原则
     
      (1)   经济激励告知的目的是向消费者解释企业为保留或出售消费者个人信息而提供的每一项经济激励或价格或服务差异,以便消费者在充分知情的情形下决定是否参与。
     
      (2)   经济激励告知应当按照易读和易懂的方式设计和呈现给消费者。告知应:
     
      a.    使用简单明了的语言,避免使用技术或法律术语。
     
      b.    使用能吸引消费者注意的告知,并使用易读的格式,包括在可行的情形下在较小的屏幕上进行告知。
     
      c.     使用正常业务过程中向消费者提供合同、免责声明、销售公告和其他信息的语言。
     
      d.    使得残障消费者可以访问。至少应提供信息,告诉残障消费者如何以其他格式访问告知。
     
      e.    在消费者选择加入经济激励或价格或服务差异之前,可以在网上或其他物理位置访问。
     
      (3)   如果企业线上提供经济激励或价格或服务差异,可通过提供包含(b)小节所要求信息的企业隐私政策部分的链接来发出告知。
     
      (b)   企业应在其经济激励告知中包括以下内容:
     
      (1)   对所提供的经济激励或者价格或服务差异的简要说明;
     
      (2)   经济激励或价格或服务差异的实质性条款说明,包括经济激励或价格或服务差异涉及的个人信息类别;
     
      (3)   消费者如何选择经济激励或价格或服务差异;
     
      (4)   告知消费者随时有权退出经济激励,以及消费者如何行使该权利。
     
      (5)   为什么《加州消费者隐私法案》允许经济激励或价格或服务差异的解释,包括:
     
      a.    对消费者数据价值的善意估计,构成提供经济激励或价格或服务差异的基础;以及
     
      b.    描述企业用来计算消费者数据价值的方法。
     
      注:引用的权威:民法典第1798.185节。参考:民法典第1798.125和1798.130节。
     
      第999.308节 隐私政策
     
      (a)   宗旨和一般原则
     
      (1)   隐私政策的目的是向消费者全面描述企业线上和线下收集、使用、披露和出售个人信息方面的方式,以及消费者对其个人信息的权利。隐私政策不应包含关于个人消费者的具体个人信息,也不需要针对每个消费者进行个性化定制。
     
      (2)   隐私政策的设计和呈现方式,应便于普通消费者阅读和理解。告知应:
     
      a.    使用简单明了的语言,避免使用技术或法律术语。
     
      b.    使用易读的格式,包括在可行的情形下在较小的屏幕上进行告知。
     
      c.     使用正常业务过程中向消费者提供合同、免责声明、销售公告和其他信息的语言。
     
      d.    使得残障消费者可以访问。至少应提供信息,告诉残障消费者如何以其他格式访问告知。
     
      e.    提供附加格式,允许消费者将其作为单独的文档打印出来。
     
      (3)   隐私政策应线上发布在企业网站主页或移动应用程序的下载或登录页上的醒目位置,隐私政策的链接须使用“隐私”一词。如果企业在其网站上有特定关于加利福尼亚州消费者隐私权利的描述,则隐私政策应包含在该描述中。不经营网站的企业,应当以醒目方式向消费者提供隐私政策。
     
      (b)   隐私政策应包括以下信息:
     
      (1)   对收集、披露、出售个人信息的知情权
     
      a.    说明消费者有权要求企业披露其收集、使用、披露和出售的个人信息。
     
      b.    提供有关提交可验证的消费者知情请求的向导,如果企业提供线上请求表单或网站的话,则提供其链接,以便消费者提出请求。
     
      c.     描述企业将用于验证消费者请求的程序,包括消费者必须提供的任何信息。
     
      d.    收集的个人信息
     
      1.    列出企业在过去12个月内收集的消费者个人信息的类别。告知的撰写方式,应使消费者清楚地理解所收集的信息。
     
      2.    提供收集的每一类个人信息的来源类别、收集信息的业务或商业目的,以及与企业共享个人信息的第三方类别。告知的撰写方式,应使消费者清楚地理解所收集的信息的类别。
     
