数据如何删除？《加州删除法案》介绍

公众号新闻

2023-10-10 06:10

课程报名

点击报名 上海班 | 个人信息保护合规审计

年度会员

点击报名 视频课程+何谈系列+圈子

GDPR课

点击加入 学习数据合规必备的GDPR完整课程

来源：数字经济与社会

作者：葛奕尘

本次和大家分享的加利福尼亚州立法机关新近通过的《删除法案》的内容和该法案的译文。作者是抖音集团的葛奕尘。文章仅代表其个人观点。

2023年9月14日，加利福尼亚州立法机关通过了参议院第 362 号法案，即《删除法案》，该法案旨在强化消费者删除权的行使，消费者将被赋予要求数据经纪人提供可访问的删除机制的权利。该法案将是美国第一个允许普遍删除数据的法案，它将一定程度阻碍对营销人员至关重要的数据生态系统。

该法案预计将在州长签署后于2026年生效，其对以数据驱动的互联网广告营销产生重要影响。法案通过立法程序后，引发广告从业者的强烈反对。

一、立法进程概览

9月14日，加利福尼亚州立法机关通过了参议院第 362 号法案，即《删除法案》，该法案旨在强化消费者删除权的行使，此后消费者将拥有“一键式”请求数据经纪人删除其收集的个人信息的能力。

该提案最初由加州民主党参议员乔什·贝克尔于2023年2月8日提出， 5 月 31 日在加州参议院获得通过，9 月13 日获得议会修正案的批准，并于 9 月 14 日（2023 年立法会议的最后一天）获得参议院的同意，获得了立法机关的批准。该法案目前正在等待加利福尼亚州民主党州长加文·纽瑟姆的签署，纽森必须在 10 月14 日之前签署该法案，目前主流观点认为法案会得到最终的签署。如果法案签署通过，将于 2026 年生效。

该法案将是美国第一个允许普遍删除数据的法案，它将一定程度阻碍对营销人员至关重要的数据生态系统。

二、法案主要内容

1.规制对象

法案主要针对“数据经纪人”提出合规要求，“数据经纪人”是指故意收集与该企业没有直接关系的消费者的个人信息并将其出售给第三方的企业。法案对受《联邦公平信用报告法》《Gramm-Leach-Bliley 法案》和《保险信息和隐私保护法》管辖的实体提出了豁免。

美国的数据经纪商包括Acxiom、Experian、Epsilon、CoreLogic、Datalogix、Intelius、PeekYou、Exactis和Recorded Future。2012年，Acxiom声称已经拥有全球约5亿活跃消费者的档案，每人约1,500个数据点，到2023年，Acxiom（更名为LiveRamp）声称拥有25亿的档案人，每人超过 3,000 个数据点。甲骨文公司公开表示其与 80 家数据经纪公司有联系。美国国土安全部已从数据经纪人那里购买了手机位置数据和家庭公用事业数据，以方便驱逐出境。联邦调查局(FBI) 已从 Venntel 公司购买个人数据。在这两种情况下，由于这些数据是“开源”或“商业获取”的，因此不需要授权即可获取该数据。

