一、CPRA与CPRA实施细则
加州隐私权法案（California Privacy Rights Act, 简称CPRA）是美国加州2020年通过的法案，旨在修改2018年通过的加州消费者隐私法（California Consumer Privacy Act, 简称CCPA），设立新的消费者个人信息处理要求，并创设了加州隐私保护局（California Privacy Protection Agency，简称CPPA）来实施和执行法律。CPRA大幅修订和放大了CCPA的要求，使加州隐私法在许多方面更接近欧盟的一般数据保护条例（GDPR）。
事实上，CPRA并没有创设新的法律，它只是修订和增强了原有的CCPA，因此有些人将其俗称为“CCPA 2.0”。与CCPA类似，CPRA的关键细节将由配套的实施细则进一步充实，包括更正权规则、选择退出的技术要求以及服务提供商和新定义的“承包商”实体的数据使用协议。
CPRA实施细则（CPRA regulations）是对CPRA法律框架的具体细化。这些细则澄清了法律中的关键条款，并为受法律约束的企业提供了操作指引，比如如何告知消费者他们在法案下享有的权利，如何处理消费者请求，如何验证提出请求的消费者的身份，以及如何适用与未成年人相关的法律。CPRA实施细则涵盖了15个领域，例如风险评估、自动化决策制定技术等，但截至2023年3月29日，加州数据保护局仅完成了15个领域中12个领域的法规，还有3个领域没有最终实施细则。
二、裁决的背景和内容
2018年的CCPA确立了加州居民的消费者数据隐私权。两年后，加州通过了CPRA，对CCPA法案进行了修订，对消费者个人信息的处理提出了新的要求，并成立了加州隐私保护局（CPPA）来实施和执行该法律。CPRA要求加州隐私保护局在2022年7月1日前通过最终实施细则，并在一年后的2023年7月1日开始执行。
但加州隐私保护局无法在2022年7月1日的最后期限前完成，最终于2023年3月29日才完成了第一套CPRA 实施细则，这远远超过了原定期限。如果按照最初的执行时间表，受CPRA约束的企业必须确保在实施细则定稿后三个月内而不是一年内遵守法规。
加州商会对这一短暂的时间表表示担忧，要求将 CPRA实施细则的执行时间推迟到加州隐私保护局通过该实施细则的一年之后。加州商会向加州萨克拉门托县高级法院提起诉讼，要求暂缓CPRA实施细则的执行，理由是CPRA规定加州隐私保护局必须在2022年7月1日前公布所有最终实施细则，企业在实施细则通过和执行之间应有一年的宽限期。
2023年6月30日美国加州萨克拉门托县高级法院批准了加州商会的禁令请求，通过临时裁决将CPRA实施细则的执行时间推迟至2024年3月29日，即加州隐私保护局发布最终实施细则的一年后。
在此案中，法院认为CPRA硬性规定了2022年7月1日为实施细则的最后完成日期，并指出将于2023年7月1 日开始执行，这实质上要求在开始执行实施细则之前有12个月的宽限期。由于实施细则直到2023年3月29 日才最终确定，法院认为此时同样需要12个月的宽限期，所以裁定要求执行日期同样推后到2024年3月29 日。
加州数据保护局在裁决后发表的声明中指出，他们对这一结果感到失望，但并未表明是否计划对此裁决提出上诉。
三、裁决不影响CPRA本身的执行
目前，CPRA实施细则的全面执行已被推迟至2024年3月29日，这为受约束的企业提供了更多的时间来使其数据保护实践符合加州数据保护局的要求。然而，重要的是要理解，这一延迟仅适用于实施细则，而不影响CPRA本身的执行。
实际上，加州数据保护局仍然可以对涉嫌违反CCPA、CCPA实施细则以及CPRA的公司提起执法行动。因此，虽然实施细则的执行被推迟，但CPRA的本质要求并未发生改变，企业仍需遵循CPRA的各项条款。
四、CPRA相比CCPA的主要更新
裁决虽然暂缓了CPRA实施细则的执行，但CPRA本身已于2023年1月1日开始执行。以下是CPRA相较于CCPA的主要更新，这些更新现在就需要受到监管的企业重视和遵循：
1. 覆盖范围
CCPA：覆盖年收入超过2500万美元的公司；收集50,000或更多的加州消费者、家庭或设备的个人信息的公司；或从出售个人信息中获得50%以上收入的公司。
CPRA：自2023年1月1日起，修改门槛，包括年收入不变；购买、销售或共享100,000加州消费者或家庭的个人信息；或从出售或共享个人信息中获得50%以上收入。
