引言
2025年7月24日，加州隐私保护局（CPPA）全票通过了《加州消费者隐私法案》（CCPA）最新修订方案，涵盖了自动化决策技术（ADMT）、网络安全审计、风险评估及保险公司等方面（以下简称“CCPA新规”）。
此次CCPA新规对经《加州隐私权利法案》（CPRA）修订后的CCPA进行了多项补充，进一步细化了ADMT、网络安全审计、风险评估等内容，并扩大了对保险公司的监管范围。值得注意的是，2024年11月，CPPA曾就相关草案向公众征求意见，最终法规在多轮修订后正式通过。以下内容源自Metaverse Law创始人Lily Li的专业解读。
网络安全审计
根据《加州消费者隐私法案》（CCPA）条例，凡其处理消费者个人信息对消费者安全构成重大风险的企业，必须完成网络安全审计。以下情形可能被认定为需进行审计：
企业50%或以上的年收入来自于出售或共享消费者个人信息；或
截至日历年1月1日，上一自然年度年营业总收入超过2500万美元；并且
上一自然年度处理了25万名或以上消费者或家庭的个人信息；或
上一自然年度处理了5万名或以上消费者的敏感个人信息。
对于需遵守上述要求的企业，Li指出：“网络安全审计的适用范围非常广泛。虽然许多企业（如金融、医疗和大型企业软件公司）已经每年进行安全审计，但这些规定可能会影响到此前从未被审计过的公司。
这包括数据经纪人、线索生成公司、营销及分析服务提供商——这些公司超过50%的收入来自于数据买卖和共享。同时也包括许多直接面向消费者运营、每年处理25万名以上加州消费者个人信息的标准营销企业。”
网络安全审计的完成时间要求如下：
如果企业2026年的年营业总收入在2027年1月1日时超过1亿美元，最晚须于2028年4月1日前完成；
如果企业2027年的年营业总收入在2028年1月1日时为5000万至1亿美元之间，最晚须于2029年4月1日前完成；
如果企业2028年的年营业总收入在2029年1月1日时低于5000万美元，最晚须于2030年4月1日前完成；
2030年4月1日以后，如果某年1月1日企业处理消费者个人信息对其安全构成重大风险，该企业必须完成覆盖未来12个月的网络安全审计。
网络安全审计的核心在于评估企业的网络安全项目如何：
防止个人信息被未授权访问、破坏、使用、修改或披露；
防止未授权行为导致个人信息的可用性丧失。
审计内容包括但不限于：
多因素认证、密码或密码短语的使用；
个人信息的加密；
账户管理和访问控制；
个人信息的清单及管理；
硬件和软件的安全配置；
网络监控与防御；
网络安全意识，包括企业如何持续掌握网络安全威胁和对策；
网络安全教育和培训；
个人信息的保留期限及在无需保留时的妥善处置；
企业如何应对安全事件。
此外，CCPA条例要求网络安全审计报告须包含：
企业信息系统相关内容，并明确：
被评估的政策、程序和实践；
审计所采用的标准；
审查的具体证据；
审计结论的具体理由；
上述各项的适用情况，说明企业如何执行合规要求，并评估其防止未授权访问、破坏、使用、修改或披露个人信息，以及防止因未授权行为导致个人信息可用性丧失的效果；
政策和程序中存在的导致未授权访问或个人信息可用性丧失风险增加的任何缺陷或弱点；
之前网络安全审计报告的任何修正或补充；
负责企业网络安全项目的最多三名合格人员的职位名称。
值得注意的是，企业可以使用为其他目的准备的网络安全审计、评估或测评，只要其符合CCPA条例的所有要求。
消费者主体权利
CCPA条例对消费者选择不出售或共享个人信息的请求作出了变更。企业必须提供两种或以上指定方式，供消费者提交不出售/共享个人信息的请求。企业还必须为消费者提供确认其请求已被处理的途径，例如可在其网站上显示“已同意不出售请求”，或在消费者隐私设置中通过开关或单选按钮显示消费者已选择不出售/共享其个人信息。
CCPA条例还给出了企业如何满足不出售/共享个人信息请求的示例，包括使用程序化广告技术的企业和披露消费者个人信息的营销公司。
关于替代性选择退出链接，CCPA条例允许企业调整替代退出图标的颜色以确保其醒目。例如，若网页背景与图标颜色相同，企业可反转或更改图标颜色以确保可见。该图标必须紧邻名为“您的隐私选择”或“您的加州隐私选择”的链接。
此外，关于处理限制权，已行使该权利的消费者，如果某项交易、产品或服务需要为额外目的使用或披露其敏感个人信息，企业必须予以告知，并提供指引说明消费者如何就企业为上述额外目的使用或披露敏感个人信息予以同意。
来源：https://www.dataguidance.com/opinion/california-ccpa-regulations-next-steps-businesses