2.执法机构

法案授权的执法机构为“加州隐私保护局（CPPA）”，其将管理数据经纪人注册基金、建立并维护实施可访问删除机制、并对相关数据经纪人企业享有执法权。

3.法律义务

注册缴费及信息提供

数据经纪人应根据要求向加州隐私保护局注册，并支付注册费

费用将用于建立和维护信息互联网网站的合理成本；以及建立、维护和提供访问可访问删除机制的合理成本。

数据经纪人应提供相关信息

名称、地址、电子邮件地址、网站地址；

是否收集未成年人的个人信息；；

是否收集消费者的精确地理位置；

是否收集消费者的生殖健康保健数据；

从 2029 年 1 月 1 日开始，提交审计相关材料；

符合操作要求的互联网网站页面的链接。

互联网界面操作要求

详细说明消费者如何通过执行操作来行使其隐私权

(I) 删除个人信息；

(II) 更正不准确的个人信息；

(III) 了解正在收集哪些个人信息以及如何访问该个人信息；

(IV) 了解哪些个人信息被出售或共享以及向谁出售或共享；

(V) 了解如何选择不出售或共享个人信息；

(VI) 了解如何限制敏感个人信息的使用和披露。

不使用任何“暗黑模式”（dark patterns）

设置简化的可访问的删除机制

加州隐私保护局应在其互联网网站上创建一个页面，将可访问删除机制应向公众开放。

允许消费者通过单个可验证的消费者请求，请求维护任何个人信息的数据经纪人删除数据经纪人或相关服务提供商或承包商持有的与该消费者相关的任何个人信息。

数据经纪人需要每45天访问网站，在45天内处理删除请求，并统计相关数据。

三年一次第三方审计

从 2028 年 1 月 1 日开始，此后每三年，数据经纪人应接受独立第三方的审计。并向加州隐私保护局提交审计结果报告和相关材料。

五年的追责时效

任何违反规定的指控的行政诉讼不得在违法行为发生之日起五年之后进行。

4.法定责任

未按照要求进行注册的数据经纪人应承担加州隐私保护局提起的行政诉讼中的行政罚款和费用。

未能按照要求进行登记，每天处以 200 美元的行政罚款。

未能按照要求删除信息，则每天针对每个删除请求处以 200 美元的行政罚款。

三、争议及影响分析

法案内容自提出以来，收到了不少的质疑声，此前联邦层面的“删除法案”告一段落（拟议的立法从未通过参议院委员会），让很多从业者并不看好加州删除法案的通过。法案通过前，广告业发起了一场废除加州法案的运动，；法案14日通过立法程序后，各界的质疑声纷涌而至，其对在线广告的影响最为引人关注。

全国广告商协会负责法律、道德和政府关系的执行副总裁克里斯·奥斯瓦尔德表示，删除法案“将鼓励大规模删除数据，而数据是加州数字经济的命脉。” “如果没有强大的数据市场，加州人将成为更多欺诈和身份盗窃的受害者，因为他们的身份无法得到验证。” “如果没有数据驱动的广告，小企业将很难找到客户。非营利组织将失去寻找新捐助者和志愿者的工具。政府机构将无法使用数据来有效分配资源并减少浪费。”TransUnion 公共政策主管Eli Peterson表示，删除法案将整个加州经济带来破坏和混乱，消费者可能并不能真正了解某些数据被删除的实际后果。同时，《删除法案》仅适用于第三方经纪商，这导致第一方大型科技公司获得优惠待遇。在这种情况下，竞争减少意味着成本上升，这将渗透到依赖这些数据来接触客户和选民的小型企业、非营利组织甚至政府实体。Sourcepoint 首席隐私顾问Julie Rubash表示，如果删除法案的规则被普及，可能会影响通过相关广告接触消费者的能力以及将财产货币化的能力，这反过来又可能影响无需付费订阅的用户在互联网上获取信息的能力。它还可能对规模较小的出版商和广告商产生最大的影响，因为他们没有自己的内部资源，可能会更加依赖数据经纪人来接触相关客户并通过其财产货币化。总体而言，法案的实施对在线广告行业产生明显的影响。

1.法案将导致数字经济的整体链路将遭到损害

对于数字广告和营销机制而言（特别是不直接从用户获得数据的第三方数据经纪人），第三方数据源是其成长和竞争能力的命脉。作为用户而言，其对删除数据的类型、数量、价值的认知是有限的，完全依据用户请求而彻底删除数据的方案在未经测试的情况下，其负面影响难以估计。就广告营销而言，法案将严重阻滞数据流通，这将部分剥夺加州企业接触新客户的能力。