      e.    个人信息的披露或出售
     
      1.    说明在过去12个月内,公司是否向第三方披露或出售任何个人信息用于业务或商业目的。
     
      2.    列出其在过去12个月内,为业务或商业目的向第三方披露或出售的任何个人信息的类别。
     
      3.    说明该企业是否未经批准出售16岁以下未成年人的个人信息。
     
      (2)   请求删除个人信息的权利
     
      a.    说明消费者有权要求企业删除其所收集或储存的个人信息。
     
      b.    提供有关提交可验证的消费者删除请求的向导,如果企业提供线上请求表单或网站,则提供其链接,以便消费者提出请求
     
      c.     描述企业将用于验证消费者请求的程序,包括消费者必须提供的任何信息。
     
      (3)   选择退出出售个人信息的权利
     
      a.    说明消费者有权选择退出企业出售其个人信息。
     
      b.    包括选择退出权的告知的内容,或者符合第999.306节的链接。
     
      (4)   消费者隐私权不受歧视的权利
     
      a.    说明消费者在行使《加州消费者隐私权法案》授予的隐私权时不受企业歧视。
     
      (5)   委托代理人
     
      a.    解释消费者如何指定授权代理人代表消费者在《加州消费者隐私权法案》下提出请求。
     
      (6)   获取更多信息的联系方式:使用反映企业与消费者主要互动方式的方式,向消费者提供有关企业隐私政策和做法的问题或关切的联系方式……
     
      (7)   上次更新隐私政策的日期。
     
      (8)   如果符合第999.317(g)节规定的要求,在第999.317(g)(1)节中所汇编的信息或其链接。
     
      注:引用的权威:民法典第1798.185节。参考:民法典第1798.105、1798.115、1798.120、1798.125和1798.130节。
     
      第3条 处理消费者请求的企业实践
     
      第999.312节 提交知情请求和删除请求的方法
     
      (a)   企业应向消费者提供两种或两种以上指定的提出请求的方式,其中须包括通过免费电话提出请求的方式;如果企业经营网站,则应提供可通过企业网站或移动应用程序访问的交互式网络表格。提交这些请求的其他可行方法包括但不限于指定的电子邮件地址、亲自提交的表格和通过邮件提交的表格。
     
      (b)   企业应提供两种或两种以上提交删除请求的指定方法。提交这些请求的可行方法包括但不限于免费电话、通过企业网站线上提供的链接或表格、指定的电子邮件地址、亲自提交的表格,以及通过邮件提交的表格。
     
      (c)   企业在确定提交知情请求和删除请求时,应考虑其与消费者互动的方法。即使要求企业提供三种提交知情请求的方法,其所提供的方法中,也至少有一种应反映企业与消费者互动的主要方式。示例如下:
     
      (1)   例1:如果企业是在线零售商,消费者提交请求的方法中,至少一种应通过企业的零售网站。
     
      (2)   例2:该企业经营网站,但主要是在零售地点亲自与顾客互动,则该业务须提供三种提交知情要求的方法:免费电话、可透过该业务网站进入的互动网页表格,以及可在零售地点亲自提交的表格。
     
      (d)   企业应采用两步程序处理线上提交的删除请求,消费者必须首先明确提交删除请求,然后确认该请求。
     
      (e)   如果企业在其正常经营过程中没有与消费者直接互动,消费者提交知情请求或删除请求的方法中,至少方法一种应是线上的,例如通过该企业的网站或张贴在该企业网站上的链接。
     
      (f)     如果消费者提交请求的方式不是指定的提交方式之一,或者在某些与验证程序无关的方式上有缺陷,则企业应:
     
      (1)   将请求视为按照企业指定的方式提交,或
     
      (2)   向消费者提供关于如何提交请求,或者如有必要,提供补救任何缺陷的具体指示(如适用)。
     
      注:引用的权威:民法典第1798.185条。参考:民法典第1798.100、1798.105、1798.110、1798.115、1798.130、1798.140和1798.185节。
     
      第999.313节 对知情请求和删除请求的回应
     
      (a)   在收到知情请求或删除请求后,企业应在10天内确认收到该请求,并提供信息说明企业将如何处理该请求。所提供的信息应说明企业的验证过程,以及消费者应在何时得到答复,但企业已经批准或拒绝请求的情况除外。
     
      (b)   企业应在45天内回应知情请求和删除请求。45天的期限将从企业收到请求的当天开始计算,而不考虑验证请求所需的时间。若有必要,企业可以额外要求45天来回应消费者的请求,即从收到请求的当天起总共最多90天,但前提是,企业向消费者提供告知,并解释商业需要超过45天的时间来回应请求的原因。
     
