包括欧盟在内的欧洲经济区发起了现代隐私革命，特别是开创性隐私法规《通用数据保护条例》（GDPR）的颁布和实施，全球的用户隐私保护也取得了进步。而在美国，《加利福利亚用户隐私法（CCPA）》打响了隐私保护的第一枪。CCPA通过将数据权还给个人，从根本上改变企业处理用户数据的方式。CCPA保障了个体用户的数据权益，在美国，除了金融和健康医疗行业外，其他行业并无此类法规的先例。

尽管CCPA让用户选择退出数据收集的方式没有那么先进（相比GDPR更加友好的用户选择进入机制），但CCPA所规定的用户权利迫使企业彻底改变其对用户数据的处理方式，包括对收集、存储、共享和其他方式处理的全部数据进行映射。有5大用户权利对企业处理用户数据的方式有很大影响，具体如下：

信息知情权

企业在处理任何收集到的任一类用户个人信息之前，必须通知用户此类信息的用途，如果企业要出售用户的任何个人信息，则用户有权撤回此类信息。在进行此类操作前，企业一般要在企业网站的隐私政策中告知用户，但是现在还要详细列出企业处理用户个人信息的方式，每年更新一次。

访问权

如有要求，企业必须为用户提供其已处理的用户个人信息类别、信息来源类别、用途、个人信息共享或出售的第三方所属类别以及企业已经处理的具体内容。企业提供的信息必须便于使用，可让用户将个人信息无障碍传到另一家公司。此项权利迫使企业执行耗资（资源+资金）巨大的数据映射程序，以确保合规性。

删除权

如有要求，企业必须删除用户的全部个人信息。此项权利来源于GDPR备受争议的“遗忘权”，但CCPA纳入了一个第一修正案的例外情况。欧盟现在已经意识到需要平衡该权利，因为欧盟最高法院最近裁定此类例外情况适用。不幸的是，该权利仍然要求企业负责针对此类例外情况的适用性作出艰难的法律决策，还要求在此类例外情况不适用时执行耗资（资源+资金）巨大的数据映射程序。

退出出售权

如果企业出售用户的任何个人信息，企业必须为用户提供标题为“不要出售我的个人信息”的主页链接，用户可选择不出售自己的个人信息。而对于各个年龄段的孩子，则采用单独的规定，包括选择加入要求并征得父母同意方面的规定。如无合适的方案，那么在发生并购时，用户有权不将自己的个人信息转移到新成立的实体，此举将对已出售企业的价值产生重大不利影响。

不受歧视权

CCPA禁止企业拒绝消费品或服务、收取各种费用、或提供不同质量的商品和服务，因为用户行使的是CCPA项下的任何权利。但是，明确征得用户加入的同意后，企业可以提供财务激励措施来收集、出售或删除用户的个人信息。但是取决于这些规则是否能够证明在保护用户隐私方面卓有成效或让用户自行决定其个人信息的用途。

最新应用成果

企业也对CCPA作出了一些积极的回应。最近有5个支持企业的修订案载入法律。

修订案具体内容：

• 在2021年1月1日之前，免除员工和应聘者的个人信息。
• 在2021年1月1日之前，免除企业与企业之间与通信和交易相关的个人信息。
• 免除去识别化后汇总的用户信息，扩大公开资料的免除范围。
• 部分免除车辆质保和车辆召回所必需的个人信息。
• 删除仅在线上运营企业提供免费电话聆听用户诉求的要求。
• 除了初始法律和修正案外，企业需要继续监管并评估CCPA，因为需要在立法规定的加州总检察长条例（初版已于10月10日发布）中提供进一步说明。

展望未来

GDPR和CCPA的颁布为美国联邦政府和多个州增加了动力来考虑颁布更全面和更严格的数据隐私法规。即使美国采用的CCPA和其他数据隐私法规没有欧洲所颁布的法规那么先进，但未在欧盟开展业务的美国企业仍需要准备应对美国市场的变化或违反适用法律的风险、用户失去信心以及市值受损等情况。



来源：AXEL_Network