2.法案将导致中小企业难以利用数据驱动的广告获客

上述影响对中小型企业尤为突出。不直接从用户获取数据的广告商只能依赖数据经纪人的数据资源，目前法案的规定某种程度直接切断这种联系。有数据表明，为了符合 GDPR的要求，限制数据流动导致小型电子商务网站的收入下降幅度几乎是大型电子商务网站的两倍。GDPR 的限制导致 Google Play 商店中约三分之一的可用应用程序退出，而在 GDPR 实施后的几个季度中，新应用程序的进入量下降了一半。该法案的数据删除机制对美国经济的影响将比 GDPR 对欧洲的影响更为强烈和有害。

3.消费者不能对删除数据做出理性决策

数据被收集后通常用于多种目的，而且通常以消费者不知道的方式。该法案的生硬删除手段无法告知消费者企业根据数据向他们提供的好处，并将导致消费者无意中失去访问日常使用服务的能力，并使他们面临更高的欺诈和身份盗窃风险。消费者在信息不对称的前提下做出了删除数据的请求，不仅有损于数据广告营销，也可能产生其他的负面后果。

4.大型科技公司短期数据优势凸显

由于市场上缺乏数据，该法案限制了竞争对手有效进入市场并与消费者建立联系的能力，短期来看“大型科技公司”似乎受益。但是，长期而言，普遍删除机制将消除消费者在日常生活中依赖的广告支持的产品和服务的动力，大型科技公司的运营也将受到影响。同时也面临垄断指责的风险。

附件：

发布日期：2023 年 9 月 18 日

参议院于 2023 年 9 月 14 日通过

参议院法案 362号

2023年 2 月 8 日

修订《民法典》第1798.99.80、1798.99.81、1798.99.82 、1798.99.84，并添加第1798.99.85、1798.99.86、1798.99.87、1798.99.89，涉及与数据经纪人有关的条款。

立法顾问摘要

2018 年《加州消费者隐私法》(CCPA)授予消费者被企业收集或出售的个人信息相关的各种权利，包括要求企业披露已收集的有关消费者的特定信息的权利、要求企业删除其从消费者那里收集的有关消费者的个人信息，并指示企业不要按照规定出售或共享消费者的个人信息。CCPA 出于这些目的定义了各种术语。2020 年加州隐私权法案 (CPRA)，在 2020 年 11 月 3 日全州大选中由选民批准为第 24 号提案，并进行了修订和补充：

现行法律要求数据经纪人在企业满足数据经纪人定义后的每年 1 月 31 日或之前向总检察长注册、支付注册费并提供指定信息。现行法律为此目的定义了各种术语。现行法律设立了数据经纪人注册基金，并要求将这些注册费存入该基金，供司法部在拨款后用于特定目的的支出。现行法律规定，未能按照这些规定进行注册的数据经纪人应承担民事处罚、费用和总检察长提起的诉讼中的费用，具体如下：并要求将这些资金存入消费者隐私基金，以用于完全抵消与这些条款相关的成本。现行法律要求司法部长创建并维护一个互联网网站，公众可以在该网站上访问数据经纪人提供的特定信息。

该法案将把 CCPA 的定义纳入上述数据代理条款中。该法案将要求数据经纪人代替司法部长向该机构注册、支付注册费并向该机构提供信息，并要求该机构维护上述信息互联网网站。该法案将要求数据经纪人汇编和披露与根据 CCPA 收到的请求相关的特定信息。该法案还要求，在企业满足数据经纪人定义的每年 7 月 1 日或之前，该企业提供上述特定信息并进行相关更改。