2. 加州隐私保护局（CPPA）的创设
CCPA：由加州检察长负责执行。
CPRA：由CPPA负责执行，职责从2021年7月1日开始。
3. 消费者权利的增强与拓展
新增纠正权：允许消费者纠正不准确的个人信息。
敏感个人信息的定义和合规要求：包括社会保障号、驾驶执照号码、护照号码、准确地理位置、种族或族裔起源、宗教信仰、生物识别数据、健康或性生活信息等。
“不销售”选择权扩展到“共享”：涵盖用于第三方广告的信息共享。
尊重消费者：强调企业要尊重消费者的“选择退出”权
4. 员工和B2B信息例外的取消
CCPA：在CCPA下，某些员工和B2B的个人信息被排除在消费者隐私权保护之外。
CPRA：CCPA的这种例外至2023年1月1日结束。从2023年1月1日起，与员工、B2B有关的个人信息将受到与其他消费者相同的保护，公司必须确保其人力资源实践和处理B2B有关的个人信息时遵循CPRA的规定。
5. 增加独立和明确的义务
CCPA：不详细规定。
CPRA：要求实施适合个人信息性质的合理安全程序和做法。
6. 针对高风险企业的新规定
CCPA：未涵盖。
CPRA：要求进行年度的“全面”和“独立”的网络安全审计，并定期向CPPA提交风险评估。
7. 新的供应商流程要求
CCPA：未要求
CPRA：实施一套新的供应商流程要求，要求企业重新审视他们在原来CCPA框架下签订的与供应商的合同。
综上，CPRA在许多方面对CCPA进行了增强和扩展，提高了覆盖范围的阈值，增加了消费者权利，强化了安全要求，提出了新的合规要求，并创设了新的执法机构，这需要覆盖范围内的企业在接下来的时间里付出更多的合规努力。
五、不是加州企业也仍可能需要遵守CPRA
出海企业确定自身是否受CPRA的约束至关重要，即使是总部不在加州或在加州没有处所或设办事处的实体，仍可能会有遵守CPRA的义务。
企业必须是在美国加州开展业务的营利性实体，且必须符合以下条件，才受CPRA监管：
在上一日历年度的总收入超过2500万美元；或
购买、出售或共享加州至少100,000名消费者或家庭的信息；或
年收入的50%或以上来自出售或共享加州消费者的个人信息。
重要的是，“在加州开展业务”的表述可能有多种含义。是否在加州经营业务是显而易见的，但该法案也包括在加州只有一名员工的非加州公司。此外，如果一家公司与大量加州居民有业务往来，则也可能受 CPRA管辖。例如，如果公司网站收集了超过100,000名加州居民的数据，则必须遵守CPRA的相关规定。所以，如果网站有来自加州消费者的流量，我们建议可能需要考虑修改隐私政策，以解决这些加州消费者的额外数据隐私权问题，并全面遵守CPRA。
对于中国出海企业和全球化布局，还需要考虑员工（远程办公员工或办公室员工）是否在加州。CPRA终止了CCPA对员工数据的豁免，这意味着在雇佣范围内从员工或求职者处收集的所有数据均受CPRA约束。
六、敲响出海企业数据合规的警钟
CPRA实施细则的延迟实施为中国出海企业提供了更长的时间，使其数据合规计划能够在这一年中跟上步伐，但是出海企业不应把这当作是一个喘息的机会，因为在接下来的时间中，企业需要履行的数据保护义务只会增加而不会减少。
CPRA实施细则的推迟执行对企业来说可能是一把双刃剑，一方面，这些实施细则澄清了一些问题，能让企业更清楚加州数据保护局可以执行的内容，但实施细则本身并未给企业带来实质性的额外义务和负担；另一方面，因为CPRA实施细则明确了CPRA中更高层次的要求，可能会给企业带来合规压力，例如，目前加州数据保护局已经可以开始对其认为违反CPRA要求的企业采取行动，要求其提供适当、准确的隐私通知。尽管实施细则中规定的具体要求尚未强制执行，但企业仍应参考CPRA实施细则，以明确和遵守这些要求。
加州数据保护局仍需就一些主题制定最终实施细则，比如网络安全评估要求，类似的12个月宽限期可能适用于未来最终化的CPRA实施细则。
七、结论
CPRA和配套的实施细则标志着美国加州隐私法规的一个重要进展，其包括了许多更新和改变，这些变革对在加州运营的企业以及与加州消费者有业务往来的其他组织带来了一系列的挑战和机遇。面对CPRA实施细则的推迟执行，企业不应放松警惕，而应该抓紧布局CPRA的相关合规工作。
