你在网上买过东西、注册过 App，你的姓名、地址、购买记录、浏览习惯就被企业收集走了。在加州，你对这些个人信息有一整套法定权利：知道企业收集了什么、要求删除、拒绝企业出售或分享你的信息——这就是加州消费者隐私法案 CCPA（经 CPRA 修订后现称”加州隐私权法案”）。本文讲你的六项权利、怎么行使，以及数据泄露后怎么索赔，另附华人常见场景问答。
一、CCPA 管谁：不是所有企业都要听你的
CCPA 只适用于在加州开展业务、且满足以下任一条件的营利性企业：
1. 年营收超过 2500 万美元（该门槛会按通胀调整，以官网最新公布为准）；
2. 每年买卖或分享 10 万名以上加州消费者的个人信息；
3. 年收入的 50% 以上来自出售或分享加州消费者的个人信息。
非营利组织和政府机构不受 CCPA 直接约束（但受其他隐私法约束）。你在小餐馆留的电话、只在本地经营的小店收集的信息，如果企业够不上上述门槛，CCPA 的权利就行使不了——不过联邦和加州还有其他法律（如 breach notification 法）提供底线保护。
注意：CCPA 保护的是加州居民（包括在加州的华人，无论移民身份）。你在加州居住期间产生的信息受保护；搬离加州后，新产生的信息可能不再受保护。
二、你的六项权利
权利一：知情权（Right to Know）。你有权要求企业告知：过去 12 个月收集了你的哪些类别的个人信息、从哪收集的、为什么收集、分享给了谁。企业必须免费提供，最多每 12 个月可要求两次。
权利二：删除权（Right to Delete）。你可以要求企业删除它收集的你的个人信息及备份（某些法定保留例外，如完成交易、履行法律义务所需的信息可以不删）。企业还必须通知它分享过信息的第三方服务商删除。注意删除权的例外：企业为完成你购买的交易、检测安全事件、行使言论自由、履行法律义务（如税法要求保留交易记录）而必需的信息，可以拒绝删除。实践中，银行、保险公司以”法律要求保留”为由部分拒绝删除是常见的，收到拒绝时要求企业书面说明具体依据哪条例外。
权利三：更正权（Right to Correct）。CPRA 新增：你发现企业存的你的信息有误（如错误的地址、信用记录），有权要求更正。
权利四：拒绝出售/分享（Right to Opt-Out）。你可以随时要求企业不得出售或分享你的个人信息用于跨场景行为广告。企业必须在首页放显眼的 “Do Not Sell or Share My Personal Information” 链接，一键 opt-out。16 岁以下未成年人的信息，企业必须先获得 opt-in 同意才能出售（13 岁以下需父母同意）。
权利五：限制敏感个人信息（Right to Limit）。对社保号、精确地理位置、种族、宗教、生物识别等敏感信息，你有权要求企业只用于提供服务所必需的用途，不得用于推断画像或广告。
权利六：不受歧视（Right to Non-Discrimination）。企业不能因为你行使了隐私权就涨价、降质、拒绝服务。但企业可以提供与信息价值挂钩的合法优惠（如 loyalty 计划），前提是明确告知且你自愿参加。
三、怎么行使权利：四步流程
第一步：找到企业的隐私请求通道。CCPA 要求企业提供至少两种提交方式：官网隐私页面表格 + 免费电话（或邮箱）。去企业官网搜 “Privacy Rights” 或 “Do Not Sell”，找不到可以直接发邮件给 privacy@ 这类邮箱。
第二步：提交可验证的请求（verifiable request）。说明你是加州居民、要行使哪项权利。企业会验证你的身份（比如让你登录账户确认，或提供两三项匹配信息），防止冒名请求。验证强度与请求的敏感度匹配：要删除全部信息比单纯 opt-out 验证更严。
第三步：等 45 天。企业必须在 45 天内实质回应，复杂情况可延长一次 45 天（需通知你）。opt-out 请求必须尽快处理，不得拖延。
第四步：可以委托代理人。你可以书面授权他人（如律师、家人）代你提交请求，企业不得因此刁难。授权代理人提交时需附上你的书面授权和代理人自己的身份验证。