该法案要求该机构在 2026 年 1 月 1 日之前建立一个可访问的删除机制，除其他外，允许消费者通过单个可验证的消费者请求，要求每个维护任何个人信息的数据经纪人删除任何个人信息。数据经纪人或相关服务提供商或承包商持有的与该消费者相关的信息。该法案将规定这种可访问删除机制的要求，并将从 2026 年 8 月 1 日开始，要求数据经纪人至少每 45 天访问该机制一次，并处理所有删除请求（除非另有规定）。自2026年8月1日起，在消费者提交删除请求并且数据经纪人根据法案规定删除消费者数据后，该法案将要求数据经纪人按照规定至少每 45 天删除一次消费者的所有个人信息，并按照规定禁止数据经纪人出售或分享消费者的新个人信息。该法案从 2028 年 1 月 1 日开始，并此后每 3 年，要求数据经纪人接受独立第三方的审计，以确定是否遵守这些规定，并要求数据经纪人在以下情况下向该机构提交审计报告：该机构的书面请求（如指定）。该法案将授权该机构向数据经纪人收取费用，以访问指定的可访问删除机制。并将根据规定禁止数据经纪人出售或共享消费者的新个人信息。该法案从 2028 年 1 月 1 日开始，并此后每 3 年，要求数据经纪人接受独立第三方的审计，以确定是否遵守这些规定，并要求数据经纪人在以下情况下向该机构提交审计报告：该机构的书面请求（如指定）。该法案将授权该机构向数据经纪人收取费用，以访问指定的可访问删除机制。并将根据规定禁止数据经纪人出售或共享消费者的新个人信息。该法案从 2028 年 1 月 1 日开始，并此后每 3 年，要求数据经纪人接受独立第三方的审计，以确定是否遵守这些规定，并要求数据经纪人在以下情况下向该机构提交审计报告：该机构的书面请求（如指定）。该法案将授权该机构向数据经纪人收取费用，以访问指定的可访问删除机制。要求数据经纪人接受独立第三方的审计，以确定是否遵守这些规定，并要求数据经纪人根据该机构的书面要求，按照规定向该机构提交审计报告。该法案将授权该机构向数据经纪人收取费用，以访问指定的可访问删除机制。要求数据经纪人接受独立第三方的审计，以确定是否遵守这些规定，并要求数据经纪人根据该机构的书面要求，按照规定向该机构提交审计报告。该法案将授权该机构向数据经纪人收取费用，以访问指定的可访问删除机制。

该法案将规定，未能遵守上述可访问删除机制相关要求的数据经纪人将承担规定的行政罚款、费用、开支和成本。该法案将要求该机构和司法部根据这些规定收取或收到的资金存入数据经纪人注册基金，该法案要求该基金由该机构管理，而不是消费者隐私基金，并且将扩大数据经纪人注册基金中资金的指定用途，以包括州法院和机构在执行这些规定方面产生的费用，以及建立、维护和提供对上述可访问删除机制的访问的费用。

该法案将要求数据经纪人向该机构提供额外信息，包括与根据 CCPA 收到的请求相关的信息、数据经纪人是否收集指定信息，以及与上述规定下的审计有关的指定信息。

该法案将禁止在违法行为发生之日起 5 年后根据这些规定采取行政行动。

该法案将宣布，出于特定原因，它进一步实现了 CPRA 的目的和意图。

加利福尼亚州人民制定如下：

第 1 节

将《民法典》第 1798.99.80 条修改为：

1798.99.80

就本条款而言：

(a) 除非本条款另有规定，否则第1798.140 节中的定义应适用。

(b) “授权代理人”的含义与《加州法规》第 11 章第 6 部分第 1 条（从第 7000 条开始）中使用的含义相同。

(1) 受联邦公平信用报告法（15 USC Sec. 1681 et seq.）管辖的实体。

(2) 受Gramm-Leach-Bliley 法案（公法 106-102）和实施条例管辖的实体。

(3) 受《保险信息和隐私保护法》（《保险法》第 1 部分第 2 部分第 1 章第 6.6 条（从第 791 条开始））管辖的实体。

(4) 实体或所涵盖实体的业务伙伴，只要其个人信息处理不受第 1798.146 条的约束。就本条而言，“业务伙伴”和“涵盖实体”与第 1798.146 节中定义的含义相同。

第2节

将《民法典》第 1798.99.81 条修改为：

1798.99.81

特此在国库内设立一个名为“数据经纪人注册基金”的基金。该基金由加州隐私保护局管理。加州隐私保护局和司法部根据本条款收取或收到的所有资金均应存入数据经纪人注册基金，供加州隐私保护局在立法机关拨款后支出，以抵消以下所有费用：