      (c)   回应知情请求
     
      (1)   对于要求披露消费者具体信息的请求,如果企业无法根据第4条规定验证请求人的身份,企业不得向请求人披露任何具体的个人信息,并应告知请求人无法核实其身份。如果请求全部或部分被拒绝,企业还应评估消费者的请求,就像正在请求根据第(c)(2)款披露有关消费者的各类个人信息一样。
     
      (2)   对于要求披露有关消费者的各类个人信息的请求,如果企业无法验证根据第4条规定请求人的身份,企业可拒绝披露所要求的类别和其他信息的请求,并应告知请求人无法验证其身份。如果请求全部或部分被拒绝,企业应向消费者提供或指引其在隐私政策中规定的有关收集、储存和销售个人信息的一般商业惯例。
     
      (3)   如果披露消费者的个人信息会给消费者在企业中的账户或企业的系统或网络安全造成重大、明确和不合理的风险,则企业不得向消费者提供特定的个人信息。
     
      (4)   在任何时候,企业都不得泄露消费者的社会保险号码、驾驶证号码或者其他政府核发的身份证号码、金融账号、健康保险或医疗身份证号码、账户密码、安全问答等信息。
     
      (5)   如果由于与联邦或州法律冲突,或者由于《加州消费者隐私法案》所规定的例外情况,企业拒绝了消费者对全部或部分个人信息的验证请求,则企业应告知请求人并解释拒绝的依据。仅部分拒绝的,企业应当披露消费者要求的其他信息。
     
      (6)   企业向消费者传递个人信息,应当采取合理的安全措施。
     
      (7)   如果企业存储的消费者账户受密码保护,它可以通过如下方式遵守知情请求:使用安全的自助服务门户让消费者访问和查看,如果门户网站充分披露了消费者根据《加州消费者隐私法案》和本条例享有的个人信息权利,使用了合理的数据安全控制措施,并符合第4条规定的验证要求,则消费者可接收其个人信息的可携带副本。
     
      (8)   除非另有规定,《民法典》第1798.130(a)(2)节所指的可验证消费者的知情请求所涵盖的12个月,是指从业务部门收到请求之日起计算,不考虑验证请求所需的时间。
     
      (9)   对已验证的消费者提出的个人信息类别、来源类别和/或第三方类别的知情要求,企业应当按照《加州消费者隐私法案》的要求,向消费者提供个性化的答复。企业不得向消费者提供其隐私政策中概述的一般实践,除非企业针对该消费者请求的事项会所有消费者提供相同的答复,并且隐私政策中已包含答复此类知情请求所需的所有信息。
     
      (10)          在回应已验证的个人信息类别的知情请求时,企业应就其收集到的关于消费者的每一种已确定的个人信息类别作出规定:
     
      a.    收集个人信息的来源类别;
     
      b.    收集个人信息的业务或商业目的;
     
      c.     为商业目的向其出售或披露个人信息的第三方类别;以及
     
      d.    出售或披露该类个人信息的业务或商业目的。
     
      (11)          企业应确定个人信息的类别、个人信息来源的类别以及企业向其出售或披露个人信息的第三方的类别,以使消费者能够清楚地理解所列举的类别。
     
      (d)   回应删除请求
     
      (1)   对于删除请求,如果企业不能按照第4条的规定验证请求人的身份,企业可以拒绝删除请求。企业应告知请求人其身份无法验证,同时应将其请求视为选择退出出售的请求。
     
      (2)   企业应通过以下方式,遵守消费者删除其个人信息的请求:
     
      a.    永久和彻底擦除其现有系统上的个人信息,除了存档或备份系统之外;
     
      b.    对个人信息进行去标示化;或
     
      c.     汇总个人信息。
     
      (3)   如果企业将任何个人信息存储在存档或备份系统上,它可以延迟遵守消费者关于删除存档或备份系统上存储的数据的请求,直到下次访问或使用存档或备份系统时。
     
      (4)   企业在回应消费者的删除请求时,应当说明删除个人信息的方式。
     
      (5)   企业在回应删除请求时,应当披露其将根据《民法典》第1798.105(d)节保存该请求记录。
     
      (6)   企业拒绝消费者删除请求的,应当采取下列措施:
     
      a.    告知消费者其不会遵守消费者的请求,并说明拒绝的依据,包括任何法律和监管例外;
     
      b.    删除不属于例外情况的消费者个人信息;以及
     
      c.     不得将消费者的个人信息用于该例外规定以外的任何其他目的。
     
      (7)   在回应删除请求时,只有在同时提供删除所有个人信息的全局选项,并且比其他选项更醒目的情况下,企业才可以向消费者提供删除其选定部分个人信息的选项。如果消费者按照第999.312(d)节的要求确认其选择,企业仍应采用两步确认的程序。
     