- 范围的扩展：CPRA不仅适用于加州的企业，而且可能影响到那些与加州有业务往来的国内外公司。这要求全球范围内的组织都必须关注此法案的影响。
- 消费者权益的加强：通过引入敏感个人信息权利、纠正权和更严格的儿童信息保护等，CPRA进一步增强了消费者的权利和保护。
- 企业责任的增加：从数据最小化原则到风险评估和年度审计，CPRA对企业施加了更严格的责任和要求。
- 合规的复杂性：CPRA的规定较之前的CCPA有所增加和变化，这意味着企业必须重新评估和可能需要调整其隐私政策和流程。
- 执法的严格化：新设立的加州隐私保护局预计将带来更严格的执法，增加了对违规行为的处罚能力。
- 应对的挑战和策略：企业需要慎重考虑如何适应这些变化，可能涉及法律、技术、流程和人员方面的调整和投资。
- 前瞻性与影响：CPRA可能是全球隐私法规进一步演变的信号，其他地区和国家可能会借鉴或响应，从而产生更广泛的影响。
总的来说，CPRA代表了隐私保护领域的一个重要里程碑，强调了数据保护的重要性，并推动了企业和组织在隐私管理方面的责任和透明度。所有与加州有业务联系的企业和组织都应认真研究此法案的具体要求，与专业法律人士合作，采取适当的措施来确保全面的合规。随着全球对隐私和数据保护的关注不断增加，CPRA和实施细则可能成为美国未来更广泛法规变革的先驱，值得所有相关方密切关注和学习。
参考文献：（向上滑动阅览） - California Consumer Privacy Act (CCPA). State of California - Department of Justice - Office of the Attorney General. (2023, May 10). https://oag.ca.gov/privacy/ccpa
- California, S. of. (n.d.). Laws & Regulations. https://cppa.ca.gov/regulations/
- CIPP, D. S., & Lee, J. B. (2023, July 7). Enforcement of CPRA regulations delayed until March 29, 2024. https://www.lexology.com/library/detail.aspx?g=0efe0866-3431-4ba0-bc57-d9fd6a985445
- Kurzer, M., Hancock, P. D., Scott, W., & Moore, L. (2023, April 4). CPRA regulations update: What in-house counsel need to know and do now. https://www.lexology.com/library/detail.aspx?g=3d24c244-ffd8-473b-864f-cabd5778c6f3
- Sacramento Superior Court delays enforcement of CPRA Implementing Regulations. JD Supra. (n.d.). https://www.jdsupra.com/legalnews/sacramento-superior-court-delays-7626139/
- Schaetzel, L. (2023, July 5). California court delays enforcement of CPRA regulations; as enforcement on originally passed statute begins. https://www.lexology.com/library/detail.aspx?g=133e03fb-b1dc-4530-bc87-efb7c3b11b38
- Shen, L., Navetta, D., LeBlanc, T., & Kim, N. (2023, July 3). Enforcement of CPRA regulations delayed until 2024. https://www.lexology.com/library/detail.aspx?g=5b004249-9f31-4b84-8d21-f8ae8bd68193