2025年7月24日，加州隐私保护局（CPPA）全票通过了《加州消费者隐私法案》（CCPA）最新修订方案，涵盖了自动化决策技术（ADMT）、网络安全审计、风险评估及保险公司等方面（以下简称“CCPA新规”）。
此次CCPA新规对经《加州隐私权利法案》（CPRA）修订后的CCPA进行了多项补充，进一步细化了ADMT、网络安全审计、风险评估等内容，并扩大了对保险公司的监管范围。值得注意的是，2024年11月，CPPA曾就相关草案向公众征求意见，最终法规在多轮修订后正式通过。以下内容源自Metaverse Law创始人Lily Li的专业解读。
网络安全审计
根据《加州消费者隐私法案》（CCPA）条例，凡其处理消费者个人信息对消费者安全构成重大风险的企业，必须完成网络安全审计。以下情形可能被认定为需进行审计：
企业50%或以上的年收入来自于出售或共享消费者个人信息；或
截至日历年1月1日，上一自然年度年营业总收入超过2500万美元；并且
上一自然年度处理了25万名或以上消费者或家庭的个人信息；或
上一自然年度处理了5万名或以上消费者的敏感个人信息。
对于需遵守上述要求的企业，Li指出：“网络安全审计的适用范围非常广泛。虽然许多企业（如金融、医疗和大型企业软件公司）已经每年进行安全审计，但这些规定可能会影响到此前从未被审计过的公司。
这包括数据经纪人、线索生成公司、营销及分析服务提供商——这些公司超过50%的收入来自于数据买卖和共享。同时也包括许多直接面向消费者运营、每年处理25万名以上加州消费者个人信息的标准营销企业。”
网络安全审计的完成时间要求如下：
如果企业2026年的年营业总收入在2027年1月1日时超过1亿美元，最晚须于2028年4月1日前完成；
如果企业2027年的年营业总收入在2028年1月1日时为5000万至1亿美元之间，最晚须于2029年4月1日前完成；
如果企业2028年的年营业总收入在2029年1月1日时低于5000万美元，最晚须于2030年4月1日前完成；
2030年4月1日以后，如果某年1月1日企业处理消费者个人信息对其安全构成重大风险，该企业必须完成覆盖未来12个月的网络安全审计。
网络安全审计的核心在于评估企业的网络安全项目如何：
防止个人信息被未授权访问、破坏、使用、修改或披露；
防止未授权行为导致个人信息的可用性丧失。
审计内容包括但不限于：
多因素认证、密码或密码短语的使用；
个人信息的加密；
账户管理和访问控制；
个人信息的清单及管理；
硬件和软件的安全配置；
网络监控与防御；
网络安全意识，包括企业如何持续掌握网络安全威胁和对策；
网络安全教育和培训；
个人信息的保留期限及在无需保留时的妥善处置；
企业如何应对安全事件。
此外，CCPA条例要求网络安全审计报告须包含：
企业信息系统相关内容，并明确：
被评估的政策、程序和实践；
审计所采用的标准；
审查的具体证据；
审计结论的具体理由；
上述各项的适用情况，说明企业如何执行合规要求，并评估其防止未授权访问、破坏、使用、修改或披露个人信息，以及防止因未授权行为导致个人信息可用性丧失的效果；
政策和程序中存在的导致未授权访问或个人信息可用性丧失风险增加的任何缺陷或弱点；
之前网络安全审计报告的任何修正或补充；
负责企业网络安全项目的最多三名合格人员的职位名称。
值得注意的是，企业可以使用为其他目的准备的网络安全审计、评估或测评，只要其符合CCPA条例的所有要求。
消费者主体权利
CCPA条例对消费者选择不出售或共享个人信息的请求作出了变更。企业必须提供两种或以上指定方式，供消费者提交不出售/共享个人信息的请求。企业还必须为消费者提供确认其请求已被处理的途径，例如可在其网站上显示“已同意不出售请求”，或在消费者隐私设置中通过开关或单选按钮显示消费者已选择不出售/共享其个人信息。
CCPA条例还给出了企业如何满足不出售/共享个人信息请求的示例，包括使用程序化广告技术的企业和披露消费者个人信息的营销公司。
关于替代性选择退出链接，CCPA条例允许企业调整替代退出图标的颜色以确保其醒目。例如，若网页背景与图标颜色相同，企业可反转或更改图标颜色以确保可见。该图标必须紧邻名为“您的隐私选择”或“您的加州隐私选择”的链接。
此外，关于处理限制权，已行使该权利的消费者，如果某项交易、产品或服务需要为额外目的使用或披露其敏感个人信息，企业必须予以告知，并提供指引说明消费者如何就企业为上述额外目的使用或披露敏感个人信息予以同意。
来源：https://www.dataguidance.com/opinion/california-ccpa-regulations-next-steps-businesses