      注:引用的权威:民法典第1798.185节。参考:民法典第1798.100、1798.105、1798.110、1798.115、1798.130和1798.185节。
     
      第999.314节 服务提供商
     
      (a)   如果某个人或实体向非企业的个人或组织提供服务,并满足《民法典》第1798.140(v)节规定的“服务提供者”的其他要求,则就《加州消费者隐私权利法案》和本条例而言,该个人或实体应被视为服务提供者。
     
      (b)   企业指示个人或实体代表企业直接从消费者处收集个人信息,并满足《民法典》第1798.140(v)节规定的“服务提供者”的所有其他要求,就《加州消费者隐私权利法案》和本条例而言,该人或实体应被视为服务提供者。
     
      (c)   服务提供者不得将从其服务的个人或实体或从消费者与服务提供者的直接互动中获得的个人信息,用于为另一个人或实体提供服务。然而,服务提供者可将其作为服务提供者的一个或多个实体接收到的个人信息合并起来,代表此类企业以检测数据安全事件,或防止欺诈或非法活动。
     
      (d)   如果服务提供者收到消费者关于服务提供者代表企业信息技术服务收集、维护或销售的个人信息的知情请求或删除请求,且拒绝该请求,则服务提供者应解释拒绝的依据。服务提供者还应告知消费者其应直接向服务提供者代表其处理信息的企业提交请求,并在可行的情况下,向消费者提供该企业的联系信息。
     
      (e)   作为企业的服务提供者,应遵守《加州消费者权利隐私法案》和本条例中关于其作为服务提供者之外收集、储存或出售任何个人信息的规定。
     
      注:引用的权威:民法典第1798.185节。参考:民法典第1798.100、1798.105、1798.110、1798.115、1798.130、1798.140和1798.185节。
     
      第999.315节 选择退出请求
     
      (a)   企业应提供两种或两种以上提交退出请求的指定方法,至少包括通过企业网站或移动应用程序上的醒目位置放置标题为“请勿出售本人个人信息”或“请勿出售本人信息”的的交互式网络表单。提交退出请求的其他可接受方法包括但不限于免费电话、指定电子邮件地址、亲自提交的表格、通过邮件提交的表格以及用户启用的隐私控制,如浏览器插件或隐私设置或其他机制,传达或显示消费者选择退出出售个人信息。
     
      (b)   企业在确定消费者可以使用哪些方法提交选择退出请求时,应考虑其与消费者互动的途径、企业向第三方出售个人信息的方式、可行的技术、以及普通消费者的使用方便。企业所提供的方法中,至少一种应反映企业与消费者互动的主要方式。
     
      (c)   如果企业线上从消费者处收集个人信息,企业应将用户启用的表明或暗示其选择不出售个人信息的隐私控制,如浏览器插件或隐私设置或其他机制,作为根据《民法典》第1798.120节就该浏览器或设备或消费者提交的有效请求。
     
      (d)   在回应选择退出请求时,只有在选择退出销售所有个人信息的全局选项比其他选项更醒目的情况下,企业才可以向消费者提供选择退出销售其选定部分个人信息的选项。
     
      (e)   企业在收到退出请求后,应在可行的情况下尽快采取行动,但不得迟于企业收到请求之日起的15天。
     
      (f)     企业应在收到消费者请求的90天内,告知其曾出售消费者个人信息的所有第三方,消费者已行使其选择退出的权利,并指示所有第三方不再出售该消费者的个人信息。企业完成告知后,应当通知消费者。
     
      (g)   如消费者向授权代理人提供书面准许,则消费者可任用授权代理人代替消费者提交选择退出申请。如果授权代理人没有提交证据证明其已被消费者授权代表消费者行事,企业可以拒绝该授权代理人的请求。用户启用的表明或暗示其选择不出售个人信息的隐私控制,如浏览器插件或隐私设置或其他机制,应被视为直接来自消费者的请求,而不是通过授权代理的请求。
     
