CCPA/CPRA：那个“不要出售或分享我的个人信息”按钮，真的必须放吗？
目录
按钮背后的“法律陷阱”
想象一下：你正在浏览一个网站，突然弹出一个按钮，写着“Do Not Sell or Share My Personal Information”。你可能会想：“这玩意儿是必须的吗？还是网站自己加戏？”答案是：在加州，它不仅是必须的，而且如果你不遵守，可能会被罚款——每次违规高达$7,500。但别急着恐慌，我们来看看具体规则。
根据CCPA（加州消费者隐私法）及其修正案CPRA，如果企业“出售”或“分享”个人信息，就必须提供这个按钮。但“出售”的定义比你想象得宽泛：包括用数据换广告、分析服务等。所以，很多网站其实都在“出售”数据，只是自己没意识到。
Featured Snippet Bait: 按钮到底什么时候必须放？
如果企业将个人信息用于“跨语境行为广告”（比如根据你的浏览记录在其他网站展示广告），或者与第三方共享数据以换取“有价值对价”（不一定是钱），就必须提供“Do Not Sell or Share My Personal Information”按钮。否则，可以不放。
“出售”和“分享”的奇葩定义
CCPA把“出售”定义为“以口头、书面或电子方式，将个人信息出售、出租、发布、披露、传播、提供、转让给第三方，以换取金钱或其他有价值对价”。注意“其他有价值对价”——这包括数据交换、广告服务等。而“分享”特指用于跨语境行为广告的数据共享。所以，如果你用Google Analytics或Facebook Pixel，很可能就在“分享”数据。
有趣的是，加州法律甚至把“出售”和“分享”分开处理，但按钮却合并成一个。这就像要求你同时关掉两个开关，但只给一个按钮——有点反人类，但法律就是这么写的。
不遵守的后果：比拔牙还疼
加州总检察长可以对企业提起执法行动，每次违规罚款$2,500（非故意）到$7,500（故意）。而且，消费者还有私人诉讼权，如果数据泄露导致损失，可以索赔。所以，忽略这个按钮的成本可能很高。
但别担心，合规并不需要你重写整个网站。你只需要在首页添加一个明显的链接，标题为“Do Not Sell or Share My Personal Information”，并确保它正常工作。当然，你还需要一个处理请求的流程。
如何优雅地添加按钮？
首先，确定你的企业是否受CCPA管辖（年收入超过$2500万、处理超过10万人的数据、或50%以上收入来自出售数据）。如果是，那么你需要：
- 在网站页脚或明显位置添加链接。
- 链接必须直接指向一个表单或页面，让用户提交请求。
- 确保在15天内回复请求，并停止出售/分享数据。
如果你不想出售数据，也可以直接声明“我们不出售个人信息”，但前提是事实如此。否则，就是虚假陈述。
幽默一刻：合规就像整理袜子
说实话，处理CCPA合规就像整理袜子抽屉——你知道必须做，但总是拖延。而且，一旦开始，你会发现更多混乱。但好消息是，一旦你建立了流程，后续维护并不难。至少比读《加州消费者隐私法》全文有趣（那玩意儿比税法还枯燥）。
FAQ
1. 如果我的网站只面向加州以外用户，还需要按钮吗？
理论上，CCPA只适用于加州居民。但如果你的网站不限制访问，任何加州用户都可能看到。所以，最好还是加上，或者使用地理屏蔽。否则，万一有加州用户访问，你可能会被起诉。
2. 按钮必须叫“Do Not Sell or Share”吗？
法律要求使用“Do Not Sell or Share My Personal Information”或类似措辞。你可以用“Your Privacy Choices”等，但必须清晰传达意图。建议直接使用标准短语，避免歧义。
3. 如果我不出售数据，但使用Google Analytics，需要按钮吗？
需要。因为Google Analytics会收集数据并用于广告目的，这被视为“分享”。除非你与Google签订了禁止数据用于广告的协议，否则必须提供按钮。
NakedPact 编辑委员会
本文由 NakedPact 编辑团队撰写。我们的使命是分析、简化并揭露日常合同中的不公平条款和隐藏风险，以保护公民和消费者的权益。
推荐阅读
🛡️ 一键保护您的权利
不要冒签署霸王条款的风险。安装适用于 Chrome 或 Firefox 的免费 NakedPact 扩展程序，立即分析网络上的任何合同。