四、数据泄露索赔：$100–$750 的私人诉权
这是 CCPA 里对普通人最”值钱”的一条：Civil Code §1798.150 赋予消费者私人诉权（private right of action），但只限一种情形——企业未履行合理安全义务，导致你的非加密个人信息被盗取、泄露（如姓名 + 社保号/驾照号/银行账号/医疗信息等组合被黑客拖库）。
赔偿标准：每位消费者每次事件 100 至 750 美元法定赔偿，或实际损失，取较高者。集体诉讼（class action）中这个数字非常可观——泄露 100 万用户的信息，法定赔偿池就是 1 亿到 7.5 亿美元。这也是数据泄露后总有律所主动找受害者组集体诉讼的原因。
前置程序：起诉要求法定赔偿前，你必须提前 30 天书面通知企业，给它补救机会。如果企业在 30 天内真正补救（如修复漏洞、提供信用监控）并书面承诺不再犯，你就不能再要法定赔偿（但实际损失还是可以追）。注意：这个 30 天通知只针对法定赔偿诉求，不影响你向总检察长投诉。
什么情况告不了：单纯的企业”违规收集”（比如没给你 opt-out 链接）没有私人诉权，只能向 CPPA（加州隐私保护局）或总检察长投诉，由政府执法。私人能告的只有数据泄露这一条，不要搞混。
五、数据经纪人与”一键删除”：Delete Act
数据经纪人（data broker）是专门买卖个人信息的公司，你从没听说过它们，它们却有你的档案。加州 2023 年通过的 Delete Act（删除法案）要求：所有数据经纪人必须在 CPPA 注册；CPPA 建立统一的删除请求平台，你提交一次删除请求，所有注册的数据经纪人都必须删除你的信息（每 45 天重新处理一次）。
实操：去 CPPA 官网找删除请求入口（California Delete Mechanism），提交后定期检查。搭配使用：同时在几个主流数据经纪人网站（如 Whitepages、Spokeo、BeenVerified）单独提交 opt-out，加快清理速度。华人常见的困扰——搬家后旧地址长期挂在网上被骚扰电话找到，用这一套组合拳清理效果最明显。
六之一、打工人的数据也有权：HR 信息纳入 CCPA
CPRA 修订后，CCPA 的保护范围扩大到了员工、求职者和承包商的个人信息。也就是说，你投简历、入职填表、打卡、绩效评估产生的数据，同样适用知情、删除、更正等权利。
能主张的场景：1）向前雇主要求删除离职后仍保留的个人信息（如紧急联系人、银行账号），但企业为税务、诉讼保留依法必须存档的信息除外；2）要求更正错误的人事记录；3）拒绝企业把你的信息出售或分享给第三方营销方。注意：B2B 和 HR 数据的”出售”限制在实践中有不少例外（如为发工资必须分享给 payroll 公司），主张前先看企业的隐私声明。
求职特别提示：AI 简历筛选越来越普遍。如果你怀疑某公司的 AI 筛选系统对你有歧视性影响，可以行使知情权要求企业说明用了哪些自动化决策工具、依据什么标准。加州正在推进对自动化决策的专门规制，这一块规则变化快，维权前查一下 CPPA 最新指引。
六之二、孩子的隐私：未成年人特殊保护
CCPA 对未成年人有额外保护：13 岁以下儿童的个人信息，企业必须获得父母或监护人的 opt-in 同意才能出售或分享；13–16 岁未成年人，企业必须获得其本人的 opt-in 同意。注意逻辑是反过来的：成年人是默认可出售、你主动 opt-out；未成年人是默认不可出售、企业必须先拿到同意。
2024 年加州还通过了 AB 1949 等一系列儿童隐私法案，进一步限制社交平台对未成年人的数据收集和成瘾性设计。如果你是家长：定期检查孩子常用 App 的隐私设置，关闭个性化广告和位置共享；发现 App 违规收集孩子信息，向 CPPA 投诉——儿童隐私是执法机构的优先事项，投诉响应通常更快。
七、企业不理你怎么办：投诉与执法
企业 45 天不回应、拒绝你的合法请求，或继续出售你已 opt-out 的信息：
1. 向 CPPA 投诉。加州隐私保护局（California Privacy Protection Agency）是全美第一个专门的隐私执法机构，官网有在线投诉入口。投诉时附上你的请求记录和企业的回应（或无回应的证据）。