      (h)   选择退出的请求,不必是可验证的消费者请求。但是,如果企业有善意、合理的理由相信且有文件证明,消费者选择退出请求具有欺骗性,则企业可以拒绝该请求。企业应告知请求方,其将拒绝请求,并应解释其认为请求具有欺骗性的原因。
     
      注:引用权威:民法典第1798.135和1798.185节。参考:民法典第1798.120、1798.135、1798.140和1798.185节。
     
      第999.316节 选择不出售个人信息后要求选择加入
     
      (a)   选择加入出售个人信息的请求应采用两步选择加入程序,即消费者应首先明确要求选择加入,然后分别确认其选择加入的要求。
     
      (b)   当某项交易以出售消费者个人信息作为完成条件时,企业可告知选择退出的消费者,并说明消费者如何选择加入。
     
      注:引用的权威:民法典第1798.185节。参考:民法典第1798.120、1798.135和1798.185节。
     
      第999.317节 培训;记录
     
      (a)   负责处理消费者询问关于企业隐私实践或企业遵守《加州消费者隐私法案》的所有人,应充分知悉《加州消费者隐私法案》和本条例中的所有要求,以及如何指导消费者行使《加州消费者隐私法案》和本条例下的权利。
     
      (b)   根据《加州消费者隐私法案》提出的消费者请求,以及企业如何回应上述请求的记录,企业应至少保存24个月。
     
      (c)   记录可采用记录单或日志格式保存,但记录单或日志应包括请求日期、请求性质、提出请求的方式、企业答复的日期、答复的性质,以及全部或部分拒绝请求时拒绝请求的依据。
     
      (d)   企业保存本节要求的信息,只要该信息不用于任何其他目的,就不会构成违反《加州消费者隐私法案》或本条例。
     
      (e)   为保存纪录而保存的资料,不得作任何其他用途。
     
      (f)     除此记录保存目的外,企业不需要仅为满足消费者根据《加州消费者隐私法案》提出的要求而保留个人信息。
     
      (g)   若企业一年之内出于商业目的单次或共计购买、接收、出售或分享4000000及以上消费者的个人信息,则该企业应:
     
      (1)   编制上一年的以下指标:
     
      a.    该企业已收到、全部或部分遵守,以及拒绝的知情请求的数量;
     
      b.    该企业已收到、全部或部分遵守,以及拒绝的删除请求的数量;
     
      c.     该企业已收到、全部或部分遵守,以及拒绝的选择退出请求的数量;
     
      d.    企业实质性回应知情请求、删除请求和选择退出请求的平均天数。
     
      (2)   在其隐私政策内披露第(g)(1)小节中汇编的信息,或在其网站上发布的信息,以及从其隐私政策中的链接访问信息。
     
      (3)   建立、记录并遵守培训政策,以确保负责处理消费者请求或企业遵守《加州消费者隐私法》的所有人,都了解本条例和《加州消费者隐私法》的所有要求。
     
      注:引用的权威:民法典第1798.185节。参考:民法典第1798.100、1798.105、1798.110、1798.115、1798.120、1798.130、1798.135和1798.185节。
     
      第999.318节 访问或删除家庭信息的请求
     
      (a)   如果消费者在企业中没有受密码保护的账户,企业可以根据第4条规定的验证要求,通过提供家庭汇总信息回应与家庭个人信息有关的知情或删除请求。
     
      (b)   如果该家庭的所有消费者共同请求获得该家庭的特定信息或删除家庭个人信息,而且企业可以根据第4条规定的验证要求对该家庭的所有成员进行逐一验证,则企业应遵守这一请求。
     
      注:引用的权威:民法典第1798.185节。参考:民法典第1798.100、1798.105、1798.110、1798.115、1798.120、1798.130、1798.140和1798.185节。
     
      第4条 请求验证
     
      第999.323节 验证的一般规则
     
      (a)   企业应建立、记录并遵守合理的方法,以验证提出知情或删除请求的人是企业收集其信息的消费者。
     
      (b)   在确定企业验证消费者身份的方法时,企业应:
     
