Согласно CCPA потребители могут подавать в суд на предприятие, только если соблюдены определенные условия. Украденная личная информация должна содержать имя (или инициалы) и фамилию потребителя, а также перечисленные далее данные. Номер социального страхования. Номер водительских прав, идентификационный номер налогоплательщика, номер паспорта, идентификационный номер военного билета или другой уникальный идентификационный номер правительственного документа, обычно используемого для идентификации личности. Номер финансового счета либо кредитной или дебетовой карты со всеми требуемыми кодами безопасности, кодами доступа или паролями, которые позволят кому-либо получить доступ к счету потребителя. Медицинская информация или информация о медицинском страховании. Отпечаток пальца, изображение сетчатки либо радужной оболочки глаза или другие уникальные биометрические данные, используемые для идентификации личности человека (за исключением фотографий, если только они не используются или не хранятся для целей распознавания лиц). При этом такая информация должна была быть украдена в незашифрованном и неотредактированном виде. Соответствующее законодательство направлено на устранение последствий, с которыми предприятия сталкиваются в результате утечки информации потребителей в условиях, когда записи не были зашифрованы или когда одновременно были похищены зашифрованные данные и ключи шифрования. В частности, в статье 1798.82 Гражданского кодекса Калифорнии в тексте поправки к законопроекту Ассамблеи 1130 говорится следующее: «Лицо или предприятие, осуществляющее коммерческую деятельность в Калифорнии и владеющее или лицензирующее компьютеризированные данные, включающие личную информацию, должно сообщить о нарушении безопасности системы после обнаружения или уведомления о нарушении безопасности данных жителю Калифорнии (1), чья незашифрованная личная информация была или разумно считается приобретенной несанкционированным лицом либо (2) чья зашифрованная личная информация была или разумно считается приобретенной несанкционированным лицом, и ключ шифрования или учетные данные безопасности были или разумно считаются приобретенными несанкционированным лицом, а лицо или предприятие, владеющее или лицензирующее зашифрованную информацию, обоснованно полагает, что ключ шифрования или учетные данные безопасности могут сделать эту личную информацию читаемой или пригодной для использования. Огласку ситуации необходимо сделать в кратчайшие сроки и без необоснованных задержек, а также в соответствии с законными потребностями правоохранительных органов, как это предусмотрено в подразделе (с), или любыми мерами, необходимыми для определения объема нарушения и восстановления разумной целостности системы данных».