CCPA 与 GDPR：主要区别

CCPA 与 GDPR：简短回答

GDPR 与 CCPA 最主要的区别在于同意模式。欧盟《通用数据保护条例》（GDPR）采用**选择加入（opt-in）模式：在处理个人数据之前必须具备合法依据（通常是同意），在设置非必要 Cookie 之前必须事先获得同意。经 CPRA 修订的《加州消费者隐私法》（CCPA）采用选择退出（opt-out）**模式：企业在告知后即可收集个人信息，但必须允许消费者拒绝出售或共享其个人信息。

第二大区别是适用范围。GDPR 适用于几乎所有处理欧盟境内个人数据的组织，不论规模大小。CCPA 仅适用于在加州开展业务、且达到营收或数据量门槛的营利性企业。

GDPR 与 CCPA 对比表

主题	GDPR（欧盟）	CCPA / CPRA（加州）
适用对象	所有控制者或处理者，包括小企业、非营利组织和公共机构	在加州开展业务并满足任一门槛的营利性企业：年总收入超过 26,625,000 美元（2025 年 1 月 1 日调整）；购买、出售或共享 100,000 名或以上消费者或家庭的个人信息；或年收入的 50% 或以上来自出售或共享个人信息
地域范围	在欧盟设有机构的组织，以及向欧盟境内人员提供商品或服务、或监控其行为的欧盟以外组织（第 3 条）	全球任何达到门槛并收集加州居民个人信息的企业
受保护的数据	个人数据：与已识别或可识别的自然人相关的任何信息	个人信息：能够识别、涉及或可合理关联到某一消费者或家庭的信息；公开可得信息和去标识化信息除外
处理依据	第 6 条规定的六种合法依据之一（同意、合同、法定义务、重大利益、公共任务、正当利益）	无需合法依据；收集时提供告知，且使用须为实现所披露目的合理必要且相称
同意模式	选择加入	对出售和共享选择退出
Cookie 与追踪	非必要 Cookie 须事先获得选择加入同意（ePrivacy 规则加 GDPR 同意标准）	对成年人无需选择加入横幅；用于出售或共享数据的广告 Cookie 必须纳入选择退出范围
未成年人	第 8 条：基于同意的在线服务，16 岁以下须经父母同意；欧盟成员国可将年龄降至 13 岁	出售或共享已知未满 16 岁消费者的数据须选择加入；13 岁以下须由父母或监护人选择加入
敏感数据	特殊类别数据（第 9 条）原则上禁止处理，除非适用例外，如明确同意	敏感个人信息：消费者有权限制其使用和披露
权利	访问、更正、删除、限制处理、可携带、反对、与自动化决策相关的权利、撤回同意	知情、删除、更正、拒绝出售或共享、限制敏感信息使用、不受歧视
答复期限	一个月，可再延长两个月	45 个日历日，可再延长 45 天；选择退出请求须在 15 个工作日内处理
数据保护官	特定情形下强制要求（第 37 条）	不要求
风险评估	高风险处理须进行 DPIA（第 35 条）	依据自 2026 年 1 月 1 日起生效的 CPPA 法规进行风险评估和网络安全审计，分多年逐步实施
跨境传输	受限：充分性认定、标准合同条款或第五章规定的其他工具	无传输限制；须与服务提供商、承包商和第三方签订合同
数据泄露通知	如有必要，须在 72 小时内通知监管机构	由加州另一部法律规定；消费者可就特定数据泄露提起诉讼
执法机构	各欧盟国家的国家数据保护机构	加州隐私保护局（CPPA）和加州总检察长
最高处罚	最高 2,000 万欧元或全球年营业额的 4%，以较高者为准	每次违规 2,663 美元，故意违规或涉及 16 岁以下未成年人的违规每次 7,988 美元（自 2025 年 1 月 1 日起）
私人诉讼权	数据主体可就损害要求赔偿	仅限特定数据泄露：每名消费者每起事件 107 至 799 美元，或实际损失（以较高者为准）