      (1)   在可行的情况下,将消费者提供的身份信息与企业已经保存的消费者个人信息进行比对,或者使用符合本节规定的第三方身份验证服务。
     
      (2)   避免收集《民法典》第1798.81.5(d)节中确定的个人信息类型,除非出于验证消费者的目的而有必要。
     
      (3)   考虑以下因素:
     
      a.    收集和储存的有关消费者个人信息的类型、敏感性和价值。敏感或有价值的个人信息,应使用更严格的验证程序。《民法典》第1798.81.5(d)节中确定的个人信息类型应视为推定敏感信息;
     
      b.    未经授权的访问或删除对消费者造成损害的风险。未经授权的访问或删除会对消费者造成更大损害的风险,应使用更严格的验证程序;
     
      c.     欺诈或恶意行为人收集个人信息的可能性。可能性越大,验证过程越严格;
     
      d.    为了防止欺诈请求、欺骗或捏造,消费者为验证其身份而提供的个人信息是否足够可靠,;
     
      e.    企业与消费者互动的方式;以及
     
      f.      可用于验证的技术。
     
      (c)   企业一般应避免为了验证而要求消费者提供额外信息。但是,如果企业根据其保存的信息难以验证消费者的身份,企业可以要求消费者提供额外信息,但这些信息只能用于验证寻求行使其在CCPA项下权利的消费者的身份,以及出于安全或防止欺诈的目的。企业应在处理消费者的请求后,应尽快删除为验证目的而收集的任何新的个人信息,但符合第999.317节要求的除外。
     
      (d)   企业应实施合理的安全措施,以发现欺诈性的身份验证活动,并防止未经授权访问或删除消费者个人信息。
     
      (e)   如果企业储存的消费者信息被去标识,则企业没有义务回应消费者提出的提供或删除该信息的请求,或重新标识个人数据以验证消费者请求。
     
      注:引用的权威:民法典第1798.185节。参考:民法典第1798.100、1798.105、1798.110、1798.115、1798.130、1798.140和1798.185节。
     
      第999.324节 验证受密码保护的账户
     
      (a)   如果一个企业保存的消费者账户受密码保护,企业在遵循第999.323节要求的前提下,可以通过现有的认证实践来验证消费者的身份。企业还应当要求消费者在披露或者删除消费者数据前重新进行身份认证。
     
      (b)   如果企业怀疑受密码保护的账户在进行欺诈或恶意活动,则在进一步的验证程序确定消费者的请求是真实的,而且提出请求的消费者与企业收集信息的消费者是同一人之前,企业不应遵守消费者的知情请求或删除请求。企业可按照第999.325节规定的程序,进一步验证消费者的身份。
     
      注:引用的权威:民法典第1798.185条。参考:民法典第1798.100、1798.105、1798.110、1798.115、1798.130和1798.185条。
     
      第999.325节 非账户持有人的验证
     
      (a)   如果消费者没有或无法访问企业的密码保护账户,企业应遵守本节第(b)至(g)小节以及第999.323节的规定。
     
      (b)   企业满足个人信息类别的知情请求之前,应在合理的确定程度内验证提出请求的消费者身份。合理的确定程度,可以包括将消费者提供的至少两个数据点与企业保存的、已确定对于验证消费者是可靠的数据点相匹配。
     
      (c)   企业满足特定个人信息类别的知情请求之前,应在合理的高确定程度内验证提出请求的消费者身份,这是一个较高的验证标准。合理的高确定程度可以包括将消费者提供的至少三份个人信息与企业保存的、其已确定为可靠的个人信息进行匹配,以验证消费者,并附上一份伪证罪的签署声明,声明请求者是请求个人信息的消费者主体。企业应保留所有已签署的声明,作为其记录保存义务的一部分。
     
      (d)   企业满足删除请求之前,要求企业根据个人信息的敏感性和未经授权删除对消费者造成损害的风险,对消费者身份进行合理的确定程度或合理的高确定程度的验证。例如,删除家庭照片和文件可能需要相当高的确定程度,而删除浏览历史只需要合理高的确定程度。企业应当按照第四条的规定,确定验证消费者时适用的适当标准,并基于善意采取行动。
     
      (e)   说明性情景如下:
     