2. 向州总检察长投诉。AG 消费者保护部门同样受理 CCPA 投诉，重大案件可处以高额罚款（故意违规每条最高 7500 美元）。
3. 找隐私律师评估诉讼。数据泄露情形走 §1798.150 私人诉讼；其他违规情形虽然没有私人诉权，但律师可以帮你通过 demand letter 施压，很多企业收到律师函后会乖乖配合——因为它们怕的是你转头向 CPPA 投诉带来的执法风险。
保留证据：所有隐私请求用书面（邮件/官网表格截图），保存提交时间、确认回执、企业回复。45 天期限的起算点是你提交可验证请求之日，证据链完整才能证明企业逾期。
八、华人常见场景问答
问：华人超市的会员卡收集我的购物记录，受 CCPA 管吗？
看企业规模。连锁大超市通常达到营收门槛，受 CCPA 约束，你可以要求看它收集了什么、要求删除。街边小店一般够不上门槛。
问：我用中国护照注册的 App，能行使权利吗？
CCPA 看的是”加州居民”身份，不看国籍和移民身份。你在加州居住，就受保护。企业验证身份时，提供加州地址证明即可。
问：公司说”删除会注销我的账户”，合法吗？
如果删除个人信息后企业确实无法提供服务（如银行账户），可以终止服务；但如果只是不想麻烦你而威胁注销，可能构成歧视（报复行使权利）。具体看情况，必要时投诉。
问：收到数据泄露通知信，第一步做什么？
1）按信里的指引领取免费信用监控；2）三大信用局冻结信用（freeze，免费）；3）保存通知信，这是你索赔的证据；4）等 30 天通知期相关事宜，咨询律师评估是否加入集体诉讼。参见本站《个人信息泄露后怎么办》。
问：搬家后旧地址一直在网上被搜到，怎么清除？
这是数据经纪人干的。去 CPPA 删除平台提交一键删除，同时在 Whitepages、Spokeo 等主流站点单独 opt-out。清理后每隔几个月复查一次，因为数据经纪人会从公开记录重新抓取。
行动清单
1. 列出收集你信息的主要企业（银行、保险、电商、App），去官网提交 opt-out（拒绝出售/分享）。
2. 对不再用的 App/网站，提交删除请求。
3. 去 CPPA 删除平台提交数据经纪人一键删除。
4. 收到数据泄露通知：领信用监控 + 冻结三大信用局 + 保存通知信。
5. 数据泄露索赔：先发 30 天书面通知，再找律师评估集体诉讼。
6. 企业 45 天不回应：向 CPPA 或州总检察长投诉，附完整证据链。
7. 所有请求走书面，截图保存提交时间和回执。
CCPA 赋予加州居民知情权、删除权、拒绝出售或共享个人信息权。企业必须在官网提供 “Do Not Sell or Share My Personal Information” 链接，收到请求后 45 天内响应。2023 年生效的 CPRA 还增设了更正权和限制使用敏感个人信息的权利，违规企业可能面临每条记录数千美元的罚款。
相关阅读
- 个人信息泄露后怎么办：72小时应急、信用冻结与消费者索赔路径
- 身份被盗用后 IRS IP PIN 全攻略：申请、每年更新与报税影响
- 电话短信营销骚扰维权：TCPA 每次 500 美元赔偿、取证与小额法庭索赔
英文官方来源：
California Civil Code §§1798.100–1798.199.100 (CCPA as amended by CPRA): https://leginfo.legislature.ca.gov/
California Privacy Protection Agency (CPPA): https://cppa.ca.gov/
California Attorney General — CCPA: https://oag.ca.gov/privacy/ccpa
核验日期：2026年9月29日
免责声明：本文为法律信息科普，不构成法律建议。CCPA 适用门槛与企业义务细节请以 CPPA 官网最新指引为准；数据泄露索赔请咨询加州持牌律师。
个人信息被滥用？加美国通官方微信 UUUMGT，获取更多实用攻略，教你一步步拿回数据主权。