(a) 第 1798.99.84 条中所述的建立和维护信息互联网网站的合理费用。

(b)州法院和加州隐私保护局因执行本条款而产生的费用，如第 1798.99.82 节所述。

第3节

将《民法典》第 1798.99.82 条修改为：

1798.99.82

(a) 每年 1 月 31 日之前，符合本条款中规定的数据经纪人定义的企业应根据本节的要求向加州隐私保护局注册。

(b) 在向加州隐私保护局注册时，如(a) 款所述，数据经纪人应执行以下所有操作：

(1) 支付加州隐私保护局确定的注册费，该费用不得超过第 1798.99.84 条中所述的建立和维护信息互联网网站的合理成本以及建立、维护和提供访问第 1798.99.86 节中描述的可访问删除机制的合理成本。注册费应存入根据第1798.99.81 条在国库内设立的数据经纪人注册基金，并用于本段概述的目的。

(2) 提供以下信息：

(A) 数据经纪人的名称及其主要物理地址（primary physical）、电子邮件地址和互联网网站地址。

(B)根据第 1798.99.85 条 (a) 款第 (1) 和 (2) 段编制的指标。

(C)数据经纪人是否收集未成年人的个人信息。

(D)数据经纪人是否收集消费者的精确地理位置。

(E) 数据经纪人是否收集消费者的生殖健康保健数据。

(F) 从 2029 年 1 月 1 日开始，数据经纪人是否接受了第 1798.99.86 条 (e) 款所述的审计，如果是，那么数据经纪人最近一年提交的报告是否向加州隐私保护局提供审计结果和任何相关材料。

(G) 数据经纪人互联网网站页面的链接，该页面执行以下两项操作：

(i) 详细说明消费者如何通过执行以下所有操作来行使其隐私权：

(I) 删除个人信息，如第1798.105 条所述。

(II) 更正不准确的个人信息，如第1798.106 条所述。

(III) 了解正在收集哪些个人信息以及如何访问该个人信息，如第 1798.110 条所述。

(IV) 了解哪些个人信息被出售或共享以及向谁出售或共享，如第 1798.115 节所述。

(V) 了解如何选择不出售或共享个人信息，如第 1798.120 条所述。

(VI) 了解如何限制敏感个人信息的使用和披露，如第 1798.121 条所述。

(ii) 不使用任何“暗黑模式”（dark patterns）。

(H) 数据经纪人或其任何子公司是否以及在多大程度上受以下任何一项监管：

(i) 联邦公平信用报告法（15 USC Sec. 1681 et seq.）。

(ii) 《格拉姆-里奇-比利雷法案》（公法 106-102）和实施条例。

(iii) 《保险信息和隐私保护法》（《保险法》第 1 部分第 2 部分第 1 章第 6.6 条（从第 791 条开始）。

(iv) 《医疗信息保密法》（第 1 部分第 2.6 部分（从第 56 节开始））或美国卫生与公众服务部颁布的隐私、安全和违规通知规则，第 160 和 164 部分根据 1996年联邦健康保险流通和责任法案（公法 104-191）制定的《联邦法规》第 45 条。

(I) 数据经纪人选择提供的有关其数据收集实践的任何附加信息或解释。

(1) 数据经纪人未能按照本节的要求进行登记，每天处以 200 美元 ($200) 的行政罚款。

(2) 相当于未注册期间应缴纳费用的金额。

(3) 加州隐私保护局在法院认为适当的情况下调查和管理该诉讼所产生的费用。

(d) 需要根据本标题进行注册的数据经纪人若未能遵守第 1798.99.86 条的要求，则应在加州隐私保护局提起的行政诉讼中承担行政罚款和费用，具体如下：

(1) 如果数据经纪人未能按照第1798.99.86 条的要求删除信息，则每天针对每个删除请求处以 200 美元 ($200) 的行政罚款。

(2) 加州隐私保护局在调查和处理该诉讼过程中产生的合理费用。

(e) 在根据第 (c) 或 (d) 款提起的诉讼中追回的任何罚金、罚金、费用和开支应存入根据第1798.99.81 条在国库内设立的数据经纪人注册基金，其中其目的是用于完全抵消州法院和加州隐私保护局与本标题相关的费用。