      (1)   如企业以与指名的实际人士有关联的方式保存个人信息,则该企业可要求该消费者提供与该企业所保存的个人信息相符的证据,以验证该消费者的身份。例如,如果企业保留消费者的姓名和信用卡号码,企业可以要求消费者提供信用卡的安全码,并识别消费者最近使用信用卡购买的物品,在合理的确定程度内验证其身份。
     
      (2)   如果企业以与指名的实际人员无关的方式保存个人信息,企业可以要求消费者证明其是与非指名的识别信息相关联的唯一消费者,以验证消费者的身份。这可能要求企业结合第999.323(b)(3)节中规定的因素,进行基于事实的验证程序。
     
      (f)     如没有合理的方法使企业能按本条所规定的确定程度验证消费者的身份,则企业须在回应消费者的请求时如实阐明,如该企业持有其个人信息的所有消费者如此,则该企业须在其隐私政策中如此阐明。企业还应解释,为什么没有合理的方法来验证请求者的身份。企业应每年评估是否可以确立某种合理的方法,并记录评估结果。
     
      注:引用的权威:民法典第1798.185节。参考:民法典第1798.100、1798.105、1798.110、1798.115、1798.130和1798.185节。
     
      第999.326节 授权代理人
     
      (a)   当消费者通过授权代理人提交知情请求或删除请求时,企业可要求消费者:
     
      (1)   向授权代理人提供书面许可
     
      (2)   直接向企业验证本人身份
     
      (b)   (a)款不适用于消费者已依据《遗嘱认证法》第4000至4465节向授权代理人提供授权书的情况。
     
      (c)   如果授权代理人没有提交证明其已被消费者授权代表消费者行事的证据,企业可以拒绝该授权代理人的请求。
     
      注:引用的权威:民法典第1798.185节。参考:民法典第1798.100、1798.110、1798.115、1798.130和1798.185节。
     
      第5条 未成年人的特别规则
     
      第999.330节 13岁以下的未成年人
     
      (a)   选择加入出售个人信息的程序
     
      (1)   企业如实际知悉其收集或保存13岁以下儿童的个人信息,则须设立、记录及遵从合理方法,以确定肯定授权出售有关该儿童个人信息的人是该儿童的父母或监护人。《儿童在线隐私保护法》(15 U.S.C.)第6501节以下要求可验证的父母同意,此肯定授权是对其的补充。
     
      (2)   为确保提供同意的人是子女的父母或监护人而合理计算的方法包括:
     
      a.    企业提供一份由父母或监护人签署的造假可被处以伪证罪的同意书,并以邮递、传真或电子扫描方式寄回该企业;
     
      b.    在与货币交易有关的情况下,要求父母或监护人使用信用卡、借记卡或其他在线支付系统向主要账户持有人提供每笔单比交易的告知;
     
      c.     让父母或监护人拨打由受过培训的人员接听的免费电话;
     
      d.    让家长或监护人通过视频会议与受过培训的人员联系;
     
      e.    让父母或监护人亲自与受过培训的人员沟通;以及
     
      f.      验证父母或监护人的身份,方法是将政府签发的身份证明表格与此类信息的数据库进行核对,在验证完成后,企业立即从其记录中删除父母或监护人的身份证明。
     
      (b)   当一家企业依据本节第(a)小节获得肯定性授权时,该企业应告知父母或监护人在以后选择退出的权利,以及依据第999.315节为其子女选择退出的程序。
     
      注:引用的权威:民法典第1798.185条。参考:民法典第1798.120、1798.135和1798.185(a)(6)节。
     
      第999.331节 13至16岁的未成年人
     
      (a)   企业如实际知悉其收集或保存13至16岁以下未成年人的个人信息,应根据第999.316条,建立、记录并遵守允许未成年人选择加入出售其个人信息的合理程序。
     
      (b)   当一家企业从一名年龄在13岁及16岁以下的未成年人处收到选择加入出售个人信息的请求时,该企业应告知该未成年人在以后选择退出的权利,以及根据第999.315条选择退出的程序。
     
      注:引用的权威:民法典第1798.185节。参考:民法典第1798.120、1798.135和1798.185节。
     
      第999.332节 对16岁以下未成年人的告知
     
      (a)   受第999.330节和第999.331节管辖的企业,应在其隐私政策中包括对这些章节中规定的程序进行描述。
     
      (b)   专门针对直接向16岁以下消费者提供商品或服务的企业,未经这些未成年人的肯定授权,或其父母或监护人对13岁以下未成年人的肯定授权,不得出售这些未成年人的个人信息,无需提供选择退出权告知。
     