主要区别详解

1. 谁必须遵守

GDPR 没有规模门槛。柏林一家两人经营的网店，和一款拥有法国用户的美国应用，都同样适用。CCPA 针对的是规模较大或数据密集型的企业。营收门槛每两年根据通胀调整一次；加州隐私保护局于 2025 年 1 月 1 日将其从 25,000,000 美元上调至 26,625,000 美元。自 2023 年起，CCPA 还涵盖员工数据和企业间（B2B）数据，因此不仅仅关乎网站访客。

2. 选择加入与选择退出

根据 GDPR，开始处理之前必须具备合法依据。对于非严格必要的 Cookie 及类似追踪技术，欧盟法律要求先获得同意，因此 Cookie 横幅 必须在访客接受之前拦截标签，而且拒绝必须和接受一样简单。

根据 CCPA，您需要在收集时或收集前告知用户，之后尊重他们的选择。如果您出售个人信息，或为跨情境行为广告共享个人信息，就必须提供"Do Not Sell or Share My Personal Information"链接（或替代的"Your Privacy Choices"链接），并在消费者选择退出后停止出售或共享。

3. Global Privacy Control

CCPA 法规要求企业将 Global Privacy Control（GPC） 信号视为拒绝出售和共享的有效请求。加州总检察长将用户启用的全局隐私控制列为企业必须遵守的选择退出方式之一。GDPR 没有类似的信号义务，不过访客随时可以撤回同意。

4. 权利与期限

两部法律都赋予个人访问和删除数据的权利，但细节不同。GDPR 请求须在一个月内答复。CCPA 的知情、删除和更正请求须在 45 个日历日内答复，选择退出请求须在 15 个工作日内处理。隐私门户 可帮助您按两种期限收集和跟踪 数据主体请求。

5. 处罚与执法

GDPR 罚款最高可达 2,000 万欧元或全球年营业额的 4%。CCPA 罚款按违规次数计算，当涉及大量消费者时会迅速累加：每次违规 2,663 美元，故意违规或涉及 16 岁以下未成年人的违规每次 7,988 美元。在特定数据泄露后，消费者还可提起集体诉讼，法定赔偿为每名消费者每起事件 107 至 799 美元。

CCPA 比 GDPR 更严格吗？

总体而言，并不是。GDPR 更严格，因为它几乎涵盖所有组织，要求每项处理活动都具备合法依据，Cookie 须获得选择加入同意，并限制向欧盟以外传输数据。CCPA 在少数方面更严格：要求提供显眼的选择退出链接，强制遵守 GPC，并在数据泄露时给予消费者法定赔偿，而无需证明实际损失。

CPRA 如何修改了 CCPA

《加州隐私权法》（CPRA）于 2020 年 11 月经选民投票通过，自 2023 年 1 月 1 日起修订 CCPA，使其更接近 GDPR。详情请阅读我们的 CPRA 指南。主要变化：

• 设立了专门的隐私监管机构：加州隐私保护局。
• 在"出售"之外新增了用于跨情境行为广告的"共享"。
• 新增更正权以及限制使用敏感个人信息的权利。
• 新增数据最小化和目的限制规则。
• 要求开展风险评估和网络安全审计，相关细则现已纳入自 2026 年 1 月 1 日起生效的 CPPA 法规。
• 将门槛从 50,000 名提高到 100,000 名消费者或家庭。