第4节

将《民法典》第 1798.99.84 条修改为：

1798.99.84

加州隐私保护局应在其互联网网站上创建一个页面，其中第 1798.99.82 条 (b) 款第 (2) 款中所述的数据经纪人提供的注册信息以及第 1798.99.86 条中所述的可访问删除机制应向公众开放。

第5节

《民法典》中添加第 1798.99.85 条，内容如下：

1798.99.85

(a) 如企业满足本节中规定的数据经纪人定义，则在每年的 7 月 1 日或之前，企业应执行以下所有操作：

(1) 根据第 1798.99.86 节 (c) 款和第 1798.105、1798.110、1798.115、1798.120 和1798.121 节，汇总数据经纪人在上一年度收到、全部或部分遵守或拒绝的请求数量。

(2) 根据第 1798.99.86 节 (c) 款和第 1798.105、1798.110、1798.115、1798.120 和1798.121 节，汇总在数据经纪人在上一年度接受到的、实质性响应请求的中位数和平均天数。

(3) 根据数据经纪人隐私政策中第(1) 和 (2) 段编制的指标，披露这些指标发布在其互联网网站上，并可通过数据经纪人隐私政策中包含的链接进行访问。

(b) 在根据第 (3) 段 (a) 款披露有关根据第 1798.99.86 条第 (c) 款提出的请求时，数据经纪人应披露数据经纪人全部或部分拒绝的请求数量。原因是以下任一情况：

(1) 请求无法验证。

(2)请求不是由消费者提出的。

(3) 请求要求免予删除的信息。

(4)因其他原因被拒绝的。

第6节

《民法典》中添加第 1798.99.86 条，内容如下：

1798.99.86

(a) 到 2026 年 1 月 1 日，加州隐私保护局应建立一个可访问的删除机制，以执行以下所有操作：

(1) 实施并维护合理的安全程序和实践，包括但不限于适合信息性质和个人信息使用目的的管理、物理和技术保障措施，并保护消费者的个人信息免受来自未经授权的使用、披露、访问、破坏或修改。

(2) 允许消费者通过单个可验证的消费者请求，请求维护任何个人信息的数据经纪人删除数据经纪人或相关服务提供商或承包商持有的与该消费者相关的任何个人信息。

(3) 允许消费者有选择地将特定数据经纪人排除在根据第 (2) 款提出的请求之外。

(4) 允许消费者在消费者上次根据本细则提出请求后至少 45 天后提出更改根据本细则提出的先前请求的请求。

(b) 根据(a)款建立的无障碍删除机制应满足以下所有要求：

(1) 无障碍删除机制应允许消费者通过单一删除请求请求删除与该消费者相关的所有个人信息。

(2) 可访问的删除机制应允许消费者以加州隐私保护局确定的一种或多种隐私保护方式安全地提交信息，以协助删除请求。

(3) 可访问删除机制应允许在加州隐私保护局注册的数据经纪人确定个人是否已提交可验证的消费者请求，以删除第 (1) 款中所述的与该消费者相关的个人信息，并且不允许除非本标题另有规定，否则当数据代理访问可访问的删除机制时，披露任何其他个人信息。

(4) 无障碍删除机制应允许消费者使用加州隐私保护局运营的互联网服务提出第 (1) 款中所述的请求。

(5) 无障碍删除机制不得向消费者收取第 (1) 款所述请求的费用。

(6) 无障碍删除机制应允许消费者以数据经纪人为其收集个人信息的任何消费者所使用的任何语言提出第 (1) 款中所述的请求。

(7) 无障碍删除机制应易于残疾消费者访问和使用。

(8) 可访问的删除机制应支持消费者授权代理协助删除请求的能力。

(9) 可访问的删除机制应允许消费者或其授权代理人验证消费者的删除请求的状态。

(10) 可访问的删除机制应提供以下所有内容的描述：

(A) 本节允许的删除，包括但不限于第(c) 和 (d) 款要求的行动。

(B) 根据本节提交删除请求的流程。

(A) 在收到根据本节提出的请求后45 天内，处理根据本节提出的所有删除请求，并删除与根据本节要求提出请求的消费者相关的所有个人信息。

(B) 如果数据经纪人因请求无法验证而拒绝消费者根据本节提出的删除请求，则按照第 1798.120 条的规定，将该请求视为选择退出出售或共享消费者个人信息并受第1798.105、1798.145 和 1798.146 节的限制。