      注:引用的权威:民法典第1798.185款。参考:民法典第1798.120、1798.135和1798.185款。
     
      第6条 不得歧视
     
      第999.336节 歧视性做法
     
      (a)   如果企业因为消费者行使了《加州消费者隐私法》或本条例授予的权利而对消费者差别对待,则经济激励或价格或服务差异就是歧视性的,因此将被《民法典》第1798.125节的禁止。
     
      (b)   尽管有本节第(a)小节的规定,但如果企业与第999.337节中定义的消费者数据的价值合理相关,仍可以提供有差别的价格或服务。
     
      (c)   举例如下:(1)例1:音乐流媒体业务提供免费服务和每月5美元的优质服务。如果只赋予付费的消费者选择不出售其个人信息的权利,那么这种做法是歧视性的,除非每月5美元的付款与消费者数据对企业的价值合理相关。(2):例2:一家零售商店向注册成为其邮件列表的消费者提供折扣价。如果邮寄名单上的消费者即使在提出知情请求、删除请求和/或选择退出请求后仍能继续收到折扣价格,则不同的价格水平并不具有歧视性。
     
      (d)   企业因《加州消费者隐私法案》或本条例允许的理由拒绝消费者的知情、删除或选择退出请求,不应被视为歧视。
     
      (e)   根据《民法典》第1798.125节,企业应将其根据第999.307节提供的任何经济激励或价格或服务差异告知消费者。
     
      (f)     企业依据《民法典》第1798.145(g)(3)节收取合理费用,不应视为本条例规定的经济激励。
     
      注:引用的权威:民法典第1798.185节。参考:民法典第1798.125、1798.130和1798.185节。
     
      第999.337节 计算消费者数据的价值
     
      (a)   根据《民法典》第1798.125条,消费者数据提供给消费者的价值,等同于消费者数据提供给企业的价值,应称为“消费者数据的价值”。
     
      (b)   为估算消费者数据的价值,根据《民法典》第1798.125节提供经济激励或价格或服务差异的企业应使用并记录合理善意的消费者数据价值计算方法。企业应使用下列一项或多项:
     
      (1)   销售、收集、删除消费者数据或者典型消费者数据对企业的边际价值;
     
      (2)   销售、收集、删除消费者数据或者典型消费者数据的对企业的平均价值;
     
      (3)   企业从不同层次、不同类别、不同群体的消费者,或者数据价值不同的典型消费者取得的收入或者利润;
     
      (4)   销售、收集、保存消费者个人信息获得的收入;
     
      (5)   销售、收集、保存消费者个人信息的有关费用;
     
      (6)   与提出、提供或者实施财务激励、差价或者服务有关的费用;
     
      (7)   销售、收集、保存消费者个人信息所产生的利润;以及
     
      (8)   善意使用的其他实用可靠的计算方法。
     
      注:引用的权威:民法典第1798.185节。参考:民法典第1798.125、1798.130和1798.185节。
     
      第7条 可分割性
     
      第999.341节
     
      (a)   本章本条例所载的任何条、节、小节、句、款或语句,如果因任何原因被认定为违反宪法、违反法规、超出总检察长的权限,或在某些方面无法实施,该认定不影响本条例其余部分的有效性。
     
      注:引用的权威:民法典第1798.185款。参考:民法典第1798.105、1798.145、1798.185和1798.196款。

    【作者简介】
    丁晓东,中国人民大学法学院副教授、博士生导师,中国人民大学未来法治研究院副院长。中山大学电子与通信工程专业学士,北京大学、耶鲁大学法学博士。

    本网站文章仅代表作者个人观点,不代表本网站的观点与看法。
    转载请注明出自北大法律信息网
0
北大法律信息网
www.chinalawinfo.com
法律动态
网站简介
合作意向
网站地图
资源导航
版权声明
北大法宝
www.pkulaw.cn
法宝动态
法宝优势
经典客户
免费试用
产品服务
专业定制
购买指南
邮件订阅
法律会刊
北大英华
www.pkulaw.com
英华简介
主要业务
产品列表
英华网站
联系我们
用户反馈
返回顶部
二维码
博聚网