加州并非个例。美国许多其他州现在也有采用类似选择退出模式的隐私法；请参阅我们的 美国各州隐私法 概览以及 全球隐私法 列表。

如何同时遵守 GDPR 和 CCPA

如果您在欧洲和加州都有访客或客户，请使用以下清单：

1. 梳理数据：记录您收集哪些个人数据、为何收集、流向何处以及哪些供应商会接收。
2. 扫描网站：运行 Cookie 扫描，找出所有 Cookie 和追踪器并分类。
3. 按地区显示正确的横幅：为欧盟、欧洲经济区和英国访客显示选择加入横幅，为加州访客显示 CCPA 选择退出通知。
4. 在欧洲于同意前拦截标签：仅在获得 GDPR 同意后加载分析和广告标签。
5. 在加州添加选择退出链接：在页脚放置"Do Not Sell or Share My Personal Information"或"Your Privacy Choices"链接。
6. 遵守 GPC：将 Global Privacy Control 视为加州访客的有效选择退出。
7. 向广告合作伙伴传递信号：在欧洲发送 IAB TCF 字符串，在美国发送 IAB GPP 字符串，并配合 Google Consent Mode v2。
8. 更新隐私政策：涵盖 GDPR 的合法依据和权利，以及 CCPA 规定的个人信息类别、目的和权利。我们的 隐私政策生成器 可以提供帮助。
9. 建立请求处理流程：同一流程中，GDPR 按一个月计时，CCPA 按 45 天计时。
10. 保留记录：保存同意和选择退出日志作为证据，并审查供应商合同，例如 数据处理协议。

UniConsent 如何按地区应用正确的横幅

UniConsent 是一款通过 Google 认证、在 IAB TCF 注册的同意管理平台。只需在网站上部署一个标签，它就能识别访客所在地区并应用相应规则：

• 欧洲和英国：符合 GDPR 的选择加入 Cookie 横幅，提供接受和拒绝按钮，事先拦截标签，支持 IAB TCF 信号和 Google Consent Mode v2。
• 加州及美国其他州：CCPA 选择退出通知，包含 Do Not Sell or Share 链接、Your Privacy Choices 链接、自动检测 GPC，并向广告合作伙伴传递 IAB GPP 信号。
• 所有地区：Cookie 扫描、同意与选择退出日志、处理请求的隐私门户，以及多语言支持。

免费注册 UniConsent 账户，几分钟内即可在同一网站上完成 GDPR 和 CCPA 合规设置。

常见问题

GDPR 和 CCPA 的主要区别是什么？

GDPR 采用选择加入模式：处理个人数据前须具备合法依据（通常是同意），非必要 Cookie 须事先获得同意。CCPA 采用选择退出模式：企业在告知后即可收集个人信息，但必须允许消费者拒绝出售或共享。此外，GDPR 几乎适用于所有组织，而 CCPA 仅适用于达到其门槛的营利性企业。

CCPA 比 GDPR 更严格吗？

总体而言 GDPR 更严格：它几乎涵盖所有组织，要求处理具备合法依据，Cookie 须获得选择加入同意，罚款最高可达 2,000 万欧元或全球营业额的 4%。CCPA 在某些方面更严格，例如强制提供选择退出链接、强制支持 Global Privacy Control，以及数据泄露的法定赔偿。

CCPA 是否像 GDPR 一样要求 Cookie 同意？

不要求。CCPA 不要求对成年人显示选择加入的 Cookie 横幅。它要求在收集时提供告知，并提供拒绝出售或共享个人信息的方式，这也涵盖用于跨情境行为广告的广告 Cookie。仅当企业知道消费者未满 16 岁时才需要选择加入。

如果我遵守了 GDPR，是否就符合 CCPA？

不会自动符合。GDPR 合规涵盖了大部分基础工作，但 CCPA 还要求提供 Do Not Sell or Share 或 Your Privacy Choices 链接、支持 Global Privacy Control、在隐私政策中加入 CCPA 专门披露、建立 45 天的请求处理流程，以及限制使用敏感个人信息的权利。

谁负责执行 GDPR 和 CCPA？

GDPR 由各欧盟国家的国家数据保护机构执行，跨境运营的组织由一个牵头机构负责。CCPA 由加州隐私保护局（CPPA）和加州总检察长执行。

CCPA 与 GDPR 的处罚分别是什么？

GDPR 罚款最高可达 2,000 万欧元或全球年营业额的 4%，以较高者为准。自 2025 年 1 月 1 日起，CCPA 罚款最高为每次违规 2,663 美元，故意违规或涉及 16 岁以下未成年人的违规每次 7,988 美元；在特定数据泄露后，消费者每起事件可索赔 107 至 799 美元。