(D) 指示与数据经纪人相关的所有服务提供商或承包商处理 (B) 项中描述的请求，作为选择退出销售或共享消费者个人信息的请求，如第1798.120 条规定并受第 1798.120 条的限制1798.105、1798.145 和 1798.146。

(2) 尽管有第 (1) 款的规定，如果存在以下任一情况，则不应要求数据经纪人删除消费者的个人信息：

(A) 数据经纪人有合理必要维护个人信息以实现第 1798.105 条 (d) 款中所述的目的。

(B) 根据第 1798.145 或 1798.146 条，不需要删除。

(3) 第 (2) 款所述的个人信息只能用于第 (2) 款所述的目的，不得出于任何其他目的使用或披露，包括但不限于营销目的。

(d) (1) 自 2026 年 8 月 1 日起，在消费者提交删除请求并且数据经纪人根据本节删除消费者数据后，数据经纪人应至少每 45 天删除一次消费者的所有个人信息。除非消费者另有要求，或者根据 (c) 款第 (2) 款不需要删除。

（2）自2026年8月1日起，在消费者提交删除请求并且数据经纪人根据本节删除消费者数据后，数据经纪人不得出售或共享消费者的新个人信息，除非消费者另有要求第 1798.145 或 1798.146 条允许出售或共享个人信息。

(e)

(1) 从 2028 年 1 月 1 日开始，此后每三年，数据经纪人应接受独立第三方的审计，以确定是否遵守本节。

(2) 对于根据第 (1) 款完成的审计，数据经纪人应在加州隐私保护局提出书面请求后五个工作日内向加州隐私保护局提交审计结果报告和任何相关材料。

(3) 数据经纪人应保存第(2)款所述的报告和材料至少六年。

(f)

(1) 当数据经纪人根据第 (d) 款访问可访问删除机制时，加州隐私保护局可向数据经纪人收取不超过提供该访问的合理成本的访问费。

(2) 加州隐私保护局根据第 (1) 款收取的费用应存入数据经纪人注册基金。

第七节

《民法典》中添加第 1798.99.87 条，内容如下：

1798.99.87.

(a) 除 (b) 款规定的情况外，加州隐私保护局可根据《行政程序法》（《政府法典》第 2 篇第 3 分部第 1 部分第 3.5 章（从第 11340 节开始））制定法规，以实施和管理这一篇章内容。

(b) 尽管有 (a) 款的规定，加州隐私保护局为确定本篇授权的费用而采用的任何法规均应不受《行政程序法》（本篇第 3 分部第 1 部分第 3.5 章（从第 11340 条开始）的约束）《政府法典》第 2 条）。

第8节

《民法典》中添加第 1798.99.89 条，内容如下：

1798.99.89.

根据本篇提出的违反任何规定的指控的行政诉讼不得在违法行为发生之日起五年之后进行。

第9节

立法机关发现并宣布，该法案通过允许和授权加州人要求数据经纪人删除其个人信息，确保消费者权利（包括宪法规定的隐私权）受到保护，从而进一步实现了 2020 年《加州隐私权法案》的目的和意图并禁止数据经纪人今后收集消费者的个人信息。

个人信息保护合规审计暨大数据工程师双证上海班

时间：2023年10月底（周末两天）

地点：上海交大附近，广州、北京同步招生

联系：手机（朱老师）138 1664 6268；微信（徐博士） heguilvshi

微信扫码关注该文公众号作者

戳这里提交新闻线索和高质量文章给我们。

来源: qq

点击查看作者最近其他文章